กรอบ AI มาเลเซีย คือร่างแนวปฏิบัติที่กรมคุ้มครองข้อมูลส่วนบุคคลของมาเลเซีย (JPDP) เปิดรับฟังความเห็น เพื่อกำหนดว่าองค์กรที่ใช้ AI ต้องดูแลข้อมูลส่วนบุคคลอย่างไร ร่างมี 10 ส่วน 43 ข้อ และปิดรับความเห็น 23 ตุลาคม 2569 บทความนี้เหมาะกับบริษัทไทยที่มีลูกค้าหรือบริษัทลูกในมาเลเซีย ผู้ให้บริการ SaaS และ AI รวมถึงฝ่ายกฎหมายที่ซื้อเครื่องมือ AI อ่านแล้วจะรู้ว่าร่างพูดอะไร และควรเตรียมอะไร
ลองนึกภาพบริษัทไทยที่ขายระบบ CRM แบบเช่าใช้ให้ลูกค้าในกัวลาลัมเปอร์ แล้วเพิ่มปุ่ม AI สรุปบทสนทนากับลูกค้า (ตัวอย่างสมมติ) ลูกค้าฝั่งมาเลเซียถามว่าข้อมูลลูกค้าของเขาไปอยู่ที่ไหน ใครเป็นผู้ประมวลผล ร่างฉบับนี้ขยายหน้าที่ไปถึงผู้ให้บริการแบบนี้ด้วย แม้ยังไม่ชัดว่าจะบังคับแค่ไหน
สรุปสั้น: JPDP เปิดรับฟังความเห็นร่างกรอบ AI กับข้อมูลส่วนบุคคล 10 ส่วน 43 ข้อ ใช้กับ AI ที่สร้างเอง ซื้อมา หรือฝังใน SaaS คลาวด์ และ API และขยายหน้าที่ไปถึงผู้ประมวลผลกับผู้ให้บริการ AI ปิดรับความเห็น 23 ตุลาคม 2569 ยังไม่กำหนดวันมีผล บริษัทไทยที่เกี่ยวข้องกับมาเลเซียควรเตรียมสัญญาผู้ประมวลผลและแบบประเมินผู้ขาย AI
กรอบ AI มาเลเซียคืออะไร และร่าง 43 ข้อพูดถึงอะไร
กรอบ AI มาเลเซียคือเอกสารรับฟังความเห็นฉบับที่ 1/2026 ของ JPDP เรื่อง AI กับการคุ้มครองข้อมูลส่วนบุคคล เผยแพร่เมื่อ 5 ตุลาคม 2569 ในรูปร่างแนวปฏิบัติ Version 1.0 ร่างครอบคลุม AI ที่องค์กรสร้างเอง AI ที่ซื้อจากภายนอก และ AI ที่ฝังอยู่ในบริการเช่าใช้ คลาวด์ หรือ API
ร่างครอบคลุมโมเดล AI อเนกประสงค์ด้วย และขยายหน้าที่ไปถึงผู้ประมวลผลข้อมูล (บริษัทที่รับข้อมูลไปจัดการแทนเจ้าของข้อมูล) กับผู้ให้บริการ AI ไม่ได้จำกัดอยู่แค่ผู้ควบคุมข้อมูล
| ประเด็น | สิ่งที่ร่างระบุ |
|---|---|
| ผู้เปิดรับฟังความเห็น | JPDP เอกสารฉบับที่ 1/2026 (ร่างแนวปฏิบัติ Version 1.0) |
| ขนาดของร่าง | 10 ส่วน 43 ข้อ |
| ปิดรับความเห็น | 23 ตุลาคม 2569 |
| วันมีผลและระยะผ่อนผัน | ยังไม่กำหนด |
| AI ที่เข้าข่าย | สร้างเอง ซื้อจากภายนอก ฝังใน SaaS คลาวด์ API รวม AI อเนกประสงค์ |
| หน้าที่ที่ขยายไปถึง | ผู้ประมวลผลข้อมูล และผู้ให้บริการ AI |
ร่างเขียนปนกัน ทั้งถ้อยคำแนว “แนวปฏิบัติที่ดี” และคำว่า “shall” จึงยังไม่ชัดว่าเมื่อประกาศจริงจะบังคับแค่ไหน
กรอบ AI มาเลเซียกระทบธุรกิจไทยอย่างไร
กรอบ AI มาเลเซียกระทบธุรกิจไทยสองทาง ทางตรงคือกลุ่มบริษัทที่ทำธุรกิจในมาเลเซีย และผู้ให้บริการ SaaS หรือ AI ที่ขายเข้าไปที่นั่น ทางอ้อมคือทุกบริษัทที่ซื้อ AI ใช้ เพราะร่างนี้เป็นแบบเทียบกับร่างแนวปฏิบัติ AI ของสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (สคส.) ที่เปิดรับฟังความเห็นเมื่อ 18 กุมภาพันธ์ 2569 ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
ใช้ AI กับข้อมูลเดิมต้องแจ้งและขอความยินยอมใหม่ไหม
ถ้าใช้ AI กับข้อมูลเดิมเพื่อวัตถุประสงค์ใหม่ ร่างให้แจ้งใหม่ และขอความยินยอมใหม่เมื่อกฎหมายกำหนด เพราะการใช้ AI ไม่ได้สร้างฐานทางกฎหมายใหม่ ลองนึกภาพร้านเสริมความงามที่เก็บเบอร์ลูกค้าไว้นัดคิว แล้วเอารายชื่อให้ AI วิเคราะห์เพื่อส่งโปรโมชัน (ตัวอย่างสมมติ) วัตถุประสงค์เปลี่ยนไปแล้ว หลักเดียวกันมีใน PDPA ไทย มาตรา 21 ที่ให้ใช้ข้อมูลตามวัตถุประสงค์ที่แจ้งไว้ อ่านเรื่องฐานทางกฎหมายต่อได้ใน PDPA ไทย: การขอความยินยอมอาจไม่ใช่คำตอบแรกที่ธุรกิจควรเลือก
พนักงานเอาข้อมูลลูกค้าใส่ AI ที่บริษัทไม่ได้อนุมัติได้ไหม
ไม่ควร เพราะร่างห้ามนำข้อมูลส่วนบุคคลเข้า AI ที่ไม่ได้รับอนุมัติ และให้เข้ารหัสข้อมูลเมื่อส่งไปยังบริการ AI ภายนอก ลองนึกภาพพนักงานที่วางรายชื่อลูกค้าลงเครื่องมือ AI ฟรีเพื่อให้ช่วยสรุป (ตัวอย่างสมมติ) ในไทยเรื่องนี้ชนกับหน้าที่รักษาความมั่นคงปลอดภัยตาม PDPA มาตรา 37(1) อยู่แล้ว อ่านเรื่อง Shadow AI ได้ใน AI ฟรีจากรัฐกำลังเป็น Shadow AI? 5 จุดเสี่ยงที่บริษัทไทยห้ามพลาด
ก่อนซื้อ AI ต้องตรวจผู้ขายและเขียนสัญญาอย่างไร
ร่างให้ตรวจผู้ขาย 8 ด้านก่อนซื้อหรือเชื่อม AI จากภายนอก และให้สัญญากับผู้ประมวลผลครอบคลุม 7 รายการ รายการเต็มอยู่ในเอกสารต้นฉบับของ JPDP บทความนี้จึงไม่ไล่ทีละข้อ ตัวเลขนี้บอกทิศทางว่าอาเซียนเริ่มเปลี่ยนจากหลักการกว้าง ๆ เป็นรายการตรวจที่วัดผลได้ เมื่อเทียบเบื้องต้น ร่างมาเลเซียละเอียดกว่าร่างแนวปฏิบัติ AI ของ สคส. ในเรื่องสัญญาผู้ขายและการโอนข้อมูลข้ามประเทศ บริษัทไทยที่มีแบบประเมินผู้ขาย (vendor due diligence) อยู่แล้ว ควรเทียบดูว่าครอบคลุมพอไหม
ส่งข้อมูลให้ AI ต่างประเทศต้องประเมินอะไร
ร่างให้ทำ Transfer Impact Assessment เมื่อโอนข้อมูลข้ามประเทศ และต้องประเมินใหม่เมื่อผู้ขายเปลี่ยนเงื่อนไขหรือเปลี่ยนผู้รับจ้างช่วง ในไทย การส่งข้อมูลไปต่างประเทศอยู่ใต้ PDPA มาตรา 28–29 บริษัทที่ใช้ AI ของผู้ให้บริการต่างประเทศจึงควรมีเอกสารว่าส่งข้อมูลอะไรไปที่ไหน และมีกลไกตามเมื่อผู้ขายเปลี่ยนเงื่อนไข ตัวอย่างอาเซียนอีกประเทศที่เข้มเรื่องนี้คือ เวียดนามออก Decree 330/2026 ตั้งโทษปรับข้อมูลส่วนบุคคลรายข้อ โอนข้อมูลข้ามแดนผิดปรับถึง 5% ของรายได้ บริษัทไทยที่มีลูกค้าหรือพนักงานเวียดนามต้องเช็กอะไร
ถ้าไม่เตรียมรับกรอบ AI มาเลเซีย จะเสี่ยงอะไร
ถ้าไม่เตรียมอะไรเลย บริษัทไทยที่เกี่ยวข้องกับมาเลเซียเสี่ยง 3 เรื่อง
- พลาดโอกาสส่งความเห็น ปิดรับ 23 ตุลาคม 2569 ถ้าไม่ส่ง ร่างอาจออกมาโดยไม่มีเสียงจากผู้ให้บริการไทย
- สัญญาไม่พร้อมเมื่อลูกค้าถาม ถ้าร่างออกตามที่เขียน ลูกค้ามาเลเซียอาจขอดูสัญญาผู้ประมวลผลและเอกสารประเมินการโอนข้อมูล
- ข้อมูลไหลเข้า AI โดยไม่มีใครอนุมัติ เรื่องนี้เป็นความเสี่ยงตาม PDPA ไทยอยู่แล้ว ไม่ต้องรอร่างมาเลเซีย
บริษัทไทยที่เกี่ยวข้องกับมาเลเซียควรทำอะไรก่อน 23 ตุลาคม 2569
บริษัทไทยที่มีลูกค้า บริษัทลูก หรือผู้ใช้บริการในมาเลเซีย ควรเริ่มจากดูว่าตัวเองอยู่ตรงไหนของเส้นทางข้อมูล เพราะร่างนี้ครอบคลุมทั้งผู้ซื้อ AI ผู้ประมวลผล และผู้ให้บริการ AI 5 ข้อนี้เริ่มได้ทันที
- 1. ตรวจว่าเกี่ยวกับมาเลเซียหรือไม่ ไล่ดูบริษัทลูก ลูกค้า และ AI ที่แตะข้อมูลส่วนบุคคลชาวมาเลเซีย
- 2. ส่งความเห็นก่อน 23 ตุลาคม 2569 ถ้าเป็นผู้ให้บริการ SaaS หรือ AI ให้ถามเรื่องหน้าที่ที่ขยายถึงผู้ประมวลผล ระยะผ่อนผัน และขอบเขตของ “shall”
- 3. ทำรายชื่อ AI ที่อนุมัติให้ใช้กับข้อมูลส่วนบุคคล แจ้งพนักงานว่าเครื่องมือนอกรายชื่อห้ามใส่ข้อมูลลูกค้า และเข้ารหัสเมื่อส่งไปบริการภายนอก
- 4. ปรับสัญญาผู้ประมวลผลและผู้ขาย AI เพิ่มข้อกำหนดแจ้งเมื่อเปลี่ยนเงื่อนไขหรือผู้รับจ้างช่วง และทบทวนเอกสารการโอนข้อมูลเมื่อมีการเปลี่ยน
- 5. ทำตารางเทียบกับแนวปฏิบัติ AI ของ สคส. แล้วต่อยอดเป็นแบบประเมินผู้ขาย AI ใบเดียวที่ใช้ได้หลายประเทศ
ถ้าต้องการคนช่วยวางแบบประเมินผู้ขาย AI และสัญญาผู้ประมวลผล ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru ติดตามเรื่อง PDPA ต่อได้ที่ หมวด PDPA & Privacy
มุมมองผู้เชี่ยวชาญ
ประโยคที่ผมให้น้ำหนักที่สุดในร่างนี้คือ การใช้ AI ไม่ได้สร้างฐานทางกฎหมายใหม่ การเอาข้อมูลลูกค้าเข้า AI ไม่ได้ทำให้เรามีสิทธิ์ใช้ข้อมูลนั้นเพิ่มขึ้นสักนิด ผมมองว่าอาเซียนกำลังเปลี่ยนจากหลักการกว้าง ๆ เป็นรายการตรวจที่วัดผลได้ ใครทำแบบประเมินผู้ขาย AI ไว้ก่อน จะใช้ซ้ำได้หลายประเทศ จุดที่องค์กรมักพลาดคือเลือกเครื่องมือก่อน แล้วค่อยย้อนมาถามเรื่องฐานทางกฎหมาย
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับกรอบ AI มาเลเซีย
กรอบ AI มาเลเซียคืออะไร
กรอบ AI มาเลเซียคือร่างแนวปฏิบัติ Version 1.0 เรื่อง AI กับการคุ้มครองข้อมูลส่วนบุคคล ที่ JPDP เปิดรับฟังความเห็น มี 10 ส่วน 43 ข้อ ใช้กับ AI ที่สร้างเอง ซื้อมา หรือฝังใน SaaS คลาวด์ และ API
กรอบ AI มาเลเซียมีผลบังคับใช้เมื่อไร
ยังไม่กำหนด ร่างไม่ระบุวันมีผลและระยะผ่อนผัน และยังไม่ชัดว่าจะบังคับแค่ไหน เพราะมีทั้งถ้อยคำแนวแนวปฏิบัติที่ดีและคำว่า “shall”
บริษัทไทยต้องทำตามกรอบ AI มาเลเซียไหม
ขึ้นอยู่กับว่าเกี่ยวข้องกับมาเลเซียหรือไม่ บริษัทไทยที่มีบริษัทลูกหรือลูกค้าในมาเลเซียอาจต้องทำตามทั้งสองประเทศ เมื่อร่างประกาศจริงควรตรวจเงื่อนไขที่ใช้กับกรณีของตัวเองอีกครั้ง
กรอบ AI มาเลเซียส่งความเห็นได้ถึงเมื่อไร
ส่งได้ถึง 23 ตุลาคม 2569 ดูช่องทางส่งความเห็นในเอกสารรับฟังความเห็นฉบับที่ 1/2026 บนเว็บไซต์ของ JPDP
แหล่งอ้างอิง
- กรมคุ้มครองข้อมูลส่วนบุคคลมาเลเซีย (JPDP) — (อ่านต้นฉบับ) — อ่านเอกสารรับฟังความเห็นที่ JPDP
- PPC Land — (อ่านต้นฉบับ) — อ่านข่าวที่ PPC Land
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
