马来西亚PDPD就《人工智能与个人数据保护框架》公开咨询：以AI全生命周期界定PDPA合规义务，10月23日截止

马来西亚个人数据保护局（PDPD）于2026年10月5日发布一份咨询文件，就拟议的《人工智能与个人数据保护框架》征询公众意见，提交反馈的截止日期为2026年10月23日。该框架将适用于开发、采购、定制、部署、运营或支持涉及个人数据之AI系统的数据控制者与处理者。此前2026年9月30日，马来西亚数字部长曾表示《人工智能治理法案》草案已进入意见反馈阶段。

框架的一项基础性表述是：AI不创设独立的个人数据处理法律依据。组织应当识别并记录适用的合法性基础，确保处理具有必要性与相称性，提供清晰的隐私通知，并在个人数据将被用于实质不同的目的时重新取得同意。这一表述针对的是实践中以"AI训练""模型改进"为由扩大处理目的的做法，将其拉回到PDPA既有的合法性框架内评估。

在AI开发、测试与部署环节，框架要求组织把数据保护嵌入设计与训练、测试、验证全过程，包括应用"设计即隐私"（Data Protection by Design）、使用充分且相关的数据集、保持准确性、考虑匿名化或假名化、部署前验证系统、在使用中持续监测，并在发生实质性变更时重新评估。这一要求把合规时点从"上线前审查"扩展为"全生命周期管理"。

关于第三方AI系统与跨境传输，框架要求组织在采购或集成第三方AI系统前开展尽职调查，通过合同明确角色与数据处理责任，评估跨境传输及适用的保障措施，并保持持续的供应商监督。这一条对依赖境外大模型服务的企业尤为关键——采购前的评估、合同中的责任划分、以及持续监督机制，需要形成可留存的记录。

数据主体权利方面，现有PDPA权利继续适用，包括访问、更正、撤回同意与数据可携权。框架要求组织为权利的行使提供清晰流程，并在适用时覆盖AI生成或衍生的个人数据。治理、风险管理与可证明合规章节则要求：为AI系统指定问责主体；建立政策、程序与培训；开展与风险相称的风险与影响评估（适当情形下包括DPIA）；对系统进行测试、监测与审计；并保留处理记录、评估记录、审查与纠正措施以及第三方监督记录。框架强调的重点不仅是合规本身，还包括保有证据以证明治理安排确实有效运作。

后续时间表上，组织除向该框架提交反馈外，还应着手为马来西亚更广泛的AI治理制度做准备，其中包括拟议的《人工智能治理法案》——该法案预计最迟于2027年第一季度提交议会，意在确立总体治理原则、机构职责以及负责任开发与部署AI的保障措施。框架与法案共同表明，马来西亚正朝向更结构化、更连贯的AI治理体系推进。