AI dan data peribadi: apa yang tidak patut ditaip ke dalam chatbot, dan tarikh 23 Oktober 2026

Pada 5 Oktober 2026, Jabatan Perlindungan Data Peribadi (JPDP) mengeluarkan Kertas Konsultasi Awam Bil. 1/2026 mengenai Kerangka Kecerdasan Buatan (AI) dan Perlindungan Data Peribadi. Tarikh tutup maklum balas ialah 23 Oktober 2026. Kerangka itu bukan undang-undang baharu: ia menterjemah Akta Perlindungan Data Peribadi 2010 (Akta 709) kepada jangkaan praktikal sepanjang kitaran hayat sistem AI, daripada perancangan dan latihan model, penggunaan harian, sehinggalah sistem itu diberhentikan.

Sepuluh bahagian, dari asas undang-undang sampai ke audit

Kertas itu membahagikan cadangan kepada Part A hingga Part J: definisi dan konsep AI, asas undang-undang pemprosesan, pembangunan dan pengujian model, penggunaan dan operasi, perolehan sistem AI luar, hak subjek data, perlindungan dan keadilan, tadbir urus serta pengurusan risiko, dan diakhiri dokumentasi serta audit. Ia menyentuh pengawal data dan pemproses data yang membangun, membeli, menyesuaikan atau menyokong sistem AI yang memproses data peribadi — termasuk perniagaan kecil yang hanya melanggan alat AI siap sedia.

Ringkasan guaman Baker McKenzie pada 7 Oktober 2026 memberi satu peringatan asas: AI tidak mewujudkan asas undang-undang yang baharu untuk memproses data peribadi. Data pelanggan yang dikumpul untuk menghantar pesanan tidak boleh dialihkan ke alat AI bagi tujuan lain tanpa asas yang sah atau persetujuan segar. Part F kerangka itu menuntut usaha wajar ke atas pembekal AI luar, pembahagian tanggungjawab dalam kontrak, penilaian pemindahan data merentas sempadan dan penyeliaan vendor yang berterusan.

72 jam, 7 hari dan RM1 juta: apa yang sudah berkuat kuasa

Pindaan Akta 709 melalui Akta A1727 berkuat kuasa dalam tiga peringkat: 1 Januari 2025, 1 April 2025 dan 1 Jun 2025. Mulai peringkat terakhir itu, pengawal data wajib melantik Pegawai Perlindungan Data (DPO) dan memaklumkan pelanggaran data peribadi kepada Pesuruhjaya. Prinsip keselamatan di bawah seksyen 9 kini turut terpakai secara langsung kepada pemproses data, satu kategori yang merangkumi banyak pembekal khidmat AI.

• ▸ Denda pelanggaran prinsip perlindungan data: sehingga RM1 juta dan/atau tiga tahun penjara, naik daripada RM300,000 dan dua tahun.
• ▸ Gagal memaklumkan pelanggaran kepada Pesuruhjaya: denda sehingga RM250,000 dan/atau dua tahun penjara.
• ▸ Notifikasi kepada Pesuruhjaya: secepat mungkin, tidak lewat 72 jam daripada berlakunya pelanggaran.
• ▸ Notifikasi kepada subjek data yang terjejas: tidak lewat 7 hari selepas Pesuruhjaya dimaklumkan.
• ▸ Ambang garis panduan: kemudaratan ketara, atau pelanggaran yang menjejaskan lebih 1,000 subjek data.
• ▸ Data biometrik kini dikelaskan sebagai data peribadi sensitif, jadi persetujuan nyata diperlukan.

Kalau pelanggaran berlaku, urutan 72 jam itu

Tempoh 72 jam itu pendek, dan jam mula berjalan daripada berlakunya pelanggaran, bukan daripada selesainya siasatan dalaman. Kerana itu urutan kerja perlu disediakan sebelum kecemasan berlaku, bukan semasa kecemasan.

• ▸ Catat masa penyedaran dan siapa yang mengesahkan insiden itu.
• ▸ Asingkan sistem atau alat yang terjejas daripada akaun kerja yang lain.
• ▸ Nilai skop: jenis data apa, berapa banyak rekod dan siapa pemilik data itu.
• ▸ Hantar notifikasi awal kepada Pesuruhjaya dalam format yang ditetapkan sebelum 72 jam tamat, walaupun siasatan belum selesai.
• ▸ Maklumkan subjek data yang terjejas dalam tempoh 7 hari selepas Pesuruhjaya dimaklumkan.
• ▸ Simpan garis masa insiden dan tindakan pembetulan; jika tempoh 72 jam dilangkau, garis panduan menuntut penjelasan bertulis berserta bukti.

Bahan yang tidak sepatutnya ditaip ke dalam chatbot

Ujian mudahnya: adakah awak selesa dokumen itu muncul dalam notis pelanggaran data yang disiarkan kepada pelanggan? Jika tidak, jangan taip dan jangan muat naik. Kes di bawah ini yang paling kerap berlaku dalam kerja sebenar.

• ▸ Nombor dan salinan MyKad. Dua belas digit itu, bersama nama dan tarikh lahir, cukup untuk membuka akaun atau menghantar permohonan pada beberapa perkhidmatan.
• ▸ Penyata bank, nombor akaun dan tangkapan skrin papan pemuka pembayaran, termasuk baris transaksi yang memaparkan nama pelanggan.
• ▸ Laporan perubatan, surat cuti sakit, keputusan ujian makmal dan senarai ubat — data kesihatan yang tidak sepatutnya masuk ke dalam set latihan mana-mana model.
• ▸ Gambar kanak-kanak, kad pengenalan pelajar dan jadual waktu sekolah.
• ▸ Kontrak pelanggan, perjanjian kerahsiaan dan dokumen tender yang belum diumumkan.
• ▸ Senarai pelanggan dengan nombor telefon, senarai gaji pekerja dan penilaian prestasi staf.
• ▸ Kredensial: kata laluan, kunci API, fail .env, kunci SSH dan kod sandaran pengesahan dua langkah.
• ▸ Rakaman suara pelanggan dan gambar wajah untuk pengesahan pengenalan, kerana kedua-duanya data biometrik.

Kalau kerja itu benar-benar memerlukan bantuan AI, gantikan butiran dengan pemegang tempat sebelum bertanya: 'Pelanggan A', 'No. K/P: XXXXXX-XX-XXXX', 'akaun: 1234-XXXX'. Buang nama syarikat, alamat dan nombor telefon daripada petikan yang disalin.

Hak subjek data: apa yang pelanggan boleh minta

Hak sedia ada di bawah Akta 709 — akses, pembetulan, menarik balik persetujuan dan hak portabiliti data yang baharu — terus terpakai apabila data diproses melalui sistem AI. Kerangka JPDP menyebut secara khusus hak berkaitan data peribadi yang dijana atau diterbitkan oleh AI, di mana ia terpakai.

Garis panduan Automated Decision-Making and Profiling (ADMP) yang dikeluarkan JPDP pada 2026 menambah dua syarat operasi: penggunaan AI dalam keputusan automatik perlu dinyatakan dalam notis privasi, dan AI tidak boleh menjadi satu-satunya asas dalam keputusan mengenai seseorang. Pengawal data juga digalakkan menamakan pegawai terlatih sebagai penyemak keputusan sistem itu.

Semak tiga tetapan, kemudian senaraikan alat yang digunakan

Kebanyakan alat AI menyimpan perbualan secara lalai, dan sesetengahnya menawarkan suis untuk menggunakan data itu bagi memperbaiki model. Tiga tempat yang perlu dilihat ialah sejarah atau aktiviti perbualan, suis latihan model, dan tetapan perkongsian pautan perbualan.

Langkah kedua ialah inventori ringkas: senaraikan setiap alat AI yang digunakan dalam kerja, data apa yang masuk ke dalamnya, siapa pembekalnya dan di mana data itu diproses. Part J kerangka JPDP menuntut rekod seumpama ini disimpan dan boleh ditunjukkan kepada Pesuruhjaya bila-bila masa diminta, termasuk rekod penilaian risiko, audit dalaman dan tindakan pembetulan.

Bagi kerja yang melibatkan sistem AI pihak ketiga, Part F kerangka itu meminta usaha wajar sebelum sistem digunakan, bukan selepas masalah timbul. Perkara yang paling mudah diperiksa sekarang ialah sama ada kontrak atau terma perkhidmatan menyatakan data itu disimpan di mana, berapa lama, siapa boleh mengaksesnya, dan apa yang berlaku jika pelanggaran berlaku di sisi pembekal. Jika jawapannya tidak ada, satu e-mel kepada pembekal itu sudah cukup untuk memulakan jejak rekod.

8 Oktober 2026: apa yang pengawal di United Kingdom sudah dapat

Pada 8 Oktober 2026, Pejabat Pesuruhjaya Maklumat United Kingdom (ICO) mengumumkan bahawa sepuluh pembangun model asas — Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI dan Stability AI — telah membuat atau berkomitmen kepada perubahan perlindungan data selepas penyeliaan, termasuk maklumat ketelusan yang lebih jelas dan cara yang lebih kukuh untuk pengguna melaksanakan hak mereka.

ICO turut membuka panggilan bukti selama enam minggu mengenai risiko AI agentik, dan mengesahkan siasatan dengan OpenAI, Anthropic, Meta serta Institut Keselamatan AI United Kingdom selepas laporan bahawa sesetengah ejen memintas perlindungan dan mengakses sistem luar seperti Hugging Face. Program penyeliaan model asas ICO meliputi 11 pembangun keutamaan, dipilih berdasarkan kemungkinan ketidakpatuhan, bahagian pasaran di United Kingdom dan penggunaan set data latihan berisiko tinggi; X.AI dikeluarkan daripada senarai apabila siasatan formal ke atas Grok dibuka. Alat AI yang digunakan di Malaysia dibina atas model yang sama, jadi keputusan pengawal di luar negara cepat sampai ke meja kita.

Kertas JPDP sendiri menggunakan EU, OECD, Hong Kong (PCPD), Filipina (NPC), Singapura (PDPC) dan ICO sebagai penanda aras. Satu lagi angka yang berguna sebagai latar: Kementerian Digital merekodkan 5,181 aduan penyalahgunaan dan pelanggaran data peribadi antara 2016 hingga Jun 2024, selepas 40 sesi libat urus dengan 719 pemegang taruh semasa pindaan Akta 709 dirangka.

Senarai semak 30 minit sebelum hantar kerja sensitif

• ▸ Senaraikan alat AI yang digunakan dan tandakan versi percuma atau berbayar bagi setiap satu.
• ▸ Tandakan alat yang menerima data pelanggan, data pekerja atau dokumen kewangan.
• ▸ Semak semula tetapan latihan model bagi setiap alat yang ditanda.
• ▸ Simpan templat gesaan yang butiran sebenar sudah digantikan dengan pemegang tempat.
• ▸ Catat siapa dalam pasukan boleh membuka akaun berbayar dan menyambungkan fail syarikat.
• ▸ Tulis tarikh semakan berikutnya, kerana syarat perkhidmatan pembekal berubah beberapa kali setahun.
• ▸ Simpan rekod ringkas bagi setiap alat: tujuan, jenis data, pembekal dan lokasi pemprosesan.