客户资料放进 AI 工具之后，在马来西亚到底跑去了哪里

你团队里已经有人把客户资料贴进 AI 工具了。不是乱来，只是开会前想把格式整理干净。

那份名单接下来会这样走。文字离开你的办公室，落在国外某家供应商的服务器上，之后适用的是供应商的条款，不是你的。在免费版和个人版上，它可能被人工审阅员看到，也可能被拿去改进模型；在企业版上通常不会。但在马来西亚的 PDPA 下，两种情况你都要负责，因为把资料交给供应商，责任并不会跟着交出去。

大部分马来西亚中小企业从来没有查过，自己的客户资料落在哪一种情况里。这就是风险所在，而堵上它不用花钱。

决定一切的是方案层级，不是品牌

老板们大多问的是哪一个 AI 工具安全。答案跟品牌几乎没关系，跟你登入的是哪一个方案层级才有关系。

ChatGPT Free 和 ChatGPT Enterprise 是同一个产品，底下却是两份完全不同的合约。Claude Pro 和 Claude for Work 也一样。一个层级是给个人拿来试试看的，另一个是给要向监管机构交代的公司用的。你的员工在第一种上面，因为那个按钮是免费的。

哪些 AI 工具会留着你的客户资料，哪些不会

以下是 2026 年 7 月公布的条款。供应商会改，所以先去看政策页面。

Google 在自己的帮助页面写得很直白：不要输入你不希望审阅员看到的机密资讯。这等于供应商替你把答案讲了。

Google 全都写出来了：谁会看你的对话、会留多久。几乎没有人点开那一页。资料来源：Google Gemini Apps 隐私中心

这张表说不了的，是资料实际存在哪里。DeepSeek 的隐私政策写明，它在中国收集、处理和存储个人资料。这本身不一定有问题，但它是一次跨境传输，而从 2025 年起，跨境传输你得交代得过去。

在马来西亚，客户资料放进 AI 工具后，PDPA 管得到吗

管得到。你是数据控制者。AI 供应商是代你处理资料的处理者，而挑这个处理者这个决定，将来你得说得出理由。

PDPA 的 2024 年修正案在 2025 年分阶段生效，其中三点在这里有分量：

1. 处理者现在在安全原则下有了直接义务，也有自己的刑事责任。你的供应商在监管机构眼里不再是隐形的。
2. 旧的核准目的地国家白名单没有了。资料送出国外，现在要看目的地是否提供与 PDPA 相当的保护水平，还要有一份传输影响评估，有效期三年。
3. 违反资料保护原则的罚则，从 RM300,000 和两年监禁，提高到 RM1 million 和最高三年监禁。

如果你想看长版的清单，我们写过一份：马来西亚 SaaS 创业公司的 PDPA 合规清单。

已经贴进去的客户资料，删得掉吗

删得掉一部分，而且比你想的慢。

删掉一个对话，它会从你的屏幕上消失。Anthropic 说消费者版被删除的对话会在 30 天内离开后端存储。但如果那次对话发生时模型改进是开着的，去识别化的副本可以在训练管线里留最多五年。Google 会把送去人工审阅的 Gemini 对话保留最多三年，你删掉活动记录它们也还在，因为在任何审阅员看到之前，它们就已经和你的账号断开了。

所以删除只对以后有用，对过去没用。已经进了审阅队列或者训练集的东西，不在你手上。也正因如此，要处理就得在贴进去之前处理。

我们的看法：在马来西亚禁用 AI 工具是禁不住的

我们在 Gotchaa Lab 每天都在用 AI 工具，所以这不是站在旁边的警告，而是我们一直撞见的事。

看完上面这些，直觉反应是在公司里禁掉 AI 工具。禁令守不住，而且数字差得很远。PagerDuty 在 2026 年 6 月访问了美国、英国、澳洲和日本大公司的 1,250 名上班族，其中 66% 明知公司政策不准，还是在用 AI 工具，34% 把客户资料或资讯分享给了公开工具。马来西亚的问题是同一件事的另一面：Xero 对本地微中小企业的调查里，59% 把数据隐私和安全列为使用 AI 的主要顾虑，而在已经用上 AI 的公司里，30% 没有任何规范。

禁令去不掉这个习惯，只会制造影子 AI，同样的习惯搬到你看不见的地方去。做遮蔽处理才是划算的交换：团队保住速度，你去掉风险。而如果某些工作真的不能离开国境，就把模型放在你控制得到的地方跑，我们在马来西亚有自己的托管环境，AI 解决方案可以部署在你的机房，或者马来西亚的数据中心。接下来才轮到另一个问题：哪个部门应该先用上 AI。

下一次动手之前，先做这件事

别写 AI 政策。没人会看，而且你这个星期也写不完。

打开团队最常贴进 AI 工具的那份文件。通常是一份订单导出、一份询问名单，或者从客服信箱倒出来的东西。在它离开公司之前删掉三栏：姓名、电话号码，还有电邮或 IC。订单编号、商品、金额、日期留着。AI 照样可以排序、总结、找出规律、草拟回复，只是认不出人来。

这件事十分钟，去掉你大部分的风险，而且不必要求任何人改变做事方式。把删过的版本存成大家平时会拿的那一份。然后挑一个比较闲的下午，去看看团队登入的是哪一个方案层级。

不确定你团队在用的工具会把客户资料带去哪里？WhatsApp 我们，告诉我们你们在用哪几个工具。我们给你一个实话实说的判断，不推销。

本文是一般资讯，不是法律意见。PDPA 下的义务要看你的具体情况，供应商的条款也会变。行动之前，请向供应商和你自己的顾问确认最新政策。

参考资料

1. Google: Gemini Apps Privacy Hub, human review and retention
2. OpenAI Academy: Data governance and compliance
3. Anthropic: Is my data used for model training?
4. Anthropic: How long do you store my data?
5. DeepSeek Privacy Policy
6. Mayer Brown: Key amendments to Malaysia's PDPA and the cross-border transfer guidelines
7. Personal Data Protection Department (JPDP), Malaysia
8. PagerDuty: Shadow AI workplace survey, June 2026
9. Xero survey: Malaysian MSMEs are rapidly adopting AI