Singapur zpřesňuje pravidla pro osobní údaje v generativní AI

Jak se pravidla týkají čtyř běžných situací

Banky: finanční údaje a zákaznická podpora pro AI asistenty

Pokud banka používá údaje klientů k vývoji nebo zlepšování AI asistenta a opírá se přitom o souhlas, musí zákazníkům poskytnout oznámení zaměřené konkrétně na AI. To by mělo odlišit vývoj modelu od běžného poskytování bankovních či zákaznických služeb.

Banka se za určitých okolností může opřít o výjimku ze souhlasu podle PDPA, například o výjimku pro zlepšování podnikání. Musí však splnit zákonné podmínky a zůstat v mezích dané výjimky. Pokud je výjimka platná, souhlas — a tedy ani možnost odmítnout zpracování založená na souhlasu — nemusí být vyžadovány.

Pojišťovny: zdravotní údaje a informace o pojistných událostech

U pojišťovny platí stejná základní otázka: pokud je pro použití zdravotních údajů nebo informací o škodách k vývoji generativního modelu nutný souhlas, musí oznámení tento účel výslovně popsat. Obecná dřívější formulace o zlepšování služeb by se neměla automaticky považovat za dostatečnou pro trénování modelu.

Pojišťovna musí buď prokázat, že se na dané použití vztahuje příslušná výjimka podle PDPA, nebo získat platný souhlas prostřednictvím oznámení zaměřeného na AI. Dostupné zdroje nestanovují obecné pravidlo, podle něhož by všechny zdravotní údaje či informace o pojistných událostech byly automaticky vyňaty z těchto povinností.

E-commerce: nákupní a prohlížecí data pro nové komerční AI produkty

Použití historie nákupů nebo aktivity při procházení webu k vytvoření samostatného komerčního produktu založeného na generativní AI je jasným příkladem opětovného využití údajů nad rámec původního nákupního prostředí. Pokud je vyžadován souhlas, platforma by měla účel spojený s AI popsat přímo a nespoléhat se pouze na obecnou klauzuli o vývoji produktů.

V některých případech může připadat v úvahu výjimka pro zlepšování podnikání. Nejde však o obecné povolení pro jakékoli nové komerční využití dat. Organizace musí stále splnit zákonné požadavky a nepřekročit rozsah výjimky.

Sociální sítě: profily, fotografie a příspěvky pro nástroje tvorby obsahu

Pokud sociální platforma používá profily, fotografie, videa, příspěvky nebo interakce uživatelů ke zlepšení nástrojů pro tvorbu obsahu pomocí generativní AI, musí při využití souhlasu jako právního základu poskytnout oznámení zaměřené konkrétně na AI.

Na osobní údaje, které jsou skutečně veřejně dostupné, se může vztahovat výjimka pro veřejně dostupná data. V takovém případě souhlas nemusí být nutný. Rozhodující je ale skutečná míra veřejnosti: obsah viditelný všem se liší od materiálu sdíleného jen s vybranými uživateli nebo chráněného nastavením přístupu.

Kdy oznámení nebo možnost odmítnutí nemusí být nutné

Údaje byly skutečně anonymizovány

Pokud jsou údaje skutečně anonymizované tak, že už nejde o osobní údaje, povinnosti týkající se oznámení a souhlasu podle PDPA se na ně nevztahují. Pseudonymizované nebo pouze zamaskované údaje však nelze automaticky považovat za anonymní. Podstatné je, zda lze jednotlivé osoby stále identifikovat.

Platí zákonná výjimka ze souhlasu

Organizace nemusí souhlas získávat, pokud se může řádně opřít o příslušnou zákonnou výjimku, například výjimku pro veřejně dostupná data nebo — při splnění všech podmínek — výjimku pro zlepšování podnikání. Protože povinnost použít AI-specifické oznámení se váže na situace, v nichž je souhlas nutný, nevytváří automatické právo odmítnout každé zákonné použití dat k trénování AI.

Uplatňuje se režim souhlasu, který nevyžaduje možnost opt-out

Pokyny PDPC popisují režim odmítnutí jako postup, při němž organizace poskytne oznámení, přiměřenou lhůtu a přiměřený způsob, jak zpracování odmítnout. To ale neznamená, že každá aktivita související s AI musí zahrnovat možnost opt-out — zejména pokud firma využívá výjimku ze souhlasu, nikoli samotný souhlas.

Pokud spotřebitel souhlas poskytl nebo se podle PDPA považuje za udělený, může mít i nadále právo jej odvolat. To se řídí pravidly platnými pro konkrétní zpracování.

Smí firma podmínit službu souhlasem s trénováním AI?

Obecně by organizace neměla odepřít produkt nebo službu jen proto, že spotřebitel odmítne souhlas s trénováním AI, pokud toto trénování není přiměřeně nutné k poskytnutí požadovaného produktu nebo služby. Souhlas s vývojem univerzálního AI asistenta nebo nesouvisejícího komerčního modelu by proto zpravidla neměl být podmínkou pro založení běžného bankovního účtu, využívání nákupní služby či přístupu na sociální platformu.

Klíčová je ale otázka nezbytnosti. Souhlas může být podmínkou tehdy, pokud je shromažďování, používání nebo předávání údajů přiměřeně nutné pro službu či transakci, kterou spotřebitel požaduje. Zda je tato hranice splněna, závisí na konkrétní službě, použití dat a okolnostech. Pokyny nepřinášejí univerzální odpověď pro každou organizaci ani každý AI systém.

Na co si dát pozor v oznámení o AI

Spotřebitelé by měli v oznámení hledat čtyři základní informace:

• že jejich osobní údaje budou použity k vývoji, trénování nebo zlepšování generativního modelu;
• jaké kategorie údajů se to týká;
• k jakému účelu a jakým způsobem budou údaje použity;
• zda lze souhlas odmítnout nebo odvolat a jak to provést.

Organizace by naopak měly nejprve zjistit, zda informace stále představují osobní údaje, zda se uplatní některá výjimka a zda je zamýšlené použití AI přiměřeně nutné pro požadovanou službu. Teprve poté lze určit, zda je nutné AI-specifické oznámení založené na souhlasu — a zda musí být k dispozici i možnost opt-out.

To je hlavní omezení singapurského rámce z července 2026: přináší větší transparentnost u trénování AI založeného na souhlasu, ale nezakládá automatické právo odmítnout každé zákonné použití osobních údajů.