Perlindungan data untuk perbualan AI di Malaysia dan Singapura: senarai semak praktikal

Perbualan AI yang mengumpulkan nama, nombor telefon atau soalan kesihatan sedang mengumpulkan data peribadi, dan Malaysia serta Singapura menjangkakan asas yang sama: notis, tujuan yang dinyatakan, penyimpanan terhad, keselamatan, kawalan vendor dan pengehosan luar negara, serta pelaporan pelanggaran serius. Ini ialah panduan awal untuk pengendali, bukan nasihat undang-undang. Minta penasihat yang berkelayakan menyemak persediaan anda.

Sejauh mana maklumat ini terkini, dan apa yang diliputinya?

Setiap peraturan di bawah disemak pada 22 Oktober 2026 berdasarkan sumber utama. Bagi Malaysia, sumbernya ialah dokumen Jabatan Perlindungan Data Peribadi (JPDP) (dibuka dalam tab baharu)^[9], termasuk cetakan semula Akta 709 (dibuka dalam tab baharu)^[3] seperti pada 15 September 2026. Bagi Singapura, sumbernya ialah Singapore Statutes Online (dibuka dalam tab baharu)^[10] (versi semasa pada 21 Oktober 2026) dan Personal Data Protection Commission (PDPC).

JPDP menyatakan Akta Malaysia meliputi data peribadi yang diproses dalam transaksi komersial. Sama ada mana-mana undang-undang ini terpakai kepada perniagaan anda bergantung pada tempat perniagaan anda ditubuhkan dan tempat data dikumpulkan atau diproses. Peraturan sektor dan negara Asia Tenggara yang lain tidak diliputi. Jawapan AI boleh salah. Libatkan manusia dalam keputusan kewangan, undang-undang, perubatan dan keputusan penting yang lain.

Bagaimanakah Malaysia dan Singapura dibandingkan?

Bahagian manakah dalam Akta Malaysia yang dipinda telah berkuat kuasa, dan bila?

Akta Perlindungan Data Peribadi (Pindaan) 2024 (dibuka dalam tab baharu)^[1] berkuat kuasa dalam tiga peringkat di bawah notis Warta yang diterbitkan pada 24 Disember 2024 (dibuka dalam tab baharu)^[2]. Seksyen pentadbiran bermula pada 1 Januari 2025. Pada 1 April 2025, data biometrik menjadi data peribadi sensitif, takrif “pelanggaran data peribadi” diperkenalkan, kewajipan Prinsip Keselamatan dikenakan secara langsung kepada pemproses, penalti bagi pelanggaran prinsip dinaikkan dan peraturan rentas sempadan ditulis semula. Pada 1 Jun 2025, kewajipan pegawai perlindungan data, pemberitahuan pelanggaran wajib dan hak kebolehalihan data mula berkuat kuasa.

Adakah pemberitahuan pelanggaran di Malaysia perlu dibuat dalam 72 jam atau “secepat yang dapat dilaksanakan”?

Kedua-duanya muncul dalam dokumen yang berbeza. Seksyen 12B Akta mewajibkan pengawal yang mempunyai sebab untuk mempercayai bahawa pelanggaran telah berlaku memberitahu Pesuruhjaya “secepat yang dapat dilaksanakan”, tanpa bilangan jam yang ditetapkan. Garis Panduan Pemberitahuan Pelanggaran Data (dibuka dalam tab baharu)^[4] JPDP, yang dikeluarkan pada 25 Februari 2025, menambah had maksimum 72 jam dari berlakunya pelanggaran.

Contoh dalam garis panduan memulakan kiraan itu apabila pengawal dimaklumkan tentang kehilangan, menyedari telah tersilap menghantar data atau mengesahkan data telah terjejas, atau, bagi pelanggaran pemproses, apabila pemproses memberitahu pengawal atau pengawal mempunyai bukti jelas, yang mana lebih awal. Notis lewat memerlukan alasan dan bukti bertulis.

Notis diperlukan apabila pelanggaran menyebabkan atau berkemungkinan menyebabkan kemudaratan ketara, yang menurut garis panduan termasuk data peribadi sensitif, risiko penipuan identiti dan lebih daripada 1,000 orang terjejas. Individu yang menghadapi kemudaratan ketara mesti dimaklumkan dalam tempoh tujuh hari selepas laporan kepada Pesuruhjaya.

Siapa yang mesti melantik pegawai perlindungan data di Malaysia?

Seksyen 12A menyatakan pengawal dan pemproses mesti melantik seorang atau lebih pegawai perlindungan data. Garis Panduan DPO (dibuka dalam tab baharu)^[5] JPDP, juga dikeluarkan pada 25 Februari 2025, menerapkannya apabila pemprosesan melibatkan lebih daripada 20,000 subjek data, data peribadi sensitif termasuk maklumat kewangan lebih daripada 10,000 orang, atau pemantauan tetap dan sistematik. Contoh pemantauannya termasuk laman web runcit yang menjejak carian dan pembelian untuk menawarkan cadangan, jadi tanyakan sama ada pemprofilan pelawat dalam perbualan boleh termasuk di dalamnya.

Apakah perubahan bagi pemproses dan pemindahan luar negara di Malaysia?

Sejak 1 April 2025, pemproses terikat secara langsung oleh Prinsip Keselamatan, melakukan kesalahan jika melanggarnya dan, di bawah seksyen 9(2), mesti memberikan jaminan mencukupi tentang langkah keselamatannya. Bagi pemindahan ke luar negara, Garis Panduan Pemindahan Data Peribadi Rentas Sempadan (dibuka dalam tab baharu)^[6] JPDP, yang dikeluarkan pada 29 April 2025, menerangkan penilaian impak pemindahan yang dapatan penilaiannya kekal sah sehingga tiga tahun, dan menjangkakan pemindahan didedahkan dalam notis anda, rekod setiap penerima, negara, jenis data dan tujuan disimpan, serta klausa keselamatan dimasukkan dalam setiap kontrak pemproses.

Adakah Malaysia mempunyai panduan khusus untuk AI?

Garis panduan Automated Decision-Making and Profiling (dibuka dalam tab baharu)^[7] JPDP, yang mempunyai notis hak cipta 2026, menyatakan Akta 709 tiada peruntukan khusus untuk keputusan automatik dan pemprofilan, tetapi prinsipnya terpakai, dan mencadangkan agar penggunaan AI dimaklumkan dalam notis privasi. Jika Mind anda mengelaskan orang secara automatik, contohnya melalui Stages automatik, tanyakan kepada penasihat anda sama ada ia dikira sebagai pemprofilan dan memenuhi ambang kesan undang-undang atau kesan ketara terhadap seseorang dalam garis panduan itu. JPDP juga membuka Kertas Perundingan Awam No. 1/2026 (dibuka dalam tab baharu)^[8] pada 5 Oktober 2026, yang ditutup pada 23 Oktober 2026, mengenai cadangan Rangka Kerja AI dan Perlindungan Data Peribadi. Ia ialah draf dan belum berkuat kuasa.

Apakah tambahan di Singapura untuk perbualan AI?

Akta Singapura tidak menyebut kecerdasan buatan, jadi PDPC menerapkan peraturan amnya melalui panduan. Garis panduan AI Recommendation and Decision Systems (dibuka dalam tab baharu)^[14], yang dikeluarkan pada 1 Mac 2024, menggalakkan organisasi menyatakan fungsi ciri AI dan data peribadi yang digunakan serta sebabnya, dan mencadangkan maklumat diberikan secara berlapis, contohnya pop timbul yang berpaut kepada dasar yang lebih lengkap.

Garis panduan Generative AI (dibuka dalam tab baharu)^[15], yang dikeluarkan pada 20 Julai 2026, menyatakan pihak yang menggunakan sistem memikul tanggungjawab utama terhadap sistem yang dipilih, perlu menganggap prompt, input dan output sebagai data yang mesti dilindungi, dan perlu memberitahu pengguna kategori data peribadi yang perlu dimasukkan. Kedua-dua set ialah panduan nasihat: PDPC menyatakan ia tidak mengikat secara undang-undang. Vendor yang memproses data untuk anda di bawah kontrak bertulis hanya mempunyai kewajipan perlindungan dan penyimpanan serta kewajipan memberitahu anda tentang pelanggaran, manakala anda mengekalkan kewajipan yang sama seolah-olah anda memproses data itu sendiri (s4 PDPA (dibuka dalam tab baharu)^[10]).

Apakah yang perlu diliputi oleh senarai semak perbualan AI?

Semak sembilan perkara ini sebelum Mind dibuka kepada umum, dan sekali lagi apabila anda menambah saluran.

1. Notis pada mesej pertama. Malaysia menjangkakan notis bertulis dalam bahasa kebangsaan dan bahasa Inggeris apabila anda mula meminta atau mengumpulkan data; Singapura menjangkakan tujuan dimaklumkan pada atau sebelum pengumpulan melainkan persetujuan yang disifatkan atau pengecualian lain terpakai. Pastikan notis ringkas, pautkan kepada dasar yang lebih lengkap dan nyatakan bahawa perbualan menggunakan AI (lihat pendedahan AI dan Akta AI EU). Semak apa yang boleh dipaparkan oleh saluran anda sebelum jawapan pertama; jika tidak boleh, letakkan notis pada halaman yang mengehos perbualan. Pada saluran pemesejan, mesej pertama boleh tiba sebelum mana-mana halaman dipaparkan; lihat panduan ejen AI WhatsApp.

2. Tujuan yang dinyatakan, dan Mind yang mematuhinya. Kedua-dua Akta mengaitkan pengumpulan dengan suatu tujuan, dan garis panduan AI generatif PDPC meminta pihak yang menggunakan sistem menentukan tujuan dan jumlah data peribadi yang diperlukan. Dalam Plandora, Data Collections menetapkan butiran yang boleh dikumpulkan oleh Mind anda, ditandakan dalam Playbook pada tempat ia perlu bertanya, dan panduan Plandora ialah meminta hanya butiran yang akan anda gunakan.

3. Apa yang disimpan oleh Mind, dan untuk berapa lama. Dasar Privasi Plandora (berkuat kuasa 16 Oktober 2026) menyenaraikan mesej, butiran hubungan, isyarat niat, tag, nota dan sejarah interaksi. Dasar itu menyatakan data disimpan selama yang diperlukan secara munasabah dan berbeza mengikut jenis data dan konfigurasi ruang kerja, tanpa tempoh tetap. Tetapkan peraturan anda sendiri untuk perbualan dan kenalan dan semaknya secara berkala. Kenalan boleh dieksport, diarkibkan atau dipadam; pengarkiban mengekalkan sejarah, jadi ia bukan pemadaman.

4. Permintaan pemadaman dan pembetulan. Berdasarkan teks yang dibaca, kedua-dua Akta tidak mewujudkan hak pemadaman yang tersendiri. Permintaan datang sebagai penarikan persetujuan (Malaysia s38, Singapura s16), sebagai permintaan pembetulan (yang di Malaysia termasuk pemadaman) dan melalui peraturan penyimpanan. Garis panduan AI generatif PDPC menyatakan kewajipan akses dan pembetulan meliputi data peribadi yang dikumpulkan untuk menggunakan sistem AI, dan mencadangkan agar permintaan dipersetujui apabila munasabah, seperti data yang disimpan dalam pangkalan data retrieval-augmented. Soalan lazim Plandora meminta anda menghubungi perniagaan yang mengendalikan Mind terlebih dahulu; bagi maklumat yang dikawal Plandora, alamatnya ialah privacy@plandora.com, dan pemadaman boleh bergantung pada semakan identiti dan rekod yang mesti disimpan Plandora. Tentukan siapa menerima permintaan, dan sahkan apa yang diliputi oleh pemadaman kenalan sebelum menjanjikan pemadaman penuh.

5. Vendor dan pemproses. Tanyakan setiap vendor secara bertulis siapa subpemprosesnya, sama ada data perbualan disimpan, digunakan semula atau digunakan untuk latihan model, di mana ia disimpan dan berapa cepat vendor akan memberitahu anda tentang pelanggaran. Dasar privasi Plandora meletakkan tanggungjawab arahan dan notis pada perniagaan yang menggunakan Mind, dan menyatakan Plandora memproses maklumat untuk menyediakan perkhidmatan. Soalan lazim Plandora menambah bahawa terma awam tidak memberikan janji menyeluruh yang meliputi setiap penyedia atau model AI asas, dan merujuk kepada pasukan jualan untuk komitmen tentang latihan, pengasingan, penyimpanan dan lokasi data.

6. Pengehosan rentas sempadan. Ketahui di mana data perbualan disimpan, diproses dan diakses. Malaysia menjangkakan anda mendedahkan pemindahan dalam notis dan menyimpan rekod; Singapura menjangkakan anda mengesahkan bahawa penerima terikat secara undang-undang kepada standard yang setanding. Dasar privasi awam dan soalan lazim Plandora tidak menamakan kawasan pengehosan atau subpemproses, dan menyatakan pelanggan Enterprise boleh meminta semakan lokasi data sebelum pelaksanaan (lihat Enterprise).

7. Kanak-kanak. Garis panduan kanak-kanak (dibuka dalam tab baharu)^[16] PDPC, yang dikeluarkan pada 28 Mac 2024, meliputi perkhidmatan dalam talian yang mungkin diakses oleh kanak-kanak: PDPC menganggap kanak-kanak berumur 13 hingga 17 tahun boleh memberikan persetujuan sah apabila notis mudah difahami, manakala persetujuan untuk kanak-kanak bawah 13 tahun diberikan oleh ibu bapa atau penjaga. Akta Malaysia menjadikan ibu bapa atau penjaga sebagai “orang yang berkaitan” untuk permintaan akses dan pembetulan tentang kanak-kanak bawah 18 tahun, dan draf rangka kerja AI akan mewajibkan persetujuan orang yang diberi kuasa bagi mereka yang bawah 18 tahun. Dasar privasi Plandora menyatakan perkhidmatan ini tidak ditujukan kepada kanak-kanak. Jika kanak-kanak bawah umur mungkin menggunakan perbualan anda, tentukan caranya sebelum pelancaran.

8. Data sensitif. Data peribadi sensitif Malaysia termasuk kesihatan, pendapat politik, kepercayaan agama, kesalahan dan, sejak 1 April 2025, data biometrik, dan memerlukan persetujuan jelas atau syarat lain yang disenaraikan (s40). Akta Singapura tidak mempunyai kategori berasingan, tetapi peraturan pelanggarannya menganggap butiran kesihatan dan kewangan tertentu, apabila digabungkan dengan pengecam, sebagai menyebabkan kemudaratan ketara. Soalan lazim Plandora menasihatkan agar maklumat peribadi sensitif dan terkawal tidak dimasukkan ke dalam platform melainkan perjanjian dan konfigurasi ruang kerja anda menyokongnya secara jelas. Beritahu pelawat supaya tidak berkongsi butiran sensitif, tetapkan Boundaries untuk had yang anda mahukan, dan sediakan cara untuk menghubungi manusia (lihat penyerahan kepada manusia untuk perbualan AI).

9. Akses kakitangan dan kesiapsiagaan pelanggaran. Dasar privasi Plandora menyatakan ahli organisasi yang diberi kuasa mungkin boleh menyemak perbualan dan rekod audiens mengikut akses yang diberikan, jadi berikan setiap orang akses minimum yang diperlukan untuk tugasnya. Garis panduan Key Concepts (dibuka dalam tab baharu)^[17] PDPC, yang disemak pada 29 April 2026, menyenaraikan kawalan akses dan sekatan akses berdasarkan keperluan untuk mengetahui sebagai contoh langkah keselamatan. Namakan siapa yang menentukan sama ada insiden ialah pelanggaran, siapa yang melaporkannya dan siapa yang bertindak sebagai pegawai atau pihak hubungan perlindungan data. Tempohnya singkat: tiga hari kalendar dari penilaian di Singapura, menurut panduan pelaporan pelanggaran (dibuka dalam tab baharu)^[18] PDPC, dan 72 jam di bawah garis panduan JPDP di Malaysia.