DEFA i sieć bezpieczeństwa AI ASEAN: gdy miękka koordynacja dostaje zęby

Przez lata podejście ASEAN do zarządzania AI było stosem uprzejmych dokumentów. Przewodnik tu, mapa drogowa tam, zestaw zasad, którym wszyscy kiwali głową i których nikt nie był zobowiązany przestrzegać. Nazwaliśmy to tym, czym jest, w naszym porównawczym przeglądzie regulacji AI w Azji Południowo-Wschodniej: miękkim prawem — koordynacją przez zachętę, nie przez egzekwowanie. Wyprodukowało ono naprawdę użyteczne artefakty, ale kambodżańska czy wietnamska firma mogłaby przeczytać je wszystkie i pozostać bez żadnego prawnego obowiązku, by w poniedziałek rano robić cokolwiek inaczej.

To się właśnie zmienia. Ramowe porozumienie cyfrowej gospodarki ASEAN (DEFA) — pierwszy naprawdę wiążący, ogólnoregionalny traktat o cyfrowej gospodarce — ma zostać podpisane na 49. szczycie ASEAN w listopadzie 2026 roku, pod przewodnictwem Filipin. A według Hazremiego Hamida z Sekretariatu ASEAN, w rozmowie dla GovInsider, ten sam rok przyniesie formalne powołanie sieci bezpieczeństwa AI ASEAN — instytucjonalnej kotwicy, która ma zamienić Mapę drogową odpowiedzialnej AI z PDF-u w działający program. Miękka koordynacja właśnie dostaje zęby.

Czym DEFA naprawdę jest

DEFA nie jest kolejnym dokumentem zasad. To traktat — wynegocjowany, podpisany, wiążący instrument, który państwa członkowskie ratyfikują, a potem za niego odpowiadają. Jego zakres jest szeroki: transgraniczne przepływy danych, handel cyfrowy i płatności elektroniczne, bezpieczeństwo online, obowiązki w zakresie cyberbezpieczeństwa oraz — część najważniejsza dla każdego, kto buduje na modelach — zarządzanie AI wpisane wprost w tekst, a nie odłożone do osobnego, niewiążącego załącznika.

Argument ekonomiczny za nim jest ogromny; ASEAN szacuje, że DEFA mogłaby z grubsza podwoić cyfrową gospodarkę regionu, do rzędu biliona dolarów do 2030 roku. Ale to mechanizm jest nowy. Wiążące porozumienie oznacza zharmonizowane zasady tego, jakie dane mogą przekraczać które granice, na jakich warunkach, z jakimi dołączonymi zabezpieczeniami. Po raz pierwszy „stanowisko ASEAN w sprawie danych i AI” przestaje być sugestią i staje się czymś z powierzchnią zgodności.

Sieć bezpieczeństwa AI: kotwica, nie regulator

Sieć bezpieczeństwa AI jest instytucjonalnym odpowiednikiem. Pomyśl o niej nie tyle jak o regionalnym FDA dla algorytmów, ile jak o ciele, które operacjonalizuje Mapę drogową odpowiedzialnej AI, o której pisaliśmy wcześniej — koordynując standardy, dzieląc się ocenami ryzyka, budując wspólny słownik, który pozwala jedenastu państwom członkowskim naprawdę rozumieć to samo, gdy mówią „system wysokiego ryzyka” czy „odpowiednie zabezpieczenia”.

Ta koordynująca rola ma znaczenie właśnie dlatego, jak rozdrobniona jest rzeczywistość na ziemi. Co prowadzi nas do problemu, który DEFA musi rozwiązać.

Problem rozdrobnienia: 8 z 11

Oto niewygodna liczba. Spośród jedenastu państw członkowskich ASEAN tylko osiem ma obecnie w ustawach kompleksowe prawo o ochronie danych. Trzy nie mają. Nie da się prowadzić zharmonizowanych transgranicznych przepływów danych, gdy jedna trzecia bloku nie ma krajowej linii bazowej dla tego, co w ogóle znaczy ochrona tych danych. Wiążący reżim przepływu danych zakłada, że każdy węzeł w sieci utrzyma swój koniec — a w tej chwili kilka nie potrafi.

To luka, którą DEFA jednocześnie obnaża i na którą naciska. Wartością porozumienia jest harmonizacja; warunkiem wstępnym harmonizacji jest, by każdy członek najpierw zamknął podstawowe luki legislacyjne. Traktat staje się więc w praktyce terminem.

Wietnam pokazuje wzorzec

Jeśli chcesz zobaczyć, dokąd to zmierza, spójrz na Wietnam. Jego samodzielna ustawa o AI wchodzi w życie w marcu 2026 roku — pierwszy wiążący, dedykowany akt prawny o AI w regionie, według analizy Baker McKenzie. Klasyfikuje systemy AI według ryzyka, nakłada obowiązki na twórców i wdrażających, i — co kluczowe — jest prawem, nie wytycznymi. Wietnam nie czekał na konsensus ASEAN; zbudował twarde reguły krajowo i dotrze do podpisania DEFA już zgodny z duchem tego, o co traktat prosi.

To jest wzorzec. Wiążący instrument regionalny (DEFA) i wiążący instrument krajowy (wietnamska ustawa o AI) zbiegają się do tego samego celu z dwóch kierunków. Państwa członkowskie, które mają już twarde reguły, wchłoną DEFA z minimalnym tarciem. Państwa członkowskie wciąż działające na miękkim prawie odczują lukę.

Co to oznacza dla Kambodży

Kambodża jest jednym z państw wciąż działających na miękkim prawie. Ma aktywną, ambitną postawę polityki AI — argumentowaliśmy w tekście „Polityka AI Kambodży to teraz gra regionalna”, że kraj przestał być biorcą reguł i zaczął kształtować rozmowę — ale nie ma jeszcze samodzielnej, kompleksowej ustawy o ochronie danych. To jest ekspozycja. Gdy DEFA zostanie podpisana, pytaniem, przed którym stanie każda kambodżańska firma operująca danymi transgranicznymi, będzie to, czy krajowa linia bazowa prawa jest wystarczająco silna, by uczestniczyć w zharmonizowanym reżimie na równych zasadach, czy też pozostaje w tyle i musi gorączkowo nadrabiać.

Stawka nie jest abstrakcyjna. Własna Ocena gotowości AI Kambodży, relacjonowana m.in. przez IT Brief Asia, szacuje, że około 57% miejsc pracy jest w pewnym stopniu narażonych na automatyzację i stawia cel 1000 wyszkolonych specjalistów AI do 2030 roku. Tak narażona siła robocza, w kraju wciąż piszącym swoje fundamentalne prawo o danych, to dokładnie ta sytuacja, w której wiążące reguły regionalne mogą być albo drabiną, albo pułapką — zależnie wyłącznie od tego, czy podstawy zostaną położone na czas.

Niska regulacja: przewaga czy pułapka?

Dla lokalnych budowniczych istnieje kusząca opowieść: lekka regulacja to przewaga konkurencyjna. Ruszaj szybko, dowoź, nie czekaj na dział zgodności, który jeszcze nie istnieje. I dla produktu czysto krajowego coś w tym jest.

Ale DEFA przeformułowuje rachunek. W chwili, gdy twój produkt dotyka transgranicznych przepływów danych — a w regionie tak zintegrowanym większość ambitnych produktów to robi — bycie z jurysdykcji o niskiej regulacji przestaje być fosą i zaczyna być obciążeniem. Jeśli twój kraj nie potrafi poświadczyć, że dane go opuszczające są odpowiednio chronione, na szali jest twój dostęp do zharmonizowanego rynku regionalnego. Przewaga „braku reguł” wyparowuje dokładnie wtedy, gdy próbujesz skalować się poza swoje granice. Pułapką jest budowanie biznesu na luce regulacyjnej, którą DEFA jest wprost zaprojektowana, by zamknąć.

Na co kambodżańscy budowniczowie powinni się przygotować

Trzy konkretne ruchy, z których żaden nie wymaga czekania, aż atrament traktatu wyschnie.

Po pierwsze, buduj już teraz pod surowszy standard. Załóż, że kompleksowe prawo o ochronie danych nadchodzi, i projektuj obsługę danych — zgodę, rezydencję, reakcję na naruszenia, logikę transferu transgranicznego — tak, jakby już istniało. Doposażanie w zgodność jest znacznie droższe niż wbudowanie jej od razu.

Po drugie, traktuj warstwę danych jako trwałe aktywo. To wspólna nić wszystkiego, co argumentujemy: broniącą się częścią produktu AI nie jest model, lecz zarządzane środowisko wokół niego — kontrole dostępu, ścieżki audytu, strażnicy kodujący to, co „zgodność” znaczy dla twojej instytucji. DEFA czyni z tej warstwy wymóg dostępu do rynku, a nie tylko dobrą higienę.

Po trzecie, czytaj wietnamską ustawę o AI jako zapowiedź. To najbliższa rzecz regionalnemu wzorcowi tego, jak wiążące obowiązki AI wyglądają w praktyce. Kambodżański zespół, który rozumie jej logikę klasyfikacji ryzyka, to zespół, którego nie zaskoczą zapisy AI w DEFA.

Miękka koordynacja przyniosła rezultaty, ale nigdy nie wymusiła niczyjej ręki. DEFA to robi — a rok 2026 jest momentem, gdy region przekona się, którzy z jego członków odrobili podstawy, a którzy liczyli na to, że reguły pozostaną opcjonalne. Dla kambodżańskich budowniczych mądrym zakładem jest przyjąć, że zęby są prawdziwe, i budować odpowiednio.