马来西亚AI与个人数据保护框架草案公开征求意见,10月23日截止
影响级别
🟡纳入考量
⚠ 风险提示:仅草案征求意见阶段,最终文本、发布日期和过渡期均未确定,不宜提前改造系统。
期限/窗口:23 October 2026 [1]
发生了什么
马来西亚个人数据保护部门(JPDP)于2026年10月5日就《人工智能与个人数据保护框架》草案启动公开征求意见,书面意见截止2026年10月23日。草案共10部分43条,适用企业自建、外购、开源及通过SaaS、云服务与API接入的AI系统,也涵盖嵌入应用的通用AI模型,供应商尽职调查、跨境传输、撤回同意后的AI数据处理均有专门条款;草案补充而非取代2010年个人数据保护法(Act 709)。最终文本、发布日期和过渡期未定。 [1]
对卖家的影响
- 推断草案若定稿,数据控制者将须为AI用途逐项确认法律依据与告知,撤回同意后须停止AI处理;供应商选型需做八项尽职调查,跨境处理须参考第129条并可能做转移影响评估,责任不因外包而转移。 [1]
- 推断对处理马来西亚客户数据的跨境卖家与SaaS工具使用者,影响集中在推荐引擎、客服聊天机器人等环节的数据录入授权与用途变更告知;自建模型和数据库处理发生在马来西亚境外时,按草案仍落入跨境传输条款。 [1]
一个可执行建议
如需反馈,可在2026年10月23日前向JPDP提交书面意见;否则只需核验现有AI工具的数据用途与跨境传输设置。
证伪信号
- 判断 1:若JPDP最终文本删除供应商尽职调查、跨境转移评估或控制者责任不可转移条款,则该判断失效;可核验最终版Part F条款。
- 判断 2:若最终框架将适用范围限定为马来西亚境内处理,或豁免境外控制者的跨境传输义务,则该判断失效。