Singapur zpřesňuje pravidla pro AI: Firmy musí říct, jak využívají osobní údaje

Co má AI oznámení obsahovat

Uživatel by měl z oznámení pochopit nejen to, co produkt dělá, ale také jak funguje datový řetězec v pozadí. Doporučený přístup počítá s vysvětlením těchto bodů:

• Co model dělá a proč vzniká
• Jaké kategorie osobních údajů se používají, například kontaktní údaje, informace o transakcích či poloze, video nebo zvukové nahrávky
• Jak data k fungování modelu přispívají, nikoli pouze obecné tvrzení, že jsou „zpracovávána“
• Jak lze použití odmítnout nebo odvolat souhlas, a to prostřednictvím praktických a přiměřeně dostupných pokynů

PDPC zdůrazňuje transparentnost ve chvíli, kdy se člověk rozhoduje — nikoli větu ukrytou na konci dlouhých zásad ochrany soukromí. Jako vhodný formát se nabízí například výrazné upozornění přímo v aplikaci nebo samostatná webová stránka.

Příklad: hlasová data pro převod textu na řeč

Firma vyvíjející funkci převodu textu na řeč může uživatelům vysvětlit, že jejich hlasové nahrávky využije k trénování modelu a že nahrávky systému pomohou rozpoznávat řečové vzorce. To je výrazně srozumitelnější než popsat účel pouze jako „zlepšování produktu“.

Oznámení není totéž co souhlas

Nejdůležitější právní rozdíl spočívá mezi informováním lidí o zamýšleném použití a existencí právního titulu, který takové použití dovoluje. Podle obecného rámce PDPA musí organizace člověka zpravidla informovat o účelu a získat jeho souhlas, pokud se neuplatní některá zákonná výjimka.

Konečná doporučení upřesňují obsah oznámení v situaci, kdy je souhlas vyžadován: organizace musí výslovně uvést zamýšlené použití osobních údajů pro vývoj AI modelu. Neznamená to však, že každé použití osobních údajů pro trénování AI automaticky vyžaduje aktivní a výslovný souhlas. Záleží na konkrétní výjimce podle PDPA, včetně pravidel pro veřejně dostupné informace.

Praktický závěr pro firmy je proto jasný: právní titul by měly dokumentovat pro každý trénovací dataset zvlášť. Srozumitelné oznámení nenahradí souhlas tam, kde je vyžadován, a souhlas nelze předpokládat z formulace natolik obecné, že nepopisuje skutečné využití AI.

Jaké otázky vyvolal původní návrh

Návrh z konzultační fáze vzbudil pozornost především proto, že z prvních požadavků nebyly jasné některé praktické důsledky.

Je vždy nutný výslovný souhlas?

Návrh jednoznačně nestanovil, že ve všech scénářích trénování generativní AI bude nutný aktivní a výslovný souhlas. Otevřel proto otázky, kdy by mohl být přijatelný model odmítnutí a kdy lze využít některou z výjimek podle PDPA.

Konečné znění tím staví právní titul do ještě důležitější role. Organizace by neměly prezentovat AI oznámení jako univerzální náhradu souhlasu.

Vyřeší problém anonymizace?

Návrh rovněž nejasně ponechával otázku, zda se zvláštní očekávání týkající se oznámení uplatní i tehdy, když jsou údaje před trénováním anonymizovány. Záleží totiž na tom, zda lze informace stále propojit s konkrétní osobou a jak přesně firma anonymizaci provádí a dokumentuje.

Dostupné informace nepodporují závěr, že označení datasetu jako „anonymizovaného“ automaticky ukončí právní analýzu. Firmy by měly posoudit konkrétní data i způsob jejich zpracování.

Může firma odmítnout službu člověku, který nesouhlasí?

Další nevyřešenou otázkou je, zda mohou banky, pojišťovny, platformy a další poskytovatelé službu odepřít nebo znepřístupnit člověku, který odmítne použití svých údajů pro trénování AI. Formální možnost volby se zde může střetnout s praktickým tlakem: odmítnutí sice existuje na papíře, ale jeho uplatnění může být nákladné, pokud vede ke ztrátě důležité služby.

Požadavek na informování zvyšuje viditelnost celého procesu. Sám o sobě ale neřeší otázky férovosti, přístupu ke službám ani nerovného vyjednávacího postavení mezi jednotlivcem a poskytovatelem.

Proč se debata týká i chytrých zařízení

Pozornost PDPC ke generativní AI zapadá do širší debaty o produktech, které sbírají data způsobem, jehož si lidé nemusí všimnout. V souvislosti s prioritami komisařky Denise Wong se zmiňují například chytré brýle, chytré hodinky a platební systémy využívající skenování dlaně.

Taková zařízení mohou pracovat s citlivými údaji, včetně charakteristik obličeje, otisků prstů, hlasových dat nebo vzorců žil na dlani. Mezi uváděná rizika patří skryté nahrávání, únik či zneužití biometrických údajů a také použití chytrých brýlí k zachycení zkouškových materiálů nebo jiných informací za účelem podvádění.

Singapurské ministerstvo digitálního rozvoje a informací se zabývalo také otázkami vizuálních indikátorů na chytrých brýlích a sběru biometrických či okolních dat od lidí v blízkosti zařízení, kteří jeho uživateli nejsou.

Jádrem problému je smysluplná informovanost. Malá kontrolka nahrávání nebo pravidla zařízení ukrytá v dokumentaci nemusí kolemjdoucím dát realistickou možnost pochopit, co se děje, a učinit informované rozhodnutí.

Co by měly organizace udělat nyní

Týmy, které v Singapuru vyvíjejí nebo nasazují generativní AI, mohou doporučení využít jako praktický kontrolní seznam pro správu dat:

1. Přiřaďte každý dataset ke konkrétnímu případu použití. Uveďte, zda data slouží k trénování, dolaďování, testování, monitorování nebo jinému účelu.
2. Zvolte a zdokumentujte právní titul podle PDPA. Zapište, zda je nutný souhlas, nebo se firma opírá o zákonnou výjimku.
3. Přepracujte obecná oznámení. Pokud je účelem vývoj či zlepšování generativního AI modelu, řekněte to přímo a srozumitelně.
4. Popište kategorie údajů a funkci modelu. Lidé by měli rozumět tomu, jaké informace se používají a k čemu modelu pomáhají.
5. Umožněte skutečnou volbu. Vysvětlete, jak použití odmítnout nebo odvolat souhlas, a evidujte způsob vyřizování žádostí.
6. Samostatně prověřte propojená zařízení. Chytré brýle, nositelná elektronika, kamery a biometrické systémy mohou vyvolávat otázky informování a souhlasu také u lidí, kteří nejsou jejich přímými uživateli.

Singapurský přístup tedy není primárně o zákazu používání osobních údajů v generativní AI. Jde spíše o to, aby jejich využití bylo viditelné, konkrétní a spojené s identifikovatelným právním titulem. Konečná doporučení zmenšují rozdíl mezi tradičními zásadami ochrany soukromí a moderním vývojem AI. Nejtěžší otázky — zejména skutečná možnost volby a nakládání s citlivými nebo nepřímo zachycenými údaji — však zůstávají důležitým tématem správy dat.