Akta AI Kesatuan Eropah untuk sektor awam: persediaan menjelang Disember 2027

01Kedudukan semasa pada Oktober 2026

Akta AI Kesatuan Eropah (membuka laman web luar), iaitu Peraturan (EU) 2024/1689, berkuat kuasa pada 1 Ogos 2024 dan terpakai secara berperingkat. Pada Julai 2026, EU menerima pakai Omnibus Digital mengenai AI, iaitu Peraturan (EU) 2026/1744 (membuka laman web luar), yang menangguhkan peraturan berisiko tinggi dan mengubah beberapa peruntukan lain. Peraturan itu berkuat kuasa pada 27 Julai 2026, beberapa hari sebelum tarikh asal peraturan berisiko tinggi.

Hasilnya ialah garis masa yang sebahagian kewajipannya sudah terpakai, sebahagian lagi tiba pada akhir tahun ini, dan kewajipan paling berat bagi badan awam yang menggunakan sistem AI menyusul pada Disember 2027.

Omnibus itu juga menulis semula Perkara 4 tentang literasi AI. Penyedia dan pengguna sistem kini perlu mengambil langkah untuk menyokong literasi AI kakitangan mereka, dan bukan lagi memastikan tahap literasi yang mencukupi. Kewajipan itu kekal; yang berubah ialah apa yang perlu anda tunjukkan. Latihan yang sesuai dengan setiap peranan, berserta rekodnya, masih merupakan jawapan yang wajar.

02Adakah anda penyedia atau pengguna sistem?

Kebanyakan badan awam ialah pengguna sistem (deployer): mereka menggunakan sistem AI di bawah kuasa mereka sendiri. Sesebuah organisasi menjadi penyedia (provider) apabila ia membangunkan sistem AI, atau meminta pihak lain membangunkannya, dan menggunakannya atas namanya sendiri. Ini termasuk sistem yang dibina secara dalaman atau oleh kontraktor mengikut spesifikasinya.

Peranan juga boleh berubah. Di bawah Perkara 25, pengguna sistem yang mengubah suai sistem berisiko tinggi secara ketara, atau mengubah tujuan penggunaannya sehingga sistem itu menjadi berisiko tinggi, memikul kewajipan penyedia. Tuliskan peranan yang dimaksudkan dalam dokumen perolehan dan kontrak, supaya tiada sesiapa menemuinya buat kali pertama semasa audit.

03Apa maknanya bagi pembekal di Malaysia

Akta ini mengawal selia penyedia dan pengguna sistem AI yang berkaitan dengan pasaran EU. Ia bukan undang-undang Malaysia. Bagi syarikat di Malaysia, akta ini menjadi relevan dalam dua keadaan (Perkara 2(1)): apabila syarikat itu meletakkan sistem AI di pasaran EU, walau di mana pun ia ditubuhkan, dan apabila output sistem AI yang disediakan atau digunakannya di luar EU digunakan di EU. Syarikat perisian di Malaysia yang meletakkan sistem AI di pasaran EU atas namanya sendiri ialah penyedia sistem itu. Jika syarikat itu membina sistem mengikut spesifikasi badan awam di EU yang menggunakannya atas nama badan itu sendiri, badan awam itulah penyedianya. Dalam kedua-dua keadaan, pelanggan akan meminta apa yang dihuraikan di bawah: arahan penggunaan, dokumentasi pematuhan, akses kepada log dan sokongan untuk penilaian impak hak asasi.

Di Malaysia sendiri, Pejabat Kecerdasan Buatan Kebangsaan (NAIO) dilancarkan pada 12 Disember 2024 di bawah Kementerian Digital, dan Garis Panduan Tadbir Urus dan Etika Kecerdasan Buatan (AIGE) terbitan MOSTI ialah panduan sukarela. Kedua-duanya berasingan daripada akta EU ini. Bagi pembekal yang berkhidmat kepada kedua-dua pasaran, amalan yang sama, iaitu inventori, klasifikasi, pengawasan manusia dan log, boleh menyokong kedua-duanya.

04Kes penggunaan mana yang berisiko tinggi?

Lampiran III menyenaraikan bidang yang sistem AI di dalamnya dianggap berisiko tinggi. Bagi badan awam, yang paling relevan ialah:

• Akses kepada perkhidmatan awam asas dan faedah: menilai kelayakan, serta memberikan, mengurangkan, membatalkan atau menuntut semula faedah dan perkhidmatan.
• Migrasi, suaka dan kawalan sempadan, penguatkuasaan undang-undang dan pentadbiran keadilan.
• Pendidikan dan latihan vokasional: kemasukan, penilaian hasil pembelajaran, pemantauan semasa ujian.
• Pekerjaan: pengambilan, kenaikan pangkat, pembahagian tugas dan pemantauan kakitangan. Badan awam juga merupakan majikan.
• Infrastruktur kritikal: komponen keselamatan dalam pengurusan infrastruktur digital, trafik jalan raya dan utiliti.

Berada dalam bidang Lampiran III bukan pengakhiran analisis. Di bawah Perkara 6(3), sistem dalam bidang sedemikian tidak berisiko tinggi apabila ia tidak menimbulkan risiko bahaya yang ketara, contohnya kerana ia melaksanakan tugas prosedur yang sempit, menambah baik hasil kerja yang telah disiapkan oleh seseorang, mengesan corak tanpa menggantikan penilaian manusia, atau melaksanakan tugas persediaan. Sistem yang memprofilkan individu sentiasa berisiko tinggi. Jika anda bergantung pada pengecualian ini, dokumentasikan alasannya.

Banyak alat yang berguna tidak berisiko tinggi langsung: sokongan penulisan draf, carian pengetahuan dalaman, terjemahan, ringkasan. Kewajipan ketelusan dan GDPR masih terpakai kepada alat ini, tetapi rejim berisiko tinggi tidak terpakai.

05Apa yang mesti dilakukan oleh pengguna sistem berisiko tinggi

Mulai 2 Disember 2027, badan awam di EU yang menggunakan sistem berisiko tinggi daripada Lampiran III mempunyai kewajipan di bawah Perkara 26 (membuka laman web luar). Kewajipan utamanya:

• Gunakan sistem itu selaras dengan arahan penggunaan penyedia, dengan langkah teknikal dan organisasi yang sesuai.
• Serahkan pengawasan manusia kepada orang yang mempunyai kecekapan, latihan dan kuasa yang diperlukan, dan berikan mereka sokongan.
• Pastikan data input di bawah kawalan anda relevan dan cukup mewakili tujuan penggunaan.
• Pantau operasi sistem, dan maklumkan penyedia serta pihak berkuasa tanpa kelewatan yang tidak wajar tentang risiko dan insiden serius.
• Simpan log yang dijana secara automatik sekurang-kurangnya enam bulan, melainkan undang-undang Kesatuan atau undang-undang negara menetapkan sebaliknya.
• Maklumkan wakil pekerja dan kakitangan yang terjejas sebelum menggunakan sistem berisiko tinggi di tempat kerja.
• Sebagai pihak berkuasa awam, daftarkan penggunaan sistem itu dalam pangkalan data EU sebelum mula menggunakannya (Perkara 26(8) dan Perkara 49). Sistem yang tidak didaftarkan tidak boleh digunakan.
• Maklumkan kepada orang apabila sistem berisiko tinggi digunakan untuk membuat, atau membantu membuat, keputusan tentang mereka (Perkara 26(11)). Mereka juga berhak mendapat penjelasan tentang keputusan individu (Perkara 86).

Penilaian impak hak asasi

Di bawah Perkara 27 (membuka laman web luar), badan yang dikawal oleh undang-undang awam, dan organisasi swasta yang menyediakan perkhidmatan awam, menjalankan penilaian impak hak asasi sebelum mereka mula menggunakan kebanyakan sistem Lampiran III. Sistem bagi infrastruktur kritikal dikecualikan. Penilaian itu menghuraikan:

1. 01proses yang akan menggunakan sistem itu, selaras dengan tujuan penggunaannya;
2. 02tempoh dan kekerapan penggunaan;
3. 03kategori orang dan kumpulan yang mungkin terjejas;
4. 04risiko bahaya khusus kepada orang tersebut;
5. 05cara pengawasan manusia dilaksanakan;
6. 06apa yang berlaku jika risiko menjadi kenyataan, termasuk tadbir urus dalaman dan mekanisme aduan.

Hasilnya dimaklumkan kepada pihak berkuasa pengawasan pasaran. Penilaian ini melengkapi, dan boleh dibina di atas, penilaian impak perlindungan data di bawah Perkara 35 GDPR, jadi jalankan kedua-duanya bersama. Perkara 27(5) meminta Pejabat AI Kesatuan Eropah menyediakan templat soal selidik; semak statusnya sebelum anda mereka bentuk templat sendiri. Sesetengah negara sudah mempunyai kaedah, seperti Impact Assessment Mensenrechten en Algoritmes (IAMA) kerajaan Belanda.

06Kewajipan ketelusan yang sudah terpakai

Sejak 2 Ogos 2026, Perkara 50 terpakai. Penyedia mesti mereka bentuk sistem yang berinteraksi dengan orang supaya orang itu diberitahu bahawa mereka berurusan dengan sistem AI, melainkan perkara itu sudah jelas, dan mesti menandakan kandungan sintetik dalam bentuk yang boleh dibaca mesin. Pengguna sistem mesti mendedahkan deepfake, dan mesti mendedahkan teks yang dijana atau dimanipulasi oleh AI yang diterbitkan untuk memaklumkan orang awam tentang perkara berkepentingan awam, melainkan teks itu telah disemak oleh seseorang dan ada pihak yang memegang tanggungjawab editorial.

Bagi badan awam, kes yang paling biasa ialah pembantu sembang di laman web atau saluran perkhidmatan. Nyatakan dengan jelas bahawa ia ialah sistem AI, terangkan perkara yang boleh dan tidak boleh dibantunya, dan sediakan laluan kepada pegawai.

07Pelan persediaan bagi 2026 dan 2027

Pelan ini ditulis untuk badan awam di EU yang menggunakan sistem AI. Bagi pembekal di Malaysia, langkah ketiga hingga kelima menunjukkan apa yang akan diminta oleh pelanggan.

1. 01Inventori, sekarang. Senaraikan setiap sistem AI yang digunakan atau sedang diperoleh, termasuk ciri AI dalam platform yang sudah anda lesenkan. Rekodkan pemilik, tujuan, penyedia, data yang digunakan dan orang yang terjejas.
2. 02Klasifikasi, menjelang awal 2027. Dilarang, berisiko tinggi (dengan alasan Perkara 6(3) didokumentasikan), ketelusan sahaja, atau risiko minimum. Rekodkan peranan anda sebagai penyedia atau pengguna sistem bagi setiap satu.
3. 03Betulkan kontrak, sepanjang 2027. Minta penyedia menyerahkan arahan penggunaan, dokumentasi pematuhan dan akses kepada log. Jadikan sokongan untuk penilaian impak dan pelaporan insiden sebagai terma kontrak.
4. 04Reka bentuk pengawasan. Namakan peranan, latih mereka, berikan kuasa untuk mengatasi keputusan sistem dan laluan eskalasi. Reka bentuk untuk mengelakkan bias automasi; artikel kami tentang bila ejen AI memerlukan kelulusan manusia menunjukkan caranya.
5. 05Sediakan log dan pemantauan. Simpan log sekurang-kurangnya enam bulan, takrifkan apa yang dikira sebagai insiden serius dan siapa yang melaporkannya.
6. 06Sebelum penggunaan pertama. Jalankan penilaian impak hak asasi bersama penilaian impak perlindungan data, daftar dalam pangkalan data EU, dan maklumkan kakitangan serta orang yang terjejas.
7. 07Teruskan literasi. Latihan mengikut peranan bagi pengguna, penyemak dan pembuat keputusan, dikemas kini apabila sistem berubah, dengan rekod tentang siapa yang telah dilatih.

08Penalti dan penguatkuasaan

Negara Anggota menetapkan peraturan tentang penalti. Perkara 99(8) membenarkan setiap Negara Anggota memutuskan sama ada, dan sejauh mana, denda pentadbiran boleh dikenakan ke atas pihak berkuasa dan badan awam yang ditubuhkan di negara itu. Itu bukan alasan untuk menunggu. Pihak berkuasa pengawasan pasaran masih boleh menghendaki tindakan pembetulan, dan kesahan keputusan awam bergantung pada sama ada keputusan itu boleh dijelaskan dan dipertikaikan.

09Perkara yang perlu diperhatikan dalam beberapa bulan akan datang

• Garis panduan Suruhanjaya Eropah tentang klasifikasi sistem berisiko tinggi (Perkara 6(5)), dan garis panduannya tentang amalan yang dilarang (membuka laman web luar) yang sedia ada.
• Piawaian harmoni bagi keperluan berisiko tinggi, yang akan digunakan oleh penyedia untuk menunjukkan pematuhan.
• Penetapan pihak berkuasa pengawasan pasaran di setiap Negara Anggota, dan panduan pertama mereka bagi badan awam yang menggunakan sistem AI.
• Templat Pejabat AI Kesatuan Eropah bagi penilaian impak hak asasi.
• Di Malaysia: Kertas Konsultasi Awam Bil. 1/2026 Jabatan Perlindungan Data Peribadi (JPDP) mengenai kerangka AI dan perlindungan data peribadi, yang disenaraikan pada 29 Oktober 2026. Ia ialah konsultasi, bukan garis panduan yang telah diterima pakai.

Meja Khidmat Akta AI (membuka laman web luar) Suruhanjaya Eropah sentiasa mengemas kini garis masa rasmi dan penjelasan bagi setiap perkara. Simpan pautannya, dan letakkan tarikh pada setiap nota dalaman yang anda tulis tentang akta ini: teksnya masih berubah.