Perlindungan data untuk percakapan AI di Malaysia dan Singapura: daftar periksa praktis

Percakapan AI yang mengumpulkan nama, nomor telepon, atau pertanyaan tentang kesehatan berarti mengumpulkan data pribadi, dan Malaysia serta Singapura mengharapkan hal-hal dasar yang sama: pemberitahuan, tujuan yang dinyatakan, penyimpanan terbatas, keamanan, pengendalian vendor dan hosting di luar negeri, serta pelaporan pelanggaran serius. Ini adalah panduan awal bagi pengelola, bukan nasihat hukum. Mintalah penasihat yang berkualifikasi meninjau pengaturan Anda.

Seberapa mutakhir informasi ini, dan apa cakupannya?

Setiap aturan di bawah diperiksa pada 22 Oktober 2026 terhadap sumber primer. Untuk Malaysia, sumbernya adalah dokumen Personal Data Protection Department (JPDP) (terbuka di tab baru)^[9], termasuk cetakan ulang Act 709 (terbuka di tab baru)^[3] per 15 September 2026. Untuk Singapura, sumbernya adalah Singapore Statutes Online (terbuka di tab baru)^[10] (versi terkini per 21 Oktober 2026) dan Personal Data Protection Commission (PDPC).

JPDP menyatakan bahwa undang-undang Malaysia mencakup data pribadi yang diproses dalam transaksi komersial. Apakah salah satu undang-undang berlaku bagi bisnis Anda bergantung pada tempat bisnis didirikan dan tempat data dikumpulkan atau diproses. Aturan sektoral dan negara Asia Tenggara lainnya tidak dibahas. Jawaban AI bisa salah. Libatkan manusia dalam keputusan keuangan, hukum, medis, dan keputusan penting lainnya.

Bagaimana perbandingan Malaysia dan Singapura?

Bagian mana dari undang-undang Malaysia yang telah diubah yang berlaku, dan sejak kapan?

Personal Data Protection (Amendment) Act 2024 (terbuka di tab baru)^[1] berlaku dalam tiga tahap berdasarkan pemberitahuan Gazette yang diterbitkan pada 24 Desember 2024 (terbuka di tab baru)^[2]. Ketentuan administratif dimulai pada 1 Januari 2025. Pada 1 April 2025 berlaku ketentuan data biometrik sebagai data pribadi sensitif, definisi “pelanggaran data pribadi”, kewajiban Prinsip Keamanan langsung bagi pemroses, hukuman lebih berat untuk pelanggaran prinsip, dan perubahan aturan lintas batas. Pada 1 Juni 2025 berlaku kewajiban petugas perlindungan data, pemberitahuan pelanggaran wajib, dan hak atas portabilitas data.

Apakah pemberitahuan pelanggaran di Malaysia harus dalam 72 jam atau “secepat yang dapat dilakukan”?

Keduanya tercantum dalam dokumen berbeda. Pasal 12B undang-undang mewajibkan pengendali yang memiliki alasan untuk meyakini adanya pelanggaran untuk memberi tahu Komisaris “secepat yang dapat dilakukan”, tanpa batas jam yang pasti. Pedoman Pemberitahuan Pelanggaran Data (terbuka di tab baru)^[4] JPDP, yang diterbitkan 25 Februari 2025, menambahkan batas maksimal 72 jam sejak terjadinya pelanggaran.

Dalam contoh di pedoman, hitungan dimulai saat pengendali diberi tahu tentang kehilangan, menyadari telah mengirim data secara keliru atau mengonfirmasi adanya kompromi, atau, untuk pelanggaran pemroses, saat pemroses memberi tahu pengendali atau pengendali memiliki bukti yang jelas, mana yang lebih dahulu. Pemberitahuan yang terlambat memerlukan alasan dan bukti tertulis.

Pemberitahuan diwajibkan jika pelanggaran menyebabkan atau kemungkinan menyebabkan kerugian signifikan, yang menurut pedoman mencakup data pribadi sensitif, risiko penipuan identitas, dan lebih dari 1.000 orang terdampak. Orang yang menghadapi kerugian signifikan harus diberi tahu dalam tujuh hari setelah laporan kepada Komisaris.

Siapa yang wajib menunjuk petugas perlindungan data di Malaysia?

Pasal 12A menyatakan bahwa pengendali dan pemroses wajib menunjuk satu atau lebih petugas perlindungan data. Pedoman DPO (terbuka di tab baru)^[5] JPDP, yang juga diterbitkan pada 25 Februari 2025, menerapkan kewajiban itu jika pemrosesan melibatkan lebih dari 20.000 subjek data, data pribadi sensitif termasuk informasi keuangan lebih dari 10.000 orang, atau pemantauan rutin dan sistematis. Contoh pemantauannya mencakup situs ritel yang melacak pencarian dan pembelian untuk menawarkan rekomendasi, jadi tanyakan apakah pembuatan profil pengunjung dalam percakapan dapat termasuk di dalamnya.

Apa yang berubah untuk pemroses dan transfer ke luar negeri di Malaysia?

Sejak 1 April 2025, pemroses terikat langsung oleh Prinsip Keamanan, melakukan pelanggaran jika melanggarnya dan, berdasarkan pasal 9(2), harus memberikan jaminan yang memadai tentang langkah keamanannya. Untuk transfer ke luar negeri, Pedoman Transfer Data Pribadi Lintas Batas (terbuka di tab baru)^[6] JPDP, yang diterbitkan 29 April 2025, menjelaskan penilaian dampak transfer yang hasilnya tetap berlaku hingga tiga tahun, dan mengharapkan transfer diungkapkan dalam pemberitahuan Anda, pencatatan setiap penerima, negara, jenis data dan tujuan, serta klausul keamanan dalam setiap kontrak pemroses.

Apakah ada panduan Malaysia yang khusus untuk AI?

Pedoman Pengambilan Keputusan dan Pembuatan Profil Otomatis (terbuka di tab baru)^[7] JPDP, yang mencantumkan pemberitahuan hak cipta 2026, menyatakan bahwa Act 709 tidak memiliki ketentuan khusus tentang keputusan dan pembuatan profil otomatis, tetapi prinsip-prinsipnya berlaku, dan menyarankan agar penggunaan AI diberitahukan dalam pemberitahuan privasi. Jika Mind Anda mengelompokkan orang secara otomatis, misalnya melalui Stages otomatis, tanyakan kepada penasihat Anda apakah hal itu termasuk pembuatan profil dan memenuhi ambang dampak hukum atau signifikan terhadap seseorang dalam pedoman. JPDP juga membuka Public Consultation Paper No. 1/2026 (terbuka di tab baru)^[8] pada 5 Oktober 2026, ditutup 23 Oktober 2026, tentang usulan AI and Personal Data Protection Framework. Dokumen itu masih berupa rancangan dan belum berlaku.

Apa tambahan aturan Singapura untuk percakapan AI?

Undang-undang Singapura tidak menyebut kecerdasan buatan, sehingga PDPC menerapkan aturan umumnya melalui panduan. Pedoman AI Recommendation and Decision Systems (terbuka di tab baru)^[14], yang diterbitkan 1 Maret 2024, mendorong organisasi menjelaskan fungsi fitur AI serta data pribadi apa yang digunakannya dan alasannya, dan menyarankan penyajian informasi berlapis, misalnya pop-up yang tertaut ke kebijakan yang lebih lengkap.

Pedoman Generative AI (terbuka di tab baru)^[15], yang diterbitkan 20 Juli 2026, menyatakan bahwa pihak yang menerapkan bertanggung jawab utama atas sistem yang dipilih, sebaiknya memperlakukan prompt, input, dan output sebagai data yang harus dilindungi, dan sebaiknya memberi tahu pengguna kategori data pribadi yang perlu dimasukkan. Kedua pedoman bersifat anjuran: PDPC menyatakan keduanya tidak mengikat secara hukum. Vendor yang memproses data untuk Anda berdasarkan kontrak tertulis hanya memiliki kewajiban perlindungan dan penyimpanan serta kewajiban memberi tahu Anda tentang pelanggaran, sementara Anda tetap memiliki kewajiban yang sama seolah-olah Anda memproses data sendiri (s4 PDPA (terbuka di tab baru)^[10]).

Apa yang harus dicakup daftar periksa percakapan AI?

Periksa sembilan hal ini sebelum Mind dipublikasikan, lalu periksa kembali saat Anda menambahkan kanal.

1. Pemberitahuan pada pesan pertama. Malaysia mengharapkan pemberitahuan tertulis dalam bahasa nasional dan bahasa Inggris saat Anda pertama kali meminta atau mengumpulkan data; Singapura mengharapkan tujuan diberitahukan pada atau sebelum pengumpulan kecuali berlaku persetujuan yang dianggap diberikan atau pengecualian lain. Buat singkat, tautkan ke kebijakan yang lebih lengkap dan nyatakan bahwa percakapan menggunakan AI (lihat pengungkapan AI dan EU AI Act). Periksa apa yang dapat ditampilkan kanal Anda sebelum jawaban pertama; jika tidak memungkinkan, tempatkan pemberitahuan di halaman yang memuat percakapan. Di kanal pesan, pesan pertama dapat tiba sebelum halaman apa pun; lihat panduan agen AI WhatsApp.

2. Tujuan yang dinyatakan, dan Mind yang mematuhinya. Kedua undang-undang mengaitkan pengumpulan dengan tujuan, dan pedoman AI generatif PDPC meminta pihak yang menerapkan untuk menentukan tujuan dan jumlah data pribadi yang dibutuhkan. Di Plandora, Data Collections menentukan detail yang dapat dikumpulkan Mind Anda, ditandai di Playbook pada bagian yang perlu ditanyakan, dan panduan Plandora menyarankan hanya meminta detail yang akan Anda gunakan.

3. Apa yang disimpan Mind, dan berapa lama. Kebijakan Privasi Plandora (berlaku 16 Oktober 2026) mencantumkan pesan, detail kontak, sinyal niat, tag, catatan, dan riwayat interaksi. Kebijakan tersebut menyatakan bahwa penyimpanan berlangsung selama diperlukan secara wajar dan berbeda menurut jenis data dan konfigurasi ruang kerja, tanpa periode tetap. Tetapkan aturan Anda sendiri untuk percakapan dan kontak dan tinjau secara berkala. Kontak dapat diekspor, diarsipkan, atau dihapus; pengarsipan mempertahankan riwayat, jadi bukan penghapusan.

4. Permintaan penghapusan dan koreksi. Dalam teks yang dibaca, kedua undang-undang tidak menetapkan hak penghapusan yang berdiri sendiri. Permintaan disampaikan sebagai penarikan persetujuan (Malaysia s38, Singapura s16), sebagai permintaan koreksi (yang di Malaysia mencakup penghapusan), dan melalui aturan penyimpanan. Pedoman AI generatif PDPC menyatakan bahwa kewajiban akses dan koreksi mencakup data pribadi yang dikumpulkan untuk menerapkan sistem AI, dan menyarankan untuk menyetujui jika wajar, misalnya data dalam basis data retrieval-augmented. FAQ Plandora menyarankan untuk menghubungi bisnis yang menjalankan Mind terlebih dahulu; untuk informasi yang dikendalikan Plandora, alamatnya adalah privacy@plandora.com, dan penghapusan dapat bergantung pada pemeriksaan identitas dan catatan yang wajib disimpan Plandora. Tentukan siapa yang menerima permintaan, dan pastikan cakupan penghapusan kontak sebelum menjanjikan penghapusan penuh.

5. Vendor dan pemroses. Tanyakan secara tertulis kepada setiap vendor siapa subpemrosesnya, apakah data percakapan disimpan, digunakan kembali atau digunakan untuk pelatihan model, di mana data disimpan dan seberapa cepat mereka akan memberi tahu Anda tentang pelanggaran. Kebijakan privasi Plandora menempatkan tanggung jawab atas instruksi dan pemberitahuan pada bisnis yang menerapkan Mind, dan menyatakan bahwa Plandora memproses informasi untuk menyediakan layanan. FAQ Plandora menambahkan bahwa ketentuan publik tidak memberikan janji menyeluruh yang mencakup setiap penyedia atau model AI yang mendasarinya, dan mengarahkan pertanyaan tentang komitmen pelatihan, isolasi, penyimpanan, dan lokasi data kepada tim penjualan.

6. Hosting lintas batas. Cari tahu di mana data percakapan disimpan, diproses, dan diakses. Malaysia mengharapkan Anda mengungkapkan transfer dalam pemberitahuan dan menyimpan catatan; Singapura mengharapkan Anda memastikan penerima terikat secara hukum pada standar yang sebanding. Kebijakan privasi publik dan FAQ Plandora tidak menyebutkan wilayah hosting atau subpemroses, dan menyatakan bahwa pelanggan Enterprise dapat meminta peninjauan lokasi data sebelum peluncuran (lihat Enterprise).

7. Anak-anak. Pedoman anak-anak (terbuka di tab baru)^[16] PDPC, yang diterbitkan 28 Maret 2024, mencakup layanan online yang kemungkinan diakses anak-anak: PDPC menilai anak berusia 13 hingga 17 tahun dapat memberikan persetujuan yang sah jika pemberitahuan mudah dipahami, sedangkan persetujuan untuk anak di bawah 13 tahun diberikan oleh orang tua atau wali. Undang-undang Malaysia menjadikan orang tua atau wali sebagai “orang yang relevan” untuk permintaan akses dan koreksi terkait anak di bawah 18 tahun, dan rancangan kerangka AI akan mewajibkan persetujuan dari orang yang berwenang untuk mereka yang berusia di bawah 18 tahun. Kebijakan privasi Plandora menyatakan bahwa layanan ini tidak ditujukan untuk anak-anak. Jika anak di bawah umur mungkin menggunakan percakapan Anda, tentukan bagaimana mereka dapat melakukannya sebelum peluncuran.

8. Data sensitif. Data pribadi sensitif di Malaysia mencakup kesehatan, pandangan politik, keyakinan agama, pelanggaran hukum dan, sejak 1 April 2025, data biometrik, dan memerlukan persetujuan eksplisit atau kondisi lain yang tercantum (s40). Undang-undang Singapura tidak memiliki kategori terpisah, tetapi peraturan pelanggarannya memperlakukan detail kesehatan dan keuangan tertentu yang digabungkan dengan pengenal sebagai penyebab kerugian signifikan. FAQ Plandora menyarankan agar informasi pribadi sensitif dan yang diatur tidak dimasukkan ke platform kecuali perjanjian dan konfigurasi ruang kerja Anda secara jelas mendukungnya. Beri tahu pengunjung agar tidak membagikan detail sensitif, atur Boundaries untuk batasan yang Anda inginkan, dan sediakan cara untuk menghubungi manusia (lihat pengalihan ke manusia untuk percakapan AI).

9. Akses staf dan kesiapan menghadapi pelanggaran. Kebijakan privasi Plandora menyatakan bahwa anggota organisasi yang berwenang mungkin dapat meninjau percakapan dan catatan audiens sesuai akses yang diberikan, jadi berikan setiap orang akses seminimal mungkin yang dibutuhkan pekerjaannya. Pedoman Key Concepts (terbuka di tab baru)^[17] PDPC, yang direvisi 29 April 2026, mencantumkan kontrol akses dan pembatasan akses hanya kepada mereka yang perlu mengetahuinya sebagai contoh langkah keamanan. Tentukan siapa yang memutuskan apakah suatu insiden merupakan pelanggaran, siapa yang melaporkannya, dan siapa yang bertindak sebagai petugas atau kontak perlindungan data. Tenggatnya singkat: tiga hari kalender sejak penilaian di Singapura, menurut panduan pelaporan pelanggaran (terbuka di tab baru)^[18] PDPC, dan 72 jam menurut pedoman JPDP di Malaysia.