Data Privacy dalam Era AI: Cara Mengawal Maklumat yang Dikongsi.

🔒 AI SAFETY • SUPPORTING GUIDE • BEGINNER

Panduan praktikal untuk memahami data yang dikongsi dengan perkhidmatan AI dan mengurangkan pendedahan yang tidak perlu.

Oleh Nobodynaga

Ilustrasi perlindungan data peribadi dalam penggunaan AI

Ringkasan

Apabila anda menggunakan AI, maklumat yang dimasukkan mungkin diproses oleh penyedia perkhidmatan atau ciri yang disambungkan. Cara data dikendalikan berbeza mengikut produk, akaun, tetapan dan kontrak. Jangan anggap semua perbualan dipadam serta-merta, dirahsiakan sepenuhnya atau digunakan dengan cara yang sama.

Langkah paling praktikal ialah berkongsi data minimum, menggunakan alat yang sesuai untuk jenis maklumat tersebut dan menyemak tetapan serta notis privasi sebelum memuat naik bahan sensitif.

Apakah data yang perlu diberi perhatian?

Data peribadi ialah maklumat yang mengenal pasti atau boleh dikaitkan dengan seseorang. Selain nama dan nombor pengenalan, dokumen mungkin mengandungi alamat, nombor telefon, gambar, rekod kesihatan, maklumat akaun atau butiran pekerjaan. Gabungan beberapa butiran yang kelihatan biasa juga boleh mengenal pasti seseorang.

Dalam penggunaan AI, data boleh muncul dalam prompt, fail yang dimuat naik, rakaman suara, imej, sejarah perbualan, hasil yang dikongsi atau integrasi dengan aplikasi lain. Semak keseluruhan bahan, bukan hanya teks yang anda taip.

Semak sebelum memasukkan maklumat ke AI

Adakah maklumat itu diperlukan? Cuba tugasan dengan data rekaan atau dinyahpengenalan terlebih dahulu.
Siapakah penyedia dan pemilik akaun? Bezakan akaun peribadi dengan akaun kerja atau sekolah yang mempunyai tetapan dan syarat berlainan.
Bagaimana data digunakan? Semak notis privasi, tetapan sejarah, penggunaan data untuk penambahbaikan, tempoh simpanan, perkongsian dan cara memadamnya.
Apa yang disambungkan? Semak plugin, sambungan, ruang kerja bersama dan aplikasi luaran yang boleh menerima prompt atau fail.
Adakah saya dibenarkan memuat naiknya? Dokumen pelanggan, pekerja, pelajar atau pihak ketiga mungkin tertakluk pada polisi organisasi dan kewajipan lain.

Amalan harian untuk mengurangkan pendedahan

Buang nama, nombor akaun, alamat, pengecam dan metadata yang tidak diperlukan sebelum meminta ringkasan atau analisis.
Gunakan petikan minimum yang diperlukan, bukan memuat naik keseluruhan rekod.
Gunakan alat dan akaun yang diluluskan oleh organisasi untuk maklumat kerja.
Hadkan akses perkongsian dan semak pautan fail sebelum menghantarnya.
Jangan masukkan kata laluan, OTP, kunci API atau rahsia perniagaan ke dalam prompt.
Semak sama ada output AI memaparkan semula data peribadi sebelum menyalin atau menerbitkannya.

Amalan ini mengurangkan pendedahan yang tidak perlu tetapi tidak menjamin risiko menjadi sifar. Panduan CISA juga menasihatkan pengguna supaya tidak memasukkan maklumat sensitif atau sulit ke dalam sistem AI tanpa memahami perlindungannya.

Jika anda mengurus AI di organisasi

Organisasi patut menetapkan jenis data yang boleh digunakan dengan setiap alat, tujuan pemprosesan, pihak yang mempunyai akses, tempoh simpanan dan proses memadam atau menangani insiden. Semak vendor serta sambungan data sebelum penggunaan, dan libatkan pegawai privasi atau keselamatan apabila maklumat sensitif atau berskala besar terlibat. Rekodkan keputusan supaya pekerja tahu alat mana yang diluluskan dan kepada siapa mereka perlu melaporkan salah hantar.

Konteks Malaysia: semak sumber semasa

JPDP Malaysia menerangkan tujuh prinsip perlindungan data peribadi, termasuk prinsip notis dan pilihan, penzahiran, keselamatan, penyimpanan, integriti dan akses. Akta Perlindungan Data Peribadi 2010 telah dipinda pada 2024 dan pindaan mula berkuat kuasa secara berperingkat pada 2025. Kewajipan khusus bergantung pada peranan, jenis pemprosesan dan keadaan; panduan ringkas ini bukan nasihat undang-undang.

Pada Oktober 2026, JPDP menerbitkan Public Consultation Paper No. 1/2026: Artificial Intelligence (AI) and Personal Data Protection Framework. Ia ialah kertas konsultasi untuk mendapatkan pandangan, bukan dengan sendirinya bukti bahawa kerangka akhir telah diluluskan atau berkuat kuasa. Semak halaman JPDP untuk status dan bahan rasmi terkini.

Contoh simulasi: meringkaskan aduan pelanggan

Nota: Contoh ini simulasi, bukan hasil ujian produk.

Seorang pekerja mahu meminta AI menyusun tema dalam aduan pelanggan. Daripada memuat naik fail asal yang mengandungi nama, telefon dan nombor pesanan, dia menggunakan alat yang dibenarkan organisasi, membuang pengecam dan berkongsi petikan minimum. Jika tindakan susulan memerlukan identiti pelanggan, pekerja kembali ke sistem rekod dalaman dengan akses terkawal.

Jika data tersalah kongsi atau akaun terjejas

Hentikan perkongsian dan gunakan fungsi pemadaman atau penarikan akses jika tersedia.
Maklumkan organisasi, pemilik data atau pegawai privasi mengikut prosedur yang ditetapkan.
Jika kelayakan akaun didedahkan, tukar kata laluan melalui laman rasmi, tamatkan sesi yang tidak dikenali dan aktifkan pengesahan berbilang faktor.
Simpan rekod tentang data, masa, alat dan penerima yang mungkin terlibat.
Ikut nasihat JPDP, organisasi atau pihak berkuasa yang relevan tentang langkah seterusnya.

Checklist sebelum menggunakan AI dengan data

☐ Tujuan penggunaan jelas dan data yang dimasukkan minimum.
☐ Alat serta jenis akaun sesuai dan diluluskan.
☐ Tetapan sejarah, latihan, perkongsian dan pemadaman telah disemak.
☐ Fail tidak mengandungi pengecam atau maklumat sulit yang tidak diperlukan.
☐ Integrasi dan penerima output diketahui.
☐ Ada proses untuk melaporkan salah hantar atau insiden.

Soalan lazim

Adakah semua data yang saya masukkan digunakan untuk melatih model?

Tidak semestinya. Pengendalian bergantung pada produk, tetapan, jenis akaun dan syarat penyedia. Semak notis dan tetapan semasa untuk perkhidmatan yang digunakan.

Adakah VPN melindungi data yang saya masukkan ke chatbot?

VPN boleh melindungi sebahagian sambungan rangkaian dalam keadaan tertentu, tetapi tidak mengubah cara penyedia chatbot memproses prompt selepas menerimanya. Ia bukan pengganti semakan tetapan dan amalan minimisasi data.

Bolehkah saya menggunakan data pelanggan jika nama dipadam?

Memadam nama tidak semestinya menjadikan data mustahil dikenal pasti. Gabungan butiran masih boleh menunjukkan identiti seseorang. Kurangkan butiran dan rujuk polisi organisasi serta panduan privasi yang berkaitan.

Rujukan rasmi

Kesimpulan

Privasi dalam penggunaan AI bermula sebelum anda menekan butang hantar: periksa apa yang terkandung dalam prompt dan fail, sama ada alat itu sesuai, serta bagaimana penyedia mengendalikan data. Kongsi sekadar yang diperlukan dan ikuti polisi organisasi. Untuk isu undang-undang atau insiden sebenar, rujuk panduan rasmi terkini dan pihak yang bertanggungjawab.

Artikel berkaitan:

AI Phishing
AI Privacy Framework
AI Safety Hub

Artikel ini disediakan mengikut Editorial Policy Nobodynaga, dengan bantuan AI dalam sebahagian proses kerja seperti dinyatakan dalam AI Usage & Disclosure. Semakan akhir dan ketepatan fakta kekal tanggungjawab manusia.