Singapurs neue Regeln für GenAI-Daten: Warum „Produktentwicklung“ nicht mehr reicht

Was ein KI-spezifischer Hinweis erklären sollte

Ein guter Hinweis muss nicht nur das fertige Produkt beschreiben, sondern auch den dahinterliegenden Datenfluss. Nach dem Ansatz der PDPC sollten Unternehmen insbesondere darlegen:

• Was das Modell tut und warum es entwickelt wird
• Welche Kategorien personenbezogener Daten verwendet werden, etwa Kontaktdaten, Transaktions- oder Standortinformationen sowie Video- und Sprachaufnahmen
• Wie die Daten zum Modell beitragen – also mehr als nur, dass sie „verarbeitet“ werden
• Wie Betroffene widersprechen oder eine Einwilligung widerrufen können, mit praktischen und angemessen leicht zugänglichen Anweisungen

Entscheidend ist, dass die Information dort erscheint, wo Menschen eine Entscheidung treffen können. Ein kaum auffindbarer Satz in einer langen Datenschutzrichtlinie dürfte diesem Ziel nicht gerecht werden. Als mögliche Formate wurden beispielsweise ein deutlich sichtbarer Hinweis innerhalb des Produkts oder eine eigene Webseite genannt.

Beispiel: Sprachaufnahmen für Text-to-Speech

Entwickelt ein Unternehmen eine Text-to-Speech-Funktion, könnte es konkret erklären, dass Sprachaufnahmen von Kundinnen und Kunden zum Training des Modells verwendet werden. Außerdem sollte der Hinweis erläutern, dass diese Aufnahmen dem System helfen, Sprachmuster zu erkennen.

Das ist wesentlich aussagekräftiger als die pauschale Angabe, Daten würden lediglich zur „Verbesserung des Produkts“ genutzt.

Hinweis und Einwilligung sind nicht dasselbe

Die wichtigste rechtliche Unterscheidung betrifft die Frage, ob ein Unternehmen nur informieren oder zusätzlich eine rechtliche Grundlage für die Datennutzung schaffen muss. Nach dem allgemeinen Rahmen des PDPA müssen Organisationen Betroffene grundsätzlich über den Zweck informieren und eine Einwilligung einholen, sofern keine Ausnahme greift.

Die endgültigen Leitlinien präzisieren vor allem den Inhalt des Hinweises: Wenn eine Einwilligung erforderlich ist, muss die geplante Nutzung für die Entwicklung eines KI-Modells ausdrücklich angesprochen werden.

Das bedeutet jedoch nicht, dass jede Nutzung personenbezogener Daten für KI-Training automatisch eine ausdrückliche Zustimmung erfordert. Entscheidend ist die jeweils anwendbare Regelung des PDPA – einschließlich möglicher Ausnahmen für öffentlich zugängliche Informationen.

Für Unternehmen folgt daraus eine praktische Konsequenz: Die rechtliche Grundlage sollte für jeden Trainingsdatensatz separat dokumentiert werden. Ein klarer Hinweis ersetzt keine erforderliche Einwilligung. Umgekehrt kann eine Einwilligung nicht einfach aus einer Formulierung abgeleitet werden, die den tatsächlichen KI-Zweck zu vage beschreibt.

Welche Fragen die Debatte offengelassen hat

Bereits der Entwurf der Leitlinien hatte mehrere operative Fragen aufgeworfen. Die endgültige Fassung schafft zwar mehr Klarheit über Transparenz und rechtliche Grundlagen, löst aber nicht jedes praktische Problem.

Ist immer eine ausdrückliche Einwilligung nötig?

Der Entwurf stellte nicht eindeutig fest, dass in jedem Szenario des GenAI-Trainings eine bestätigende, ausdrückliche Einwilligung erforderlich ist. Daraus ergaben sich Fragen dazu, wann ein Widerspruchsmodell ausreichen könnte und wann eine Ausnahme des PDPA greift.

Die endgültigen Leitlinien machen deshalb die Prüfung der konkreten Rechtsgrundlage besonders wichtig. Unternehmen sollten einen KI-spezifischen Hinweis nicht als universellen Ersatz für eine Einwilligung darstellen.

Gilt die besondere Informationspflicht auch für anonymisierte Daten?

Unklar war außerdem, ob die speziellen Erwartungen an KI-Hinweise greifen, wenn Daten vor dem Training anonymisiert werden. Für die datenschutzrechtliche Bewertung kommt es unter anderem darauf an, ob Informationen noch einer identifizierbaren Person zugeordnet werden können und wie die Anonymisierung durchgeführt und dokumentiert wurde.

Die vorliegenden Berichte rechtfertigen daher keine pauschale Annahme, dass die Kennzeichnung eines Datensatzes als „anonymisiert“ jede weitere Prüfung beendet. Unternehmen müssen die konkrete Datenbasis und die Verarbeitungsschritte bewerten.

Darf ein Anbieter den Dienst verweigern?

Eine weitere offene Frage betrifft Banken, Versicherer, Plattformen und andere Anbieter: Dürfen sie einen Dienst verweigern oder nicht anbieten, wenn eine Person die Nutzung ihrer Daten für KI-Training ablehnt?

Hier zeigt sich der Unterschied zwischen formaler und tatsächlicher Wahlfreiheit. Ein Opt-out kann zwar vorgesehen sein, aber praktisch schwer nutzbar werden, wenn die Ablehnung erhebliche Nachteile oder Kosten nach sich zieht.

Die Informationspflicht schafft mehr Sichtbarkeit. Sie beantwortet jedoch nicht automatisch alle Fragen zu Fairness, Zugang zu Dienstleistungen oder dem Machtgefälle zwischen Einzelpersonen und Anbietern.

Warum auch KI-Geräte zur Datenschutzdebatte gehören

Die Aufmerksamkeit der PDPC für generative KI steht in einem größeren Zusammenhang: Immer mehr Produkte sammeln Daten, ohne dass Betroffene dies ohne Weiteres bemerken. Im Umfeld der neuen PDPC-Kommissarin Denise Wong wurden unter anderem Smart Glasses, Smartwatches und Zahlungssysteme mit Handflächen-Scanning thematisiert.

Solche Geräte und Systeme können besonders sensible Informationen erfassen – darunter Gesichtsmerkmale, Fingerabdrücke, Sprachdaten und Muster von Venen in der Handfläche. Zu den berichteten Risiken gehören heimliche Aufnahmen, die Offenlegung oder missbräuchliche Nutzung biometrischer Daten sowie der Einsatz von Smart Glasses, um Prüfungsunterlagen oder andere Informationen für Täuschungsversuche aufzunehmen.

Auch Singapurs Ministry of Digital Development and Information hat sich mit Fragen zu sichtbaren Aufnahmeindikatoren bei Smart Glasses und zur Erfassung biometrischer oder umweltbezogener Daten von Personen beschäftigt, die das Gerät selbst gar nicht nutzen.

Der gemeinsame Kern dieser Debatten ist informierte Wahrnehmung: Ein kleines Aufnahmelicht oder eine tief in den Produktbedingungen versteckte Regelung geben Umstehenden möglicherweise keine realistische Möglichkeit, zu erkennen, was geschieht, oder eine Entscheidung zu treffen.

Was Unternehmen jetzt prüfen sollten

Organisationen, die in Singapur generative KI entwickeln oder einsetzen, können die Leitlinien als Checkliste für ihre Daten-Governance nutzen:

1. Jeden Datensatz einem konkreten KI-Anwendungsfall zuordnen. Festhalten, ob Daten für Training, Feinabstimmung, Tests, Monitoring oder einen anderen Zweck verwendet werden.
2. Die Rechtsgrundlage des PDPA auswählen und dokumentieren. Prüfen, ob eine Einwilligung erforderlich ist oder ob eine gesetzliche Ausnahme herangezogen wird.
3. Allgemeine Datenschutzhinweise überarbeiten. Wenn personenbezogene Daten zur Entwicklung oder Verbesserung eines generativen KI-Modells eingesetzt werden, sollte genau das ausdrücklich dort stehen.
4. Datenkategorien und Modellfunktion beschreiben. Betroffene sollten nachvollziehen können, welche Informationen verwendet werden und was das Modell daraus leisten soll.
5. Wahlmöglichkeiten praktisch nutzbar machen. Den Weg zum Widerspruch oder Widerruf erklären und dokumentieren, wie entsprechende Anfragen bearbeitet werden.
6. Verbundene Geräte gesondert bewerten. Smart Glasses, Wearables, Kameras und biometrische Systeme können zusätzliche Fragen aufwerfen – insbesondere im Hinblick auf Personen, die nicht die direkten Nutzer sind.

Singapurs Kurs zielt damit weniger auf ein Verbot personenbezogener Daten in generativer KI als auf deren sichtbare, konkrete und rechtlich nachvollziehbare Nutzung. Die endgültigen Leitlinien verringern den Abstand zwischen klassischen Datenschutzerklärungen und modernen KI-Entwicklungsprozessen. Die schwierigsten Fragen – vor allem echte Wahlfreiheit sowie der Umgang mit sensiblen oder indirekt erfassten Daten – bleiben jedoch zentrale Aufgaben der Datenschutz-Governance.