คลาวด์ภาครัฐมาเลเซีย: ข้อมูลลับต้องอยู่ในประเทศ สัญญา AI ห้ามใช้ข้อมูลรัฐฝึกโมเดล
กติกาคลาวด์ภาครัฐมาเลเซียที่ Gobind Singh Deo ตอบสภา 20 ต.ค. 2026 ให้ข้อมูลลับอยู่ในดาต้าเซ็นเตอร์รัฐหรือคลาวด์ในประเทศ มีแต่ข้อมูลเปิดที่ไปคลาวด์ต่างประเทศได้
โดย กองบรรณาธิการ THAI DATA อ่าน 5 นาที ผู้เข้าชม 1
สรุปประเด็นสำคัญ
- 20 ตุลาคม 2026 Gobind Singh Deo รัฐมนตรีดิจิทัลของมาเลเซีย ตอบกระทู้ถามเป็นหนังสือในสภา อธิบายกติกาคลาวด์ภาครัฐมาเลเซียที่ใช้กับผู้ให้บริการคลาวด์และ AI รวมถึงบริษัทต่างชาติ
- ข้อมูลระดับ Top Secret และ Secret เก็บได้เฉพาะในดาต้าเซ็นเตอร์ของรัฐ ส่วนระดับ Confidential และ Restricted เก็บได้เฉพาะใน private cloud หรือ hybrid cloud ที่ตั้งในมาเลเซีย
- ตามคำตอบวันที่ 20 ต.ค. 2026 กติกาคลาวด์ภาครัฐมาเลเซียให้เก็บบนคลาวด์ต่างประเทศได้เฉพาะ ข้อมูลเปิดที่ไม่อ่อนไหว และระบบที่มีชั้นความลับต้องใช้กุญแจเข้ารหัสที่รัฐถือเอง
- สัญญาจัดซื้อ AI ของรัฐ ห้ามใช้ข้อมูลรัฐหรือประชาชนฝึกโมเดล และต้องลบข้อมูลหลังประมวลผล ส่วนแนวทาง GPAISA ที่ออกเมื่อ 27 ก.พ. 2025 ให้หน่วยงานปกปิดตัวตนในข้อมูลก่อนส่งเข้า AI
- ฝั่งไทย สพร. เวียน ร่างหลักเกณฑ์การจัดระดับชั้นข้อมูลภาครัฐ ฉบับ CDV v0.3 (มกราคม 2569) ซึ่งให้ข้อมูลที่คะแนนความเสี่ยงต่ำกว่า 10 คะแนน ใช้ Public Cloud ได้ ต่างจากคลาวด์ภาครัฐมาเลเซียที่ผูกข้อมูลลับไว้ในประเทศ
Gobind Singh Deo รัฐมนตรีดิจิทัลของมาเลเซีย ตอบกระทู้ถามเป็นหนังสือในสภาเมื่อวันที่ 20 ตุลาคม 2026 อธิบายกติกาคลาวด์ภาครัฐมาเลเซียว่า ข้อมูลที่มีชั้นความลับต้องอยู่ในดาต้าเซ็นเตอร์ของรัฐหรือคลาวด์ที่ตั้งในประเทศ และมีเพียงข้อมูลเปิดที่ไม่อ่อนไหวที่เก็บบนคลาวด์ต่างประเทศได้
คำตอบเดียวกันระบุว่าสัญญาจัดซื้อ AI ของรัฐห้ามผู้ให้บริการนำข้อมูลรัฐหรือข้อมูลประชาชนไปฝึกโมเดล และกระทรวงดิจิทัลกำลังร่างกฎหมายกำกับ AI ทำให้เห็นว่าผู้ให้บริการที่จะรับงานคลาวด์ภาครัฐมาเลเซีย รวมถึงบริษัทต่างชาติ ต้องเตรียมอะไรบ้าง
กติกาคลาวด์ภาครัฐมาเลเซีย: ข้อมูลแต่ละระดับชั้นเก็บที่ไหนได้
Gobind ตอบคำถามของ Ahmad Fadhli Shaari ส.ส. เขต Pasir Mas สังกัด PN ที่ถามว่ารัฐบาลดูแลอย่างไรให้ข้อมูลที่ผู้ให้บริการคลาวด์และ AI ต่างชาติประมวลผลยังอยู่ในการควบคุมของมาเลเซีย จากรายงานของ The Edge Malaysia และ Free Malaysia Today กติกาแยกตามชั้นข้อมูลได้ดังนี้
| ระดับชั้นข้อมูลภาครัฐ | ที่เก็บได้ตามคำตอบวันที่ 20 ต.ค. 2026 |
|---|---|
| Rahsia Besar (Top Secret) และ Rahsia (Secret) | เฉพาะดาต้าเซ็นเตอร์ของรัฐ ไม่ใช่บริการคลาวด์ออนไลน์ทั่วไป |
| Sulit (Confidential) และ Terhad (Restricted) | เฉพาะ private cloud หรือ hybrid cloud ที่ตั้งในมาเลเซีย |
| ข้อมูลเปิดที่ไม่อ่อนไหว | เก็บบนคลาวด์ที่ตั้งในต่างประเทศได้ |
The Edge Malaysia เขียนว่าข้อมูลที่มีชั้นความลับสูงถูกห้ามเก็บบนคลาวด์ และการจำกัดข้อมูลระดับ Confidential กับ Restricted ไว้ในคลาวด์ในประเทศเป็นไปตามคำสั่งด้านความมั่นคงที่ใช้อยู่แล้ว ส่วน Free Malaysia Today ระบุชั้นความลับทีละระดับตามตารางข้างต้น
มาตรการกับผู้ให้บริการคลาวด์และ AI
นอกจากที่ตั้งของข้อมูล คลาวด์ภาครัฐมาเลเซียยังมีมาตรการกับผู้ขายที่รับงานรัฐ
- คัดกรองผู้ขาย: ผู้ขายที่ได้รับแต่งตั้งต้องผ่านการตรวจสอบด้านความมั่นคง
- ควบคุมการเข้าถึง: ให้สิทธิตามบทบาทงาน ต้องยืนยันตัวตนหลายปัจจัย (MFA) และบันทึกไว้ตรวจสอบ
- เข้ารหัสทุกสถานะ: ข้อมูลรัฐต้องเข้ารหัสทั้งตอนจัดเก็บและตอนรับส่ง ตาม National Cryptography Policy
- รัฐถือกุญแจเอง: ระบบที่มีชั้นความลับใช้กุญแจเข้ารหัสที่รัฐเป็นเจ้าของและควบคุม เพื่อไม่ให้ผู้ให้บริการต่างชาติเปิดอ่านได้เอง แม้หน่วยงานของประเทศอื่นจะร้องขอ
- ห้ามฝึกโมเดล: สัญญาจัดซื้อ AI ของรัฐห้ามใช้ข้อมูลรัฐหรือประชาชนฝึกโมเดล และให้ลบข้อมูลหลังประมวลผล Free Malaysia Today รายงานว่าข้อนี้อยู่ในสัญญาจัดซื้อ AI ของรัฐทุกฉบับ
Gobind ยังอ้างแนวทาง GPAISA ที่บังคับให้หน่วยงานลดปริมาณข้อมูล และปกปิดหรือทำให้ข้อมูลระบุตัวตนไม่ได้ก่อนส่งเข้าระบบ AI แนวทางนี้ Jabatan Digital Negara (JDN) หน่วยงานภายใต้กระทรวงดิจิทัล จัดทำร่วมกับ MDEC และเปิดตัวเมื่อ 27 กุมภาพันธ์ 2025 ยาว 158 หน้า ส่วน AI Governance Bill ที่กำลังร่างจะให้ผู้ให้บริการรับผิดชอบตลอดวงจรชีวิตของระบบ AI ทั้งคุณภาพข้อมูล ความโปร่งใส และการอธิบายผลได้
ข้อมูลส่วนบุคคลของภาคเอกชนใช้ PDPA มาตรา 129
สำหรับข้อมูลส่วนบุคคลที่บริษัทเอกชนดูแล Gobind ระบุว่าการย้ายไปคลาวด์ในต่างประเทศอยู่ภายใต้มาตรา 129 ของ Personal Data Protection Act 2010 ฉบับแก้ไขปี 2024 Free Malaysia Today ยกตัวอย่างเงื่อนไข เช่น ความยินยอมของเจ้าของข้อมูล และการที่ประเทศปลายทางมีกฎหมายคล้าย PDPA ของมาเลเซีย
ทำไมกติกาคลาวด์ภาครัฐมาเลเซียจึงสำคัญ
มาเลเซียเพิ่งอนุมัติโครงการดาต้าเซ็นเตอร์ 27 โครงการ และเตรียมร่าง Data Centre Bill กติกาคลาวด์ภาครัฐมาเลเซียที่ผูกข้อมูลลับไว้ในประเทศหมายความว่างานรัฐที่ใช้ข้อมูลมีชั้นความลับต้องรันบนดาต้าเซ็นเตอร์หรือคลาวด์ที่ตั้งในมาเลเซีย ส่วนสิงคโปร์เลือกอีกทางคือให้ดาต้าเซ็นเตอร์และคลาวด์รายใหญ่ต้องมีใบอนุญาต
เทียบกับหลักเกณฑ์ของไทย
สำนักงานพัฒนารัฐบาลดิจิทัล (สพร.) มีมาตรฐาน มสพร. 8-2565 ว่าด้วยหลักเกณฑ์การจัดระดับชั้นและการแบ่งปันข้อมูลภาครัฐ ประกาศเมื่อ 7 พฤศจิกายน 2565 และกำลังทบทวนให้สอดคล้องกับนโยบายการใช้คลาวด์ ร่างฉบับใหม่ (CDV v0.3 มกราคม 2569) ซึ่งหน้าปกระบุว่ายังห้ามใช้เป็นมาตรฐาน แบ่งข้อมูลสำหรับการใช้คลาวด์เป็น 3 กลุ่ม
- Highly Protected Data: เทียบชั้นลับที่สุด การนำขึ้นคลาวด์เป็นดุลพินิจของหัวหน้าหน่วยงาน และห้ามส่งออกนอกเครือข่าย Secure Isolated Network
- Protected Data: ชั้นลับและชั้นลับมาก เช่น ข้อมูลการเสียภาษี บัญชีธนาคาร และประวัติการรักษาพยาบาล
- Official Data: ชั้นเผยแพร่ภายในองค์กรและชั้นเปิดเผย เช่น เว็บไซต์ หนังสือสารบรรณ และเอกสารจัดซื้อจัดจ้าง
ร่างนี้สรุปว่าข้อมูลที่คะแนนประเมินความเสี่ยงต่ำกว่า 10 คะแนนใช้ Public Cloud ได้ และให้ไปดูเรื่องถิ่นที่อยู่ของข้อมูลในร่างมาตรฐานว่าด้วยแนวทางการใช้คลาวด์อีกฉบับ ต่างจากคลาวด์ภาครัฐมาเลเซียที่ระบุที่ตั้งในประเทศไว้ชัดสำหรับข้อมูลทุกระดับชั้นความลับ
สิ่งที่องค์กรไทยควรทำ
- ผู้ให้บริการที่จะรับงานคลาวด์ภาครัฐมาเลเซีย ต้องมี private cloud หรือ hybrid cloud ในมาเลเซียสำหรับข้อมูลระดับ Confidential และ Restricted พร้อม MFA บันทึกการเข้าถึง และการเข้ารหัสที่รัฐถือกุญแจเองสำหรับระบบที่มีชั้นความลับ
- ผู้ขายระบบ AI ควรเตรียมข้อสัญญาว่าจะไม่นำข้อมูลลูกค้าไปฝึกโมเดลและจะลบข้อมูลหลังประมวลผล เพราะสัญญาจัดซื้อ AI ของรัฐมาเลเซียใช้เงื่อนไขนี้อยู่แล้ว
- บริษัทไทยที่ถือข้อมูลลูกค้าชาวมาเลเซีย ให้ตรวจเงื่อนไขตามมาตรา 129 ของ PDPA มาเลเซียก่อนย้ายข้อมูลไปคลาวด์ในไทยหรือประเทศอื่น
- หน่วยงานรัฐไทย จัดระดับชั้นข้อมูลตาม มสพร. 8-2565 ไปก่อน และส่งความเห็นต่อร่างฉบับใหม่ของ สพร. โดยเฉพาะเรื่องถิ่นที่อยู่ของข้อมูลและผู้ถือกุญแจเข้ารหัส ติดตามข่าวกฎหมายดิจิทัลอื่นได้ที่หมวดนโยบาย
คำถามที่พบบ่อย
กติกาคลาวด์ภาครัฐมาเลเซียให้เก็บข้อมูลลับไว้ที่ไหน?
ตามคำตอบของรัฐมนตรีดิจิทัล Gobind Singh Deo เมื่อ 20 ตุลาคม 2026 กติกาคลาวด์ภาครัฐมาเลเซียให้ข้อมูลระดับ Top Secret และ Secret เก็บได้เฉพาะในดาต้าเซ็นเตอร์ของรัฐ ส่วนข้อมูลระดับ Confidential และ Restricted เก็บได้ใน private cloud หรือ hybrid cloud ที่ตั้งในมาเลเซีย
ข้อมูลรัฐบาลมาเลเซียระดับไหนเก็บบนคลาวด์ต่างประเทศได้?
เฉพาะข้อมูลเปิดที่ไม่อ่อนไหว ตามกติกาคลาวด์ภาครัฐมาเลเซียที่ Gobind Singh Deo อธิบายต่อสภาเมื่อ 20 ตุลาคม 2026 ข้อมูลที่มีชั้นความลับต้องอยู่ในดาต้าเซ็นเตอร์ของรัฐหรือคลาวด์ที่ตั้งในประเทศ
ผู้ให้บริการ AI ใช้ข้อมูลรัฐบาลมาเลเซียฝึกโมเดลได้หรือไม่?
ไม่ได้ สัญญาจัดซื้อ AI ที่อยู่ในกติกาคลาวด์ภาครัฐมาเลเซียห้ามผู้ให้บริการใช้ข้อมูลของรัฐหรือของประชาชนฝึกโมเดล AI และต้องลบข้อมูลหลังประมวลผลเสร็จ แนวทาง GPAISA ยังให้หน่วยงานลดปริมาณข้อมูลและปกปิดตัวตนก่อนส่งเข้าระบบ AI
ไทยมีหลักเกณฑ์จัดระดับชั้นข้อมูลภาครัฐสำหรับการใช้คลาวด์หรือยัง?
สพร. มีมาตรฐาน มสพร. 8-2565 ว่าด้วยหลักเกณฑ์การจัดระดับชั้นและการแบ่งปันข้อมูลภาครัฐ ประกาศเมื่อ 7 พฤศจิกายน 2565 และกำลังปรับปรุงเป็นร่างฉบับใหม่ (CDV v0.3 มกราคม 2569) ที่เชื่อมระดับชั้นข้อมูลกับการเลือกใช้คลาวด์ ร่างนี้ยังอยู่ระหว่างเวียนขอความเห็น
บริษัทเอกชนส่งข้อมูลส่วนบุคคลของคนมาเลเซียไปคลาวด์ต่างประเทศได้หรือไม่?
ได้ภายใต้เงื่อนไข นอกจากกติกาคลาวด์ภาครัฐมาเลเซีย Gobind Singh Deo ระบุว่าการส่งข้อมูลส่วนบุคคลที่ภาคเอกชนดูแลไปคลาวด์ต่างประเทศอยู่ภายใต้มาตรา 129 ของ PDPA มาเลเซียฉบับแก้ไขปี 2024 บริษัทไทยที่ถือข้อมูลลูกค้ามาเลเซียต้องตรวจมาตรานี้ก่อนย้ายข้อมูล
แหล่งอ้างอิง
- Gobind: Highly classified public-sector data barred from cloud storage — The Edge Malaysia
- Tech firms barred from using public's data to train AI models, says govt — Free Malaysia Today
- Syarikat teknologi dilarang guna data awam latih model AI, kata kerajaan — Free Malaysia Today
- Siaran Media: Jabatan Digital Negara Luncur Garis Panduan Pengadaptasian Kecerdasan Buatan (AI) Sektor Awam — Jabatan Digital Negara (JDN)
- ร่าง มาตรฐานรัฐบาลดิจิทัล ว่าด้วยหลักเกณฑ์การจัดระดับชั้นข้อมูลภาครัฐ ฉบับ CDV v0.3 — สำนักงานพัฒนารัฐบาลดิจิทัล (องค์การมหาชน)
บุคคล องค์กร และสถานที่ในข่าวนี้
เลือกชื่อเพื่ออ่านข่าวทั้งหมดที่กล่าวถึง ตัวเลขคือจำนวนข่าว
- ประเทศและสถานที่
- มาเลเซีย72สิงคโปร์81
- กฎหมายและมาตรฐาน
- PDPA104
พบข้อมูลคลาดเคลื่อน? แจ้งกองบรรณาธิการ