Malásia proíbe fornecedores de IA do Governo de treinar modelos com dados públicos

Contratos governamentais proíbem o treino de IA e exigem a eliminação dos dados

A Malásia proíbe as empresas que prestam serviços de inteligência artificial ao Governo de utilizar dados governamentais ou públicos para treinar os seus modelos, afirmou o ministro Digital, Gobind Singh Deo, numa resposta parlamentar escrita a 20 de outubro de 2026. A restrição consta de todos os contratos públicos de aquisição de serviços de IA, que também obrigam os fornecedores a eliminar os dados após o seu processamento.

Gobind respondia a Ahmad Fadhli Shaari, deputado do Perikatan Nasional eleito por Pasir Mas, que perguntou como é que as informações tratadas por empresas de serviços na nuvem e de IA, incluindo fornecedores estrangeiros, permanecem sob controlo da Malásia. A resposta definiu controlos relativos aos locais de armazenamento, à encriptação, ao acesso aos sistemas governamentais e à reutilização de informações pelos fornecedores de IA.

A distinção prática está entre utilizar informações para executar uma tarefa governamental e utilizá-las para desenvolver o modelo de IA de um fornecedor. Um organismo pode precisar de um sistema de IA para tratar informações destinadas a um serviço específico. Nos termos da restrição contratual descrita por Gobind, o fornecedor não pode depois usar essas informações para treinar os seus modelos nem conservá-las após a conclusão do processamento.

O treino é o processo pelo qual um modelo de IA aprende padrões a partir de exemplos. O processamento consiste em utilizar um sistema para executar uma tarefa com as informações que recebe. Separar estas atividades dá aos organismos uma base contratual para controlar o que acontece às informações depois de as enviarem a um fornecedor.

Gobind afirmou ainda que o Ministério Digital está a preparar uma proposta de lei sobre a governação da IA, destinada a definir a responsabilização ao longo de todo o ciclo de vida de um sistema de IA. As medidas já descritas são aplicadas através de contratos governamentais, diretivas de segurança e orientações para o setor público, enquanto a legislação proposta estabeleceria um quadro de responsabilidades mais abrangente.

Onde pode ser armazenada cada categoria de dados governamentais

As regras de armazenamento da Malásia dependem do grau de sensibilidade das informações. Gobind afirmou que os dados classificados como secretos ou ultrassecretos têm de permanecer em centros de dados governamentais. As informações confidenciais e restritas só podem ser armazenadas em ambientes de nuvem privada ou híbrida localizados na Malásia. Apenas os dados governamentais abertos e não sensíveis podem ser armazenados em serviços de nuvem no estrangeiro.

Um serviço de nuvem armazena ou processa informações numa infraestrutura informática acessível através de uma rede. Uma nuvem privada está reservada a uma organização específica, enquanto uma nuvem híbrida combina diferentes ambientes informáticos. Segundo as regras descritas por Gobind, a classificação de um registo governamental determina as opções de armazenamento disponíveis para cada organismo.

• Informações secretas e ultrassecretas: centros de dados governamentais, em vez de serviços de nuvem.
• Informações confidenciais e restritas: ambientes de nuvem privada ou híbrida localizados na Malásia.
• Informações abertas e não sensíveis: podem ser armazenadas em ambientes de nuvem no estrangeiro.

Assim, para escolher um fornecedor, o primeiro passo de um organismo é avaliar as próprias informações. A capacidade de um fornecedor para tratar dados não determina onde estes podem ser alojados. Antes de utilizar o serviço, o organismo tem de adequar as condições de armazenamento à classificação de segurança dos dados.

As chaves de encriptação permanecem sob controlo do Governo

Os dados governamentais têm de ser encriptados tanto quando estão armazenados como durante a transmissão entre sistemas, em conformidade com a Política Nacional de Criptografia, afirmou Gobind. Estas medidas são habitualmente designadas por encriptação em repouso e encriptação em trânsito.

A encriptação transforma informações legíveis em conteúdo codificado. Uma chave criptográfica permite recuperar a versão legível. Gobind afirmou que, nos sistemas e dados classificados, as chaves pertencem ao Governo e são por este controladas, com o objetivo de impedir que um fornecedor estrangeiro de serviços leia autonomamente o conteúdo, inclusive em resposta a um pedido das autoridades de outro país.

As regras de armazenamento e o controlo das chaves abordam diferentes aspetos do mesmo problema. As regras de armazenamento determinam onde podem estar as informações. A titularidade das chaves determina quem dispõe dos meios para ler o conteúdo encriptado. No caso das informações classificadas, o Governo afirma manter esse controlo, a par das restrições aos locais de alojamento.

Quem pode aceder aos sistemas governamentais?

As empresas contratadas para prestar serviços ao Governo têm de ser sujeitas a uma verificação de segurança. Gobind afirmou que o acesso aos sistemas governamentais é atribuído em função das funções de cada pessoa, exige autenticação através de mais do que um fator e fica registado para efeitos de auditoria.

O acesso baseado em funções significa que as permissões de uma pessoa dependem do trabalho que está autorizada a realizar. A autenticação multifator exige mais do que uma palavra-passe, como uma verificação de segurança adicional. Os registos de auditoria permitem consultar posteriormente o histórico de acessos.

Estes requisitos alargam a proteção para além da localização de um servidor. Mesmo um sistema alojado na Malásia precisa de controlos sobre quem lhe pode aceder, às informações a que essas pessoas podem chegar e ao registo da sua atividade. A verificação dos fornecedores, as permissões limitadas e os registos de acesso fazem parte das condições impostas pelo Governo para o tratamento dos seus dados.

Os organismos têm de reduzir os dados antes do processamento por IA

As Orientações para a Adoção de IA no Setor Público, conhecidas pela sigla GPAISA, exigem que os organismos minimizem a quantidade de dados utilizados e ocultem ou anonimizem as informações antes do seu processamento por sistemas de IA, afirmou Gobind. A minimização de dados consiste em utilizar apenas o que é necessário para a tarefa. Ocultar ou anonimizar os dados reduz a exposição de informações que poderiam identificar uma pessoa.

As orientações para a IA no setor público do Departamento Digital Nacional abrangem o cumprimento das leis e políticas da Malásia, sete princípios de ética da IA, as responsabilidades das pessoas e organizações envolvidas na IA, os procedimentos de adoção e a gestão de riscos. Os anexos incluem exemplos de utilização no setor público da Malásia e de outros países, além de uma autoavaliação do cumprimento dos princípios éticos.

O relatório sobre as iniciativas de IA do departamento apresenta a GPAISA como uma referência para os organismos do setor público, destinada a garantir uma utilização ética, transparente e responsável da IA. Segundo o relatório, as orientações procuram melhorar a prestação de serviços, reforçar as operações governamentais e incentivar a inovação assente em novas tecnologias. Em 2025, o departamento prestou 40 serviços de consultoria técnica a organismos governamentais para ajudar a coordenar políticas e práticas de IA.

O quadro atribui responsabilidades tanto aos organismos como aos fornecedores. Antes de enviar informações para um serviço de IA, um organismo tem de avaliar a quantidade de dados necessária para a tarefa e a forma de proteger os elementos identificativos. O contrato regula, depois, a utilização das informações recebidas pelo fornecedor e a sua eliminação.

As secções sobre avaliação ética e gestão de riscos também integram o tratamento de dados na decisão mais abrangente sobre se e como utilizar um sistema de IA. A contratação é apenas uma etapa dessa decisão; a preparação das informações e a responsabilidade pelo serviço resultante continuam a caber ao organismo.

Quadro lançado em fevereiro de 2025

O comunicado do Ministério Digital sobre o lançamento das orientações regista que a GPAISA foi lançada a 27 de fevereiro de 2025, no Hotel Le Meridien, em Putrajaya. O Departamento Digital Nacional elaborou as orientações com a Malaysia Digital Economy Corporation como referência específica para os organismos públicos.

Gobind presidiu à cerimónia de lançamento, ao lado do vice-diretor-geral dos Serviços Públicos para as Operações, Dato' Mohd Shaiful bin Ibrahim. O evento reuniu dirigentes de departamentos governamentais, responsáveis digitais, gestores de tecnologia do setor público e representantes da indústria, e incluiu sessões sobre casos de utilização de IA no Governo, ética e governação.

As orientações têm seis capítulos e três anexos. A sua publicação antecedeu a explicação parlamentar de outubro de 2026 sobre as restrições contratuais e a preparação da proposta de lei sobre IA. As principais datas são:

• 2024: Alterações à Lei de Proteção de Dados Pessoais de 2010, citadas por Gobind ao explicar as transferências de dados pessoais para o estrangeiro.
• 27 de fevereiro de 2025: Lançamento das orientações para a IA no setor público, em Putrajaya.
• 20 de outubro de 2026: A resposta parlamentar escrita de Gobind explica as condições dos contratos governamentais de IA, as regras de armazenamento e os trabalhos relativos à proposta de lei sobre a governação da IA.

As transferências no setor privado seguem um enquadramento jurídico distinto

Quanto aos dados pessoais tratados por empresas privadas, Gobind remeteu para a Secção 129 da Lei de Proteção de Dados Pessoais de 2010, alterada em 2024. Segundo explicou, os requisitos para transferências para o estrangeiro incluem o consentimento da pessoa em causa e a existência, na jurisdição de destino, de legislação comparável à lei malaia de proteção de dados pessoais.

Uma transferência transfronteiriça pode ocorrer quando uma empresa envia informações pessoais para um serviço de nuvem localizado no estrangeiro. A explicação de Gobind enquadra essas transferências no regime de proteção de dados pessoais, enquanto as informações governamentais estão sujeitas às classificações de armazenamento e aos controlos de segurança que descreveu separadamente.

Esta distinção é importante para as pessoas cujas informações são tratadas tanto por organismos públicos como por empresas. As condições de contratação pública regulam os fornecedores que trabalham nos contratos de IA do Governo. As empresas privadas que tratam informações pessoais têm de considerar as regras da lei de proteção de dados pessoais relativas à transferência dessas informações para outro país.

O que prevê a proposta de lei sobre IA

O Ministério Digital está a preparar uma proposta de lei sobre a governação da IA, destinada a responsabilizar os fornecedores de tecnologia ao longo de todo o ciclo de vida de um sistema de IA, afirmou Gobind. Entre as áreas abrangidas, apontou a qualidade dos dados, a transparência e a explicabilidade. Não foi indicada uma data para a apresentação da proposta ao Parlamento, nem foram especificadas as sanções propostas ou uma estrutura de fiscalização detalhada.

A qualidade dos dados diz respeito às informações utilizadas por um sistema, incluindo a sua exatidão e adequação à tarefa. A transparência prende-se com a possibilidade de compreender como um sistema é desenvolvido e utilizado. A explicabilidade consiste em tornar os resultados ou as decisões compreensíveis para as pessoas. Estes temas alargam a responsabilização para além da aquisição inicial de um serviço de IA.

Os controlos são introduzidos numa altura em que a Malásia está a expandir a sua infraestrutura informática. A reconversão de terrenos de plantações para centros de dados e parques solares levou grandes grupos do setor do óleo de palma a entrar neste segmento. Estimativas anteriores apontavam para uma procura potencial de eletricidade dos centros de dados de pelo menos cinco gigawatts até 2035, perto de 20% da capacidade de produção do país na altura, a par de uma meta governamental de 81 centros de dados em funcionamento até 2035.

Para os organismos e fornecedores, esta expansão torna concretas as regras sobre utilizações permitidas. O aumento da capacidade para armazenar e processar informações cria mais opções para os serviços digitais. Os contratos governamentais, as classificações de dados, as chaves de encriptação e os controlos de acesso determinam quais dessas opções os organismos podem utilizar e o que os fornecedores podem fazer com as informações.

Pontos-chave

• Os contratos governamentais de IA proíbem os fornecedores de utilizar dados governamentais ou públicos para treinar modelos e obrigam-nos a eliminar os dados após o processamento.
• As informações secretas e ultrassecretas têm de permanecer em centros de dados governamentais. As informações confidenciais e restritas podem ser armazenadas em nuvens privadas ou híbridas no país.
• Apenas os dados governamentais abertos e não sensíveis podem ser armazenados em ambientes de nuvem no estrangeiro.
• O Governo controla as chaves de encriptação dos sistemas e dados classificados, e os fornecedores estão sujeitos a verificações de segurança e controlos de acesso.
• Ao abrigo da GPAISA, os organismos públicos têm de minimizar os dados e ocultá-los ou anonimizá-los antes do processamento por IA.
• Está a ser preparada uma proposta de lei sobre a governação da IA para abordar a responsabilização, a qualidade dos dados, a transparência e a explicabilidade.