IA y privacidad en Singapur: cuándo deben notificarte sobre el entrenamiento de modelos

La Comisión de Protección de Datos Personales de Singapur (PDPC) publicó el 20 de julio de 2026 una guía sobre cómo se aplica la Ley de Protección de Datos Personales (PDPA) al uso de información personal en sistemas de IA generativa. La regla práctica es clara, aunque tiene límites: cuando una organización necesita consentimiento para utilizar datos personales en el desarrollo, entrenamiento o ajuste de un modelo, su aviso debe indicar expresamente que interviene la IA generativa.

La regla central: el entrenamiento de IA debe explicarse sin rodeos

Una política de privacidad que solo diga que los datos pueden utilizarse para «desarrollar productos» no es suficiente para obtener un consentimiento informado para el entrenamiento o ajuste de modelos de IA generativa a gran escala. El aviso debe identificar el objetivo relacionado con la IA y explicar qué datos se utilizarán y de qué manera.

Esto resulta especialmente importante cuando la empresa quiere reutilizar datos recopilados para un servicio ordinario —por ejemplo, banca, seguros, compras en línea o redes sociales— con un nuevo propósito de desarrollo de IA. Las organizaciones no deberían asumir que un aviso amplio y anterior cubre automáticamente ese uso si queda fuera de lo que los consumidores podían esperar razonablemente.

La guía tiene carácter consultivo: no es una nueva ley independiente, sino una explicación de cómo la PDPC interpreta las obligaciones ya existentes en la PDPA.

Qué ocurre en cuatro situaciones habituales

Bancos: datos financieros y de atención al cliente para asistentes de IA

Si un banco utiliza datos de sus clientes para desarrollar o mejorar un asistente de IA y se basa en el consentimiento, debe ofrecer un aviso específico sobre ese uso. El texto debería diferenciar el desarrollo del modelo de las funciones normales de banca o atención al cliente.

El banco podría acogerse a una excepción al consentimiento prevista en la PDPA, como la excepción para mejoras empresariales, pero solo si cumple las condiciones legales y respeta el alcance de esa excepción. Si la excepción es válida, el consentimiento —y, por tanto, un mecanismo de oposición basado en el consentimiento— podría no ser necesario.

Aseguradoras: información médica y datos de siniestros

La pregunta básica es la misma: si la aseguradora necesita consentimiento para usar datos médicos o de reclamaciones en el desarrollo de un modelo de IA generativa, el aviso debe describir específicamente ese uso. Una mención genérica a la mejora del servicio no debería considerarse suficiente para cubrir automáticamente el entrenamiento del modelo.

La empresa tendría que demostrar que se aplica una excepción pertinente de la PDPA o solicitar un consentimiento válido mediante un aviso específico sobre IA. Las fuentes disponibles no establecen una regla general según la cual todos los datos médicos o de siniestros estén automáticamente exentos.

Comercio electrónico: historiales de compra y navegación para productos comerciales de IA

Utilizar el historial de compras o la actividad de navegación para crear un producto comercial de IA generativa independiente es un ejemplo claro de reutilización de datos más allá de la experiencia inmediata de compra. Cuando se necesita consentimiento, la plataforma debe explicar directamente el objetivo relacionado con la IA, en lugar de apoyarse en una cláusula genérica de desarrollo de productos.

La excepción para mejoras empresariales podría ser relevante en determinadas circunstancias, pero no constituye una autorización general para cualquier nuevo uso comercial. La organización debe cumplir los requisitos legales y mantenerse dentro del alcance de la excepción.

Redes sociales: perfiles, fotos, vídeos y publicaciones para mejorar herramientas creativas

Una plataforma social que utilice perfiles, fotografías, vídeos, publicaciones o interacciones para mejorar herramientas de creación de contenido mediante IA debe emitir un aviso específico sobre IA cuando el consentimiento sea la base jurídica del uso.

Los datos personales que estén realmente disponibles para el público podrían quedar cubiertos por la excepción de datos públicamente disponibles de la PDPA, por lo que no siempre sería necesario obtener consentimiento. Sin embargo, la visibilidad es decisiva: un contenido genuinamente público no es lo mismo que una publicación compartida solo con determinados usuarios o protegida mediante controles de acceso.

Cuándo puede no ser necesario avisar o proporcionar una opción de rechazo

Los datos han sido anonimizados de verdad

Si los datos se han anonimizado de forma genuina, hasta el punto de que ya no son datos personales, no se aplican las obligaciones de aviso y consentimiento de la PDPA relativas a información personal. Los datos seudonimizados o enmascarados no deben considerarse automáticamente anónimos: la cuestión relevante es si las personas todavía pueden ser identificadas.

Se aplica una excepción válida de la PDPA

Una organización puede no necesitar consentimiento si puede acogerse correctamente a una excepción legal, como la relativa a datos públicamente disponibles o, cuando se cumplan sus condiciones, la excepción para mejoras empresariales. Como el aviso específico sobre IA está vinculado a los casos en los que se exige consentimiento, la guía no crea un derecho universal a oponerse a cualquier uso lícito de datos para entrenar IA.

La vía de consentimiento aplicable no exige una opción de rechazo

La guía general de la PDPC describe la vía de exclusión voluntaria como un proceso que incluye un aviso, un plazo razonable y un mecanismo razonable para que la persona rechace el uso, cuando esa vía sea la utilizada. Esto no significa que toda actividad de tratamiento relacionada con IA deba incluir una opción de rechazo, especialmente cuando la organización se basa en una excepción al consentimiento y no en el consentimiento mismo.

Aun así, los consumidores pueden tener derecho a retirar un consentimiento que hayan otorgado o que se considere otorgado conforme a la PDPA, sujeto al marco aplicable al tratamiento concreto.

¿Puede una empresa condicionar el servicio al consentimiento para entrenar IA?

En general, una organización no debería denegar un producto o servicio simplemente porque el consumidor se niegue a autorizar el entrenamiento de IA cuando ese entrenamiento no sea razonablemente necesario para prestar el producto o servicio solicitado. En la práctica, el acceso a una cuenta bancaria normal no debería depender, por regla general, del permiso para entrenar un asistente de IA de propósito general; tampoco debería una plataforma de compras o una red social vincular el acceso a su servicio principal con el desarrollo de un modelo comercial no relacionado.

La clave está en la necesidad. El consentimiento puede ser una condición de la prestación cuando la recopilación, el uso o la divulgación de los datos sea razonablemente necesaria para el servicio o la operación que la persona ha solicitado. El análisis depende del servicio concreto, del uso de los datos y de las circunstancias; la guía no ofrece una respuesta única para todas las organizaciones o sistemas de IA.

Qué deberían comprobar consumidores y empresas

Los consumidores deberían buscar cuatro elementos en un aviso sobre IA:

• una indicación clara de que sus datos personales se utilizarán para desarrollar, entrenar o mejorar un modelo de IA generativa;
• las categorías de datos que se emplearán;
• el propósito y la forma de uso; y
• si el consentimiento puede rechazarse o retirarse, y cómo hacerlo.

Las organizaciones, por su parte, deberían determinar primero si la información sigue siendo un dato personal, si se aplica alguna excepción y si el uso propuesto de IA es razonablemente necesario para el servicio solicitado. Solo después podrán establecer si necesitan un aviso específico sobre IA y un mecanismo de rechazo.

Esa distinción resume el alcance de la guía de Singapur de julio de 2026: más transparencia cuando el entrenamiento de IA depende del consentimiento, pero no una opción automática para rechazar todos los usos legales de datos.