AI 治理 · 马来西亚与新加坡
马来西亚与新加坡的 AI 治理
一份实用指南，写给员工已经在使用 ChatGPT、Claude、Copilot 或 Gemini 的企业：什么是 AI 治理、2026 年适用哪些规则、哪个层级适合您，以及一份基于免费、可编辑模板的 90 天计划。
更新于 2026年10月31日 · 基于 AI Governance Kit v1.0
- 份可编辑模板
- 48份可编辑模板
- 项控制措施，各有编号
- 422项控制措施，各有编号
- 个层级：Lite、Standard、Regulated
- 3个层级：Lite、Standard、Regulated
- 天建立稳定的 Lite 治理
- 90天建立稳定的 Lite 治理
简短答案
什么是 AI 治理？
AI 治理是一套规则、角色和记录，用来决定组织可以使用哪些 AI、用于什么、使用哪些数据，以及出问题时由谁负责。实际上，它从五件事开始：一个获批准的 AI 工具、一份可接受使用政策、一份在用 AI 登记册、每个 AI 系统的指定负责人，以及一种报告事件的方式。
为什么是现在
马来西亚和新加坡的 AI 规则正从自愿走向预期
大多数组织已经在使用 AI 工具，许多组织现在还把它们连接到电子邮件、文件和业务系统，或让智能体在浏览器中执行操作。这使 AI 风险从“有人输入了什么”转变为“这个系统能代表我们做什么”。
监管机构的期望正趋于一致：了解您运行的 AI、对其风险分类、指定人类负责人、管控第三方，并报告事件。
| 法规文件 | 状态（2026年10月） | 要求内容 |
|---|---|---|
| 马来西亚：人工智能治理与伦理国家指南（AIGE） | 状态（2026年10月）自愿性，已生效 | 要求内容七项原则，包括问责、透明和隐私 |
| 马来西亚：2010年个人数据保护法令（PDPA），2024年修订 | 状态（2026年10月）已生效 | 要求内容数据保护官、72 小时内通报数据泄露、跨境传输规则 |
| 马来西亚：AI 治理法案 | 状态（2026年10月）草案（咨询中） | 要求内容开发者与部署者的义务、危害分级、事件与险兆事件报告 |
| 马来西亚：个人数据保护局（JPDP）AI 与个人数据框架 | 状态（2026年10月）草案（咨询中） | 要求内容贯穿 AI 生命周期的隐私设计与影响评估 |
| 新加坡：智能体 AI 模型治理框架 | 状态（2026年10月）自愿性，已生效 | 要求内容预先界定智能体风险、人类问责、技术管控 |
| 新加坡：MAS AI 风险管理指南 | 状态（2026年10月）已定稿，2027 年起适用 | 要求内容AI 清单、风险重要性、生命周期管控（金融机构） |
状态截至 2026年10月，出自 AGK Pre-read v1.0。法律草案在咨询期间会有变动：依赖之前请核对最新文本。
良好的 AI 治理涵盖什么：五个基本模块
无论是哪个监管机构，都会提到同样的五个基本模块。每一个都对应一份您本季度就能采用的文件。
01
了解您运行的 AI
一份涵盖所有 AI 工具和系统的登记册，包括员工自行找来使用的工具。
AGK-TPL-01, AGK-PRC-07
02
对风险分类
将数据从“公开”到“机密”分级标注，并决定每个级别可由哪一层级的 AI 工具处理。
AGK-STD-A02
03
指定人类负责人
一位 AI 发起人、一位 AI 治理负责人，以及每个 AI 系统的负责人。
AGK-001
04
管控第三方
只用获批准的工具，并按基线配置；连接器和智能体须在使用前获批。
AGK-POL-02
05
报告事件
一份日志、一条清晰的报告渠道，以及个人数据泄露的 72 小时时限。
AGK-TPL-06
工具包的结构
五个层级，从董事会原则到平台设置
每个层级回答不同的问题，变化速度也不同。政策可多年保持稳定。供应商设置每月都在变，因此放在最底层，更新时无需董事会批准。
POL · 政策
为什么和做什么
批准人: 董事会或 CEO
STD · 标准
可测试的管控措施，每项都有编号
批准人: AI 治理委员会
PRC · GDL · 程序与指引
逐步操作方法、负责人和时间表
批准人: AI 治理负责人
TPL · 模板
保存证据的登记册和表格
批准人: 文件负责人
ANX · 供应商附录
每个 AI 平台的具体设置；唯一点名供应商的地方
批准人: AI 平台管理员
共享核心上的两条路线
核心
章程、可接受使用、风险与数据政策、申请受理、事件与审查。每个组织都需要。
路线 A：使用 AI 工具
适用于使用供应商 AI 工具的组织：平台基线、数据处理、连接器、浏览器智能体与技能（skills）。
路线 B：构建 AI
适用于构建 AI 应用或智能体的团队：生命周期、智能体身份与访问、评估、防护机制与监控。
一项要求，逐层落实
- 1. 政策
未经人工批准，AI 智能体不得执行不可逆的操作。
- 2. 标准
连接器上的每个写入或执行类工具都设为“需要批准”或“已阻止”。
- 3. 程序
启用写入工具的申请如何分流、批准和记录。
- 4. 模板
登记册中的一行记录该工具、其设置和批准人。
- 5. 供应商附录
您所用每个 AI 平台上各工具的具体权限设置。
采用层级
您属于哪个层级：Lite、Standard 还是 Regulated？
工具包中的每项管控都标注了其适用的最低层级，因此一家 50 人的公司和一家银行使用同一套文件，只是深度不同。
| 层级 | 适用于 | 需要采用的内容 | 常见时长 |
|---|---|---|---|
| Lite | 适用于刚开始使用供应商 AI 工具、没有自建 AI 的组织 | 需要采用的内容约 20 份文件和 53 项管控（39 项从第一天起，14 项在启用连接器等功能后） | 常见时长约 90 天；前三周内完成政策、数据规则和获批工具 |
| Standard | 适用于正在启用连接器和智能体、构建 AI，或 AI 涉及客户或人事决策的中型企业 | 需要采用的内容全部核心与路线 A，若自建 AI 再加上路线 B | 常见时长三到六个月，取决于您构建多少 AI |
| Regulated | 适用于受 BNM 或 MAS 监管的金融机构、医疗机构、涉及欧盟业务，或计划取得 ISO/IEC 42001 认证 | 需要采用的内容完整工具包，包括 Regulated 专属管控和 ISO/IEC 42001 适用性声明 | 常见时长与法律顾问一起规划；请马来西亚或新加坡律师审阅资料包 |
两分钟层级自测
逐题回答是或否。
结果如何得出
- 第 1 题答“是”：Regulated。从 AGK-000 和 ISO/IEC 42001 适用性声明开始。
- 否则，第 2、3 或 4 题任一答“是”：Standard。从 AGK-000 和治理章程开始。
- 第 1 至 4 题都答“否”：Lite。从 AGK-001 Lite Quick Start 和下方的 90 天计划开始。
- 第 5 题答“是”：在启用这些功能之前，先采用连接器和浏览器智能体标准。
- 第 6 题答“是”：将现有内容与可接受使用政策模板对照，而不是从零开始。
逻辑出自 AGK Pre-read v1.0 的两分钟自测。
管理层在第一周要做的六个决定
这些决定没做出，其他事情都无法推进。每个决定只需一次讨论，而不是一个项目。
- 1
谁负责 AI？
指定一位 AI 发起人（高管）和一位 AI 治理负责人。
AGK-POL-01
- 2
谁来决定？
成立三人委员会：发起人、治理负责人、数据保护官。
AGK-POL-01
- 3
可接受多少风险？
用一段话写明风险偏好：AI 可以用于什么、绝不能用于什么。
AGK-POL-01
- 4
批准哪个 AI 工具？
确认员工应使用的平台，以取代个人账户。
AGK-GDL-C01
- 5
时间与预算
前 90 天，治理负责人每周约投入半天，另加软件许可费用。
AGK-001
- 6
我们如何谈论工作岗位
在员工提问之前，发布一份简短、坦诚的声明，说明 AI 如何影响岗位。
AGK-GDL-C03
前 90 天
为起步组织而设的 90 天 AI 治理计划
这是 AGK-001 中的 Lite 路径。每一步都以某项内容获批准、完成配置或填写完毕作为结束。Standard 和 Regulated 采用者按相同顺序进行，并加入其余文件。
第 1 周
指定负责人
AI 发起人、AI 治理负责人和三人委员会。用一段话商定风险偏好。
AGK-001 · POL-01
第 1–2 周
找出已在使用的 AI
员工调查、费用数据、网络与 SaaS 排查，并为自行申报的工具设 30 天宽免期。
AGK-PRC-07 · TPL-01
第 2 周
制定规则
批准可接受使用政策和数据规则。每位用户在获得访问权限前须确认。
AGK-POL-02 · STD-A02 · GDL-A01 · TPL-07
第 2–3 周
配置平台
按供应商附录应用基线。在公司设备上阻止个人 AI 账户。
AGK-STD-A01 · ANX
第 3–4 周
沟通与培训
关键信息、员工 FAQ、推广大使、表达顾虑的安全渠道、基础培训。
AGK-GDL-C03 · STD-C01
第 4–6 周
选出首批用例
举办两小时工作坊，按价值、可行性和风险为想法评分，试点两到三个速赢项目。
AGK-GDL-C02 · TPL-12
第 4–6 周
为问题做好准备
申请表、事件日志、联系人，以及数据泄露的 72 小时时限。
AGK-PRC-01 · PRC-04 · TPL-03 · TPL-06
第 6–12 周
试点、衡量、决定
跟踪效益。在启用连接器或浏览器功能之前，先采用相应标准。
AGK-TPL-12 · STD-A03 / A04
第 90 天
审查
委员会审查在用的 AI、事件、效益和下一季度计划。当您构建智能体或扩大规模时，升级到 Standard。
会议记录 · 更新后的登记册
框架
以 ISO/IEC 42001 为基础，以 NIST 管理风险，对应马来西亚和新加坡的规则
工具包没有自创框架。它以一项国际管理体系标准为结构，以一个风险框架为方法，并将每份文件对应到马来西亚、新加坡及其他地区适用的规则。
| 框架 | 是什么 | 工具包如何使用 |
|---|---|---|
| ISO/IEC 42001:2023 | 是什么国际 AI 管理体系标准 | 工具包如何使用为工具包提供计划–执行–检查–改进循环、政策和角色；38 项 Annex A 管控已对应到现成的适用性声明中 |
| NIST AI RMF 1.0 及 Generative AI Profile | 是什么美国风险管理框架：Govern、Map、Measure、Manage | 工具包如何使用决定程序中如何识别、评估和处理风险 |
| 马来西亚 AIGE | 是什么人工智能治理与伦理国家指南 | 工具包如何使用原则对应到各项政策 |
| 马来西亚 PDPA 2010（经修订） | 是什么个人数据保护法令 | 工具包如何使用数据处理管控、DPO 角色、泄露通报、跨境传输 |
| 马来西亚 AI 治理法案草案及 JPDP 框架 | 是什么法律草案及个人数据框架草案 | 工具包如何使用以草案形式对应，若获通过，工具包已准备就绪 |
| 新加坡模型 AI 治理框架 | 是什么IMDA/PDPC 框架，包括智能体 AI 框架 | 工具包如何使用智能体自主级别、人类问责、技术管控 |
| MAS AI 风险管理指南 | 是什么针对金融机构的监管指南 | 工具包如何使用Regulated 层级的 AI 清单、风险重要性和生命周期管控 |
| OWASP Top 10 for LLM and Agentic Applications | 是什么AI 应用和智能体的安全威胁清单 | 工具包如何使用威胁与对抗性测试 |
| EU AI Act | 是什么欧盟 AI 法规 | 工具包如何使用当您的 AI 输出触及欧盟时的相关条款 |
现在即可免费阅读，无需注册
从这里开始，准备好采用时再获取 Lite 资料包。
工具包导读（PDF）
十分钟读完：路线、层级自测、管理层决定、90 天计划和文件地图。
- 员工安全使用 AI 指南
每位员工都应阅读的浅白指南。全文可在线阅读。
- AI 可接受使用政策模板
政策必须涵盖的内容、一段摘录，以及数据 × AI 工具矩阵。
阅读 - 模板库
下载前，可在浏览器中预览每个免费模板。
阅读
免费 AI 治理 Lite 资料包
起步组织在头 90 天治理 AI 工具所需的文件。Word 和 Excel 格式，可直接编辑。
- Lite Quick Start and Control Checklist AGK-001 · Word
- AI Governance Framework and Document Architecture AGK-000 · Word
- AI Acceptable Use Policy AGK-POL-02 · Word
- AI Data Handling Standard AGK-STD-A02 · Word
- AI Discovery and Shadow AI Procedure AGK-PRC-07 · Word
- AI Adoption Roadmap and Use-Case Prioritisation Guide AGK-GDL-C02 · Word
- AI System Register AGK-TPL-01 · Excel预览 AI System Register
- AI Use Case Intake Form AGK-TPL-03 · Word
- AI Incident, Nonconformity and CAPA Log AGK-TPL-06 · Excel预览 AI Incident, Nonconformity and CAPA Log
- AI Acceptable Use Acknowledgement AGK-TPL-07 · Word
- Pengakuan Penggunaan AI (Bahasa Melayu) AGK-TPL-07-BM · Word
- AI Use-Case Prioritisation and Benefits Tracker AGK-TPL-12 · Excel预览 AI Use-Case Prioritisation and Benefits Tracker
模板版本 v1.0 · ZIP · 733 KB
获取免费的 Lite 治理资料包
模板仅供治理用途，不构成法律意见。
AI Governance Hub
需要完整工具包？加入 AI Governance Hub
Lite 资料包帮助您起步。AI Governance Hub 是面向需要完整工具包并希望持续更新的团队的会员服务。即将推出：加入候补名单，开放前我们会与您联系。
| 功能 | 免费 | 会员 |
|---|---|---|
| 模板 | 12 份 Lite 文件 | 全部 48 份文件，含版本记录 |
| 预读资料与层级自测 | ||
| 含负责人与证据的 90 天规划 | ||
| 政策助手：为您公司定制的文件包 | ||
| MCP 连接：员工向 Claude、ChatGPT 或 Copilot 提问，答案来自公司自己的政策 | ||
| 在线 AI 系统、连接器与事件登记册 | ||
| 法规与供应商设置更新提醒 |
会员功能为上线规划，可能会调整。
RM 2,400
每个机构每年
AI 治理常见问题
什么是 AI 治理？
AI 治理是一套规则、角色和记录，用来决定组织可以使用哪些 AI、用于什么、使用哪些数据，以及出问题时由谁负责。它通常从一个获批准的 AI 工具、一份可接受使用政策、一份 AI 系统登记册、指定的负责人和一套事件处理流程开始。
马来西亚法律是否要求 AI 治理？
截至 2026年10月，马来西亚尚无专门的 AI 法律生效。经 2024 年修订的 2010年个人数据保护法令（PDPA）已适用于任何处理个人数据的 AI，包括在 72 小时内通报数据泄露。AI 治理法案和 JPDP 的 AI 与个人数据框架仍是咨询中的草案，国家 AIGE 指南则属自愿性质。
新加坡适用什么？
新加坡的模型 AI 治理框架，包括智能体 AI 框架，属自愿性质且已生效。金融机构应为 MAS AI 风险管理指南做好准备，该指南已定稿，2027 年起适用。
我们需要全部 48 份文件吗？
不需要。Lite 采用者使用约 20 份文件和 53 项管控。其余文件在您启用连接器或浏览器智能体、构建智能体或受到监管时再加入。两分钟层级自测会告诉您所处的位置。
建立 AI 治理需要多长时间？
在 Lite 层级，约 90 天可达到稳定状态，最重要的步骤（政策、数据规则、获批工具）在前三周内完成。Standard 需要三到六个月，取决于您构建多少 AI。
我们需要 ISO/IEC 42001 认证吗？
起步时不需要。工具包遵循该标准的结构，因此如果认证变得必要（通常是因为客户要求），适用性声明已经开了头。
工具包只适用于 Claude 吗？
不是。政策和标准不偏向任何供应商。供应商附录涵盖 Claude、OpenAI、Microsoft 和 Google；您只需使用所运行平台的附录。
治理会拖慢 AI 的采用吗？
恰恰相反。清晰的规则和获批的工具消除了阻碍人们尝试 AI 的不确定性，而采用路线图会挑出最值得先做的用例。
运行成本是多少？
主要是时间：在 Lite 层级，AI 治理负责人每周约半天，委员会每月约一小时。部分管控需要具备单点登录（SSO）和审计日志等管理功能的 AI 平台许可。
