马来西亚和新加坡的 AI 聊天数据保护：实用清单

AI 聊天收集姓名、电话号码或健康问题时，收集的就是个人数据，马来西亚和新加坡都要求相同的基本措施：通知、明确目的、限制保留、安全保障、管理供应商和境外托管，以及报告严重泄露事件。本文为运营者提供入门指引，不构成法律建议。请合格顾问审查你的配置。

本文的信息更新到何时，涵盖哪些范围？

以下每项规则均于 2026 年 10 月 22 日根据一手资料核查。马来西亚的资料来自个人数据保护局（JPDP） （在新标签页中打开）^[9]的文件，包括截至 2026 年 9 月 15 日的 Act 709 重印本 （在新标签页中打开）^[3]。新加坡的资料来自 Singapore Statutes Online （在新标签页中打开）^[10]（截至 2026 年 10 月 21 日的现行版本）和个人数据保护委员会（PDPC）。

JPDP 表示，马来西亚法案涵盖商业交易中处理的个人数据。任一法律是否适用于你的业务，取决于你的设立地点以及数据的收集或处理地点。本文不涵盖行业规则和东南亚其他国家。AI 回复可能出错。财务、法律、医疗和其他重大决策应由人参与。

马来西亚和新加坡有何不同？

马来西亚修订后的法案哪些部分已经生效，何时生效？

Personal Data Protection (Amendment) Act 2024 （在新标签页中打开）^[1]根据2024 年 12 月 24 日发布的宪报通知 （在新标签页中打开）^[2]分三个阶段生效。行政条款于 2025 年 1 月 1 日生效。2025 年 4 月 1 日生效的内容包括将生物识别数据列为敏感个人数据、定义“个人数据泄露”、处理者直接承担安全原则义务、提高违反原则的处罚，以及重写跨境规则。2025 年 6 月 1 日生效的内容包括数据保护官义务、强制泄露通知和数据可携权。

马来西亚的泄露通知期限是 72 小时，还是“在切实可行的情况下尽快”？

两者分别出现在不同文件中。法案第 12B 条要求有理由相信发生泄露的控制者“在切实可行的情况下尽快”通知专员，没有规定具体小时数。JPDP 于 2025 年 2 月 25 日发布的数据泄露通知指南 （在新标签页中打开）^[4]补充规定，自泄露发生起最迟不得超过 72 小时。

指南示例中的计时起点包括控制者获悉数据丢失、意识到误发数据或确认数据受损时；如为处理者发生的泄露，则从处理者通知控制者或控制者获得明确证据时起算，以较早者为准。迟报须提供书面理由和证据。

泄露造成或可能造成重大损害时须发出通知；指南称，这包括涉及敏感个人数据、身份欺诈风险以及影响超过 1,000 人的情况。面临重大损害的个人须在向专员报告后的七天内收到通知。

马来西亚哪些人必须任命数据保护官？

第 12A 条规定控制者和处理者须任命一名或多名数据保护官。JPDP 同样于 2025 年 2 月 25 日发布的 DPO 指南 （在新标签页中打开）^[5]将此要求适用于涉及超过 20,000 名数据主体、超过 10,000 人的敏感个人数据（包括财务信息），或定期和系统性监控的处理活动。其监控示例包括追踪搜索和购买行为以提供推荐的零售网站，因此请咨询在聊天中为访客建立画像是否也可能属于此类监控。

马来西亚对处理者和境外传输的规定有什么变化？

自 2025 年 4 月 1 日起，处理者直接受安全原则约束，违反该原则即构成违法，并须根据第 9(2) 条就安全措施提供充分保证。对于境外传输，JPDP 于 2025 年 4 月 29 日发布的跨境个人数据传输指南 （在新标签页中打开）^[6]介绍了传输影响评估，其结果最多有效三年，并要求在通知中披露传输，逐项记录接收方、国家、数据类型和目的，以及在处理者合同中加入安全条款。

马来西亚有针对 AI 的专门指南吗？

JPDP 的自动决策和画像指南 （在新标签页中打开）^[7]标注了 2026 年版权声明，指出 Act 709 没有针对自动决策和画像的具体条款，但其原则适用，并建议在隐私通知中告知用户使用了 AI。如果你的 Mind 自动对人分类，例如通过自动 Stages，请咨询顾问这是否属于画像，以及是否达到指南所述对个人产生法律或重大影响的门槛。JPDP 还于 2026 年 10 月 5 日就拟议的 AI 和个人数据保护框架发布了第 1/2026 号公众咨询文件 （在新标签页中打开）^[8]，征求意见于 2026 年 10 月 23 日截止。这是一份草案，尚未生效。

新加坡对 AI 聊天还有什么规定？

新加坡法案没有提及人工智能，因此 PDPC 通过指南应用其一般规则。2024 年 3 月 1 日发布的 AI 推荐和决策系统指南 （在新标签页中打开）^[14]鼓励组织说明 AI 功能的作用、使用哪些个人数据及其原因，并建议分层呈现信息，例如用弹窗链接到更完整的政策。

2026 年 7 月 20 日发布的生成式 AI 指南 （在新标签页中打开）^[15]指出，部署者对所选系统承担主要责任，应将提示词、输入和输出视为必须保护的数据，并应告知用户需要输入哪些类别的个人数据。两套指南均为建议性质：PDPC 表示它们不具有法律约束力。根据书面合同为你处理数据的供应商，仅承担保护和保留义务以及向你通报泄露的义务，而你仍承担与自行处理数据时相同的义务（PDPA （在新标签页中打开）^[10]第 4 条）。

AI 聊天清单应涵盖哪些内容？

在 Mind 公开前，以及每次添加渠道时，逐项检查以下九点。

1. 首条消息时的通知。 马来西亚要求首次请求或收集数据时以马来西亚国语和英语提供书面通知；新加坡要求在收集时或之前通知目的，除非适用视为同意或其他例外情况。保持简短，链接到更完整的政策，并说明聊天使用 AI（参见 AI 披露与欧盟 AI 法案）。检查你的渠道在首次回复前能显示什么；如果无法显示通知，就将其放在承载聊天的页面上。在消息渠道中，第一条消息可能在任何页面出现之前到达；参见 WhatsApp AI 代理指南。

2. 明确目的，并让 Mind 遵循该目的。 两部法案都将收集数据与目的挂钩，PDPC 的生成式 AI 指南要求部署者明确目的和所需个人数据量。在 Plandora 中，数据集合 定义 Mind 可以收集的详情，并在行动手册中标记应询问的位置；Plandora 建议只询问你会使用的详情。

3. Mind 存储什么，以及存储多久。 Plandora 的隐私政策（2026 年 10 月 16 日生效）列出了消息、联系方式、意图信号、标签、备注和互动历史。政策称，数据保留时间以合理必要为限，因数据类型和工作区配置而异，没有固定期限。为对话和联系人制定自己的规则，并定期审查。联系人可以导出、归档或删除；归档会保留历史记录，因此不等于删除。

4. 删除和更正请求。 根据所阅读的法案文本，两部法案均未设立独立的删除权。请求可能表现为撤回同意（马来西亚 s38、新加坡 s16）、更正请求（在马来西亚包括删除），以及依据保留规则提出的请求。PDPC 的生成式 AI 指南指出，访问和更正义务涵盖为部署 AI 系统而收集的个人数据，并建议在合理情况下同意请求，例如数据存于检索增强数据库时。Plandora 的常见问题建议先联系运营 Mind 的企业；对于 Plandora 控制的信息，联系地址是 privacy@plandora.com，是否能删除可能取决于身份核验结果，以及 Plandora 必须保留的记录。确定由谁接收请求，并在承诺彻底删除前确认删除联系人涵盖哪些内容。

5. 供应商和处理者。 以书面形式询问每家供应商其子处理者是谁、聊天数据是否被保留、重复使用或用于模型训练、数据存储在哪里，以及发生泄露后会多快通知你。Plandora 的隐私政策规定，指示和通知由部署 Mind 的企业负责，并说明 Plandora 为提供服务而处理信息。Plandora 的常见问题还指出，公开条款没有对每家底层 AI 提供商或每个模型作出一揽子承诺，并建议就训练、隔离、保留和数据驻留方面的承诺联系销售团队。

6. 跨境托管。 了解聊天数据在哪里存储、处理和访问。马来西亚要求你在通知中披露传输并保留记录；新加坡要求你确认接收方受法律约束，遵守可比标准。Plandora 的公开隐私政策和常见问题没有列出托管区域或子处理者，并表示 Enterprise 客户可在上线前申请审查数据驻留情况（参见 Enterprise）。

7. 儿童。 PDPC 于 2024 年 3 月 28 日发布的儿童指南 （在新标签页中打开）^[16]涵盖儿童可能访问的在线服务：PDPC 认为，当通知易于理解时，13 至 17 岁的儿童可以给出有效同意，而 13 岁以下儿童的同意须由父母或监护人给出。马来西亚法案将父母或监护人指定为处理 18 岁以下儿童访问和更正请求的“相关人士”，AI 框架草案则规定，18 岁以下人士须获得获授权人士的同意。Plandora 的隐私政策指出，该服务不面向儿童。如果未成年人可能使用你的聊天，请在上线前决定如何处理。

8. 敏感数据。 马来西亚的敏感个人数据包括健康、政治观点、宗教信仰、犯罪行为以及自 2025 年 4 月 1 日起纳入的生物识别数据，需要明确同意或满足其他所列条件（s40）。新加坡法案没有单独设立这一类别，但其泄露条例将某些健康和财务详情与身份标识符结合的情况视为造成重大损害。Plandora 的常见问题建议，除非你的协议和工作区配置明确支持，否则不要在平台上存放敏感和受监管的个人信息。告知访客不要分享敏感详情，设置 Boundaries 以确定你希望设定的限制，并提供联系人工的途径（参见 AI 对话转人工）。

9. 员工访问权限和泄露应对准备。 Plandora 的隐私政策指出，获授权的组织成员可能根据分配的权限查看对话和受众记录，因此应只给予每个人完成工作所需的最低权限。PDPC 于 2026 年 4 月 29 日修订的关键概念指南 （在新标签页中打开）^[17]将访问控制和按知情需要限制访问列为安全措施示例。明确由谁决定事件是否构成泄露、由谁报告，以及由谁担任数据保护官或联系人。时限很短：根据 PDPC 的泄露报告指南 （在新标签页中打开）^[18]，新加坡从评估起算为三个日历日；马来西亚 JPDP 指南规定为 72 小时。