Singapurs neue GenAI-Regeln: Was Unternehmen und Verbraucher wissen müssen

Singapur hat am 20. Juli 2026 zwei miteinander verbundene, aber unterschiedliche Maßnahmen eingeführt. Die Personal Data Protection Commission (PDPC) veröffentlichte Leitlinien zur Verwendung personenbezogener Daten in generativen KI-Modellen und -Systemen. Darin sind in bestimmten Fällen KI-spezifische Hinweise vorgeschrieben, wenn eine Einwilligung erforderlich ist. Unabhängig davon legte die Infocomm Media Development Authority (IMDA) freiwillige Transparenzleitlinien für öffentlich zugängliche GenAI-Chatbots vor. Im Mittelpunkt steht eine verständlich formulierte „Chatbot Info Card“.

Der Unterschied ist entscheidend: Die PDPC-Leitlinien betreffen den Umgang von Organisationen mit personenbezogenen Daten. Die IMDA-Leitlinien sollen dagegen dafür sorgen, dass öffentliche Chatbots ihre Fähigkeiten, Grenzen, Risiken und Datenpraktiken verständlich erklären.

Das Wichtigste in Kürze

Wenn Daten, die ursprünglich für einen anderen Zweck erhoben wurden, später zur Entwicklung oder Verbesserung eines GenAI-Modells genutzt werden, reicht eine allgemeine Formulierung wie „Wir können Daten zur Produktverbesserung verwenden“ in der Regel nicht aus, sofern eine Einwilligung erforderlich ist. Unternehmen sollten ausdrücklich erklären, dass die Daten für die Entwicklung oder Verbesserung eines generativen KI-Modells verwendet werden, und die Wahlmöglichkeiten der betroffenen Personen erläutern.

Die Chatbot-Leitlinien verfolgen einen anderen Ansatz: Sie sind freiwillig und richten sich an externe GenAI-Chatbots, die mit Kunden, Verbrauchern oder der Öffentlichkeit interagieren. Empfohlen wird eine zentrale, leicht auffindbare Informationsquelle. Dort sollen Nutzer erfahren, was der Chatbot leisten kann, wann seine Antworten unzuverlässig sein können, welche Sicherheitsmaßnahmen bestehen, wie Daten verarbeitet werden und wohin sie sich bei Problemen wenden können.

Was die PDPC-Leitlinien abdecken

Die PDPC-Leitlinien beziehen sich auf personenbezogene Daten über den gesamten Lebenszyklus generativer KI hinweg. Dazu können aus dem Internet zusammengetragene Informationen gehören, aber auch Daten, die Nutzer für eine gewöhnliche Dienstleistung bereitstellen und die später zur Entwicklung oder Verbesserung eines Modells wiederverwendet werden. Ebenfalls berücksichtigt werden Modellbereitstellung, Sicherheit, Aufbewahrung sowie Anfragen auf Auskunft oder Berichtigung.

Die zentrale Datenschutzfrage ist der Zweckwechsel: Informationen, die ursprünglich für einen Kauf, ein Konto, eine Supportanfrage oder eine andere Dienstleistung übermittelt wurden, können später in großem Umfang für Training oder Feintuning verwendet werden. Dadurch wird es für Betroffene schwieriger nachzuvollziehen, was mit ihren Daten geschieht, die Nutzung zu kontrollieren oder ihre Rechte auszuüben, sobald die Daten in einen umfangreichen Trainingsprozess eingeflossen sind.

Die Leitlinien verteilen die Verantwortung außerdem auf mehrere Akteure der KI-Lieferkette. Anbieter von Modellen bleiben für die Pflichten aus dem singapurischen Datenschutzrecht verantwortlich, die mit der Entwicklung und Bereitstellung ihrer Modelle verbunden sind. Systemanbieter sollen Sicherheitsaspekte prüfen und relevante Schutzmaßnahmen kommunizieren. Betreiber, die Systeme einsetzen, müssen die Verarbeitungszwecke festlegen, Datenflüsse verstehen und die Kontrollen der eingesetzten Systeme überprüfen.

Wann ein KI-spezifischer Hinweis erforderlich ist

Ein Unternehmen muss eine Einwilligung über einen KI-spezifischen Hinweis einholen, wenn es „Nutzerdaten“ zur Entwicklung eines GenAI-Modells verwenden möchte und keine einschlägige Ausnahme von der Einwilligungspflicht nach dem Personal Data Protection Act (PDPA) greift. Der Hinweis muss die GenAI-Nutzung klar benennen. Allgemeine Begriffe wie „Serviceverbesserung“, „Personalisierung“ oder „Produktoptimierung“ genügen dafür nicht.

Besonders relevant ist das, wenn Informationen direkt über ein bestehendes Produkt oder eine Dienstleistung für einen nicht auf generative KI bezogenen Zweck erhoben und später für die Modellentwicklung umgewidmet werden. Vor der weiteren Nutzung muss die Organisation den ursprünglichen Erhebungskontext, den neuen Zweck und mögliche Ausnahmen prüfen.

Öffentlich zugängliche Daten sind ein Sonderfall

Die Ausnahme für öffentlich zugängliche Daten im PDPA kann es Organisationen erlauben, öffentlich verfügbare personenbezogene Daten ohne Einwilligung für die Modellentwicklung zu erheben. Daraus folgt jedoch nicht, dass jede online erreichbare Information automatisch als öffentlich zugänglich gilt. Bei Daten hinter einer Bezahlschranke, einem Login, einer Registrierungspflicht oder einer vergleichbaren digitalen Zugangshürde ist sorgfältig zu prüfen, ob sie für diesen Zweck tatsächlich als öffentlich verfügbar gelten.

Ordnungsgemäß anonymisierte Daten

Richtig anonymisierte Daten gelten für die Zwecke des PDPA nicht als personenbezogene Daten, weil sie keiner Person mehr zugeordnet werden können. Die PDPC ermutigt Organisationen, anonymisierte Daten nach Möglichkeit für Analysen und Forschung einzusetzen.

Wichtig ist die Einschränkung: Nur einen Namen zu entfernen, macht einen Datensatz nicht automatisch anonym. Eine Person kann möglicherweise anhand der übrigen Informationen oder in Verbindung mit anderen vernünftigerweise verfügbaren Daten weiterhin identifiziert werden. Organisationen müssen daher prüfen, ob ihr Anonymisierungsverfahren die Identifizierung tatsächlich verhindert.

Wie sind Aufzeichnungen aus Callcentern zu behandeln?

Die vorliegenden Materialien legen keine eigene, pauschale Ausnahme für Aufzeichnungen aus Callcentern fest. Eine Aufzeichnung, die einen Anrufer identifiziert oder vernünftigerweise identifizieren lässt, sollte bei der Prüfung einer GenAI-Nutzung als personenbezogenes Datum behandelt werden. Für die Verwendung zur Modellentwicklung wäre dann weiterhin eine passende Grundlage nach dem PDPA erforderlich – etwa eine gültige Einwilligung, ein entsprechender Hinweis oder eine andere gesetzliche Ausnahme.

Die verfügbaren Quellen reichen nicht aus, um eine zusätzliche, speziell für Callcenter-Aufzeichnungen geltende Regel zu behaupten. Die konkrete Umsetzung hängt daher vom Inhalt der Aufzeichnung, der Art ihrer Erhebung, der geplanten GenAI-Nutzung und einer möglicherweise anwendbaren Ausnahme ab.

Welche Angaben der KI-Hinweis enthalten sollte

Der Hinweis soll Betroffenen konkrete und aussagekräftige Informationen über die geplante Nutzung geben. Nach den vorliegenden Leitlinien gehören mindestens folgende Punkte dazu:

• Zweck der KI-Nutzung: Es muss erklärt werden, dass personenbezogene Daten zur Entwicklung oder Verbesserung eines GenAI-Modells verwendet werden.
• Grund der Verarbeitung: Der Zweck der Modellentwicklung oder -verbesserung sollte erläutert werden.
• Betroffene Daten: Die Kategorien der verwendeten personenbezogenen Daten sollten beschrieben werden.
• Art der Nutzung: Das Unternehmen sollte erklären, wie die Daten verwendet werden, etwa für Training oder Feintuning.
• Wahlmöglichkeit: Der Hinweis muss darlegen, wie eine Person die Einwilligung verweigern oder widerrufen kann beziehungsweise wie ein Opt-out funktioniert, sofern diese Möglichkeit besteht.

Eine allgemeine Datenschutzerklärung kann weiterhin Hintergrundinformationen enthalten. Sie sollte jedoch nicht die einzige Information sein, wenn daraus der Zweck des GenAI-Trainings nicht eindeutig hervorgeht. Entscheidend ist, ob eine vernünftige Person verstehen kann, dass ihre personenbezogenen Daten zur Entwicklung oder Verbesserung eines generativen KI-Modells verwendet werden können.

Wo der Hinweis erscheinen kann

Die vorliegenden Materialien schreiben kein einheitliches Format und keinen einzigen verpflichtenden Platz für alle Organisationen vor. In der Praxis bietet es sich an, die Informationen dort anzuzeigen, wo die relevanten Daten erhoben oder die Dienste genutzt werden – etwa beim Einrichten eines Kontos, in einem kontextbezogenen Hinweis innerhalb des Produkts, in den Datenschutzeinstellungen oder über eine klar verlinkte Datenschutzerklärung.

Diese Empfehlung zur Platzierung ist eine praktische Umsetzungsschlussfolgerung und keine vollständige Aufzählung aus dem PDPC-Factsheet. Unabhängig vom gewählten Format sollte der Hinweis sichtbar und konkret sein, statt in schwer auffindbaren allgemeinen Bedingungen versteckt zu werden.

Einwilligung, Widerruf und Auskunftsrechte

Betroffene können auch dann Auskunft oder Berichtigung ihrer personenbezogenen Daten verlangen, wenn diese bereits für die Entwicklung eines GenAI-Systems verwendet wurden. Von Organisationen wird erwartet, dass sie geeignete Datenprozesse bereits bei der Erhebung einrichten, Anfragen im Einzelfall prüfen und angemessene technische Maßnahmen ergreifen. Die Rückverfolgung einzelner Informationen in großen Trainingsdatensätzen kann allerdings schwierig sein.

Wenn die Einwilligung die Rechtsgrundlage ist, müssen Nutzer erfahren, wie sie eine Einwilligung verweigern oder widerrufen können. Das bedeutet nicht automatisch, dass sie nach einem Opt-out jeden Teil eines Dienstes zu unveränderten Bedingungen weiter nutzen können. Ob der Zugang zum Kernangebot bestehen bleiben kann, hängt davon ab, welche Rolle das GenAI-Training für die Dienstleistung spielt, ob die Verarbeitung erforderlich ist und wie das Einwilligungsmodell gestaltet wurde. Die vorliegenden Quellen begründen kein pauschales Recht auf unveränderten vollständigen Servicezugang nach jedem Opt-out.

Die freiwillige „Chatbot Info Card“ der IMDA

Die Transparenzleitlinien der IMDA für generative KI-Chatbots richten sich an Verbraucher. Sie gelten für Betreiber externer GenAI-Chatbots und sollen Nutzern fundiertere Entscheidungen ermöglichen, Offenlegungen vereinheitlichen und Anbieter stärker für ihre erklärten Sicherheits- und Zuverlässigkeitspraktiken verantwortlich machen.

Das zentrale Element ist eine „Chatbot Info Card“, die mit einem Nährwert- oder Arzneimittelhinweis vergleichbar ist. Sie kann als eigene Informationsseite oder als Offenlegungsdokument gestaltet sein, solange sie den Nutzern eine gebündelte und leicht zugängliche Informationsquelle bietet.

Die Karte sollte drei Grundsätze erfüllen:

• Relevant: Sie sollte Informationen enthalten, die Nutzer brauchen, um die Verlässlichkeit und den sinnvollen Einsatz des Chatbots einzuschätzen.
• Zugänglich: Die Sprache sollte klar und verständlich sein, und die Informationen sollten leicht auffindbar und navigierbar sein.
• Aktuell: Die Karte sollte beim Start des Chatbots veröffentlicht und aktualisiert werden, wenn wesentliche Änderungen seine Fähigkeiten, Risiken oder Sicherheitsrichtlinien betreffen.

Was die Karte erklären sollte

Eine hilfreiche Info Card sollte folgende Themen abdecken:

• den vorgesehenen Zweck, die Funktionen und die Fähigkeiten des Chatbots;
• wichtige Einschränkungen, darunter Situationen, in denen Antworten überprüft werden sollten oder der Einsatz ungeeignet sein kann;
• Maßnahmen zu Zuverlässigkeit und Sicherheit;
• den Umgang mit Nutzereingaben, Gesprächen und anderen Daten; sowie
• Kanäle für Beschwerden, Feedback und die Meldung von Vorfällen.

Die Karte ist keine Garantie dafür, dass ein Chatbot korrekte oder sichere Antworten liefert. Ihr Nutzen liegt darin, Nutzern eine bessere Grundlage für die Entscheidung zu geben, wann sie dem System vertrauen, welche Informationen sie teilen und wohin sie sich bei Problemen wenden können.

Die IMDA konzentrierte sich zunächst auf öffentliche Chatbots, weil diese viele Verbraucher erreichen und unter anderem Fragen zum Datenschutz, zum Schutz von Kindern und zu Risiken für psychisch besonders verletzliche Menschen aufwerfen. Das Rahmenwerk könnte außerdem als Orientierung für andere GenAI-Anwendungen und künftige sektorspezifische Leitlinien dienen.

Wie Unternehmen und Behörden reagieren sollen

Google, Meta, DBS, OCBC, Singapore Airlines und Synapxe haben angekündigt, die freiwilligen Chatbot-Leitlinien als Referenz zu nutzen, während sie ihre Transparenzpraktiken für öffentliche Chatbots weiterentwickeln. Das signalisiert eine geplante Ausrichtung und kontinuierliche Verbesserung – nicht, dass jedes dieser Unternehmen bereits eine identische Info Card eingeführt hat.

Bei Banken dürfte der Schwerpunkt darauf liegen, Funktionen, Grenzen und Schutzmaßnahmen kundenorientierter zu erklären und die Angaben mit bestehenden Prozessen für KI-Governance und Risikomanagement zu verbinden. DBS verwies auf seine kundenorientierten KI-Initiativen, während OCBC die Leitlinien mit seiner etablierten KI-Governance und seinem Risikomanagement verknüpfte.

Singapore Airlines erklärte, die eigene KI-Governance und Schutzmaßnahmen weiter zu überprüfen und zu stärken, während das Unternehmen KI-gestützte Kundenerlebnisse ausbaut. Google und Meta unterstützten klarere und leichter zugängliche Informationen darüber, wie ihre KI-Produkte funktionieren und wie Nutzer mit ihnen interagieren.

Auch öffentliche Einrichtungen sollen das Rahmenwerk als Orientierung verwenden. Das National Library Board und das Health Promotion Board wollen es bei ihren öffentlich zugänglichen Chatbots berücksichtigen.

Was die neuen Maßnahmen praktisch bedeuten

Singapur verbindet eine präzisere Datenschutzinformation für bestimmte GenAI-Datennutzungen mit einem freiwilligen Transparenzstandard für Chatbots. Unternehmen sollten die beiden Maßnahmen deshalb als Ergänzung, nicht als Ersatz füreinander behandeln:

1. Datenflüsse erfassen: Ermitteln, welche personenbezogenen Daten in die Modell- oder Chatbot-Prozesse gelangen und warum.
2. Rechtsgrundlage prüfen: Feststellen, ob eine Einwilligung erforderlich ist oder eine Ausnahme nach dem PDPA greift.
3. GenAI-Nutzung ausdrücklich benennen: Wenn erforderlich, einen KI-spezifischen Hinweis verwenden, statt sich auf allgemeine Formulierungen zur Produktverbesserung zu verlassen.
4. Betroffenenrechte vorbereiten: Ausreichende Informationen aus den vorgelagerten Prozessen erhalten, um Auskunfts-, Berichtigungs- und Widerrufsanfragen prüfen zu können.
5. Chatbot-Informationen veröffentlichen: Für öffentliche GenAI-Chatbots eine relevante, zugängliche und aktuelle Info Card mit Angaben zu Fähigkeiten, Grenzen, Sicherheit, Zuverlässigkeit, Datenverarbeitung und Meldewegen bereitstellen.

Das Ergebnis ist kein pauschales Versprechen, dass Nutzer jede KI-bezogene Verwendung ihrer Daten stoppen können. Es ist vielmehr ein Schritt hin zu klareren Informationen, bewussterem Datenmanagement und mehr Verantwortung bei öffentlich eingesetzter KI.