Malaysia cấm nhà cung cấp AI của chính phủ dùng dữ liệu công để huấn luyện mô hình

Hợp đồng chính phủ cấm huấn luyện AI và yêu cầu xóa dữ liệu

Malaysia cấm các công ty cung cấp dịch vụ trí tuệ nhân tạo cho chính phủ sử dụng dữ liệu của chính phủ hoặc dữ liệu công để huấn luyện mô hình, Bộ trưởng Kỹ thuật số Gobind Singh Deo cho biết trong văn bản trả lời chất vấn tại Quốc hội ngày 20 tháng 10 năm 2026. Quy định này có trong tất cả hợp đồng mua sắm AI của chính phủ, đồng thời yêu cầu nhà cung cấp xóa dữ liệu sau khi xử lý.

Gobind trả lời Ahmad Fadhli Shaari, nghị sĩ thuộc đảng Perikatan Nasional đại diện khu vực Pasir Mas, người đặt câu hỏi về cách thông tin do các công ty điện toán đám mây và AI xử lý, bao gồm nhà cung cấp nước ngoài, vẫn nằm trong quyền kiểm soát của Malaysia. Câu trả lời nêu rõ các biện pháp kiểm soát địa điểm lưu trữ, mã hóa, quyền truy cập vào hệ thống chính phủ và việc nhà cung cấp AI tái sử dụng thông tin.

Điểm khác biệt trên thực tế là giữa việc sử dụng thông tin để hoàn thành nhiệm vụ của chính phủ và dùng thông tin đó để phát triển mô hình AI của nhà cung cấp. Một cơ quan có thể cần hệ thống AI xử lý thông tin cho một dịch vụ cụ thể. Theo quy định hợp đồng mà Gobind nêu, nhà cung cấp không được dùng thông tin đó làm dữ liệu huấn luyện mô hình hoặc lưu giữ sau khi hoàn tất xử lý.

Huấn luyện là quá trình mô hình AI học các quy luật từ những ví dụ. Xử lý là việc dùng hệ thống để thực hiện một nhiệm vụ với thông tin mà hệ thống nhận được. Tách biệt hai hoạt động này giúp các cơ quan có cơ sở hợp đồng để kiểm soát việc xử lý thông tin sau khi gửi cho nhà cung cấp.

Gobind cũng cho biết Bộ Kỹ thuật số đang soạn thảo Dự luật Quản trị AI nhằm quy định trách nhiệm giải trình trong suốt vòng đời của một hệ thống AI. Các biện pháp đã nêu được thực hiện thông qua hợp đồng chính phủ, chỉ thị an ninh và hướng dẫn dành cho khu vực công, trong khi luật dự kiến sẽ thiết lập khuôn khổ trách nhiệm rộng hơn.

Dữ liệu chính phủ được phép lưu trữ ở đâu

Quy định lưu trữ của Malaysia phụ thuộc vào mức độ nhạy cảm của thông tin. Gobind cho biết tài liệu được xếp loại bí mật hoặc tối mật phải được lưu trong trung tâm dữ liệu của chính phủ. Thông tin mật và hạn chế chỉ được lưu trữ trong môi trường đám mây riêng hoặc đám mây lai đặt tại Malaysia. Chỉ dữ liệu chính phủ công khai, không nhạy cảm mới được lưu trên các dịch vụ đám mây ở nước ngoài.

Dịch vụ đám mây lưu trữ hoặc xử lý thông tin trên hạ tầng máy tính được truy cập qua mạng. Đám mây riêng dành riêng cho một tổ chức, còn đám mây lai kết hợp các môi trường máy tính riêng biệt. Theo các thỏa thuận Gobind nêu, phân loại hồ sơ chính phủ quyết định những lựa chọn lưu trữ mà một cơ quan có thể sử dụng.

• Thông tin bí mật và tối mật: lưu tại trung tâm dữ liệu của chính phủ, không lưu trên dịch vụ đám mây.
• Thông tin mật và hạn chế: lưu trong môi trường đám mây riêng hoặc đám mây lai đặt tại Malaysia.
• Thông tin công khai, không nhạy cảm: đủ điều kiện lưu trong môi trường đám mây ở nước ngoài.

Vì vậy, khi lựa chọn nhà cung cấp, cơ quan trước tiên phải xem xét bản thân thông tin. Khả năng xử lý dữ liệu của nhà cung cấp không quyết định dữ liệu đó được lưu trữ ở đâu. Cơ quan phải đảm bảo phương án lưu trữ phù hợp với cấp độ phân loại an ninh trước khi sử dụng dịch vụ.

Khóa mã hóa vẫn thuộc quyền kiểm soát của chính phủ

Gobind cho biết dữ liệu chính phủ phải được mã hóa cả khi lưu trữ lẫn khi truyền giữa các hệ thống, theo Chính sách Mật mã Quốc gia. Các biện pháp này thường được gọi là mã hóa khi lưu trữ và mã hóa khi truyền tải.

Mã hóa chuyển thông tin có thể đọc được thành nội dung được mã hóa. Khóa mật mã giúp khôi phục phiên bản có thể đọc được. Gobind cho biết với các hệ thống và dữ liệu mật, chính phủ sở hữu và kiểm soát các khóa này, nhằm ngăn nhà cung cấp dịch vụ nước ngoài tự ý đọc nội dung, kể cả khi nhận yêu cầu từ cơ quan chức năng của một quốc gia khác.

Quy định lưu trữ và kiểm soát khóa xử lý hai khía cạnh khác nhau của cùng một vấn đề. Quy định lưu trữ xác định thông tin có thể nằm ở đâu. Quyền sở hữu khóa xác định ai nắm phương tiện để đọc nội dung đã mã hóa. Đối với thông tin mật, chính phủ cho biết họ duy trì quyền kiểm soát này cùng với các hạn chế về địa điểm lưu trữ.

Ai được truy cập hệ thống chính phủ?

Các công ty được chỉ định cung cấp dịch vụ cho chính phủ phải trải qua quy trình thẩm tra an ninh. Gobind cho biết quyền truy cập hệ thống chính phủ được cấp theo vai trò của mỗi người, yêu cầu xác thực bằng nhiều hơn một yếu tố và được ghi lại để phục vụ kiểm toán.

Quyền truy cập theo vai trò nghĩa là quyền hạn của một người phụ thuộc vào công việc họ được phép thực hiện. Xác thực đa yếu tố đòi hỏi nhiều hơn một mật khẩu, chẳng hạn như một bước kiểm tra an ninh bổ sung. Nhật ký kiểm toán ghi lại hoạt động truy cập để có thể xem xét sau này.

Các yêu cầu này mở rộng biện pháp bảo vệ vượt ra ngoài vị trí đặt máy chủ. Ngay cả khi hệ thống được lưu trữ tại Malaysia, vẫn cần kiểm soát những người được phép truy cập, thông tin họ có thể xem và hồ sơ hoạt động của họ. Thẩm tra nhà cung cấp, giới hạn quyền truy cập và nhật ký truy cập là một phần trong các điều kiện chính phủ đặt ra khi xử lý dữ liệu.

Cơ quan phải giảm thiểu dữ liệu trước khi xử lý bằng AI

Gobind cho biết Hướng dẫn ứng dụng AI trong khu vực công, gọi tắt là GPAISA, yêu cầu các cơ quan giảm thiểu lượng dữ liệu sử dụng và che giấu hoặc ẩn danh thông tin trước khi hệ thống AI xử lý. Giảm thiểu dữ liệu là chỉ sử dụng những gì cần thiết cho nhiệm vụ. Che giấu hoặc ẩn danh dữ liệu giúp giảm nguy cơ lộ thông tin có thể xác định danh tính một người.

Hướng dẫn AI dành cho khu vực công của Cục Kỹ thuật số Quốc gia đề cập đến việc tuân thủ luật pháp và chính sách Malaysia, bảy nguyên tắc đạo đức AI, trách nhiệm của cá nhân và tổ chức tham gia vào lĩnh vực AI, quy trình ứng dụng và quản lý rủi ro. Các phụ lục bao gồm những trường hợp ứng dụng trong khu vực công ở Malaysia và nước ngoài, cùng công cụ tự đánh giá mức độ tuân thủ đạo đức.

Báo cáo về sáng kiến AI của cục mô tả GPAISA là tài liệu tham khảo giúp các cơ quan khu vực công đảm bảo AI được sử dụng một cách có đạo đức, minh bạch và có trách nhiệm. Báo cáo cho biết hướng dẫn tập trung vào cải thiện cung cấp dịch vụ, tăng cường hoạt động của chính phủ và khuyến khích đổi mới dựa trên công nghệ mới. Trong năm 2025, cục đã cung cấp 40 dịch vụ tư vấn kỹ thuật cho các cơ quan chính phủ nhằm hỗ trợ điều phối chính sách và thực tiễn về AI.

Khuôn khổ này quy định trách nhiệm của cả cơ quan lẫn nhà cung cấp. Trước khi thông tin được chuyển đến dịch vụ AI, cơ quan phải cân nhắc nhiệm vụ cần lượng dữ liệu bao nhiêu và cách bảo vệ các chi tiết nhận dạng. Sau đó, hợp đồng điều chỉnh việc nhà cung cấp sử dụng và xóa thông tin nhận được.

Các phần về đánh giá đạo đức và quản lý rủi ro cũng đặt việc xử lý dữ liệu trong bối cảnh rộng hơn của quyết định liệu có nên sử dụng hệ thống AI hay không và sử dụng như thế nào. Mua sắm chỉ là một giai đoạn trong quyết định đó; việc chuẩn bị thông tin và chịu trách nhiệm về dịch vụ tạo ra vẫn thuộc công việc của cơ quan.

Khuôn khổ được triển khai vào tháng 2 năm 2025

Thông cáo ra mắt hướng dẫn của Bộ Kỹ thuật số ghi nhận GPAISA được triển khai ngày 27 tháng 2 năm 2025 tại khách sạn Le Meridien ở Putrajaya. Cục Kỹ thuật số Quốc gia xây dựng hướng dẫn cùng Tập đoàn Kinh tế Kỹ thuật số Malaysia làm tài liệu tham khảo chuyên biệt cho các cơ quan công quyền.

Gobind chủ trì lễ ra mắt cùng Phó Tổng Giám đốc Dịch vụ Công phụ trách vận hành Dato' Mohd Shaiful bin Ibrahim. Sự kiện quy tụ lãnh đạo các cơ quan chính phủ, giám đốc kỹ thuật số, quản lý công nghệ khu vực công và đại diện ngành, với các phiên thảo luận về trường hợp ứng dụng AI của chính phủ, đạo đức và quản trị.

Hướng dẫn gồm sáu chương và ba phụ lục. Văn bản được công bố trước phần giải trình tại Quốc hội vào tháng 10 năm 2026 về các hạn chế trong hợp đồng và việc soạn thảo luật AI dự kiến. Các mốc thời gian chính gồm:

• 2024: Sửa đổi Đạo luật Bảo vệ Dữ liệu Cá nhân năm 2010, được Gobind viện dẫn khi giải thích việc chuyển dữ liệu cá nhân ra nước ngoài.
• Ngày 27 tháng 2 năm 2025: Ra mắt hướng dẫn AI cho khu vực công tại Putrajaya.
• Ngày 20 tháng 10 năm 2026: Văn bản trả lời chất vấn tại Quốc hội của Gobind giải thích các điều kiện trong hợp đồng AI của chính phủ, quy định lưu trữ và công tác soạn thảo Dự luật Quản trị AI.

Việc chuyển dữ liệu của khu vực tư nhân tuân theo quy định pháp lý riêng

Đối với dữ liệu cá nhân do doanh nghiệp tư nhân xử lý, Gobind viện dẫn Điều 129 của Đạo luật Bảo vệ Dữ liệu Cá nhân năm 2010, được sửa đổi vào năm 2024. Ông cho biết các yêu cầu đối với việc chuyển dữ liệu ra nước ngoài bao gồm sự đồng ý của người liên quan và việc khu vực tiếp nhận có luật tương đương với PDPA của Malaysia.

Việc chuyển dữ liệu xuyên biên giới có thể xảy ra khi doanh nghiệp gửi thông tin cá nhân đến một dịch vụ đám mây đặt ở nước ngoài. Phần giải thích của Gobind đặt những hoạt động chuyển dữ liệu này trong khuôn khổ bảo vệ dữ liệu cá nhân, còn thông tin chính phủ thuộc diện phân loại lưu trữ và các biện pháp kiểm soát an ninh được ông nêu riêng.

Sự khác biệt này có ý nghĩa đối với những người có thông tin được cả cơ quan công quyền lẫn doanh nghiệp xử lý. Các điều kiện mua sắm của chính phủ điều chỉnh nhà cung cấp thực hiện hợp đồng AI cho chính phủ. Doanh nghiệp tư nhân xử lý thông tin cá nhân phải cân nhắc các quy định của PDPA khi chuyển thông tin đó sang một quốc gia khác.

Dự luật AI dự kiến sẽ bao quát những gì

Gobind cho biết Bộ Kỹ thuật số đang soạn thảo Dự luật Quản trị AI nhằm buộc các nhà cung cấp công nghệ chịu trách nhiệm trong suốt vòng đời của hệ thống AI. Ông nêu các lĩnh vực dự luật sẽ đề cập, gồm chất lượng dữ liệu, tính minh bạch và khả năng giải thích. Câu trả lời không nêu ngày trình dự luật lên Quốc hội, cũng không đưa ra mức phạt dự kiến hay cơ cấu thực thi chi tiết.

Chất lượng dữ liệu liên quan đến thông tin được hệ thống sử dụng, bao gồm độ chính xác và mức độ phù hợp với nhiệm vụ. Tính minh bạch liên quan đến khả năng nắm được cách hệ thống được phát triển và sử dụng. Khả năng giải thích là việc giúp mọi người hiểu được kết quả hoặc quyết định của hệ thống. Những vấn đề này mở rộng trách nhiệm giải trình vượt ra ngoài khâu mua dịch vụ AI ban đầu.

Các biện pháp kiểm soát được đưa ra trong bối cảnh Malaysia mở rộng hạ tầng điện toán. Việc chuyển đổi mục đích sử dụng đất trồng cọ để xây dựng trung tâm dữ liệu và công viên điện mặt trời đã thu hút các tập đoàn dầu cọ lớn tham gia lĩnh vực này. Các số liệu trước đây ước tính nhu cầu điện của trung tâm dữ liệu có thể đạt ít nhất 5 gigawatt vào năm 2035, gần 20% công suất phát điện của cả nước vào thời điểm đó; chính phủ đồng thời đặt mục tiêu có 81 trung tâm dữ liệu đi vào hoạt động vào năm 2035.

Đối với các cơ quan và nhà cung cấp, việc mở rộng này khiến các quy định về mục đích sử dụng được phép trở nên cụ thể hơn. Xây dựng năng lực lưu trữ và xử lý thông tin tạo thêm lựa chọn cho các dịch vụ số. Hợp đồng chính phủ, phân loại dữ liệu, khóa mã hóa và biện pháp kiểm soát truy cập quyết định cơ quan có thể sử dụng những lựa chọn nào và nhà cung cấp được phép làm gì với thông tin.

Điểm chính

• Hợp đồng AI của chính phủ cấm nhà cung cấp dùng dữ liệu của chính phủ hoặc dữ liệu công để huấn luyện mô hình và yêu cầu xóa dữ liệu sau khi xử lý.
• Thông tin bí mật và tối mật phải được lưu tại trung tâm dữ liệu của chính phủ. Thông tin mật và hạn chế có thể được lưu trên đám mây riêng hoặc đám mây lai trong nước.
• Chỉ dữ liệu chính phủ công khai, không nhạy cảm mới được lưu trong môi trường đám mây ở nước ngoài.
• Chính phủ kiểm soát khóa mã hóa đối với hệ thống và dữ liệu mật; nhà cung cấp phải qua thẩm tra an ninh và tuân thủ các biện pháp kiểm soát truy cập.
• Theo GPAISA, các cơ quan khu vực công phải giảm thiểu dữ liệu và che giấu hoặc ẩn danh dữ liệu trước khi xử lý bằng AI.
• Dự luật Quản trị AI đang được soạn thảo nhằm giải quyết các vấn đề về trách nhiệm giải trình, chất lượng dữ liệu, tính minh bạch và khả năng giải thích.