Malásia proíbe fornecedores de IA do governo de treinar modelos com dados públicos

Contratos governamentais proíbem treinamento de IA e exigem exclusão de dados

A Malásia proíbe empresas que prestam serviços de inteligência artificial ao governo de usar dados governamentais ou públicos para treinar seus modelos, afirmou o ministro Digital, Gobind Singh Deo, em resposta parlamentar por escrito em 20 de outubro de 2026. A restrição consta em todos os contratos governamentais de aquisição de serviços de IA, que também exigem que os fornecedores excluam os dados após o processamento.

Gobind respondia a Ahmad Fadhli Shaari, deputado do Perikatan Nasional por Pasir Mas, que perguntou como as informações tratadas por empresas de computação em nuvem e de IA, incluindo fornecedores estrangeiros, permanecem sob controle da Malásia. A resposta detalhou controles sobre locais de armazenamento, criptografia, acesso a sistemas governamentais e reutilização de informações por fornecedores de IA.

A distinção prática está entre usar informações para realizar uma tarefa governamental e usá-las para desenvolver o modelo de IA de um fornecedor. Um órgão público pode precisar de um sistema de IA para processar informações para um serviço específico. De acordo com a restrição contratual descrita por Gobind, o fornecedor não pode então usar essas informações como material para treinar seus modelos nem retê-las depois que o processamento for concluído.

Treinamento é o processo pelo qual um modelo de IA aprende padrões a partir de exemplos. Processamento é o uso de um sistema para realizar uma tarefa com as informações que recebe. Manter essas atividades separadas dá aos órgãos públicos uma base contratual para controlar o que acontece com as informações depois que são enviadas a um fornecedor.

Gobind também afirmou que o Ministério Digital está elaborando um projeto de lei sobre governança de IA para tratar da responsabilização ao longo de todo o ciclo de vida de um sistema de IA. As medidas já descritas são aplicadas por meio de contratos governamentais, diretrizes de segurança e orientações para o setor público, enquanto a legislação proposta estabeleceria um marco mais amplo de responsabilização.

Para onde pode ir cada categoria de dados governamentais

As regras de armazenamento da Malásia dependem do grau de sensibilidade das informações. Gobind afirmou que materiais classificados como secretos ou ultrassecretos devem permanecer em centros de dados do governo. Informações confidenciais e de acesso restrito só podem ser armazenadas em ambientes de nuvem privada ou híbrida localizados na Malásia. Apenas dados governamentais abertos e não sensíveis podem ser armazenados em serviços de nuvem no exterior.

Um serviço de nuvem armazena ou processa informações em uma infraestrutura de computação acessada por uma rede. Uma nuvem privada é reservada a uma organização específica, enquanto uma nuvem híbrida combina ambientes de computação distintos. Segundo os arranjos descritos por Gobind, a classificação de um registro governamental determina quais opções de armazenamento um órgão público pode usar.

• Informações secretas e ultrassecretas: centros de dados do governo, em vez de serviços de nuvem.
• Informações confidenciais e de acesso restrito: ambientes de nuvem privada ou híbrida localizados na Malásia.
• Informações abertas e não sensíveis: podem ser armazenadas em ambientes de nuvem no exterior.

Para um órgão público que esteja escolhendo um fornecedor, a primeira decisão, portanto, diz respeito às próprias informações. A capacidade de um fornecedor de processar dados não determina onde eles podem ser hospedados. Antes de usar o serviço, o órgão deve adequar as condições de armazenamento à classificação de segurança.

Chaves de criptografia permanecem sob controle do governo

Os dados governamentais devem ser criptografados tanto durante o armazenamento quanto na transferência entre sistemas, de acordo com a Política Nacional de Criptografia, afirmou Gobind. Essas proteções são comumente chamadas de criptografia em repouso e criptografia em trânsito.

A criptografia transforma informações legíveis em conteúdo codificado. Uma chave criptográfica permite recuperar a versão legível. Gobind afirmou que, no caso de sistemas e dados classificados, o governo é proprietário dessas chaves e as controla, com o objetivo de impedir que um prestador de serviços estrangeiro consiga ler o conteúdo por conta própria, inclusive em resposta a uma solicitação das autoridades de outro país.

As regras de armazenamento e os controles sobre as chaves tratam de aspectos diferentes do mesmo problema. As regras de armazenamento determinam onde as informações podem ficar. A titularidade das chaves determina quem tem os meios para ler o conteúdo criptografado. No caso de informações classificadas, o governo afirma manter esse controle, além das restrições aos locais de hospedagem.

Quem pode acessar os sistemas governamentais?

As empresas contratadas para prestar serviços ao governo devem passar por uma verificação de segurança. Gobind afirmou que o acesso aos sistemas governamentais é concedido de acordo com a função de cada pessoa, exige autenticação por mais de um fator e é registrado para auditorias.

O acesso baseado em funções significa que as permissões de uma pessoa dependem das tarefas que ela está autorizada a realizar. A autenticação por múltiplos fatores exige mais do que apenas uma senha, como uma verificação adicional de segurança. Os registros de auditoria documentam os acessos para que possam ser examinados posteriormente.

Esses requisitos ampliam a proteção para além da localização de um servidor. Mesmo um sistema hospedado na Malásia precisa de controles sobre quem pode acessá-lo, quais informações essas pessoas podem consultar e como suas atividades são registradas. A verificação de fornecedores, as permissões restritas e os registros de acesso fazem parte das condições impostas pelo governo para o tratamento de seus dados.

Órgãos públicos devem reduzir os dados antes do processamento por IA

As Diretrizes de Adoção de IA pelo Setor Público, conhecidas como GPAISA, exigem que os órgãos públicos minimizem a quantidade de dados utilizados e ocultem ou anonimizem as informações antes que elas sejam processadas por sistemas de IA, afirmou Gobind. Minimizar os dados significa usar apenas o necessário para a tarefa. Ocultar ou anonimizar dados reduz a exposição de informações que poderiam identificar uma pessoa.

As diretrizes de IA para o setor público do Departamento Digital Nacional abordam o cumprimento das leis e políticas da Malásia, sete princípios de ética em IA, as responsabilidades das pessoas e organizações envolvidas com IA, procedimentos de adoção e gestão de riscos. Os apêndices incluem casos de uso no setor público, na Malásia e no exterior, além de uma autoavaliação de conformidade ética.

O relatório de iniciativas de IA do departamento descreve a GPAISA como uma referência para que os órgãos do setor público garantam o uso ético, transparente e responsável da IA. Segundo o relatório, as diretrizes se concentram em melhorar a prestação de serviços, fortalecer as operações governamentais e incentivar a inovação com base em novas tecnologias. Em 2025, o departamento prestou 40 serviços de consultoria técnica a órgãos governamentais para ajudar a coordenar políticas e práticas de IA.

O marco atribui responsabilidades tanto aos órgãos públicos quanto aos fornecedores. Antes que as informações cheguem a um serviço de IA, o órgão deve avaliar de quantos dados a tarefa precisa e como proteger detalhes que permitam identificar pessoas. Em seguida, o contrato regula o uso e a exclusão das informações recebidas pelo fornecedor.

As seções sobre avaliação ética e gestão de riscos também inserem o tratamento de dados na decisão mais ampla sobre se e como usar um sistema de IA. A contratação é uma etapa dessa decisão; a preparação das informações e a responsabilidade pelo serviço resultante continuam sendo atribuições do órgão público.

Marco lançado em fevereiro de 2025

O comunicado de lançamento das diretrizes do Ministério Digital registra que a GPAISA foi lançada em 27 de fevereiro de 2025, no Hotel Le Meridien, em Putrajaya. O Departamento Digital Nacional elaborou as diretrizes em parceria com a Malaysia Digital Economy Corporation como referência específica para órgãos públicos.

Gobind presidiu a cerimônia de lançamento ao lado de Dato' Mohd Shaiful bin Ibrahim, vice-diretor-geral de Serviço Público para Operações. O evento reuniu chefes de departamentos governamentais, diretores digitais, gestores de tecnologia do setor público e representantes do setor, com sessões sobre casos de uso de IA no governo, ética e governança.

As diretrizes contêm seis capítulos e três apêndices. Sua publicação antecedeu a explicação parlamentar de outubro de 2026 sobre as restrições contratuais e a elaboração da proposta de lei sobre IA. As principais datas são:

• 2024: Alterações à Lei de Proteção de Dados Pessoais de 2010, citadas por Gobind ao explicar transferências de dados pessoais para o exterior.
• 27 de fevereiro de 2025: Lançamento das diretrizes de IA para o setor público em Putrajaya.
• 20 de outubro de 2026: Resposta parlamentar por escrito de Gobind explica as condições dos contratos governamentais de IA, as regras de armazenamento e o trabalho de elaboração de um projeto de lei sobre governança de IA.

Transferências do setor privado seguem uma via jurídica distinta

Para dados pessoais tratados por empresas privadas, Gobind citou a Seção 129 da Lei de Proteção de Dados Pessoais de 2010, alterada em 2024. Ele afirmou que os requisitos para transferências ao exterior incluem o consentimento da pessoa envolvida e a existência, na jurisdição de destino, de leis comparáveis à lei malaia de proteção de dados pessoais (PDPA).

Uma transferência internacional pode ocorrer quando uma empresa envia informações pessoais a um serviço de nuvem localizado no exterior. A explicação de Gobind submete essas transferências ao marco de proteção de dados pessoais, enquanto as informações governamentais estão sujeitas às classificações de armazenamento e aos controles de segurança que ele descreveu separadamente.

Essa diferença importa para as pessoas cujas informações são tratadas tanto por órgãos públicos quanto por empresas. As condições de contratação do governo regem os fornecedores que trabalham em seus contratos de IA. Já as empresas privadas que tratam informações pessoais devem considerar as regras da PDPA para transferir esses dados a outro país.

O que a proposta de lei sobre IA abrangeria

O Ministério Digital está elaborando um projeto de lei sobre governança de IA para responsabilizar os fornecedores de tecnologia ao longo de todo o ciclo de vida de um sistema de IA, afirmou Gobind. Ele citou a qualidade dos dados, a transparência e a explicabilidade entre os temas que seriam abordados. Não foi informada uma data para a apresentação do projeto ao Parlamento, e a resposta não detalhou possíveis penalidades nem uma estrutura de fiscalização.

A qualidade dos dados diz respeito às informações usadas por um sistema, inclusive se são precisas e adequadas à tarefa. A transparência diz respeito à visibilidade sobre como um sistema é desenvolvido e utilizado. A explicabilidade diz respeito a tornar seus resultados ou decisões compreensíveis para as pessoas. Esses temas ampliam a responsabilização para além da aquisição inicial de um serviço de IA.

Os controles estão sendo implementados enquanto a Malásia amplia sua infraestrutura de computação. A reconversão de terras de plantações para centros de dados e parques solares atraiu grandes grupos do setor de óleo de palma para esse segmento. Estimativas anteriores apontavam que a demanda de eletricidade dos centros de dados poderia chegar a pelo menos cinco gigawatts até 2035, perto de 20% da capacidade de geração do país na época, ao mesmo tempo que o governo estabeleceu a meta de ter 81 centros de dados em operação até 2035.

Para órgãos públicos e fornecedores, essa expansão torna concretas as regras sobre os usos permitidos. Ampliar a capacidade de armazenar e processar informações cria mais opções para os serviços digitais. Contratos governamentais, classificações de dados, chaves de criptografia e controles de acesso determinam quais dessas opções os órgãos públicos podem usar e o que os fornecedores podem fazer com as informações.

Principais pontos

• Os contratos governamentais de IA proíbem os fornecedores de usar dados governamentais ou públicos para treinar modelos e exigem que os excluam após o processamento.
• Informações secretas e ultrassecretas devem permanecer em centros de dados do governo. Informações confidenciais e de acesso restrito podem ser armazenadas em nuvens privadas ou híbridas no país.
• Apenas dados governamentais abertos e não sensíveis podem ser armazenados em ambientes de nuvem no exterior.
• O governo controla as chaves de criptografia de sistemas e dados classificados, enquanto os fornecedores passam por verificações de segurança e controles de acesso.
• De acordo com a GPAISA, os órgãos públicos devem minimizar os dados e ocultá-los ou anonimizá-los antes do processamento por IA.
• Está sendo elaborado um projeto de lei sobre governança de IA para tratar de responsabilização, qualidade dos dados, transparência e explicabilidade.