马来西亚 AI Governance Bill 要来了：公司用 ChatGPT、AI Agent，老板要负责什么？
马来西亚的 AI Governance Bill 又往前走了一步。
数码部长 Gobind Singh Deo 已表示，草案已经完成，目前准备提交 Cabinet，目标是在本季度，或最迟 2027 年第一季度提呈国会。
先讲清楚：它现在还不是已经生效的法律。
但对 SME 来说，真正值得注意的是一个方向——公司以后不能只是说：“这个是 AI 做的，我不知道。”
AI 从工具变成公司系统，责任也会跟着进来。
AI Governance Bill 跟小公司有什么关系？
目前提出的方向采用 Risk-Based Approach：AI 风险越高，要求也会越严格。
如果员工只是叫 ChatGPT 修改一封普通 Email，风险相对低。
但如果 AI Agent 可以读取 CRM、分析客户、自动决定 Follow-up，再直接发 Email，它已经不只是“给意见”，而是在代表公司行动。
这时老板真正要回答的是：
谁批准 AI 接触这些资料？它能做什么？哪些动作必须由人确认？出了问题谁负责？
现实例子很简单。
如果 AI Agent 错误读取 CRM，把 A 客户的报价发给 B 客户，公司很难只用一句“AI 自己发错”解释过去。
老板现在至少先做 4 件事
第一，列出公司正在使用的 AI：ChatGPT、Gemini、Copilot、AI Agent、CRM 内置 AI，都算。
第二，规定什么资料不能随便给 AI。客户资料、IC、薪资、合同、财务数字、Password 等，至少要有明确规则。
如果公司连这一层都还没建立，可以先看《员工把公司资料直接丢进 ChatGPT，可以吗？马来西亚 SME 的 AI 数据风险与使用规则》。
第三，重要决定保留 Human Review。招聘、员工评价、贷款、价格、合同、客户承诺，不要完全交给 AI 自动完成。
第四，AI Agent 要比普通 ChatGPT 管得更严。只要 AI 有权限自己读取资料、作决定或执行动作，就应该开始考虑 Access、Approval、Logging 和负责人。
小公司不用马上写 50 页 AI Policy
对十几个人的 SME，我反而建议先做一个简单的 AI Register：
公司用了什么 AI、谁在用、能看到什么资料、可以执行什么动作、最后谁检查。
这已经比“员工各自用自己的 AI”安全很多。
如果公司正在把 CRM、Sales、Website、Customer Service 等流程集中管理，也可以了解 Odoo 的 Business Apps。
但要分清楚：Odoo 不是 AI Governance 合规工具。Business System 只能帮助公司把流程、权限和资料管理得更清楚，责任还是在公司自己。
我的判断
AI Governance Bill 真正重要的，不只是未来会不会增加 Compliance。
更大的变化是：
以前，是员工使用 AI。
接下来，是公司把 AI 接进业务。
再下一步，是 AI Agent 开始代表公司行动。
到了那个阶段，“我们只是用了 ChatGPT”已经不够。
所以我会建议 SME 现在先建立最基本的 AI 使用规则，不需要等法律正式生效才开始。
长期真正有优势的公司，不是用最多 AI 的公司，而是能够让 AI 做更多事情，同时仍然知道资料在哪里、谁有权限、哪些决定必须由人负责的公司。
如果你正在考虑公司到底应该怎样开始使用 AI，可以从想用 AI，但不知道从哪里开始？继续。
Affiliate Disclosure
本文包含 Affiliate / Referral Link。如果你通过本文相关链接注册或购买，我可能获得 Referral Benefit，但不会影响本文的判断、推荐或你需要支付的价格。
资料来源
Malaysia Ministry of Digital — Proposed AI Governance Bill
Unified Public Consultation — Proposed AI Governance Bill
AI Malaysia — AI Governance & Policy FAQ
Personal Data Protection Commissioner — Automated Decision-Making and Profiling Guideline
资料核对日期：2026 年 9 月 15 日
本文属于一般 AI Governance、Business 与资料保护信息整理，不构成法律意见。最终法案内容仍可能改变。
Update History
2026 年 9 月 15 日｜首次发布