政府合約禁止 AI 訓練，並要求刪除資料
馬來西亞數位部長 Gobind Singh Deo 於 2026 年 10 月 20 日在書面國會答覆中表示，政府禁止提供人工智慧服務的公司使用政府或公共資料訓練模型。這項限制列入所有政府 AI 採購合約，合約也要求供應商在處理完畢後刪除資料。
目錄
Gobind 是在回應國民聯盟（Perikatan Nasional）巴西馬（Pasir Mas）國會議員 Ahmad Fadhli Shaari 的提問。Shaari 詢問雲端與 AI 公司（包括外國供應商）處理的資訊如何維持在馬來西亞掌控之下。Gobind 的答覆說明了對資料儲存地點、加密、政府系統存取，以及 AI 供應商重複使用資訊所設下的管控措施。
實務上的區別，在於使用資訊完成政府任務，與使用資訊開發供應商的 AI 模型不同。政府機關可能需要 AI 系統處理特定服務所需的資訊。依 Gobind 所述的合約限制，供應商不得再將這些資訊用作模型訓練素材，也不得在處理完成後繼續保留。
訓練是 AI 模型從範例中學習模式的過程；處理則是系統運用收到的資訊執行任務。將兩者分開，讓政府機關得以透過合約掌控將資訊交給供應商後的處置方式。
Gobind 也表示，數位部正在起草《AI 治理法案》，以規範 AI 系統整個生命週期的責任。現行措施透過政府合約、安全指令及公部門指引實施；擬議中的立法則將建立更廣泛的責任框架。
各類政府資料可儲存的位置
馬來西亞的儲存規定依資訊敏感程度而有所不同。Gobind 表示，列為機密或最高機密的資料必須留在政府資料中心。機密及限制級資訊只能儲存在位於馬來西亞的私有或混合雲端環境。只有公開且不敏感的政府資料，才可儲存在海外雲端服務。
雲端服務是在透過網路存取的運算基礎設施上儲存或處理資訊。私有雲專供特定組織使用；混合雲則結合不同的運算環境。依 Gobind 所述的安排，政府紀錄的分類將決定機關可以採用哪些儲存方式。
- 機密及最高機密資訊：存放於政府資料中心，不使用雲端服務。
- 機密及限制級資訊：存放於位於馬來西亞的私有或混合雲端環境。
- 公開且不敏感的資訊：可存放於海外雲端環境。
因此，機關選擇供應商時，首先要判斷的是資訊本身。供應商具備資料處理能力，並不代表資料可存放在任何地方。機關在使用服務前，必須依安全分類選擇相符的儲存安排。
加密金鑰由政府掌控
Gobind 表示，依據《國家密碼政策》，政府資料在儲存期間及系統間傳輸時都必須加密。這些防護措施通常稱為靜態資料加密與傳輸中資料加密。
加密會將可讀資訊轉換為編碼內容；密碼金鑰則是還原可讀內容所需的工具。Gobind 表示，對於列為機密的系統與資料，金鑰由政府持有並掌控，目的是防止外國服務供應商自行讀取內容，包括因應其他國家當局的要求而讀取資料。
儲存規定與金鑰管控，分別處理同一問題的不同面向。儲存規定決定資訊可以存放在哪裡；金鑰所有權則決定誰掌握讀取加密內容的工具。政府表示，對於機密資訊，除限制託管地點外，金鑰控制權也由政府保留。
誰能存取政府系統？
獲委任提供政府服務的公司必須接受安全審查。Gobind 表示，政府系統的存取權限依個人職務配置，須使用多重因素進行身分驗證，並留下紀錄以供稽核。
依職務配置存取權限，意指個人能執行哪些操作，取決於其獲授權負責的工作。多重因素驗證要求使用密碼以外的驗證方式，例如額外的安全檢查。稽核紀錄會留下存取紀錄，供日後查核。
這些要求將防護範圍延伸至伺服器所在地之外。即使系統託管於馬來西亞，仍須管控哪些人可以存取、他們可以取得哪些資訊，以及如何記錄其活動。供應商審查、限制權限及存取紀錄，都是政府處理資料時所設條件的一部分。
機關必須在 AI 處理前減少資料
Gobind 表示，《公部門 AI 採用指引》（Public Sector AI Adoption Guidelines，簡稱 GPAISA）要求機關盡量減少使用的資料量，並在 AI 系統處理資料前遮蔽或匿名化資訊。資料最小化是指只使用完成任務所需的資料；遮蔽或匿名化則能降低可能識別個人身分的資訊曝光風險。
國家數位局的公部門 AI 指引涵蓋遵守馬來西亞法律與政策、AI 倫理七大原則、參與 AI 工作的人員及組織的責任、採用程序與風險管理。附錄收錄馬來西亞及海外的公部門應用案例，並提供倫理遵循自我評估工具。
該局的AI 計畫報告指出，GPAISA 是公部門機關確保以合乎倫理、透明且負責任的方式使用 AI 的參考依據。報告表示，指引著重於改善服務提供、強化政府運作，以及鼓勵以新技術為基礎的創新。2025 年期間，該局向政府機關提供 40 次技術諮詢服務，協助協調 AI 政策與實務。
這套框架也要求機關承擔責任，而不只是供應商。在資訊送交 AI 服務前，機關必須考量任務需要多少資料，以及如何保護可識別個人身分的細節。合約則規範供應商如何使用及刪除收到的資訊。
倫理評估與風險管理章節，也將資料處理納入是否使用 AI 系統及如何使用的整體決策。採購只是決策過程的一個階段；資訊準備，以及對服務成果負責，仍是機關工作的範圍。
2025 年 2 月推出的框架
數位部的指引發布聲明記載，GPAISA 於 2025 年 2 月 27 日在布城艾美酒店（Hotel Le Meridien）推出。國家數位局與馬來西亞數位經濟機構（Malaysia Digital Economy Corporation）共同制定指引，作為公部門機關的專用參考資料。
Gobind 與公共服務局副總監（營運）Dato' Mohd Shaiful bin Ibrahim 共同主持發布會。活動邀請政府部門首長、數位長、公部門科技主管及業界人士參加，並安排政府 AI 應用案例、倫理與治理相關場次。
指引包含六章及三個附錄，發布時間早於 2026 年 10 月國會對合約限制的說明，以及擬議 AI 法案的起草工作。重要日期如下：
- 2024 年：《2010 年個人資料保護法》修正；Gobind 在說明個人資料跨境傳輸時引述該法。
- 2025 年 2 月 27 日：公部門 AI 指引於布城發布。
- 2026 年 10 月 20 日：Gobind 以書面答覆國會，說明政府 AI 合約條件、儲存規定及《AI 治理法案》的起草工作。
私人企業的跨境傳輸適用另一套法律規範
對於私人企業處理的個人資料，Gobind 提到《2010 年個人資料保護法》第 129 條及其 2024 年修正案。他表示，資料跨境傳輸的要求包括取得當事人同意，以及接收地司法管轄區的法律必須與馬來西亞《個人資料保護法》（PDPA）相當。
企業將個人資料傳送至海外雲端服務時，便可能涉及跨境傳輸。Gobind 的說明將這類傳輸納入個人資料保護框架；政府資訊則另受他所述的儲存分類及安全管控規範。
對於同時由政府機關與企業處理個人資訊的人而言，兩者的差異很重要。政府採購條件規範承接政府 AI 合約的供應商；處理個人資訊的私人企業，則須考量 PDPA 對資料跨境傳輸的規定。
擬議 AI 法案涵蓋範圍
Gobind 表示，數位部正起草《AI 治理法案》，旨在要求科技供應商對 AI 系統的整個生命週期負責。他指出，法案將涵蓋資料品質、透明度及可解釋性等議題。答覆未說明法案預計何時提交國會，也未列出擬議中的罰則或詳細執法架構。
資料品質關乎系統使用的資訊，包括資訊是否準確、是否適合用於該項任務。透明度關乎人們能否了解系統如何開發及使用；可解釋性則是讓人們理解系統輸出或決策。這些議題使責任範圍超越 AI 服務最初的採購階段。
馬來西亞擴大運算基礎設施之際，相關管控也同步推進。資料中心與太陽能園區的種植園土地重新開發，吸引大型棕櫚油業者進入相關領域。早前估算顯示，資料中心到 2035 年的電力需求可能至少達 5 吉瓦，接近當時全國發電容量的 20%；政府另訂下 2035 年營運中的資料中心達 81 座的目標。
對機關與供應商而言，這類擴張讓允許用途的規定更具體。建置儲存及處理資訊的能力，可為數位服務創造更多選項；政府合約、資料分類、加密金鑰及存取管控，則決定機關可以採用哪些選項，以及供應商能如何處理資訊。
重點摘要
- 政府 AI 合約禁止供應商使用政府或公共資料訓練模型，並要求處理完成後刪除資料。
- 機密及最高機密資訊必須留在政府資料中心；機密及限制級資訊可使用國內私有或混合雲端環境。
- 只有公開且不敏感的政府資料，才可存放於海外雲端環境。
- 政府掌控機密系統與資料的加密金鑰；供應商則須接受安全審查並遵守存取管控。
- 依 GPAISA 規定，公部門機關必須盡量減少資料，並在 AI 處理前遮蔽或匿名化資料。
- 《AI 治理法案》正在起草，將處理責任歸屬、資料品質、透明度及可解釋性等議題。
