Singapore skærper kravene til AI-data: Virksomheder skal fortælle, hvordan personoplysninger bruges

Hvad skal en AI-specifik meddelelse indeholde?

En brugbar meddelelse skal give folk mulighed for at forstå både det konkrete produkt og den data-infrastruktur, der ligger bag. Ifølge den foreslåede tilgang bør organisationer forklare:

• Hvad modellen gør, og hvorfor den udvikles
• Hvilke kategorier af personoplysninger der bruges, for eksempel kontaktoplysninger, transaktions- eller lokaliseringsdata samt video- og lydoptagelser
• Hvordan oplysningerne bidrager til modellen, frem for blot at skrive, at de »behandles«
• Hvordan brugeren kan fravælge brugen eller trække sit samtykke tilbage, med praktiske og rimeligt lettilgængelige instruktioner

PDPC lægger vægt på gennemsigtighed dér, hvor brugeren faktisk skal træffe et valg – ikke på en enkelt sætning, der er gemt langt nede i en omfattende privatlivspolitik. Blandt de foreslåede formater var en tydelig meddelelse i selve produktet eller en særskilt webside.

Eksempel: stemmeoptagelser til tekst-til-tale

En virksomhed, der udvikler tekst-til-tale-funktioner, kan for eksempel skrive, at kundernes stemmeoptagelser bruges til at træne modellen, og at optagelserne hjælper systemet med at genkende talemønstre. Det er væsentligt mere præcist end blot at beskrive formålet som »forbedring af produktet«.

En meddelelse er ikke det samme som samtykke

Den vigtigste juridiske skelnen går mellem at fortælle folk, hvad der sker, og at have et lovligt grundlag for at bruge deres data. Efter PDPA's generelle ramme skal organisationer normalt informere personer om formålet og indhente samtykke, medmindre en undtagelse gælder.

Den endelige vejledning præciserer, hvad meddelelsen skal indeholde, når samtykke er nødvendigt: Organisationen skal udtrykkeligt beskrive, at personoplysningerne skal bruges til udvikling af en AI-model.

Det betyder dog ikke, at enhver brug af personoplysninger til AI-træning automatisk kræver et aktivt og udtrykkeligt samtykke. Det afhænger blandt andet af den relevante undtagelse i PDPA, herunder reglerne om offentligt tilgængelige oplysninger.

Den praktiske lektie for virksomheder er derfor at dokumentere det juridiske grundlag for hvert træningsdatasæt særskilt. En klar meddelelse kan ikke erstatte samtykke, hvis samtykke er påkrævet, og samtykke kan ikke uden videre udledes af en formulering, der er for vag til at beskrive den faktiske AI-anvendelse.

De spørgsmål, som forslaget rejste

Forslaget vakte opmærksomhed, fordi flere af de praktiske konsekvenser ikke fremgik klart af de første beskrivelser af meddelelseskravet.

Kræves der altid udtrykkeligt samtykke?

Udkastet fastslog ikke klart, at et aktivt og udtrykkeligt samtykke er nødvendigt i alle situationer, hvor generativ AI trænes. Det rejste i stedet spørgsmål om, hvornår en fravalgsmodel kan accepteres, og hvornår en eksisterende undtagelse i PDPA kan anvendes.

Den endelige vejlednings behandling af samtykke og undtagelser gør det juridiske grundlag endnu vigtigere. Virksomheder bør derfor ikke fremstille en AI-specifik meddelelse som en universel erstatning for samtykke.

Fjerner anonymisering kravet om en AI-specifik meddelelse?

Udkastet efterlod også usikkerhed om, hvorvidt den særlige forventning om en AI-meddelelse gælder, når data anonymiseres før træningen.

Spørgsmålet er vigtigt, fordi vurderingen kan afhænge af, om oplysningerne stadig kan forbindes med en identificerbar person, samt af hvordan anonymiseringen udføres og dokumenteres.

Det tilgængelige materiale understøtter ikke, at anonymisering automatisk løser spørgsmålet for alle datasæt. Virksomheder bør analysere både dataene og behandlingsmetoden i stedet for at antage, at ordet »anonymiseret« afslutter vurderingen.

Kan en virksomhed nægte en tjeneste til personer, der siger nej?

Et andet uafklaret spørgsmål var, om banker, forsikringsselskaber, platforme eller andre tjenesteudbydere kan tilbageholde eller gøre en tjeneste utilgængelig, hvis en person nægter at lade sine data bruge til AI-træning.

Her møder det formelle valg den praktiske virkelighed: Et fravalg kan eksistere på papiret, men være svært at bruge, hvis det medfører en væsentlig ulempe eller omkostning.

Meddelelseskravet gør brugen mere synlig, men besvarer ikke i sig selv alle spørgsmål om rimelighed, adgang til tjenester eller magtforholdet mellem den enkelte og udbyderen.

Hvorfor AI-enheder også er en del af debatten

PDPC's fokus på generativ AI indgår i en bredere bekymring over produkter, der indsamler data på måder, som folk måske ikke opdager. Dækningen af kommissær Denise Wongs prioriteter har blandt andet fremhævet smartbriller, smartwatches og betalingssystemer, der scanner håndfladen.

Sådanne produkter kan behandle følsomme oplysninger som ansigtstræk, fingeraftryk, stemmedata og mønstre i håndfladens blodårer. De rapporterede risici omfatter skjulte optagelser, eksponering eller misbrug af biometriske oplysninger samt brug af smartbriller til at optage eksamensmateriale eller andre oplysninger med henblik på snyd.

Singapores Ministry of Digital Development and Information har også behandlet spørgsmål om synlige optageindikatorer på smartbriller og om indsamling af biometriske eller miljørelaterede data fra personer i nærheden, som ikke selv bruger enheden.

Det underliggende spørgsmål er, hvad meningsfuld opmærksomhed betyder i praksis. En lille optagelseslampe eller en enhedspolitik, der er skjult i dokumentationen, giver ikke nødvendigvis forbipasserende en realistisk mulighed for at forstå, hvad der foregår, eller træffe et valg.

Hvad bør organisationer gøre nu?

Virksomheder, der udvikler eller anvender generative AI-systemer i Singapore, bør bruge vejledningen som en tjekliste for datastyring:

1. Knyt hvert datasæt til et konkret AI-formål. Afklar, om data bruges til træning, finjustering, test, overvågning eller noget andet.
2. Vælg og dokumentér grundlaget i PDPA. Notér, om samtykke er nødvendigt, eller om organisationen baserer sig på en lovbestemt undtagelse.
3. Omskriv generelle meddelelser. Skriv klart, at personoplysninger bruges til at udvikle eller forbedre en generativ AI-model, når det er formålet.
4. Beskriv datakategorier og modelens funktion. Brugerne skal kunne forstå, hvilke oplysninger der anvendes, og hvad de hjælper modellen med at gøre.
5. Gør valget praktisk anvendeligt. Forklar, hvordan man fravælger brugen eller trækker samtykke tilbage, og dokumentér, hvordan anmodninger håndteres.
6. Vurdér forbundne enheder særskilt. Smartbriller, wearables, kameraer og biometriske systemer kan skabe spørgsmål om meddelelse og samtykke for personer, der ikke selv er den direkte bruger.

Singapores kurs handler dermed mindre om at forbyde brugen af personoplysninger i generativ AI og mere om at gøre brugen synlig, specifik og knyttet til et identificerbart juridisk grundlag. Den endelige vejledning mindsker afstanden mellem traditionelle privatlivspolitikker og moderne AI-udvikling, mens de vanskeligste spørgsmål – især meningsfulde valgmuligheder og håndteringen af følsomme eller indirekte indsamlede oplysninger – fortsat er centrale for datastyringen.