政府合同禁止用于人工智能训练，并要求删除数据
数字部长 Gobind Singh Deo 在 2026 年 10 月 20 日的书面议会答复中表示，马来西亚禁止为政府提供人工智能服务的公司使用政府或公共数据训练模型。这项限制写入所有政府人工智能采购合同，合同还要求服务商在处理完毕后删除数据。
目录
Gobind 当时是在答复国民联盟（Perikatan Nasional）巴西马国会议员 Ahmad Fadhli Shaari 的提问。后者询问，云服务和人工智能公司（包括外国服务商）处理的信息如何继续由马来西亚掌控。Gobind 在答复中列出了有关数据存储地点、加密、访问政府系统权限，以及人工智能供应商重复使用信息的管控措施。
实际上的区别在于：使用信息完成政府任务，与使用信息开发供应商的人工智能模型，是两回事。政府机构可能需要人工智能系统处理某项服务所需的信息。按照 Gobind 所述的合同限制，服务商不得再将这些信息用作模型训练材料，也不得在处理完成后继续保留。
训练是人工智能模型从示例中学习规律的过程；处理则是系统利用收到的信息执行任务。将两者分开，可以让政府机构通过合同掌控把信息交给服务商后会发生什么。
Gobind 还表示，数字部正在起草《人工智能治理法案》，以明确人工智能系统整个生命周期中的问责机制。目前已公布的措施通过政府合同、安全指令和公共部门指南实施；拟议立法则将建立更广泛的责任框架。
不同类别的政府数据可存储在哪里
马来西亚的数据存储规定取决于信息的敏感程度。Gobind 表示，列为机密或绝密的材料必须留在政府数据中心。机密和受限信息只能存储在设于马来西亚境内的私有云或混合云环境中。只有公开且不敏感的政府数据可以存储在海外云服务中。
云服务通过网络接入计算基础设施，以存储或处理信息。私有云专供特定机构使用，混合云则结合不同的计算环境。按照 Gobind 所述的安排，政府记录的分类决定了政府机构可以采用哪些存储方式。
- 机密和绝密信息：应存放在政府数据中心，而非云服务中。
- 机密和受限信息：可存放在位于马来西亚境内的私有云或混合云环境中。
- 公开且不敏感的信息：可存放在海外云环境中。
因此，政府机构选择服务商时，首先要判断信息本身的类别。供应商具备数据处理能力，并不意味着数据可以存放在任何地点。使用服务前，政府机构必须根据安全分类确定相应的存储安排。
加密密钥由政府掌控
Gobind 表示，根据《国家密码政策》，政府数据在存储期间以及在系统之间传输时都必须加密。这些保护措施通常称为静态数据加密和传输中数据加密。
加密会将可读信息转换为编码内容。密码密钥则用于还原可读信息。Gobind 表示，对于涉密系统和数据，加密密钥归政府所有并由政府控制，旨在防止外国服务商自行读取内容，包括在应他国主管部门要求时读取。
存储规定和密钥管控针对的是同一问题的不同方面：存储规定决定信息可以存放在哪里，密钥归属则决定谁掌握读取加密内容的手段。对于涉密信息，政府表示，除了限制托管地点外，也会保留这项控制权。
谁可以访问政府系统？
受委托提供政府服务的公司必须接受安全审查。Gobind 表示，政府系统的访问权限按人员职责分配，登录须采用多重身份验证，相关访问记录须留存以供审计。
按职责分配访问权限，意味着人员能获得哪些权限取决于其获准承担的工作。多重身份验证要求仅凭密码以外的验证方式，例如额外的安全检查。审计日志则会记录访问情况，供日后查验。
这些要求将保护范围延伸到了服务器所在地之外。即使系统托管在马来西亚境内，也仍须管控哪些人员可以访问、他们能够接触哪些信息，以及如何记录其活动。供应商审查、权限限制和访问日志，都是政府对数据处理提出的条件。
政府机构须在人工智能处理前减少数据
Gobind 表示，公共部门人工智能应用指南（简称 GPAISA）要求政府机构尽量减少所用数据，并在人工智能系统处理数据前隐去或匿名化相关信息。数据最小化是指仅使用完成任务所需的信息；隐去或匿名化数据则可以减少可能识别个人的信息暴露。
国家数字局的公共部门人工智能指南涵盖遵守马来西亚法律和政策、人工智能伦理七项原则、参与人工智能工作的个人和组织的职责、应用流程及风险管理。指南附录还收录了马来西亚及海外的公共部门应用案例，并附有伦理合规自评表。
该局的人工智能倡议报告将 GPAISA 描述为公共部门机构的参考指南，旨在确保人工智能得到合乎伦理、透明且负责任的应用。报告称，指南着眼于提升服务交付、加强政府运作，并鼓励基于新技术的创新。2025 年期间，该局向政府机构提供了 40 次技术咨询服务，以协助协调人工智能政策和实践。
该框架也为政府机构分配了责任，而不仅仅是供应商。在信息进入人工智能服务前，政府机构必须考虑任务需要多少数据，以及如何保护可识别个人身份的细节。之后，合同将规范供应商对所收到信息的使用和删除。
伦理评估和风险管理章节还将数据处理纳入是否采用人工智能系统、以及如何采用的整体决策中。采购只是决策的一个阶段；信息准备以及对最终服务承担责任，也仍是政府机构的工作。
框架于 2025 年 2 月发布
数字部的指南发布声明记载，GPAISA 于 2025 年 2 月 27 日在布城铂尔曼酒店发布。国家数字局与马来西亚数字经济机构共同制定这份指南，作为公共机构的专门参考文件。
Gobind 与公共服务局运营事务副总局长 Dato' Mohd Shaiful bin Ibrahim 共同主持发布仪式。活动汇集了政府部门负责人、首席数字官、公共部门技术管理人员和业界人士，并安排了有关政府人工智能应用案例、伦理和治理的专题环节。
指南共分六章，附有三个附录。其发布早于 2026 年 10 月议会对合同限制的说明，以及拟议人工智能法案的起草工作。主要时间节点如下：
- 2024 年：修订《2010 年个人数据保护法》；Gobind 在解释个人数据跨境传输时援引了这项修订。
- 2025 年 2 月 27 日：公共部门人工智能指南在布城发布。
- 2026 年 10 月 20 日：Gobind 在书面议会答复中说明政府人工智能合同条件、数据存储规定及《人工智能治理法案》的起草工作。
私营部门数据跨境传输适用另一套法律规定
对于私营企业处理的个人数据，Gobind 提到了《2010 年个人数据保护法》第 129 条，该法于 2024 年修订。他表示，向海外传输数据的要求包括取得相关个人的同意，以及接收地的法律须与马来西亚《个人数据保护法》具有可比性。
企业将个人信息发送到位于海外的云服务时，就可能发生跨境传输。Gobind 的说明将这类传输纳入个人数据保护框架；政府信息则适用他另行阐述的数据分类和安全管控规定。
对于信息同时由政府机构和企业处理的人来说，这一区别很重要。政府采购条件约束承接其人工智能合同的供应商；处理个人信息的私营企业，则须考虑《个人数据保护法》有关向其他国家传输信息的规定。
拟议人工智能法案将涵盖哪些内容
Gobind 表示，数字部正在起草《人工智能治理法案》，拟要求技术服务商在人工智能系统整个生命周期内承担责任。他指出，法案将涉及数据质量、透明度和可解释性等领域。他没有说明法案何时提交议会，答复也未列出拟议处罚措施或详细的执法机制。
数据质量涉及系统所使用的信息，包括信息是否准确、是否适合执行相关任务。透明度涉及系统的开发和使用过程是否清晰可见。可解释性则是指系统的输出或决策是否能让人理解。这些议题将问责范围延伸至购买人工智能服务之后。
马来西亚正在扩大计算基础设施之际，这些管控措施也日益具体。数据中心和太阳能园区的种植园土地改造项目吸引了大型棕榈油集团进入这一领域。早前数据预计，到 2035 年，数据中心的潜在用电需求至少将达到 5 吉瓦，接近当时全国发电能力的 20%；与此同时，政府的目标是到 2035 年建成并运营 81 座数据中心。
对政府机构和供应商而言，基础设施扩张让有关允许用途的规定有了实际意义。提升信息存储和处理能力，会为数字服务带来更多选择。政府合同、数据分类、加密密钥和访问控制，则决定政府机构可以采用哪些方案，以及服务商可以如何处理这些信息。
要点
- 政府人工智能合同禁止服务商使用政府或公共数据训练模型，并要求在处理后删除数据。
- 机密和绝密信息必须存放在政府数据中心；机密和受限信息可存放在马来西亚境内的私有云或混合云中。
- 只有公开且不敏感的政府数据可以存放在海外云环境中。
- 涉密系统和数据的加密密钥由政府掌控；供应商须接受安全审查并遵守访问管控。
- 根据 GPAISA，公共机构须尽量减少数据，并在人工智能处理前隐去或匿名化信息。
- 《人工智能治理法案》正在起草中，拟涵盖问责机制、数据质量、透明度和可解释性。
