事件经过
2026年10月5日，马来西亚个人数据保护局（JPDP，Jabatan Perlindungan Data Peribadi）发布了第1/2026号公众咨询文件，其中包含根据《2010年个人数据保护法》（第709号法案）第48(g)条制定的AI与个人数据保护框架1.0版草案。该草案共43条、10个部分（A至J部分），是数据控制者覆盖AI全生命周期的“主要参考文件”：法律依据/通知/同意、开发与测试（设计即数据保护）、部署/使用/监控/再训练/停用、外部AI系统采购与跨境传输、数据主体权利、公平性/安全/泄露/准确性、治理/风险/透明度，以及文档记录/审计。范围明确涵盖内部AI、采购/现成/开源AI，以及嵌入SaaS/云/API平台的AI，外加处理个人数据的通用AI模型。JPDP将草案与欧盟AI法规、OECD AI原则以及香港/菲律宾/新加坡/英国数据保护机构指南进行了对标。书面意见须于2026年10月23日前通过统一公众咨询平台或官方Google表单提交；最终文本、发布日期和过渡期尚未确定。
影响分析
这是马来西亚数据监管机构推出的首份全面国家AI数据保护框架，加入了东盟/亚太地区日益增长的AI安全与隐私治理浪潮（与新加坡PDPC、香港PCPD、KISA v2.0并列）。由于该框架涵盖采购/供应商AI系统以及嵌入SaaS/API平台的通用模型，实质上覆盖了马来西亚境内所有通过AI处理个人数据的组织——施加了全生命周期义务：设计即数据保护、训练数据目的限制、隐私通知中的AI披露、部署前测试/验证、AI系统监控、外部AI的采购控制，以及用于证明合规的文档记录/审计。对于在马来西亚运营的跨国公司而言，这预示着近期内须落实的合规预期，应现在即开始设计。
建议行动
在马来西亚运营的数据控制者/处理者应依据其AI清单审阅该草案的10部分框架，并在2026年10月23日截止日期前通过统一公众咨询平台或官方Google表单向JPDP提交意见。各组织应开始对照D至I部分的义务，梳理现有AI数据流、采购和模型文档，以便无论咨询反馈如何影响最终指南，都能为最终指南做好准备。