马来西亚个人数据保护局就人工智能与个人数据保护框架征询意见

知识亮点 14 October 2026

2026年10月5日，马来西亚个人数据保护局（“PDP”）发布了一份征询文件，拟依据《2010年个人数据保护法》（“PDPA”）制定《人工智能（“AI”）与个人数据保护框架》（“拟议框架”）。本拟议框架旨在指导数据控制者在借助AI系统处理个人数据时遵守PDPA。本次公众咨询将于2026年10月23日截止。

本文阐述拟议框架中的核心建议。

适用范围

拟议框架适用于存在下述情形的数据控制者、数据处理者或第三方主体：

• 自第三方开发者、供应商或服务提供商采购/取得会涉及个人数据处理的AI系统；
• 为特定领域或使用场景开发、部署或定制用于处理个人数据的AI系统；或
• 在提供服务或支持业务运营过程中提供、维护或运营AI系统（包括AI系统提供方可访问该等个人数据的情形）。

就本拟议框架而言，文中对数据控制者及其义务的相关表述，在适用情形下同样适用于数据处理者及第三方主体。

拟议框架适用于通过AI系统或与AI系统相关开展的个人数据处理活动，包括下列类型AI系统：

• 内部自研系统，包括定制或专有AI方案，例如内部开发的欺诈检测模型；
• 自第三方开发者或供应商采购的系统，包括成品、定制化或开源AI系统，例如第三方供应商提供的AI文档审阅工具或开源AI模型；或
• 内嵌于大型数字化平台或服务中的系统，包括软件即服务（“SaaS”）、云服务、应用程序接口或其他搭载AI的技术，例如日常办公软件内置的AI功能，如文档摘要、邮件起草、会议纪要工具。

拟议框架同样适用于嵌入特定应用、服务或运营环境并用于处理个人数据的通用AI模型。

核心要求

遵守PDPA

在AI系统全生命周期（含规划、设计、开发、测试、采购、部署、集成、运行、监控、维护及停用）内，借助AI系统开展的所有个人数据处理活动均须遵守PDPA。PDPA现有规定持续适用于AI系统下的个人数据处理，其中包括：

• 透明度：个人数据保护声明或隐私告知须清晰说明个人数据的处理目的，包括是否使用AI系统，以及AI生成输出结果是否会对数据当事人产生影响。
• 同意：若以同意作为处理活动的法律基础，须充分告知数据当事人AI系统的使用情况及其个人数据的处理方式。若处理的预期目的与最初向数据当事人告知的内容存在重大差异，则须重新取得同意。
• 数据当事人权利：数据控制者应当提供清晰、可便捷获取的信息，说明数据当事人可就经由AI系统处理的个人数据行使权利的方式。

拟议框架并未依据PDPA为AI的使用增设一套独立要求，而是厘清PDPA现有各项要求如何继续适用于经由AI系统开展的个人数据处理。

AI系统的安全保障

数据控制者在设计、开发、测试或验证用于处理个人数据的AI系统时，应当依据《2015年个人数据保护标准》采取适当技术与组织措施，并将设计即保护原则融入AI系统开发流程。系统部署前，视情况开展测试与验证，评估该AI系统是否：

• 能够按照预设目的稳定运行；
• 针对目标用途生成具备充分可靠性的输出结果；
• 在可合理预见的运行条件下按预期运作；以及
• 有效发挥功能。

若数据控制者委托AI服务提供商（例如开发者、供应商或云服务提供商）设计、开发或维护处理个人数据的AI系统，须开展充分尽职调查。尽职调查应考量（但不限于）AI系统的预期用途与功能、系统局限性、所处理个人数据的类别与敏感程度、服务提供商落实的技术和组织措施，以及任何可能影响个人数据处理或数据当事人权益的已知风险、算法偏见与局限。

当AI服务提供商参与个人数据处理时，数据控制者应当清晰界定各方主体的权责，并订立适当合同安排规范个人数据处理事宜，包括数据泄露通知相关约定。

风险最小化

用于处理个人数据的AI系统，其设计、测试、使用与监控均须尽量降低可预见的不公平、偏见或歧视性结果对数据当事人造成的风险，包括由种族、宗教、年龄等特征引发的风险。数据控制者应当评估训练、测试及运营数据的质量、代表性与潜在偏见，并复核AI输出内容，识别重大偏见、不公平或歧视性模式。

数据控制者应当制定规范AI系统（处理个人数据）开发、部署及使用的内部政策与流程。该等政策应载明适用的治理架构、审批流程、使用限制以及针对AI系统个人数据处理的管控措施。

数据控制者还应建立相应流程，定期复核与审计AI系统及其相关数据处理活动，并在必要时审阅、更新AI系统相关文件与记录。

AI系统监控

数据控制者须在AI系统整个运行生命周期内持续监控，确保所处理的个人数据对于预设用途而言保持充分、相关，且不超出必要范围。同时，应对外部AI系统实施适当监督，尤其是当服务条款、处理活动、数据处理方/第三方服务商参与情况或数据处理惯例发生重大变更时。

对企业的实务影响

若本拟议框架后续纳入正式指引，使用处理个人数据的AI系统的企业可考虑采取以下实操措施：

• 梳理并绘制企业内部AI使用全景图，涵盖自研AI系统、供应商提供系统以及内嵌于SaaS工具的AI功能。
• 复核隐私告知与同意获取流程，确保自然人充分知晓AI的使用及其个人数据被处理的情况。
• 复核与AI服务商之间的合作安排，落实关键数据保护事项，包括将个人数据用于AI训练、跨境传输、数据留存及删除。
• 开展适当风险评估并持续监控，确保AI系统持续按预期运行，且所处理个人数据匹配预设使用目的。