Qué deben informar las empresas en Singapur cuando usan datos personales para entrenar IA generativa

Las reglas de Singapur sobre datos personales e inteligencia artificial generativa (IA generativa) ya no son solo un asunto de consulta pública. La Comisión de Protección de Datos Personales (PDPC, por sus siglas en inglés) publicó el 20 de julio de 2026 sus Directrices consultivas finales sobre el uso de datos personales en IA generativa.

El mensaje central es claro: cuando una empresa necesita consentimiento para utilizar datos personales en el entrenamiento a gran escala o el ajuste fino de un modelo, no puede esconder ese uso detrás de una política de privacidad ambigua.

La respuesta breve

Si una organización quiere usar datos personales para desarrollar o mejorar un modelo de IA generativa y necesita consentimiento, su aviso debe mencionar directamente ese propósito. Decir únicamente que los datos pueden utilizarse para el «desarrollo de nuevos productos» no basta.

Las directrices tienen carácter consultivo; no constituyen una prohibición independiente del entrenamiento de modelos de IA. Se aplican dentro del marco de la Ley de Protección de Datos Personales de Singapur (PDPA), que contempla excepciones para determinados usos sin consentimiento. Una de ellas puede cubrir ciertos datos personales disponibles públicamente utilizados para desarrollar IA.

Qué debe explicar un aviso específico sobre IA

Un aviso útil debe permitir que las personas entiendan tanto el producto como el recorrido que siguen sus datos. El enfoque planteado por la PDPC pide explicar:

• Qué hace el modelo y por qué se está desarrollando.
• Qué categorías de datos personales se utilizan, como datos de contacto, información sobre transacciones o ubicación, vídeos o grabaciones de voz.
• Cómo contribuyen esos datos al modelo, en lugar de limitarse a decir que serán «procesados».
• Cómo darse de baja o retirar el consentimiento, con instrucciones prácticas y razonablemente accesibles.

La preocupación de la PDPC es que la transparencia funcione justo cuando la persona debe tomar una decisión, no que quede enterrada en una política de privacidad interminable. Entre los formatos sugeridos figuran un aviso destacado dentro del producto o una página web específica.

Ejemplo: grabaciones de voz para convertir texto en habla

Una empresa que desarrolla una función de conversión de texto en habla podría explicar que utiliza las grabaciones de voz de sus clientes para entrenar el modelo y que esas grabaciones ayudan al sistema a reconocer patrones del habla. La explicación es mucho más precisa que describir el objetivo simplemente como «mejorar el producto».

Informar no equivale a obtener consentimiento

La distinción más importante para el cumplimiento normativo es la que existe entre explicar a una persona qué ocurrirá y contar con una base jurídica válida para utilizar sus datos. Según el marco general de la PDPA, las organizaciones normalmente deben informar a los individuos del propósito y obtener su consentimiento, salvo que se aplique una excepción.

Las directrices finales aclaran qué debe contener el aviso cuando el consentimiento sí es necesario: la organización debe referirse expresamente al uso previsto de los datos para desarrollar el modelo de IA.

Eso no significa que todo uso de datos personales para entrenar IA exija automáticamente un consentimiento afirmativo y explícito. La respuesta depende de la excepción aplicable de la PDPA, incluidas las reglas relativas a la información disponible públicamente.

La lección práctica para las empresas es documentar por separado la base jurídica de cada conjunto de datos utilizado para el entrenamiento. Un aviso claro no sustituye al consentimiento cuando este es obligatorio, y el consentimiento no puede darse por supuesto mediante una redacción tan general que no describa el uso real de la IA.

Las dudas que dejó la propuesta inicial

La propuesta sometida a consulta generó interés porque planteaba varios interrogantes operativos que no resultaban evidentes a partir del requisito inicial de informar.

¿Siempre se necesita consentimiento explícito?

El borrador no establecía con claridad que el consentimiento afirmativo y explícito fuera obligatorio en todos los escenarios de entrenamiento de IA generativa. En cambio, abrió preguntas sobre cuándo podría aceptarse un sistema de exclusión voluntaria —opt-out— y cuándo podría aplicarse una excepción ya prevista en la PDPA.

El tratamiento que hacen las directrices finales del consentimiento y las excepciones vuelve aún más importante identificar la base jurídica. Las organizaciones no deberían presentar el aviso específico sobre IA como un sustituto universal del consentimiento.

¿La anonimización elimina el problema del aviso?

El borrador tampoco despejaba si la expectativa de un aviso específico sobre IA se aplicaría cuando los datos fueran anonimizados antes del entrenamiento.

La cuestión es relevante porque el análisis de privacidad puede cambiar según si la información todavía puede vincularse con una persona identificable y según cómo se haya realizado y documentado la anonimización.

La información disponible no permite tratar la anonimización como una respuesta automática para cualquier conjunto de datos. Las empresas deben evaluar los datos y el método de procesamiento, en lugar de asumir que etiquetar un conjunto como «anonimizado» pone fin al análisis.

¿Puede una empresa negar el servicio a quien se opone?

Otra cuestión pendiente era si bancos, aseguradoras, plataformas u otros proveedores podrían retirar o no ofrecer un servicio cuando una persona se negara a que sus datos fueran utilizados para entrenar IA.

Aquí la posibilidad formal de elegir puede chocar con la presión práctica: una opción de exclusión puede existir sobre el papel, pero resultar difícil de ejercer si rechazarla implica un coste importante para el usuario.

El requisito de informar mejora la visibilidad, pero por sí solo no resuelve todas las preguntas sobre equidad, acceso a servicios o la desigual capacidad de negociación entre individuos y proveedores.

Por qué los dispositivos con IA también están en el centro del debate

La atención de la PDPC a la IA generativa forma parte de una preocupación más amplia por productos que recopilan datos de maneras que las personas pueden no percibir. La cobertura sobre las prioridades de la comisionada Denise Wong ha destacado dispositivos y sistemas como gafas inteligentes, relojes inteligentes y sistemas de pago que escanean la palma de la mano.

Estos productos pueden manejar información sensible, incluidos rasgos faciales, huellas dactilares, datos de voz y patrones de las venas de la palma. Entre los riesgos señalados están la grabación encubierta, la exposición o el uso indebido de información biométrica y el uso de gafas inteligentes para captar material de exámenes u otra información con el fin de facilitar trampas.

El Ministerio de Desarrollo Digital e Información de Singapur también ha respondido a preguntas sobre los indicadores visuales de las gafas inteligentes y sobre la recopilación de datos biométricos o del entorno de personas cercanas que no están utilizando el dispositivo.

El problema de fondo es que la conciencia debe ser significativa. Una pequeña luz de grabación o una política del dispositivo escondida entre la documentación puede no ofrecer a quienes están alrededor una oportunidad realista de entender qué sucede o de tomar una decisión.

Qué deberían hacer ahora las organizaciones

Los equipos que desarrollen o implementen sistemas de IA generativa en Singapur deberían utilizar las directrices como una lista de control de gobernanza de datos:

1. Relacionar cada conjunto de datos con un caso de uso concreto. Determinar si se utiliza para entrenamiento, ajuste fino, pruebas, supervisión u otra finalidad.
2. Elegir y documentar la base prevista en la PDPA. Registrar si se requiere consentimiento o si se invoca una excepción legal.
3. Reescribir los avisos genéricos. Indicar claramente que los datos personales se utilizarán para desarrollar o mejorar un modelo de IA generativa cuando ese sea el propósito.
4. Describir las categorías de datos y la función del modelo. Las personas deben poder comprender qué información se usa y qué ayuda a hacer al sistema.
5. Hacer que la elección sea realmente utilizable. Explicar cómo darse de baja o retirar el consentimiento y dejar constancia de cómo se gestionan las solicitudes.
6. Revisar por separado los dispositivos conectados. Gafas inteligentes, dispositivos ponibles, cámaras y sistemas biométricos pueden plantear dudas de información y consentimiento respecto de personas que ni siquiera son usuarias directas.

El giro de Singapur no consiste tanto en prohibir el uso de datos personales en la IA generativa como en hacerlo visible, específico y vinculado a una base jurídica identificable. Las directrices finales reducen parte de la distancia entre las políticas de privacidad tradicionales y el desarrollo moderno de IA, aunque las preguntas más difíciles —en especial, cómo garantizar una elección significativa y cómo tratar los datos sensibles o captados indirectamente— siguen siendo asuntos abiertos de gobernanza.