マレーシア、政府向けAI事業者に公的データでのモデル学習を禁止

政府契約でAI学習を禁止、データ削除も義務付け

マレーシアのゴビンド・シン・デオ・デジタル相は2026年10月20日、政府に人工知能（AI）サービスを提供する企業が、政府データや公的データを自社モデルの学習に使用することを禁止していると、議会への書面回答で明らかにした。この制限は政府のAI調達契約すべてに盛り込まれており、処理後のデータ削除も事業者に義務付けている。

ゴビンド氏は、クラウド企業やAI企業（海外事業者を含む）が扱う情報を、どのようにマレーシアの管理下に置くのかを尋ねた、パシルマス選出の国民同盟（Perikatan Nasional）所属アフマド・ファドリ・シャーリ下院議員に回答した。回答では、データの保管場所、暗号化、政府システムへのアクセス、AI事業者による情報の再利用を対象とした管理策を示した。

実務上の区別は、政府の業務を遂行するために情報を使うことと、事業者のAIモデル開発に使うことの間にある。機関が特定のサービスで情報を処理するため、AIシステムを必要とする場合はある。しかし、ゴビンド氏が説明した契約上の制限により、事業者はその情報をモデル学習の材料に転用できず、処理完了後に保持することもできない。

学習とは、AIモデルが例からパターンを学ぶ過程を指す。処理とは、システムが受け取った情報を使って業務を行うことだ。この2つを分けることで、機関は事業者に情報を送った後の扱いを、契約に基づいて管理できる。

ゴビンド氏はまた、AIシステムのライフサイクル全体にわたる説明責任に対処するため、デジタル省がAIガバナンス法案を起草していると述べた。すでに示された措置は政府契約、安全保障指令、公的部門のガイドラインを通じて運用されている一方、法案はより広範な責任の枠組みを定めることになる。

政府データの種類ごとに定められた保管先

マレーシアの保管規則は、情報の機密性に応じて異なる。ゴビンド氏によると、極秘または最高機密に分類された情報は政府のデータセンターに保管しなければならない。機密情報と制限情報は、マレーシア国内にあるプライベートクラウドまたはハイブリッドクラウド環境に限り保管できる。海外のクラウドサービスに保管できるのは、公開可能で機密性のない政府データのみだ。

クラウドサービスとは、ネットワーク経由で利用するコンピューター基盤上で情報を保管・処理するサービスだ。プライベートクラウドは特定の組織専用で、ハイブリッドクラウドは複数のコンピューター環境を組み合わせる。ゴビンド氏が説明した取り決めでは、政府記録の分類によって、機関が利用できる保管先が決まる。

• 極秘・最高機密情報：クラウドサービスではなく、政府のデータセンターに保管。
• 機密情報・制限情報：マレーシア国内のプライベートクラウドまたはハイブリッドクラウド環境に保管。
• 公開可能で機密性のない情報：海外のクラウド環境での保管が可能。

したがって、事業者を選ぶ機関がまず判断すべきなのは、情報そのものについてだ。事業者にデータ処理能力があっても、そのデータをどこに置けるかが決まるわけではない。サービスを利用する前に、機関は情報のセキュリティ分類に合わせて保管方法を選ばなければならない。

暗号鍵は政府の管理下に

政府データは保管中もシステム間の送信中も、国家暗号政策に従って暗号化しなければならないとゴビンド氏は述べた。こうした保護策は一般に、保存時の暗号化と通信時の暗号化と呼ばれる。

暗号化は、読める情報を符号化されたデータに変換する。暗号鍵を使えば、情報を読める状態に戻せる。ゴビンド氏によると、機密扱いのシステムとデータでは、政府が鍵を所有・管理する。これにより、外国のサービス事業者が、他国当局からの要請に応じる場合も含め、独自に内容を読み取ることを防ぐ狙いがある。

保管規則と鍵の管理は、同じ問題の異なる側面に対処する。保管規則は情報の保存場所を定め、鍵の所有権は暗号化された内容を読む手段を誰が持つかを定める。政府は機密情報について、ホスティング場所の制限と合わせ、こうした管理権限も維持するとしている。

政府システムにアクセスできるのは誰か

政府サービスの提供を委託された企業は、セキュリティ審査を受けなければならない。ゴビンド氏によると、政府システムへのアクセス権は役割に応じて付与され、複数要素による認証を必要とし、監査用に記録される。

役割に応じたアクセス管理では、本人に許可された業務によってアクセス権限が決まる。複数要素認証では、パスワードだけでなく、追加のセキュリティ確認などが必要となる。監査ログにはアクセス記録が残され、後から確認できる。

これらの要件は、サーバーの所在地にとどまらず保護の範囲を広げる。マレーシア国内でホストされるシステムであっても、誰がアクセスできるか、どの情報を閲覧できるか、どのような操作をしたかの記録を管理する必要がある。事業者の審査、権限の制限、アクセスログは、政府データを扱う際の条件の一部だ。

AI処理の前にデータを最小限に

公的部門AI導入ガイドライン（GPAISA）は、AIシステムで処理する前に、使用するデータ量を最小限にし、情報を秘匿化または匿名化するよう各機関に求めているとゴビンド氏は述べた。データ最小化とは、業務に必要な情報だけを使うことだ。秘匿化や匿名化は、個人を特定しうる情報が漏れるリスクを減らす。

国家デジタル局の公的部門向けAIガイドラインは、マレーシアの法律・政策の順守、AI倫理の7原則、AIに携わる個人や組織の責任、導入手順、リスク管理を扱っている。付属資料には、マレーシア国内外の公的部門における活用事例と、倫理順守の自己評価項目が含まれる。

同局のAI施策報告書は、GPAISAを、AIを倫理的、透明かつ責任ある形で活用するための公的機関向け参考資料と位置付けている。ガイドラインは、サービス提供の改善、政府業務の強化、新技術に基づくイノベーションの促進に重点を置くとしている。2025年には、AI政策と実務の調整を支援するため、同局が政府機関に40件の技術助言を提供した。

この枠組みは事業者だけでなく、各機関にも責任を課している。AIサービスに情報を渡す前に、機関は業務に必要なデータ量と、個人を特定する情報をどう保護するかを検討しなければならない。その後、事業者が受け取った情報をどう利用し、削除するかは契約で定められる。

倫理評価とリスク管理の項目は、AIシステムを使うかどうか、またどう使うかという、より広い判断の中にデータの扱いを位置付けている。調達はその判断の一段階にすぎず、情報の準備と、サービスの結果に対する責任も機関の業務に含まれる。

2025年2月に始動した枠組み

デジタル省のガイドライン発表資料によると、GPAISAは2025年2月27日、プトラジャヤのホテル・ル・メリディアンで発表された。国家デジタル局がマレーシア・デジタル経済公社と共同で策定し、公的機関向けの専用参考資料としている。

ゴビンド氏は、マレーシア公務員局の運営担当副局長ダト・モハメド・シャイフル・ビン・イブラヒム氏とともに発表式を執り行った。政府各機関の幹部、最高デジタル責任者、公的部門の技術管理者、業界関係者が参加し、政府におけるAI活用事例や倫理、ガバナンスをテーマとするセッションが開かれた。

ガイドラインは6章と3つの付属資料で構成される。その公表後、2026年10月に議会で契約上の制限が説明され、AI法案の起草が明らかになった。主な日程は以下の通り。

• 2024年：個人データの海外移転についてゴビンド氏が説明する際に言及した、2010年個人データ保護法の改正。
• 2025年2月27日：プトラジャヤで公的部門向けAIガイドラインを発表。
• 2026年10月20日：ゴビンド氏が議会への書面回答で、政府のAI契約条件、保管規則、AIガバナンス法案の策定作業について説明。

民間の海外移転には別の法的枠組み

民間企業が扱う個人データについて、ゴビンド氏は、2024年改正の2010年個人データ保護法（PDPA）第129条を挙げた。海外移転の要件には、本人の同意と、移転先の法制度がマレーシアのPDPAに相当することが含まれると説明した。

企業が個人情報を海外のクラウドサービスに送る場合、国境を越えた移転が生じる。ゴビンド氏の説明では、こうした移転は個人データ保護の枠組みの対象となる一方、政府情報には別途、同氏が示した保管分類とセキュリティ管理が適用される。

公的機関と企業の両方が情報を扱う人々にとって、この違いは重要だ。政府の調達条件は、政府のAI契約を担う事業者を規律する。個人情報を扱う民間企業は、その情報を他国に移転する際にPDPAの規則を考慮しなければならない。

AI法案が対象とする範囲

ゴビンド氏によると、デジタル省はAIシステムのライフサイクル全体を通じて技術提供者に説明責任を負わせることを目指し、AIガバナンス法案を起草している。対象分野として、データの品質、透明性、説明可能性を挙げた。法案の議会提出時期は示されず、想定される罰則や詳細な執行体制も回答には記されていない。

データ品質は、システムが使う情報の正確性や業務への適合性などに関わる。透明性は、システムがどのように開発され、利用されるかを明らかにすることだ。説明可能性とは、出力や判断を人が理解できるようにすることを指す。こうした課題を通じて、説明責任はAIサービスの導入時だけでなく、その後にも及ぶ。

こうした管理策は、マレーシアがコンピューター基盤を拡充する中で導入される。データセンターや太陽光発電所のためのプランテーション用地の再開発により、大手パーム油企業もこの分野に参入している。以前の試算では、データセンターの電力需要は2035年までに少なくとも5ギガワットに達し、当時の発電容量の約20％に相当するとされた。政府は2035年までに稼働中のデータセンターを81カ所とする目標も掲げている。

機関や事業者にとって、この拡大に伴い、許可される利用方法に関する規則が具体性を増す。情報を保管・処理する能力の拡充は、デジタルサービスの選択肢を広げる。政府契約、データ分類、暗号鍵、アクセス管理によって、機関が利用できる選択肢と、事業者が情報に対して行えることが決まる。

要点

• 政府のAI契約は、政府データや公的データをモデル学習に使うことを事業者に禁じ、処理後の削除を義務付ける。
• 極秘・最高機密情報は政府のデータセンターに保管しなければならない。機密情報・制限情報には国内のプライベートクラウドまたはハイブリッドクラウドを利用できる。
• 海外のクラウド環境に保管できるのは、公開可能で機密性のない政府データのみ。
• 政府は機密扱いのシステムとデータの暗号鍵を管理し、事業者にはセキュリティ審査とアクセス管理を課す。
• 公的機関はGPAISAに基づき、AI処理の前にデータを最小限にし、秘匿化または匿名化しなければならない。
• 説明責任、データ品質、透明性、説明可能性を扱うAIガバナンス法案を起草中。