La Malaisie interdit aux fournisseurs d’IA de l’État d’entraîner leurs modèles sur des données publiques

Les contrats publics interdisent l’entraînement des modèles et imposent la suppression des données

La Malaisie interdit aux entreprises fournissant des services d’intelligence artificielle à l’État d’utiliser des données publiques ou gouvernementales pour entraîner leurs modèles, a déclaré le ministre du Numérique, Gobind Singh Deo, dans une réponse écrite au Parlement le 20 octobre 2026. Cette restriction figure dans tous les contrats publics d’achat de solutions d’IA, qui imposent également aux prestataires de supprimer les données après leur traitement.

Gobind répondait à Ahmad Fadhli Shaari, député du Perikatan Nasional pour Pasir Mas, qui demandait comment les informations traitées par les entreprises du cloud et de l’IA, y compris les fournisseurs étrangers, restent sous contrôle malaisien. Sa réponse a détaillé les contrôles portant sur les lieux de stockage, le chiffrement, l’accès aux systèmes gouvernementaux et la réutilisation des informations par les fournisseurs d’IA.

La distinction concrète porte sur l’utilisation des informations pour accomplir une tâche publique et leur utilisation pour développer le modèle d’IA d’un fournisseur. Une administration peut avoir besoin d’un système d’IA pour traiter des informations dans le cadre d’un service donné. Selon la restriction contractuelle décrite par Gobind, le fournisseur ne peut ensuite utiliser ces informations pour entraîner ses modèles ni les conserver une fois le traitement terminé.

L’entraînement est le processus par lequel un modèle d’IA apprend des schémas à partir d’exemples. Le traitement consiste à utiliser un système pour effectuer une tâche à partir des informations qu’il reçoit. En séparant ces deux activités, les administrations disposent d’une base contractuelle pour contrôler le devenir des informations après leur transmission à un fournisseur.

Gobind a également indiqué que le ministère du Numérique prépare un projet de loi sur la gouvernance de l’IA afin de définir les responsabilités tout au long du cycle de vie d’un système d’IA. Les mesures déjà présentées reposent sur les contrats publics, les directives de sécurité et les lignes directrices du secteur public, tandis que le texte envisagé établirait un cadre de responsabilité plus large.

Où peut être stockée chaque catégorie de données gouvernementales ?

Les règles de stockage malaisiennes varient selon le degré de sensibilité des informations. Gobind a précisé que les documents classifiés secrets ou top secret doivent rester dans des centres de données gouvernementaux. Les informations confidentielles et à diffusion restreinte ne peuvent être stockées que dans des environnements de cloud privé ou hybride situés en Malaisie. Seules les données gouvernementales ouvertes et non sensibles peuvent être stockées dans des services cloud à l’étranger.

Un service cloud stocke ou traite des informations sur une infrastructure informatique accessible par réseau. Un cloud privé est réservé à une organisation donnée, tandis qu’un cloud hybride associe plusieurs environnements informatiques distincts. Selon les dispositions décrites par Gobind, la classification d’un document gouvernemental détermine les options de stockage dont une administration peut se servir.

• Informations secrètes et top secret : centres de données gouvernementaux, et non services cloud.
• Informations confidentielles et à diffusion restreinte : environnements de cloud privé ou hybride situés en Malaisie.
• Informations ouvertes et non sensibles : stockage possible dans des environnements cloud à l’étranger.

Pour une administration qui choisit un fournisseur, la première décision porte donc sur les informations elles-mêmes. La capacité d’un prestataire à traiter des données ne détermine pas où celles-ci peuvent être hébergées. Avant d’utiliser le service, l’administration doit adapter les modalités de stockage à la classification de sécurité des données.

Les clés de chiffrement restent sous le contrôle de l’État

Les données gouvernementales doivent être chiffrées lorsqu’elles sont stockées comme lorsqu’elles circulent entre des systèmes, conformément à la politique nationale de cryptographie, a déclaré Gobind. Ces protections sont généralement désignées par les expressions « chiffrement au repos » et « chiffrement en transit ».

Le chiffrement transforme des informations lisibles en contenu codé. Une clé cryptographique permet de retrouver la version lisible. Pour les systèmes et les données classifiés, Gobind a indiqué que l’État possède et contrôle ces clés, afin d’empêcher un fournisseur étranger de lire de manière indépendante leur contenu, y compris en réponse à une demande des autorités d’un autre pays.

Les règles de stockage et le contrôle des clés répondent à deux aspects d’un même problème. Les règles de stockage déterminent où les informations peuvent se trouver. La détention des clés détermine qui dispose des moyens de lire le contenu chiffré. Pour les informations classifiées, l’État affirme conserver ce contrôle, parallèlement aux restrictions sur les lieux d’hébergement.

Qui peut accéder aux systèmes gouvernementaux ?

Les entreprises retenues pour fournir des services à l’État doivent faire l’objet d’un contrôle de sécurité. Gobind a indiqué que l’accès aux systèmes gouvernementaux est attribué en fonction du rôle de chacun, qu’il nécessite une authentification à plusieurs facteurs et que les accès sont consignés à des fins d’audit.

Un accès fondé sur les rôles signifie que les autorisations d’une personne dépendent des tâches qu’elle est habilitée à effectuer. L’authentification à plusieurs facteurs exige davantage qu’un simple mot de passe, par exemple un contrôle de sécurité supplémentaire. Les journaux d’audit consignent les accès afin qu’ils puissent être examinés ultérieurement.

Ces exigences étendent la protection au-delà de l’emplacement d’un serveur. Même hébergé en Malaisie, un système doit contrôler les personnes qui peuvent y accéder, les informations qu’elles peuvent consulter et la trace de leurs activités. Le contrôle des fournisseurs, la limitation des autorisations et les journaux d’accès font partie des conditions imposées par l’État pour le traitement de ses données.

Les administrations doivent réduire les données avant leur traitement par l’IA

Les lignes directrices sur l’adoption de l’IA dans le secteur public, connues sous le nom de GPAISA, imposent aux administrations de réduire au minimum la quantité de données utilisée et de masquer ou d’anonymiser les informations avant leur traitement par des systèmes d’IA, a déclaré Gobind. La minimisation des données consiste à n’utiliser que ce qui est nécessaire à la tâche. Masquer ou anonymiser les données réduit le risque d’exposer des informations permettant d’identifier une personne.

Les lignes directrices du secteur public sur l’IA du Département national du numérique portent sur le respect des lois et politiques malaisiennes, sept principes d’éthique de l’IA, les responsabilités des personnes et des organisations concernées, les procédures d’adoption et la gestion des risques. Leurs annexes comprennent des cas d’usage dans le secteur public en Malaisie et à l’étranger, ainsi qu’une autoévaluation du respect des principes éthiques.

Le rapport sur les initiatives en matière d’IA du département présente la GPAISA comme un document de référence destiné aux administrations, afin de garantir une utilisation éthique, transparente et responsable de l’IA. Selon ce rapport, ces lignes directrices visent à améliorer la prestation des services, à renforcer le fonctionnement de l’État et à encourager l’innovation fondée sur les nouvelles technologies. En 2025, le département a fourni 40 services de conseil technique à des administrations pour les aider à coordonner leurs politiques et pratiques en matière d’IA.

Le cadre attribue des responsabilités aux administrations comme aux fournisseurs. Avant de transmettre des informations à un service d’IA, une administration doit déterminer quelle quantité de données est nécessaire à la tâche et comment protéger les éléments identifiants. Le contrat encadre ensuite l’utilisation des informations reçues par le fournisseur et leur suppression.

Les volets consacrés à l’évaluation éthique et à la gestion des risques intègrent également le traitement des données à la réflexion plus large sur l’opportunité et les modalités d’utilisation d’un système d’IA. L’achat n’est qu’une étape de cette décision ; la préparation des informations et la responsabilité du service qui en résulte restent du ressort de l’administration.

Un cadre lancé en février 2025

Le communiqué de lancement des lignes directrices du ministère du Numérique indique que la GPAISA a été lancée le 27 février 2025 à l’hôtel Le Meridien, à Putrajaya. Le Département national du numérique a élaboré ces lignes directrices avec la Malaysia Digital Economy Corporation comme document de référence destiné aux organismes publics.

Gobind a présidé la cérémonie aux côtés de Dato' Mohd Shaiful bin Ibrahim, directeur général adjoint de la fonction publique chargé des opérations. L’événement a réuni des directeurs de services gouvernementaux, des directeurs du numérique, des responsables des technologies du secteur public et des acteurs du secteur privé. Des sessions ont porté sur les cas d’usage de l’IA au sein de l’État, l’éthique et la gouvernance.

Les lignes directrices comptent six chapitres et trois annexes. Leur publication a précédé les explications données au Parlement en octobre 2026 sur les restrictions contractuelles et la préparation du projet de loi sur l’IA. Les principales dates sont les suivantes :

• 2024 : modification de la loi de 2010 sur la protection des données personnelles, citée par Gobind pour expliquer les transferts de données personnelles à l’étranger.
• 27 février 2025 : lancement à Putrajaya des lignes directrices sur l’IA dans le secteur public.
• 20 octobre 2026 : dans sa réponse écrite au Parlement, Gobind détaille les conditions applicables aux contrats publics sur l’IA, les règles de stockage et les travaux préparatoires du projet de loi sur la gouvernance de l’IA.

Les transferts dans le secteur privé relèvent d’un cadre juridique distinct

Pour les données personnelles traitées par des entreprises privées, Gobind a renvoyé à l’article 129 de la loi de 2010 sur la protection des données personnelles, modifiée en 2024. Il a expliqué que les transferts à l’étranger exigent notamment le consentement de la personne concernée et que la législation de la juridiction destinataire soit comparable à la loi malaisienne sur la protection des données personnelles.

Un transfert transfrontalier peut avoir lieu lorsqu’une entreprise envoie des informations personnelles vers un service cloud situé à l’étranger. Selon les explications de Gobind, ces transferts relèvent du cadre de protection des données personnelles, tandis que les informations gouvernementales sont soumises aux classifications de stockage et aux contrôles de sécurité qu’il a exposés séparément.

Cette distinction importe pour les personnes dont les informations sont traitées à la fois par des administrations et des entreprises. Les conditions des marchés publics encadrent les fournisseurs intervenant dans le cadre des contrats d’IA de l’État. Les entreprises privées qui traitent des données personnelles doivent, elles, tenir compte des règles de la loi sur la protection des données personnelles lorsqu’elles transfèrent ces informations vers un autre pays.

Le champ du projet de loi sur l’IA

Le ministère du Numérique prépare un projet de loi sur la gouvernance de l’IA destiné à responsabiliser les fournisseurs de technologies tout au long du cycle de vie d’un système d’IA, a déclaré Gobind. Il a cité la qualité des données, la transparence et l’explicabilité parmi les sujets qui seraient couverts. Aucune date n’a été annoncée pour la présentation du texte au Parlement, et la réponse ne précise ni les sanctions envisagées ni les modalités détaillées de son application.

La qualité des données concerne les informations utilisées par un système, notamment leur exactitude et leur adéquation à la tâche. La transparence porte sur la manière dont un système est développé et utilisé. L’explicabilité consiste à rendre ses résultats ou ses décisions compréhensibles pour les personnes. Ces questions étendent la responsabilité au-delà de l’achat initial d’un service d’IA.

Ces mesures interviennent alors que la Malaisie développe ses infrastructures informatiques. Le réaménagement de terres de plantation pour y construire des centres de données et des parcs solaires a attiré dans le secteur de grands groupes de l’huile de palme. Selon des estimations antérieures, la demande d’électricité des centres de données pourrait atteindre au moins cinq gigawatts d’ici 2035, soit près de 20 % de la capacité de production du pays à l’époque. Le gouvernement vise par ailleurs 81 centres de données en activité d’ici 2035.

Pour les administrations et les fournisseurs, cette expansion donne une portée concrète aux règles sur les usages autorisés. Le développement des capacités de stockage et de traitement des informations ouvre de nouvelles possibilités pour les services numériques. Les contrats publics, les classifications des données, les clés de chiffrement et les contrôles d’accès déterminent lesquelles les administrations peuvent utiliser et ce que les fournisseurs sont autorisés à faire des informations.

Points clés

• Les contrats publics sur l’IA interdisent aux fournisseurs d’utiliser des données publiques ou gouvernementales pour entraîner leurs modèles et imposent leur suppression après traitement.
• Les informations secrètes et top secret doivent rester dans des centres de données gouvernementaux. Les informations confidentielles et à diffusion restreinte peuvent être hébergées dans des clouds privés ou hybrides en Malaisie.
• Seules les données gouvernementales ouvertes et non sensibles peuvent être stockées dans des environnements cloud à l’étranger.
• L’État contrôle les clés de chiffrement des systèmes et des données classifiés ; les fournisseurs sont soumis à des contrôles de sécurité et à des restrictions d’accès.
• Dans le cadre de la GPAISA, les administrations doivent réduire au minimum les données utilisées et les masquer ou les anonymiser avant leur traitement par l’IA.
• Un projet de loi sur la gouvernance de l’IA est en préparation. Il doit porter sur la responsabilité, la qualité des données, la transparence et l’explicabilité.