Singapurská pravidla pro GenAI: povinná upozornění na data a informační karty chatbotů

Singapur 20. července 2026 představil dvě související, ale odlišná opatření. Komise pro ochranu osobních údajů (PDPC) vydala doporučení k používání osobních údajů v modelech a systémech generativní AI včetně požadavku na AI-specifická upozornění tam, kde je zapotřebí souhlas. Úřad pro rozvoj informačních a komunikačních technologií (IMDA) současně zveřejnil dobrovolná doporučení pro veřejně dostupné chatboty, jejichž hlavním prvkem je srozumitelná „Chatbot Info Card“.

Rozdíl je zásadní: opatření PDPC řeší, jak organizace používají osobní údaje, zatímco rámec IMDA řeší, jak veřejné chatboty vysvětlují své schopnosti, rizika a práci s daty.

Stručně řečeno

Když firma znovu použije osobní údaje původně shromážděné pro jiný účel – například pro transakci, zákaznickou podporu nebo provoz služby – k vývoji či vylepšení modelu generativní AI, obecná věta typu „data můžeme využít ke zlepšování produktu“ obvykle nebude dostatečně konkrétní, pokud je nutný souhlas. Organizace má výslovně uvést, že údaje použije pro vývoj nebo vylepšení modelu GenAI, a vysvětlit uživatelům jejich možnosti.

Doporučení pro chatboty mají jiný charakter. Jsou dobrovolná a týkají se externích chatbotů, kteří komunikují se zákazníky, spotřebiteli nebo veřejností. Doporučují jedno snadno dostupné místo, kde se uživatel dozví, k čemu chatbot slouží, v čem může selhat, jak je zabezpečen, jak nakládá s daty a kam se obrátit s problémem.

Co pokrývají doporučení PDPC

Doporučení se vztahují na osobní údaje v průběhu celého životního cyklu generativní AI. Může jít o data získaná z webu, údaje poskytnuté uživatelem při běžném používání služby a později využité k vývoji či vylepšování modelu, ale také o nasazení modelu, zabezpečení, uchovávání dat a vyřizování žádostí o přístup k údajům nebo jejich opravu.

Hlavním problémem ochrany soukromí je změna účelu. Informace původně poskytnuté kvůli účtu, nákupu, zákaznické podpoře nebo jiné službě mohou být následně ve velkém měřítku použity k trénování či dolaďování modelu. Pro lidi pak může být obtížnější zjistit, co se s jejich údaji stalo, ovlivnit jejich další použití nebo uplatnit svá práva poté, co se data dostala do rozsáhlého trénovacího procesu.

Doporučení zároveň rozdělují odpovědnost v celém řetězci AI. Poskytovatelé modelů odpovídají za povinnosti podle zákona PDPA související s vývojem a nasazením modelů. Poskytovatelé systémů mají zohledňovat bezpečnost a komunikovat relevantní ochranná opatření. Provozovatelé systémů musí vymezit účel zpracování, rozumět datovým tokům a kontrolovat zabezpečení systémů, které uvádějí do provozu.

Kdy je nutné AI-specifické upozornění

Pokud chce organizace použít „uživatelská data“ k vývoji modelu generativní AI a nelze uplatnit žádnou výjimku ze souhlasu podle singapurského zákona o ochraně osobních údajů (PDPA), musí získat souhlas prostřednictvím AI-specifického upozornění. To musí jasně říct, že údaje budou použity pro vývoj nebo vylepšení modelu GenAI. Nestačí obecné formulace jako „vylepšování služeb“, „personalizace“ nebo „zlepšování produktu“.

Největší význam to má v situaci, kdy člověk poskytl informace v rámci existujícího produktu nebo služby pro jiný než AI účel a firma je později chce využít k vývoji modelu. Organizace musí posoudit původní kontext sběru, nový účel i to, zda se uplatní některá zákonná výjimka.

Veřejně dostupná data jsou samostatný případ

Výjimka pro veřejně dostupná data podle PDPA může organizacím umožnit shromažďovat veřejně dostupné osobní údaje pro vývoj modelu bez souhlasu. Neznamená to však, že každá informace dostupná přes internet automaticky splňuje tuto podmínku. U obsahu za platební bránou, přihlášením, registrací nebo podobnou digitální překážkou je nutné pečlivě posoudit, zda je pro tento účel stále skutečně veřejně dostupný.

Řádně anonymizovaná data

Řádně anonymizovaná data se pro účely PDPA nepovažují za osobní údaje, protože z nich nelze identifikovat konkrétního člověka. PDPC organizacím doporučuje, aby tam, kde je to možné, používaly anonymizovaná data pro analytiku a výzkum.

Samotné odstranění jména ale nemusí stačit. Pokud lze člověka identifikovat pomocí zbývajících informací nebo dalších rozumně dostupných údajů, dataset nemusí být skutečně anonymní. Organizace proto musí ověřit, zda jejich anonymizační postup opravdu odstraňuje možnost identifikace.

Jak je to s nahrávkami z call center?

Dodané zdroje nestanovují samostatnou, obecnou výjimku pro nahrávky z call center. Nahrávka, z níž lze volajícího identifikovat nebo jej lze rozumně identifikovat, by měla být při posuzování dalšího využití považována za osobní údaj. Před použitím k vývoji modelu by tedy organizace potřebovala příslušný právní základ podle PDPA – například platný souhlas, řádné upozornění nebo jinou zákonnou výjimku.

Dostupné zdroje neposkytují dost podrobností pro formulaci dalšího zvláštního pravidla týkajícího se nahrávek hovorů. Konkrétní postup proto závisí na obsahu nahrávky, způsobu jejího pořízení, plánovaném využití v GenAI a případné výjimce podle PDPA.

Co má AI-specifické upozornění obsahovat

Upozornění musí lidem poskytnout smysluplné a konkrétní informace. Podle dodaných doporučení by mělo přinejmenším obsahovat:

• Účel využití AI: jasně uvést, že osobní údaje budou použity k vývoji nebo vylepšení modelu generativní AI.
• Důvod zpracování: vysvětlit, proč organizace model vyvíjí nebo vylepšuje.
• Používaná data: popsat kategorie osobních údajů, které budou zahrnuty.
• Způsob použití: vysvětlit, jak budou data využita, například k trénování nebo dolaďování modelu.
• Možnost volby: popsat, jak může člověk souhlas odmítnout, odvolat nebo využít možnost odhlášení, pokud je dostupná.

Obecné zásady ochrany soukromí mohou dál poskytovat užitečný kontext. Neměly by však být jediným sdělením, pokud z nich není zřejmé, že osobní údaje mohou být použity k vývoji nebo vylepšení generativního modelu. Klíčovou otázkou je, zda běžný člověk dokáže tomuto účelu rozumět.

Kde se může upozornění objevit

Dodané materiály neurčují jeden povinný formát ani jediné místo, které by musely používat všechny organizace. Praktickým řešením může být zobrazit informace tam, kde se příslušná data shromažďují nebo kde člověk službu používá – například při registraci, v kontextovém upozornění přímo v produktu, v nastavení soukromí účtu nebo prostřednictvím jasně odkazovaných zásad ochrany osobních údajů.

Jde o praktický implementační závěr, nikoli o vyčerpávající seznam míst uvedený v informačním materiálu PDPC. Ať už organizace zvolí jakýkoli formát, sdělení by mělo být viditelné a konkrétní, ne ukryté v dlouhých a obecných podmínkách.

Souhlas, jeho odvolání a přístup k údajům

Lidé mohou požádat o přístup ke svým osobním údajům nebo o jejich opravu i poté, co byly použity při vývoji GenAI. Organizace mají používat rozumné postupy už při práci se zdrojovými daty, posuzovat žádosti případ od případu a přijímat vhodná technická opatření. Dohledání konkrétní informace ve velkém trénovacím datasetu však může být prakticky obtížné.

Pokud je právním základem souhlas, musí organizace vysvětlit, jak jej lze odmítnout nebo odvolat. To automaticky neznamená, že každý člověk bude moci po odmítnutí pokračovat ve využívání všech částí služby za nezměněných podmínek. Záleží na významu trénování GenAI pro danou službu, nezbytnosti tohoto zpracování a podobě souhlasu. Dodané zdroje nestanovují obecné právo zachovat po každém odmítnutí plný přístup ke službě.

Dobrovolná karta Chatbot Info Card od IMDA

Samostatná doporučení IMDA pro transparentnost generativních chatbotů se zaměřují na spotřebitele. Týkají se provozovatelů externích chatbotů, kteří komunikují se zákazníky, spotřebiteli nebo širokou veřejností. Cílem je pomoci lidem činit informovanější rozhodnutí, sjednotit způsob zveřejňování důležitých informací a zvýšit odpovědnost poskytovatelů za deklarovanou bezpečnost a spolehlivost.

Ústředním prvkem je „Chatbot Info Card“, tedy informační karta přirovnávaná k etiketě na potravinách nebo příbalové informaci k léku. Může mít podobu samostatné informační stránky či dokumentu, pokud uživateli nabídne jedno přehledné a snadno dostupné místo s podstatnými údaji.

Karta by měla splňovat tři principy:

• Relevance: obsahovat informace potřebné k posouzení, zda a jak se na chatbot spolehnout.
• Dostupnost: být napsaná jasným jazykem a snadno dohledatelná i použitelná.
• Aktuálnost: zveřejnit ji při uvedení chatbota a aktualizovat při významných změnách jeho funkcí, rizik nebo bezpečnostních pravidel.

Co by měla karta vysvětlit

Užitečná karta by měla pokrývat:

• zamýšlený účel, funkce a schopnosti chatbota;
• důležitá omezení včetně situací, kdy je nutné odpovědi ověřit nebo kdy není vhodné chatbot použít;
• opatření týkající se spolehlivosti a bezpečnosti;
• způsob nakládání se vstupy uživatelů, konverzacemi a dalšími údaji;
• kanály pro stížnosti, zpětnou vazbu a hlášení incidentů.

Karta není zárukou, že chatbot bude přesný nebo bezpečný. Její význam spočívá v tom, že uživatelům poskytne lepší podklady pro rozhodnutí, kdy nástroji věřit, jaké informace mu svěřit a kam se obrátit, pokud se něco pokazí.

IMDA se zpočátku zaměřila na veřejné chatboty kvůli jejich širokému dosahu a rizikům souvisejícím mimo jiné se soukromím, bezpečností dětí a ochranou psychicky zranitelných uživatelů. Rámec může v budoucnu posloužit také jako vodítko pro další aplikace GenAI a sektorová doporučení.

Jak chtějí pravidla využít firmy a úřady

Google, Meta, DBS, OCBC, Singapore Airlines a Synapxe uvedly, že dobrovolná doporučení využijí jako referenční rámec při zlepšování transparentnosti svých veřejně dostupných chatbotů. To představuje příslib dalšího sjednocování a zlepšování postupů, nikoli důkaz, že všechny tyto organizace již zavedly totožnou informační kartu.

U bank bude důraz pravděpodobně na vysvětlení funkcí chatbotů pro klienty, jejich omezení a ochranných opatření v návaznosti na existující řízení rizik a správu AI. DBS poukázala na své zákaznicky orientované AI iniciativy, zatímco OCBC spojila doporučení se svým zavedeným systémem správy AI a řízení rizik.

Singapore Airlines uvedla, že bude dál přezkoumávat a posilovat správu AI i ochranná opatření s tím, jak rozšiřuje AI služby pro zákazníky. Google a Meta podpořily jasnější a dostupnější informace o fungování jejich AI produktů a o způsobu, jak s nimi lidé komunikují.

Jako referenci mají rámec využít také veřejné instituce. National Library Board a Health Promotion Board jej plánují zohlednit u svých veřejně dostupných chatbotů.

Co to znamená v praxi

Singapurský přístup kombinuje konkrétnější informování o některých způsobech využití osobních údajů v GenAI s dobrovolným standardem transparentnosti pro chatboty. Tato opatření je proto třeba chápat jako doplňující, nikoli zaměnitelná:

1. Zmapovat data: zjistit, jaké osobní údaje vstupují do procesu vývoje modelu nebo provozu chatbota a proč.
2. Ověřit právní základ: určit, zda je nutný souhlas, nebo zda platí výjimka podle PDPA.
3. Výslovně popsat využití GenAI: tam, kde je to potřeba, použít AI-specifické upozornění místo obecné formulace o zlepšování produktu.
4. Připravit se na žádosti uživatelů: uchovávat dostatek informací ve zdrojových systémech pro posouzení žádostí o přístup, opravu nebo odvolání souhlasu.
5. Zveřejnit informace o chatbotu: u veřejných GenAI chatbotů nabídnout relevantní, dostupnou a aktuální kartu s údaji o schopnostech, omezeních, bezpečnosti, spolehlivosti, práci s daty a hlášení problémů.

Výsledkem není univerzální příslib, že uživatel může zastavit každé využití svých údajů související s AI. Jde především o tlak na srozumitelnější informování, promyšlenější správu dat a větší odpovědnost veřejně dostupných AI nástrojů.