摘要
马来西亚个人数据保护局（Personal Data Protection Department，JPDP）于2026年10月5日发布第1/2026号公共咨询文件，就拟议的《人工智能与个人数据保护框架》（Artificial Intelligence (AI) and Personal Data Protection Framework，以下简称《拟议框架》）征求公众意见，反馈截止于2026年10月23日。《拟议框架》采用AI全生命周期为法，为涉及个人数据的AI系统的数据控制者与处理者设定合规义务。
背景
马来西亚个人数据保护局（Personal Data Protection Department，JPDP）是数字部下属机构，于2011年5月16日正式设立，旨在协助个人数据保护专员执行马来西亚《个人数据保护法》（Personal Data Protection Act 2010，Act 709）。
马来西亚《个人数据保护法》（Personal Data Protection Act 2010，Act 709）于2010年由马来西亚国会通过，是该国个人数据保护领域的基础性立法。该法适用于商业交易过程中的个人数据处理活动，围绕处理的一般原则、通知与选择、披露、安全、留存、数据完整性、数据主体访问等事项确立了基本规则，并区分数据控制者与数据处理者两类主体，设定了相应的权利义务。2024年，马来西亚对《个人数据保护法》进行修订，引入数据保护官指定、数据泄露通报、数据可携带性等新制度，进一步强化了个人数据保护水平。
然而，随着AI技术在马来西亚及东南亚地区各行业的开发与应用持续扩展，上述规则面临新的适用场景。从客户服务、金融风控、医疗辅助诊断到内部运营管理，涉及个人数据的AI系统日益普遍，机器学习模型的训练、测试、部署与持续运行均可能构成对个人信息的处理。由此产生的问题是：现行法律框架如何适用于AI场景、组织在引入AI系统时应履行哪些义务、既有合规要求如何在技术环境中落地，均有待监管层面作出回应。
为此，马来西亚个人数据保护局（Personal Data Protection Department，JPDP）于2026年10月5日发布第1/2026号公共咨询文件，就拟议的《人工智能与个人数据保护框架》征询公众意见。此类公共咨询是马来西亚监管部门形成政策与指引文件的惯常程序，旨在使拟议文本在正式定稿前吸收产业界、专业机构及公众的意见。本次咨询的意见反馈期为2026年10月5日至10月23日，为期约三周。
主要内容
《拟议框架》依据马来西亚《个人数据保护法》（Personal Data Protection Act 2010，Act 709）第48(g)条发布，其基本立场是将《个人数据保护法》既有义务适用于AI处理活动，而非创设新的法定义务，主要对接其第7条的通知与选择原则、第12B条的数据泄露通报义务、第129条的跨境传输规则以及安全与数据完整性原则。
《拟议框架》共十个部分：前两部分交代框架背景（Part A）与关键定义（Part B），后八个部分围绕AI系统全生命周期展开，依次就AI系统中个人数据处理的法律依据（Part C）、开发与测试（Part D）、部署与使用（Part E）、外部AI系统管理（Part F）、数据主体权利（Part G）、保障与公平义务（Part H）、治理与风险管理（Part I）、文档与审计（Part J）等事项设定要求。以下按框架结构分述。
01
框架背景与关键定义
《拟议框架》前两个部分交代框架的背景、目的与适用范围，并解释全文术语及AI相关概念。就适用范围而言，《拟议框架》规范借助AI系统开展的个人数据处理活动，凡获取、开发、定制、部署或运营涉及个人数据的AI系统的数据控制者，以及代表数据控制者行事的处理者与第三方，均在其覆盖之列；其适用对象不限于自行开发的系统，还包括外购产品、嵌入式AI、软件服务（SaaS）与应用程序编程接口（API）服务，以及嵌入应用程序中的通用模型，这表明组织即使仅以采购、集成或运维方式参与AI系统的使用环节，亦受该框架约束。就定义而言，《拟议框架》除沿用马来西亚《个人数据保护法》（Personal Data Protection Act 2010，Act 709）的既有定义外，还引入了AI特有的概念与术语，为后续各项义务的适用划定语义基础。
02
AI系统中个人数据处理的法律依据
本部分为《拟议框架》的基础性内容，明确使用AI系统本身不构成个人数据处理的独立合法依据。数据控制者开展AI场景下的个人数据处理，仍须依据马来西亚《个人数据保护法》（Personal Data Protection Act 2010，Act 709）识别合法处理基础，并在法定情形下取得数据主体同意。在此前提下，本部分进一步细化规范了AI系统场景下个人数据的合法收集与使用、对数据主体的告知义务、基于同意的处理规则、敏感个人数据的特殊处理要求，以及无需取得同意的处理情形与法定豁免规则。
03
AI系统的开发与测试
本部分针对模型上线前的各个环节设定合规要求，涵盖AI系统开发的一般规则、数据收集与准备、系统开发流程以及部署前的测试与验证。在此阶段，训练数据收集、模型训练与系统测试均构成个人数据处理活动，组织须在具备相应合法性基础的前提下开展，并恪守马来西亚《个人数据保护法》（Personal Data Protection Act 2010，Act 709）“适当、相关且限于必要范围”的基本原则。同时，组织还应落实数据最小必要要求，保障数据质量并配套安全防护措施，为系统在后续部署阶段的合规运行奠定基础。
04
AI系统的部署与使用
本部分针对系统投入运行后的各个阶段设定要求，涵盖AI系统的部署、在个人数据处理中的使用、运行监测、修改与重训、持续使用以及系统的退役与停用。组织须对运行中的AI系统保持持续关注，监测系统中的个人数据处理活动，确保各阶段的处理不超出既定目的与合法性基础的范围；系统在修改或重训后，应重新评估相关处理的合规性；系统退役时，还须妥善处理所涉个人数据的留存与删除。
05
外部AI系统管理
与自行开发相对，组织亦可能通过采购或集成第三方AI系统的方式引入AI能力，本部分即针对此种情形设定四方面要求。其一，采购或集成前须开展尽职调查，对拟引入的系统及其供应商进行评估。其二，须以合同方式明确各方在数据处理中的角色与责任，划清数据控制者与数据处理者的边界。其三，须评估是否涉及个人数据的跨境传输及适用的保障安排；鉴于AI系统常依托境外云端算力或由境外供应商提供服务，此项评估应衔接马来西亚《个人数据保护法》（Personal Data Protection Act 2010，Act 709）的跨境传输规则。其四，引入系统并非义务的终点，组织还须对供应商保持持续监督。
06
AI系统中的数据主体权利
本部分将数据主体权利的保障延伸至AI场景。数据主体依据马来西亚《个人数据保护法》（Personal Data Protection Act 2010，Act 709）享有的访问权、更正权、撤回同意权及数据可携带权，不因处理活动通过AI系统进行而受到减损；组织须在AI系统的设计与运营中设置便捷、可用的权利行使渠道，建立受理和处理权利请求的内部流程，确保数据主体在AI环境下能够实际行权，而非以系统复杂性或自动化程度为由拒绝或拖延回应。
07
关键保障与公平义务
本部分关注AI处理个人数据过程中的公平与安全问题，规定防止不公平结果、安全保障措施、安全事件与个人数据泄露的应对以及准确性与数据完整性四项要求。其中，泄露应对与马来西亚《个人数据保护法》（Personal Data Protection Act 2010，Act 709）第12B条的强制通报义务相衔接：对数据主体造成或可能造成“重大损害”或影响超过1,000名数据主体的泄露事件，数据控制者须在知悉后72小时内向专员通报，并在首次通报后7日内通知受影响的数据主体。
08
治理与风险管理
本部分从机构治理层面提出要求，涵盖治理与组织监督，政策程序与意识培训，风险管理，透明度与可解释性以及内部审查、合规与持续监督等多个方面。在风险管理上，组织须在机构层面统一管理AI相关的个人数据保护风险，酌情开展数据保护影响评估（DPIA），并在已任命数据保护官（DPO）的情况下让其参与其中。在透明度与可解释性上，组织应确保AI系统的运作逻辑能够为数据主体所理解，呼应自动化决策场景下的知情权诉求。上述要求共同构成自上而下的治理责任链条，使数据保护要求内嵌于AI系统的管理与运营之中。
09
文档、审计与合规证明
本部分要求组织对上述合规活动形成书面记录，包括合法性基础的识别与记录、尽职调查的开展情况、合同安排、供应商监督等，并开展内部审查与审计。文档留存的目的在于使组织能够向监管机关证明其合规状态，并通过持续监督保持合规。这一“问责制”取向与马来西亚《个人数据保护法》（Personal Data Protection Act 2010，Act 709）2024年修订后强化执法的方向一致：违反该要求的最高罚款已提高至100万令吉。
结语
本次公开咨询截止日期为2026年10月23日，公众及各利益相关方可通过马来西亚个人数据保护局官网查阅咨询文件全文，并按文件所列方式提交反馈意见。就文件性质而言，《拟议框架》尚处于咨询阶段，不具有法律约束力，其最终内容以咨询期结束后官方结合反馈意见审议形成的正式版本为准。《拟议框架》若获通过，将为马来西亚境内涉及个人数据的AI系统开发与使用活动提供与马来西亚《个人数据保护法》（Personal Data Protection Act 2010，Act 709）相衔接的操作性指引。
来源：马来西亚个人数据保护局官网
撰稿｜合规部
责编｜卢蔷
声明：本文来自三所数据安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
