Singapores AI-regler gør databrug og chatbots mere gennemsigtige

Singapore indførte den 20. juli 2026 to beslægtede, men forskellige tiltag. Personal Data Protection Commission (PDPC) offentliggjorde retningslinjer for brugen af persondata i generative AI-modeller og -systemer, herunder krav om AI-specifik information, når samtykke er nødvendigt. Separat udsendte Infocomm Media Development Authority (IMDA) frivillige retningslinjer for offentligt tilgængelige generative AI-chatbots med fokus på et letforståeligt »Chatbot Info Card«.

Forskellen er vigtig: PDPC-tiltaget handler om, hvordan organisationer bruger persondata, mens IMDA-rammen handler om, hvordan offentlige chatbots forklarer deres funktioner, begrænsninger, risici og datapraksis til brugerne.

Kort fortalt

Hvis persondata, der oprindeligt blev indsamlet til ét formål, senere genanvendes til at udvikle eller forbedre en generativ AI-model, vil en generel privatlivstekst som »vi kan bruge data til produktforbedring« normalt ikke være specifik nok, når der kræves samtykke. Organisationen bør tydeligt oplyse, at dataene skal bruges til udvikling eller forbedring af en generativ AI-model, og forklare hvilke valg den enkelte har.

Chatbot-retningslinjerne er noget andet. De er frivillige og gælder eksterne generative AI-chatbots, der interagerer med kunder, forbrugere eller offentligheden. IMDA anbefaler ét samlet og let tilgængeligt sted, hvor brugerne kan se, hvad chatbotten kan, hvor den kan tage fejl, hvordan den holdes sikker, hvordan data behandles, og hvordan problemer kan indberettes.

Hvad dækker PDPC-retningslinjerne?

PDPC’s retningslinjer omfatter persondata gennem hele den generative AI-livscyklus. Det kan blandt andet være webindsamlede oplysninger, data som brugere afleverer for at få en almindelig tjeneste, og data der senere genanvendes til at udvikle eller forbedre en model. Retningslinjerne berører også implementering, sikkerhed, opbevaring samt anmodninger om indsigt og rettelse.

Den centrale udfordring er ændringen i formålet med dataene. Oplysninger, der oprindeligt blev givet i forbindelse med en transaktion, en konto, kundeservice eller en anden tjeneste, kan senere blive genbrugt i stor skala til modeltræning eller finjustering. Det kan gøre det sværere for mennesker at forstå, hvad der er sket med deres data, kontrollere brugen eller udøve deres rettigheder, efter oplysningerne er indgået i en omfattende træningsproces.

Retningslinjerne fordeler også ansvaret i AI-forsyningskæden. Modeludbydere har fortsat ansvar for forpligtelser efter Singapores Personal Data Protection Act (PDPA), når modeller udvikles og implementeres. Systemudbydere forventes at forholde sig til sikkerheden og kommunikere relevante beskyttelsesforanstaltninger, mens organisationer, der tager systemerne i brug, skal fastlægge behandlingsformål, forstå dataflowet og gennemgå kontrollerne i de systemer, de implementerer.

Hvornår kræves en AI-specifik meddelelse?

En organisation skal indhente samtykke gennem en AI-specifik meddelelse, hvis den vil bruge »User Data« til at udvikle en generativ AI-model, og ingen relevant undtagelse fra PDPA’s samtykkekrav gælder. Meddelelsen skal gøre AI-anvendelsen tydelig. Det er ikke nok at henvise til eksempelvis »serviceforbedring«, »personalisering« eller »produktudvikling«.

Det er især relevant, når oplysninger oprindeligt blev indsamlet direkte gennem et eksisterende produkt eller en tjeneste til et ikke-generativt AI-formål og senere genbruges til modeludvikling. Organisationen skal vurdere den oprindelige indsamlingssituation, det nye formål og eventuelle undtagelser, før den beslutter, hvordan dataene må bruges.

Offentligt tilgængelige data er en særskilt situation

PDPA’s undtagelse for offentligt tilgængelige data kan i visse tilfælde gøre det muligt at indsamle offentligt tilgængelige persondata uden samtykke til modeludvikling. Det betyder dog ikke, at alle oplysninger, der kan findes online, automatisk er omfattet. Data bag en betalingsmur, et login, et registreringskrav eller en tilsvarende digital barriere kræver en konkret vurdering af, om de stadig kan anses for offentligt tilgængelige til dette formål.

Korrekt anonymiserede data

Korrekt anonymiserede data er ikke persondata efter PDPA, fordi de ikke kan knyttes til en bestemt person. PDPC opfordrer organisationer til at bruge anonymiserede data til analyse og forskning, når det er praktisk muligt.

Det er dog ikke nok blot at fjerne et navn. Et datasæt er ikke nødvendigvis anonymt, hvis en person stadig kan identificeres ud fra de resterende oplysninger eller andre oplysninger, der med rimelighed er tilgængelige. Organisationen skal derfor vurdere, om anonymiseringsprocessen reelt fjerner muligheden for at identificere enkeltpersoner.

Hvad med optagelser fra callcentre?

De leverede kilder fastlægger ikke en særskilt, kategorisk undtagelse for optagelser fra callcentre. En optagelse, der identificerer eller med rimelighed kan identificere en kunde, bør derfor behandles som persondata, når en mulig genanvendelse til generativ AI vurderes. Organisationen skal fortsat have et relevant grundlag efter PDPA – eksempelvis gyldigt samtykke, en meddelelse eller en anden lovbestemt undtagelse – før optagelsen bruges til modeludvikling.

Kilderne indeholder ikke tilstrækkelige oplysninger til at fastslå en yderligere, specifik regel for callcenteroptagelser. Den konkrete vurdering afhænger derfor af optagelsens indhold, hvordan den blev indsamlet, det foreslåede AI-formål og eventuelle relevante undtagelser efter PDPA.

Hvad bør meddelelsen indeholde?

Meddelelsen bør give brugerne meningsfulde og konkrete oplysninger om den planlagte anvendelse. Den bør som minimum indeholde:

• AI-formålet: Oplys, at persondata vil blive brugt til at udvikle eller forbedre en generativ AI-model.
• Formålet med anvendelsen: Forklar, hvorfor modellen skal udvikles eller forbedres.
• De involverede data: Beskriv kategorierne af persondata, der skal bruges.
• Måden dataene bruges på: Forklar, hvordan dataene anvendes, eksempelvis til træning eller finjustering, hvor det er relevant.
• Brugerens valgmuligheder: Forklar, hvordan den enkelte kan afvise eller trække samtykke tilbage, eller fravælge behandlingen, hvor denne mulighed gælder.

En generel privatlivspolitik kan fortsat indeholde nyttige baggrundsoplysninger, men den bør ikke være den eneste information, hvis den skjuler eller slører formålet med AI-træningen. Det afgørende spørgsmål er, om en rimelig bruger kan forstå, at vedkommendes persondata kan blive brugt til at udvikle eller forbedre en generativ AI-model.

Hvor kan meddelelsen vises?

De leverede materialer fastsætter ikke ét obligatorisk format eller én bestemt placering for alle organisationer. En praktisk løsning kan være at vise oplysningerne dér, hvor dataene indsamles, eller hvor tjenesten bruges – for eksempel ved oprettelse af en konto, i en tidsmæssigt relevant besked i produktet, under privatlivsindstillingerne eller via en tydeligt linket privatlivsmeddelelse.

Dette er en praktisk implementeringsvurdering og ikke en udtømmende liste fra PDPC’s faktaark. Uanset format bør informationen være synlig og specifik i stedet for at være gemt i brede og vanskeligt tilgængelige vilkår.

Samtykke, tilbagetrækning og adgang til tjenester

Personer kan anmode om indsigt i og rettelse af deres persondata, også efter at dataene er blevet brugt i udviklingen af generativ AI. Organisationer forventes at have fornuftige datahåndteringsrutiner opstrøms, vurdere anmodninger konkret og indføre passende tekniske foranstaltninger. Det kan dog være vanskeligt at spore bestemte oplysninger gennem et stort træningsdatasæt.

Hvis samtykke er det juridiske grundlag, skal brugerne informeres om, hvordan de kan sige nej eller trække samtykket tilbage. Det betyder ikke automatisk, at alle dele af en tjeneste fortsat skal være tilgængelige på uændrede vilkår efter et fravalg. Om adgang til kernetjenesten kan fortsætte, afhænger blandt andet af AI-træningens rolle, nødvendigheden af behandlingen og organisationens samtykkedesign. Kilderne fastslår ikke en generel ret til at bevare fuld adgang til alle tjenester efter ethvert fravalg.

IMDA’s frivillige »Chatbot Info Card«

IMDA’s Transparency Guidelines for Generative AI Chatbots har et brugerrettet fokus. De gælder organisationer, der implementerer eksterne generative AI-chatbots, og skal hjælpe brugerne med at træffe mere informerede valg, skabe mere ensartede oplysninger og gøre udbyderne mere ansvarlige for deres egne løfter om sikkerhed og pålidelighed.

Kernen er et »Chatbot Info Card«, som kan sammenlignes med en næringsdeklaration eller en indlægsseddel til medicin. Det kan være en særlig informationsside eller et andet oplysningsdokument, så længe brugerne får ét samlet og tilgængeligt sted med de vigtigste oplysninger.

Kortet bør følge tre principper:

• Relevant: Det skal indeholde de oplysninger, brugerne har brug for, når de skal vurdere, om og hvordan chatbotten kan bruges.
• Tilgængeligt: Det skal være skrevet i klart sprog og være let at finde og navigere i.
• Aktuelt: Det skal offentliggøres, når chatbotten bliver tilgængelig, og opdateres, når væsentlige ændringer påvirker funktioner, risici eller sikkerhedspolitikker.

Hvad bør kortet forklare?

Et brugbart informationskort bør dække:

• chatbot­tens tilsigtede formål, funktioner og muligheder;
• vigtige begrænsninger, herunder hvornår svar bør kontrolleres, eller brugen kan være uhensigtsmæssig;
• foranstaltninger for pålidelighed og sikkerhed;
• hvordan brugerinput, samtaler og andre data håndteres; samt
• kanaler til klager, feedback og indberetning af hændelser.

Kortet er ikke en garanti for, at en chatbot er korrekt eller sikker. Værdien ligger i, at brugerne får et bedre grundlag for at vurdere, hvornår de kan stole på værktøjet, hvilke oplysninger de bør dele, og hvor de skal henvende sig, hvis noget går galt.

IMDA har i første omgang fokuseret på offentlige chatbots, fordi de har stor kontaktflade med forbrugere og rejser spørgsmål om blandt andet privatliv, børns sikkerhed og risici for mennesker i psykisk sårbare situationer. Rammen kan også blive et referencepunkt for andre generative AI-applikationer og fremtidige branchespecifikke retningslinjer.

Sådan ventes virksomheder og myndigheder at reagere

Google, Meta, DBS, OCBC, Singapore Airlines og Synapxe har oplyst, at de vil bruge de frivillige chatbotretningslinjer som reference, når de forbedrer gennemsigtigheden i offentligt tilgængelige chatbots. Det viser planlagt tilpasning og løbende forbedringer – ikke at alle organisationerne allerede har lanceret identiske informationskort.

For banker vil fokus sandsynligvis være på at forklare kundevendte funktioner, begrænsninger og sikkerhedsforanstaltninger sammen med de eksisterende processer for AI-styring og risikohåndtering. DBS henviste til sine kundevendte AI-initiativer, mens OCBC koblede retningslinjerne til bankens eksisterende AI-styring og risikostyring.

Singapore Airlines oplyste, at selskabet fortsat vil gennemgå og styrke sin AI-styring og sine sikkerhedsforanstaltninger, efterhånden som det udvider AI-understøttede kundeoplevelser. Google og Meta støttede tydeligere og mere tilgængelige oplysninger om, hvordan deres AI-produkter fungerer, og hvordan brugerne interagerer med dem.

Offentlige institutioner ventes også at bruge rammen som reference. National Library Board og Health Promotion Board har oplyst, at de vil tage retningslinjerne i betragtning for deres offentlige chatbots.

Hvad betyder tiltagene i praksis?

Singapores model kombinerer mere specifikke privatlivsoplysninger ved visse former for brug af data til generativ AI med en frivillig standard for gennemsigtighed i chatbots. De to tiltag bør derfor ses som komplementære – ikke som erstatninger for hinanden:

1. Kortlæg dataene: Find ud af, hvilke persondata der indgår i modeludviklingen eller chatbotten, og hvorfor.
2. Vurder det juridiske grundlag: Undersøg, om der kræves samtykke, eller om en undtagelse efter PDPA gælder.
3. Gør AI-genbrug tydeligt: Brug en AI-specifik meddelelse, når det kræves, i stedet for at nøjes med generelle ord om produktforbedring.
4. Planlæg håndtering af rettigheder: Bevar tilstrækkelige oplysninger opstrøms til at kunne vurdere anmodninger om indsigt, rettelse og tilbagetrækning.
5. Offentliggør chatbotoplysninger: For offentlige generative AI-chatbots bør der være et relevant, tilgængeligt og aktuelt informationskort om funktioner, begrænsninger, sikkerhed, pålidelighed, datapraksis og indberetningskanaler.

Resultatet er ikke et universelt løfte om, at brugerne kan standse enhver AI-relateret anvendelse af deres data. Det er snarere et skub mod tydeligere information, mere gennemtænkt datastyring og større ansvarlighed i AI-tjenester, der henvender sig til offentligheden.