मलेशिया ने सरकारी एआई प्रदाताओं को सार्वजनिक डेटा से मॉडल प्रशिक्षित करने पर रोक लगाई

सरकारी अनुबंधों में एआई प्रशिक्षण पर रोक और डेटा हटाना अनिवार्य

डिजिटल मंत्री गोबिंद सिंह देव ने 20 अक्टूबर, 2026 को संसद में लिखित जवाब में कहा कि मलेशिया सरकार को कृत्रिम बुद्धिमत्ता सेवाएं देने वाली कंपनियों को सरकारी या सार्वजनिक डेटा से अपने मॉडल प्रशिक्षित करने की अनुमति नहीं है। यह पाबंदी सभी सरकारी एआई खरीद अनुबंधों में शामिल है। अनुबंधों के तहत सेवा प्रदाताओं को डेटा का प्रसंस्करण पूरा होने के बाद उसे हटाना भी होगा।

गोबिंद ने पेरिकातान नैशनल के पासिर मास से सांसद अहमद फाधली शारी के सवाल का जवाब दिया था। उन्होंने पूछा था कि विदेशी सेवा प्रदाताओं समेत क्लाउड और एआई कंपनियों द्वारा संभाली जाने वाली जानकारी मलेशिया के नियंत्रण में कैसे रहती है। जवाब में गोबिंद ने डेटा के भंडारण के स्थान, एन्क्रिप्शन, सरकारी प्रणालियों तक पहुंच और एआई आपूर्तिकर्ताओं द्वारा जानकारी के दोबारा इस्तेमाल पर लागू नियंत्रणों का ब्योरा दिया।

व्यावहारिक रूप से फर्क यह है कि जानकारी का इस्तेमाल किसी सरकारी काम को पूरा करने के लिए किया जा रहा है या आपूर्तिकर्ता का एआई मॉडल विकसित करने के लिए। किसी खास सेवा के लिए एजेंसी को एआई प्रणाली से जानकारी का प्रसंस्करण कराना पड़ सकता है। गोबिंद द्वारा बताई गई अनुबंध संबंधी पाबंदी के तहत, सेवा प्रदाता उस जानकारी को अपने मॉडल प्रशिक्षित करने की सामग्री के रूप में इस्तेमाल नहीं कर सकता और प्रसंस्करण पूरा होने के बाद उसे अपने पास नहीं रख सकता।

प्रशिक्षण वह प्रक्रिया है जिसमें एआई मॉडल उदाहरणों से पैटर्न सीखता है। प्रसंस्करण का अर्थ है कि प्रणाली प्राप्त जानकारी का इस्तेमाल करके कोई काम करती है। इन दोनों गतिविधियों को अलग रखने से एजेंसियों को यह नियंत्रित करने का अनुबंधीय आधार मिलता है कि जानकारी सेवा प्रदाता को भेजने के बाद उसके साथ क्या होता है।

गोबिंद ने यह भी कहा कि डिजिटल मंत्रालय एआई प्रणाली के पूरे जीवनकाल में जवाबदेही तय करने के लिए एआई गवर्नेंस विधेयक का मसौदा तैयार कर रहा है। अब तक बताए गए उपाय सरकारी अनुबंधों, सुरक्षा निर्देशों और सार्वजनिक क्षेत्र के दिशानिर्देशों के जरिए लागू होते हैं, जबकि प्रस्तावित कानून जिम्मेदारी के लिए व्यापक ढांचा तैयार करेगा।

सरकारी डेटा की हर श्रेणी कहां रखी जा सकती है

मलेशिया के भंडारण नियम इस बात पर निर्भर करते हैं कि जानकारी कितनी संवेदनशील है। गोबिंद ने कहा कि गुप्त या अति गुप्त श्रेणी की सामग्री सरकारी डेटा केंद्रों में ही रखी जानी चाहिए। गोपनीय और प्रतिबंधित जानकारी केवल मलेशिया में स्थित निजी या हाइब्रिड क्लाउड परिवेश में रखी जा सकती है। केवल खुला और असंवेदनशील सरकारी डेटा ही विदेशों में क्लाउड सेवाओं पर रखा जा सकता है।

क्लाउड सेवा ऐसी कंप्यूटिंग अवसंरचना पर जानकारी का भंडारण या प्रसंस्करण करती है, जिसे नेटवर्क के जरिए इस्तेमाल किया जाता है। निजी क्लाउड किसी एक संगठन के लिए आरक्षित होता है, जबकि हाइब्रिड क्लाउड अलग-अलग कंप्यूटिंग परिवेशों को मिलाता है। गोबिंद द्वारा बताए गए प्रावधानों के तहत, सरकारी रिकॉर्ड का वर्गीकरण तय करता है कि एजेंसी उसके लिए भंडारण के कौन-से विकल्प चुन सकती है।

• गुप्त और अति गुप्त जानकारी: क्लाउड सेवाओं के बजाय सरकारी डेटा केंद्रों में।
• गोपनीय और प्रतिबंधित जानकारी: मलेशिया में स्थित निजी या हाइब्रिड क्लाउड परिवेशों में।
• खुली, असंवेदनशील जानकारी: विदेशों के क्लाउड परिवेशों में रखी जा सकती है।

इसलिए सेवा प्रदाता चुनने वाली एजेंसी को सबसे पहले जानकारी की श्रेणी तय करनी होगी। आपूर्तिकर्ता की डेटा का प्रसंस्करण करने की क्षमता से यह तय नहीं होता कि डेटा कहां रखा जा सकता है। सेवा का इस्तेमाल करने से पहले एजेंसी को भंडारण व्यवस्था का अपनी सुरक्षा श्रेणी से मेल करना होगा।

एन्क्रिप्शन कुंजियों पर सरकार का नियंत्रण

गोबिंद ने कहा कि राष्ट्रीय क्रिप्टोग्राफी नीति के अनुसार सरकारी डेटा को संग्रहित रहने और प्रणालियों के बीच भेजे जाने, दोनों स्थितियों में एन्क्रिप्ट करना अनिवार्य है। इन सुरक्षा उपायों को आम तौर पर संग्रहित डेटा का एन्क्रिप्शन और संचार के दौरान एन्क्रिप्शन कहा जाता है।

एन्क्रिप्शन पठनीय जानकारी को कूटबद्ध सामग्री में बदल देता है। क्रिप्टोग्राफिक कुंजी से उसे फिर से पढ़ने योग्य बनाया जा सकता है। गोबिंद ने कहा कि वर्गीकृत प्रणालियों और डेटा की इन कुंजियों का स्वामित्व और नियंत्रण सरकार के पास रहता है। इसका उद्देश्य विदेशी सेवा प्रदाता को सामग्री स्वतंत्र रूप से पढ़ने से रोकना है, जिसमें किसी दूसरे देश के अधिकारियों के अनुरोध पर उसे पढ़ना भी शामिल है।

भंडारण नियम और कुंजियों पर नियंत्रण, एक ही समस्या के अलग-अलग पहलुओं से जुड़े हैं। भंडारण नियम तय करते हैं कि जानकारी कहां रखी जा सकती है। कुंजियों का स्वामित्व यह तय करता है कि एन्क्रिप्ट की गई सामग्री पढ़ने के साधन किसके पास हैं। सरकार का कहना है कि वर्गीकृत जानकारी के मामले में, होस्टिंग के स्थान पर लगी पाबंदियों के साथ-साथ यह नियंत्रण भी उसके पास रहता है।

सरकारी प्रणालियों तक किसकी पहुंच हो सकती है?

सरकारी सेवाएं देने के लिए नियुक्त कंपनियों की सुरक्षा जांच जरूरी है। गोबिंद ने कहा कि सरकारी प्रणालियों तक पहुंच व्यक्ति की भूमिका के आधार पर दी जाती है, इसके लिए एक से अधिक कारकों से प्रमाणीकरण जरूरी है और ऑडिट के लिए पहुंच का रिकॉर्ड रखा जाता है।

भूमिका आधारित पहुंच का मतलब है कि किसी व्यक्ति की अनुमति इस बात पर निर्भर करती है कि उसे कौन-सा काम करने का अधिकार है। बहु-कारक प्रमाणीकरण में केवल पासवर्ड के अलावा सुरक्षा की एक और जांच शामिल होती है। ऑडिट लॉग पहुंच का ऐसा रिकॉर्ड बनाते हैं, जिसकी बाद में समीक्षा की जा सकती है।

ये शर्तें सर्वर के स्थान से आगे भी सुरक्षा सुनिश्चित करती हैं। मलेशिया में होस्ट की गई प्रणाली में भी यह नियंत्रित करना जरूरी है कि कौन उसमें प्रवेश कर सकता है, किस जानकारी तक पहुंच सकता है और उसकी गतिविधियों का रिकॉर्ड कैसे रखा जाता है। सरकारी डेटा संभालने की शर्तों में आपूर्तिकर्ता की सुरक्षा जांच, सीमित अनुमतियां और पहुंच के लॉग शामिल हैं।

एआई प्रसंस्करण से पहले एजेंसियों को डेटा कम करना होगा

गोबिंद ने कहा कि सार्वजनिक क्षेत्र में एआई अपनाने के दिशानिर्देश, जिन्हें GPAISA के नाम से जाना जाता है, एजेंसियों को इस्तेमाल किए जाने वाले डेटा की मात्रा कम करने और एआई प्रणालियों में प्रसंस्करण से पहले जानकारी को छिपाने या गुमनाम करने के लिए कहते हैं। डेटा न्यूनीकरण का अर्थ है कि काम के लिए जितनी जानकारी जरूरी हो, केवल उतनी ही इस्तेमाल की जाए। जानकारी छिपाने या गुमनाम करने से किसी व्यक्ति की पहचान उजागर करने वाले डेटा का जोखिम कम होता है।

राष्ट्रीय डिजिटल विभाग के सार्वजनिक क्षेत्र के एआई दिशानिर्देश मलेशियाई कानूनों और नीतियों के अनुपालन, एआई नैतिकता के सात सिद्धांतों, एआई से जुड़े लोगों और संगठनों की जिम्मेदारियों, इसे अपनाने की प्रक्रियाओं और जोखिम प्रबंधन को शामिल करते हैं। इनके परिशिष्टों में मलेशिया और विदेशों में सार्वजनिक क्षेत्र में एआई के इस्तेमाल के उदाहरणों के साथ नैतिकता अनुपालन का स्व-मूल्यांकन भी शामिल है।

विभाग की एआई पहल रिपोर्ट में GPAISA को सार्वजनिक क्षेत्र की एजेंसियों के लिए यह सुनिश्चित करने वाला संदर्भ बताया गया है कि एआई का इस्तेमाल नैतिक, पारदर्शी और जिम्मेदारी से हो। रिपोर्ट के मुताबिक, दिशानिर्देशों का जोर सेवा वितरण में सुधार, सरकारी कामकाज को मजबूत करने और नई तकनीकों पर आधारित नवाचार को बढ़ावा देने पर है। 2025 में विभाग ने एआई नीतियों और तौर-तरीकों के बीच तालमेल बनाने में मदद के लिए सरकारी एजेंसियों को 40 तकनीकी सलाह सेवाएं दीं।

यह ढांचा आपूर्तिकर्ताओं के साथ-साथ एजेंसियों की भी जिम्मेदारी तय करता है। एआई सेवा तक जानकारी पहुंचने से पहले एजेंसी को विचार करना होगा कि काम के लिए कितना डेटा जरूरी है और पहचान उजागर करने वाले विवरणों को कैसे सुरक्षित रखा जाए। इसके बाद अनुबंध तय करता है कि आपूर्तिकर्ता प्राप्त जानकारी का इस्तेमाल कैसे करेगा और उसे कब हटाएगा।

नैतिकता मूल्यांकन और जोखिम प्रबंधन के प्रावधान भी डेटा प्रबंधन को इस व्यापक निर्णय का हिस्सा बनाते हैं कि एआई प्रणाली का इस्तेमाल करना चाहिए या नहीं, और करना चाहिए तो कैसे। खरीद इस फैसले का एक चरण है; जानकारी तैयार करना और उससे मिलने वाली सेवा की जिम्मेदारी भी एजेंसी के काम का हिस्सा बनी रहती है।

फरवरी 2025 में शुरू हुआ ढांचा

डिजिटल मंत्रालय के दिशानिर्देशों के शुभारंभ संबंधी बयान के अनुसार, GPAISA की शुरुआत 27 फरवरी, 2025 को पुत्रजया के होटल ले मेरिडियन में हुई थी। राष्ट्रीय डिजिटल विभाग ने मलेशिया डिजिटल इकोनॉमी कॉरपोरेशन के साथ मिलकर सरकारी एजेंसियों के लिए ये दिशानिर्देश तैयार किए।

शुभारंभ समारोह का उद्घाटन गोबिंद ने लोक सेवा के उप महानिदेशक (संचालन) दातो मोहम्मद शैफुल बिन इब्राहिम के साथ किया। इस कार्यक्रम में सरकारी विभागों के प्रमुखों, मुख्य डिजिटल अधिकारियों, सार्वजनिक क्षेत्र के प्रौद्योगिकी प्रबंधकों और उद्योग जगत के प्रतिनिधियों ने हिस्सा लिया। इसमें सरकार में एआई के इस्तेमाल, नैतिकता और प्रशासन पर सत्र भी हुए।

दिशानिर्देशों में छह अध्याय और तीन परिशिष्ट हैं। इनका प्रकाशन अक्टूबर 2026 में संसद में अनुबंध संबंधी पाबंदियों और प्रस्तावित एआई कानून का मसौदा तैयार किए जाने पर दी गई जानकारी से पहले हुआ था। प्रमुख तारीखें इस प्रकार हैं:

• 2024: व्यक्तिगत डेटा संरक्षण अधिनियम 2010 में संशोधन, जिसका उल्लेख गोबिंद ने विदेशों में व्यक्तिगत डेटा भेजे जाने की व्याख्या करते हुए किया।
• 27 फरवरी, 2025: पुत्रजया में सार्वजनिक क्षेत्र के एआई दिशानिर्देशों का शुभारंभ।
• 20 अक्टूबर, 2026: गोबिंद के लिखित संसदीय जवाब में सरकारी एआई अनुबंधों की शर्तों, भंडारण नियमों और एआई गवर्नेंस विधेयक पर काम का ब्योरा।

निजी क्षेत्र में डेटा स्थानांतरण के लिए अलग कानूनी प्रक्रिया

निजी व्यवसायों द्वारा संभाले जाने वाले व्यक्तिगत डेटा के संबंध में गोबिंद ने 2024 में संशोधित व्यक्तिगत डेटा संरक्षण अधिनियम 2010 की धारा 129 का उल्लेख किया। उन्होंने कहा कि विदेशों में डेटा भेजने के लिए संबंधित व्यक्ति की सहमति और उस क्षेत्राधिकार में मलेशिया के पीडीपीए जैसे कानून होना जरूरी है।

जब कोई व्यवसाय व्यक्तिगत जानकारी विदेश में स्थित क्लाउड सेवा को भेजता है, तो सीमापार डेटा स्थानांतरण हो सकता है। गोबिंद की व्याख्या के अनुसार, ऐसे स्थानांतरण व्यक्तिगत डेटा संरक्षण ढांचे के तहत आते हैं, जबकि सरकारी जानकारी पर उनके द्वारा अलग से बताए गए भंडारण वर्गीकरण और सुरक्षा नियंत्रण लागू होते हैं।

यह फर्क उन लोगों के लिए अहम है जिनकी जानकारी सरकारी एजेंसियां और व्यवसाय, दोनों संभालते हैं। सरकारी एआई अनुबंधों पर काम करने वाले आपूर्तिकर्ताओं पर सरकार की खरीद शर्तें लागू होती हैं। व्यक्तिगत जानकारी संभालने वाले निजी व्यवसायों को उस जानकारी को दूसरे देश भेजने के लिए पीडीपीए के नियमों पर गौर करना होगा।

प्रस्तावित एआई कानून में क्या शामिल होगा

गोबिंद ने कहा कि डिजिटल मंत्रालय एआई प्रणाली के पूरे जीवनचक्र में प्रौद्योगिकी प्रदाताओं की जवाबदेही तय करने के लिए एआई गवर्नेंस विधेयक का मसौदा तैयार कर रहा है। उन्होंने कहा कि इसमें डेटा की गुणवत्ता, पारदर्शिता और व्याख्येयता जैसे विषय शामिल होंगे। विधेयक को संसद में पेश करने की तारीख नहीं बताई गई और जवाब में प्रस्तावित दंड या विस्तृत प्रवर्तन व्यवस्था का ब्योरा नहीं दिया गया।

डेटा की गुणवत्ता का संबंध प्रणाली में इस्तेमाल की जाने वाली जानकारी से है, जिसमें यह भी शामिल है कि जानकारी सटीक और काम के लिए उपयुक्त है या नहीं। पारदर्शिता का मतलब यह जान पाना है कि प्रणाली कैसे विकसित की गई और उसका इस्तेमाल कैसे हो रहा है। व्याख्येयता का अर्थ है कि उसके नतीजों या फैसलों को लोगों के लिए समझने योग्य बनाया जाए। ये विषय एआई सेवा खरीदने के शुरुआती चरण से आगे तक जवाबदेही का दायरा बढ़ाते हैं।

ये नियंत्रण ऐसे समय में लागू किए जा रहे हैं जब मलेशिया अपनी कंप्यूटिंग अवसंरचना का विस्तार कर रहा है। डेटा केंद्रों और सौर पार्कों के लिए वृक्षारोपण भूमि का पुनर्विकास होने से पाम ऑयल की बड़ी कंपनियां इस क्षेत्र में आ गई हैं। पहले के आंकड़ों के मुताबिक, 2035 तक डेटा केंद्रों की बिजली मांग कम से कम पांच गीगावाट तक पहुंच सकती है। यह उस समय देश की उत्पादन क्षमता का करीब 20 प्रतिशत था। सरकार का लक्ष्य भी 2035 तक 81 डेटा केंद्र चालू करने का है।

एजेंसियों और आपूर्तिकर्ताओं के लिए, इस विस्तार के साथ अनुमत इस्तेमाल के नियम ठोस रूप लेते हैं। जानकारी के भंडारण और प्रसंस्करण की क्षमता बढ़ने से डिजिटल सेवाओं के विकल्प भी बढ़ते हैं। सरकारी अनुबंध, डेटा वर्गीकरण, एन्क्रिप्शन कुंजियां और पहुंच नियंत्रण तय करते हैं कि एजेंसियां इनमें से कौन-से विकल्प अपना सकती हैं और सेवा प्रदाता जानकारी के साथ क्या कर सकते हैं।

मुख्य बातें

• सरकारी एआई अनुबंध सेवा प्रदाताओं को सरकारी या सार्वजनिक डेटा से मॉडल प्रशिक्षित करने से रोकते हैं और प्रसंस्करण के बाद डेटा हटाना अनिवार्य करते हैं।
• गुप्त और अति गुप्त जानकारी सरकारी डेटा केंद्रों में ही रखी जानी चाहिए। गोपनीय और प्रतिबंधित जानकारी के लिए देश के भीतर निजी या हाइब्रिड क्लाउड इस्तेमाल किए जा सकते हैं।
• केवल खुला, असंवेदनशील सरकारी डेटा विदेशों के क्लाउड परिवेशों में रखा जा सकता है।
• वर्गीकृत प्रणालियों और डेटा की एन्क्रिप्शन कुंजियों पर सरकार का नियंत्रण रहता है। आपूर्तिकर्ताओं को सुरक्षा जांच और पहुंच नियंत्रण से गुजरना होगा।
• GPAISA के तहत सार्वजनिक एजेंसियों को डेटा कम करना होगा और एआई प्रसंस्करण से पहले उसे छिपाना या गुमनाम करना होगा।
• जवाबदेही, डेटा की गुणवत्ता, पारदर्शिता और व्याख्येयता के लिए एआई गवर्नेंस विधेयक का मसौदा तैयार किया जा रहा है।