Malaysia Melarang Vendor AI Pemerintah Melatih Model dengan Data Publik

Kontrak pemerintah melarang pelatihan AI dan mewajibkan penghapusan data

Malaysia melarang perusahaan penyedia layanan kecerdasan buatan bagi pemerintah menggunakan data pemerintah atau data publik untuk melatih model mereka, kata Menteri Digital Gobind Singh Deo dalam jawaban tertulis di parlemen pada 20 Oktober 2026. Pembatasan ini tercantum dalam semua kontrak pengadaan AI pemerintah, yang juga mewajibkan penyedia menghapus data setelah diproses.

Gobind menjawab pertanyaan Ahmad Fadhli Shaari, anggota parlemen dari Perikatan Nasional yang mewakili Pasir Mas, mengenai cara memastikan informasi yang ditangani perusahaan komputasi awan dan AI, termasuk penyedia asing, tetap berada di bawah kendali Malaysia. Jawabannya menguraikan pengendalian yang mencakup lokasi penyimpanan, enkripsi, akses ke sistem pemerintah, dan penggunaan ulang informasi oleh pemasok AI.

Perbedaan praktisnya terletak antara menggunakan informasi untuk menyelesaikan tugas pemerintah dan menggunakannya untuk mengembangkan model AI milik penyedia. Sebuah instansi mungkin membutuhkan sistem AI untuk memproses informasi demi layanan tertentu. Berdasarkan pembatasan kontrak yang dijelaskan Gobind, penyedia tidak boleh kemudian menggunakan informasi itu sebagai bahan untuk melatih modelnya atau menyimpannya setelah pemrosesan selesai.

Pelatihan adalah proses ketika model AI mempelajari pola dari contoh-contoh. Pemrosesan adalah penggunaan sistem untuk mengerjakan tugas dengan informasi yang diterimanya. Memisahkan kedua kegiatan tersebut memberi instansi dasar kontraktual untuk mengendalikan apa yang terjadi pada informasi setelah dikirim kepada penyedia.

Gobind juga mengatakan Kementerian Digital sedang menyusun Rancangan Undang-Undang Tata Kelola AI untuk mengatur akuntabilitas sepanjang siklus hidup sistem AI. Langkah-langkah yang telah dijelaskan saat ini diterapkan melalui kontrak pemerintah, arahan keamanan, dan pedoman sektor publik, sedangkan undang-undang yang diusulkan akan membentuk kerangka tanggung jawab yang lebih luas.

Lokasi penyimpanan untuk setiap kategori data pemerintah

Aturan penyimpanan Malaysia bergantung pada tingkat sensitivitas informasi. Gobind mengatakan materi yang diklasifikasikan sebagai rahasia atau sangat rahasia harus tetap berada di pusat data pemerintah. Informasi rahasia dan terbatas hanya boleh disimpan di lingkungan awan privat atau hibrida yang berlokasi di Malaysia. Hanya data pemerintah yang terbuka dan tidak sensitif yang boleh disimpan di layanan awan luar negeri.

Layanan awan menyimpan atau memproses informasi di infrastruktur komputasi yang diakses melalui jaringan. Awan privat dikhususkan untuk organisasi tertentu, sedangkan awan hibrida menggabungkan lingkungan komputasi yang terpisah. Berdasarkan pengaturan yang dijelaskan Gobind, klasifikasi sebuah arsip pemerintah menentukan opsi penyimpanan yang dapat digunakan instansi.

• Informasi rahasia dan sangat rahasia: pusat data pemerintah, bukan layanan awan.
• Informasi rahasia dan terbatas: lingkungan awan privat atau hibrida yang berlokasi di Malaysia.
• Informasi terbuka dan tidak sensitif: boleh disimpan di lingkungan awan luar negeri.

Bagi instansi yang memilih penyedia, keputusan pertama berkaitan dengan jenis informasinya. Kemampuan pemasok memproses data tidak otomatis menentukan lokasi penyimpanan data tersebut. Sebelum menggunakan layanan, instansi harus menyesuaikan pengaturan penyimpanannya dengan klasifikasi keamanan informasi.

Kunci enkripsi tetap berada di bawah kendali pemerintah

Data pemerintah harus dienkripsi saat disimpan maupun saat berpindah antarsistem, sesuai dengan Kebijakan Kriptografi Nasional, kata Gobind. Perlindungan ini lazim disebut enkripsi saat tersimpan dan enkripsi saat transit.

Enkripsi mengubah informasi yang dapat dibaca menjadi konten berkode. Kunci kriptografi memungkinkan konten tersebut dikembalikan ke bentuk yang dapat dibaca. Untuk sistem dan data rahasia, Gobind mengatakan pemerintah memiliki dan mengendalikan kunci-kunci tersebut. Tujuannya adalah mencegah penyedia layanan asing membaca konten secara mandiri, termasuk ketika menanggapi permintaan dari otoritas negara lain.

Aturan penyimpanan dan pengendalian kunci menangani bagian berbeda dari persoalan yang sama. Aturan penyimpanan menentukan lokasi informasi. Kepemilikan kunci menentukan siapa yang memiliki sarana untuk membaca konten terenkripsi. Untuk informasi rahasia, pemerintah menyatakan tetap memegang kendali tersebut, di samping membatasi lokasi penyimpanan.

Siapa yang boleh mengakses sistem pemerintah?

Perusahaan yang ditunjuk untuk menyediakan layanan pemerintah harus menjalani pemeriksaan keamanan. Gobind mengatakan akses ke sistem pemerintah diberikan sesuai peran seseorang, memerlukan autentikasi dengan lebih dari satu faktor, dan dicatat untuk keperluan audit.

Akses berbasis peran berarti izin seseorang bergantung pada pekerjaan yang boleh dilakukannya. Autentikasi dengan beberapa faktor mewajibkan lebih dari sekadar kata sandi, misalnya pemeriksaan keamanan tambahan. Catatan audit merekam akses agar dapat diperiksa kemudian.

Persyaratan ini memperluas perlindungan melampaui lokasi server. Sistem yang dihosting di Malaysia tetap memerlukan pengendalian atas siapa yang dapat mengaksesnya, informasi apa yang dapat mereka jangkau, dan catatan aktivitas mereka. Pemeriksaan vendor, pembatasan izin, dan pencatatan akses merupakan bagian dari persyaratan pemerintah dalam penanganan datanya.

Instansi harus mengurangi data sebelum pemrosesan AI

Pedoman Adopsi AI Sektor Publik, yang dikenal sebagai GPAISA, mewajibkan instansi meminimalkan jumlah data yang digunakan serta menyamarkan atau menganonimkan informasi sebelum diproses oleh sistem AI, kata Gobind. Minimisasi data berarti hanya menggunakan informasi yang diperlukan untuk tugas tersebut. Penyamaran atau anonimisasi mengurangi risiko terungkapnya informasi yang dapat mengidentifikasi seseorang.

Pedoman AI sektor publik dari Departemen Digital Nasional mencakup kepatuhan terhadap hukum dan kebijakan Malaysia, tujuh prinsip etika AI, tanggung jawab individu dan organisasi yang terlibat dalam AI, prosedur adopsi, serta manajemen risiko. Lampirannya memuat contoh penggunaan di sektor publik dari Malaysia dan luar negeri, berikut penilaian mandiri untuk kepatuhan etika.

Laporan inisiatif AI departemen tersebut menyebut GPAISA sebagai acuan bagi instansi sektor publik untuk memastikan AI digunakan secara etis, transparan, dan bertanggung jawab. Laporan itu menyatakan bahwa pedoman tersebut berfokus pada peningkatan penyampaian layanan, penguatan operasional pemerintah, dan dorongan terhadap inovasi berbasis teknologi baru. Selama 2025, departemen tersebut memberikan 40 layanan konsultasi teknis kepada instansi pemerintah untuk membantu menyelaraskan kebijakan dan praktik AI.

Kerangka tersebut menetapkan tanggung jawab bagi instansi maupun pemasok. Sebelum informasi dikirim ke layanan AI, instansi harus mempertimbangkan jumlah data yang diperlukan untuk tugas itu serta cara melindungi rincian yang dapat mengidentifikasi seseorang. Kontrak kemudian mengatur penggunaan dan penghapusan informasi yang diterima oleh pemasok.

Bagian penilaian etika dan manajemen risiko juga menempatkan penanganan data dalam pertimbangan yang lebih luas tentang apakah dan bagaimana sistem AI akan digunakan. Pengadaan hanyalah satu tahap dalam keputusan tersebut; penyiapan informasi dan tanggung jawab atas layanan yang dihasilkan tetap menjadi bagian dari pekerjaan instansi.

Kerangka diluncurkan pada Februari 2025

Pernyataan peluncuran pedoman dari Kementerian Digital mencatat bahwa GPAISA diluncurkan pada 27 Februari 2025 di Hotel Le Meridien, Putrajaya. Departemen Digital Nasional menyusun pedoman tersebut bersama Malaysia Digital Economy Corporation sebagai acuan khusus bagi instansi publik.

Gobind meresmikan peluncuran itu bersama Wakil Direktur Jenderal Pelayanan Publik Bidang Operasi, Dato' Mohd Shaiful bin Ibrahim. Acara tersebut dihadiri para kepala departemen pemerintah, pejabat digital utama, pengelola teknologi sektor publik, dan pelaku industri. Sesi-sesinya membahas contoh penggunaan AI oleh pemerintah, etika, dan tata kelola.

Pedoman tersebut terdiri atas enam bab dan tiga lampiran. Pedoman ini diterbitkan sebelum penjelasan Gobind di parlemen pada Oktober 2026 mengenai pembatasan kontrak dan penyusunan rancangan undang-undang AI yang diusulkan. Tanggal-tanggal utamanya adalah:

• 2024: Amandemen Undang-Undang Perlindungan Data Pribadi 2010, yang dirujuk Gobind saat menjelaskan pengiriman data pribadi ke luar negeri.
• 27 Februari 2025: Peluncuran pedoman AI sektor publik di Putrajaya.
• 20 Oktober 2026: Jawaban tertulis Gobind di parlemen menjelaskan persyaratan kontrak AI pemerintah, aturan penyimpanan, dan penyusunan Rancangan Undang-Undang Tata Kelola AI.

Pengiriman data sektor swasta mengikuti jalur hukum tersendiri

Untuk data pribadi yang ditangani perusahaan swasta, Gobind merujuk Pasal 129 Undang-Undang Perlindungan Data Pribadi 2010, sebagaimana diamendemen pada 2024. Ia menjelaskan bahwa persyaratan pengiriman data ke luar negeri mencakup persetujuan dari orang yang bersangkutan dan adanya hukum di yurisdiksi penerima yang sebanding dengan UU Perlindungan Data Pribadi Malaysia.

Pengiriman lintas batas dapat terjadi ketika sebuah perusahaan mengirimkan informasi pribadi ke layanan awan yang berlokasi di luar negeri. Penjelasan Gobind menempatkan pengiriman tersebut dalam kerangka perlindungan data pribadi, sedangkan informasi pemerintah tunduk pada klasifikasi penyimpanan dan pengendalian keamanan yang ia uraikan secara terpisah.

Perbedaan ini penting bagi orang-orang yang informasinya ditangani oleh instansi publik maupun perusahaan. Persyaratan pengadaan pemerintah mengatur pemasok yang terlibat dalam kontrak AI pemerintah. Perusahaan swasta yang menangani informasi pribadi harus mempertimbangkan aturan UU Perlindungan Data Pribadi saat mengirimkan informasi tersebut ke negara lain.

Cakupan rancangan undang-undang AI yang diusulkan

Kementerian Digital sedang menyusun Rancangan Undang-Undang Tata Kelola AI yang bertujuan meminta penyedia teknologi bertanggung jawab sepanjang siklus hidup sistem AI, kata Gobind. Ia menyebut kualitas data, transparansi, dan keterjelasan sebagai beberapa hal yang akan diatur. Tidak ada tanggal yang diberikan untuk pengajuan rancangan undang-undang itu ke parlemen, dan jawabannya tidak merinci usulan sanksi atau struktur penegakan hukum.

Kualitas data berkaitan dengan informasi yang digunakan sistem, termasuk apakah informasi itu akurat dan sesuai untuk tugasnya. Transparansi berkaitan dengan keterbukaan mengenai cara sistem dikembangkan dan digunakan. Keterjelasan berkaitan dengan upaya membuat keluaran atau keputusan sistem dapat dipahami oleh manusia. Hal-hal tersebut memperluas akuntabilitas, tidak hanya terbatas pada pembelian awal layanan AI.

Pengendalian ini diterapkan saat Malaysia memperluas infrastruktur komputasinya. Pengembangan kembali lahan perkebunan untuk pusat data dan taman surya telah menarik sejumlah grup besar kelapa sawit ke sektor tersebut. Data sebelumnya memperkirakan kebutuhan listrik pusat data berpotensi mencapai setidaknya lima gigawatt pada 2035, mendekati 20 persen kapasitas pembangkit negara saat itu. Pemerintah juga menargetkan 81 pusat data beroperasi pada 2035.

Bagi instansi dan pemasok, ekspansi itu membuat aturan mengenai penggunaan yang diizinkan semakin konkret. Pembangunan kapasitas untuk menyimpan dan memproses informasi membuka lebih banyak pilihan bagi layanan digital. Kontrak pemerintah, klasifikasi data, kunci enkripsi, dan pengendalian akses menentukan pilihan yang dapat digunakan instansi serta tindakan yang boleh dilakukan penyedia terhadap informasi tersebut.

Poin-Poin Utama

• Kontrak AI pemerintah melarang penyedia menggunakan data pemerintah atau data publik untuk melatih model dan mewajibkan penghapusan setelah pemrosesan.
• Informasi rahasia dan sangat rahasia harus tetap berada di pusat data pemerintah. Informasi rahasia dan terbatas boleh menggunakan layanan awan privat atau hibrida dalam negeri.
• Hanya data pemerintah yang terbuka dan tidak sensitif yang boleh disimpan di lingkungan awan luar negeri.
• Pemerintah mengendalikan kunci enkripsi untuk sistem dan data rahasia, sementara vendor harus menjalani pemeriksaan keamanan dan pembatasan akses.
• Berdasarkan GPAISA, instansi publik harus meminimalkan data serta menyamarkan atau menganonimkannya sebelum pemrosesan AI.
• Rancangan Undang-Undang Tata Kelola AI sedang disusun untuk mengatur akuntabilitas, kualitas data, transparansi, dan keterjelasan.