Singaporen uusi tekoälyohje täsmentää, milloin yrityksen on ilmoitettava tietojen käytöstä

Singaporen henkilötietojen suojaa valvova Personal Data Protection Commission (PDPC) julkaisi 20. heinäkuuta 2026 ohjeen siitä, miten voimassa olevaa Personal Data Protection Act -lakia (PDPA) sovelletaan generatiivisen tekoälyn yhteydessä. Käytännön pääsääntö on selkeä, mutta rajattu: jos organisaatio tarvitsee suostumuksen henkilötietojen käyttämiseen tekoälymallin kehittämiseen, kouluttamiseen tai hienosäätöön, ilmoituksessa on kerrottava nimenomaisesti generatiivisen tekoälyn käytöstä.

Tekoälyn koulutusta ei saa piilottaa yleiseen tietosuojalausekkeeseen

Pelkkä yleinen tietosuojalauseke, jonka mukaan tietoja voidaan käyttää esimerkiksi ”tuotekehitykseen”, ei riitä merkityksellisen suostumuksen saamiseen laajamittaiseen generatiivisen tekoälymallin koulutukseen tai hienosäätöön. Ilmoituksessa pitäisi yksilöidä generatiiviseen tekoälyyn liittyvä tarkoitus sekä kertoa, millaisia tietoja käytetään ja miten niitä käytetään.

Tämä on erityisen tärkeää silloin, kun pankki-, vakuutus-, ostos- tai sosiaalisen median palvelua varten kerättyjä tietoja halutaan käyttää uuteen tekoälyn kehittämistarkoitukseen. Yritys ei voi automaattisesti olettaa, että aiempi laaja ilmoitus kattaa myös käyttötavan, jota kuluttaja ei olisi kohtuudella osannut odottaa.

Kyse ei ole uudesta, erillisestä laista, vaan PDPC:n ohjeesta, joka täsmentää viranomaisen tulkintaa voimassa olevan PDPA-lain velvoitteista.

Näin sääntö näkyy neljässä tavallisessa tilanteessa

Pankki käyttää talous- ja asiakaspalvelutietoja tekoälyavustajaan

Jos pankki käyttää asiakkaiden tietoja tekoälyavustajan kehittämiseen tai parantamiseen ja vetoaa suostumukseen, sen on annettava tekoälyä koskeva ilmoitus. Ilmoituksessa tulisi erottaa mallin kehittäminen pankki- tai asiakaspalvelun tavanomaisesta tarjoamisesta.

Pankki voi joissakin tapauksissa vedota PDPA-lain mukaiseen suostumuspoikkeukseen, kuten liiketoiminnan kehittämistä koskevaan poikkeukseen. Tämä on mahdollista vain, jos poikkeuksen lakisääteiset ehdot täyttyvät ja käyttötapa pysyy poikkeuksen soveltamisalalla. Tällöin suostumusta – eikä siten välttämättä myöskään suostumukseen perustuvaa kieltäytymismahdollisuutta – ei tarvita.

Vakuutusyhtiö käyttää lääketieteellisiä ja korvaustietoja

Vakuutusyhtiön on ratkaistava sama peruskysymys: jos lääketieteellisten tietojen tai korvaustietojen käyttö generatiivisen tekoälymallin kehittämiseen edellyttää suostumusta, ilmoituksessa on kuvattava tekoälyn käyttö nimenomaisesti. Yleinen aiempi maininta palvelun parantamisesta ei automaattisesti riitä mallin koulutukseen.

Vakuutusyhtiön on joko osoitettava, että jokin PDPA-poikkeus soveltuu, tai hankittava pätevä suostumus tekoälyä koskevalla ilmoituksella. Saatavilla olevat lähteet eivät osoita, että kaikki lääketieteelliset tai korvaustiedot olisivat automaattisesti poikkeuksen piirissä.

Verkkokauppa kehittää ostos- ja selaustiedoilla uuden kaupallisen tekoälytuotteen

Ostohistorian tai selaustoiminnan käyttäminen erillisen kaupallisen generatiivisen tekoälytuotteen kehittämiseen on selkeä esimerkki tietojen käyttötarkoituksen laajentamisesta alkuperäisen ostokokemuksen ulkopuolelle. Jos suostumus tarvitaan, verkkokaupan pitäisi kertoa tekoälytarkoituksesta suoraan eikä nojata yleiseen tuotekehityslausekkeeseen.

Liiketoiminnan kehittämistä koskeva poikkeus voi joissakin tilanteissa tulla kyseeseen, mutta se ei anna yleistä lupaa kaikkeen uuteen kaupalliseen käyttöön. Yrityksen on edelleen täytettävä poikkeuksen oikeudelliset ehdot ja pysyttävä sen soveltamisalalla.

Sosiaalisen median palvelu parantaa sisällöntuotantotyökaluja

Jos sosiaalisen median palvelu käyttää profiileja, valokuvia, videoita, julkaisuja tai käyttäjien vuorovaikutustietoja generatiivisten sisällöntuotantotyökalujen parantamiseen, sen on annettava tekoälyä koskeva ilmoitus silloin, kun käsittelyn oikeusperusteena on suostumus.

Julkisesti saatavilla olevat henkilötiedot voivat kuulua PDPA-lain julkisesti saatavilla olevia tietoja koskevaan poikkeukseen. Tällöin suostumusta ei välttämättä tarvita. Ratkaisevaa on kuitenkin se, ovatko tiedot aidosti julkisia: kaikille näkyvä julkaisu on eri asia kuin sisältö, joka on jaettu vain valituille käyttäjille tai suojattu käyttörajoituksilla.

Milloin ilmoitusta tai kieltäytymismahdollisuutta ei välttämättä tarvita?

Tiedot on aidosti anonymisoitu

Jos tiedot on aidosti anonymisoitu niin, etteivät ne enää ole henkilötietoja, PDPA-lain henkilötietoja koskevia ilmoitus- ja suostumusvelvoitteita ei sovelleta. Pseudonymisoituja tai peitettyjä tietoja ei kuitenkaan pidä automaattisesti pitää anonyymeinä. Olennaista on, voidaanko henkilö edelleen tunnistaa.

Voimassa oleva PDPA-poikkeus soveltuu

Yritys ei välttämättä tarvitse suostumusta, jos se voi asianmukaisesti vedota lakisääteiseen poikkeukseen, kuten julkisesti saatavilla olevia tietoja koskevaan poikkeukseen tai ehtojen täyttyessä liiketoiminnan kehittämistä koskevaan poikkeukseen. Koska tekoälyä koskeva ilmoitusvelvollisuus liittyy tilanteisiin, joissa suostumus tarvitaan, ohje ei luo yleistä oikeutta kieltäytyä kaikesta lainmukaisesta tekoälykoulutuksesta.

Sovellettava suostumusmenettely ei edellytä erillistä kieltäytymisvaihtoehtoa

PDPC:n yleisohjeissa kieltäytymiseen perustuva menettely tarkoittaa, että henkilölle annetaan ilmoitus, kohtuullinen aika päätöksen tekemiseen ja kohtuullinen tapa kieltäytyä, jos tätä menettelyä käytetään. Tämä ei tarkoita, että jokaiseen tekoälyyn liittyvään käsittelyyn olisi liitettävä kieltäytymismahdollisuus – etenkään silloin, kun yritys toimii suostumuspoikkeuksen perusteella eikä suostumuksen nojalla.

Jos henkilötietojen käsittely perustuu annettuun tai PDPA-lain nojalla katsottuun annettuun suostumukseen, kuluttajalla voi silti olla oikeus peruuttaa suostumuksensa sovellettavan sääntelykehyksen mukaisesti.

Voiko yritys tehdä tekoälykoulutukseen suostumisesta palvelun ehdon?

Yleensä organisaatio ei saisi evätä tuotetta tai palvelua vain siksi, että kuluttaja kieltäytyy antamasta suostumusta tekoälyn koulutukseen, jos koulutus ei ole kohtuudella välttämätöntä pyydetyn tuotteen tai palvelun tarjoamiseksi. Käytännössä yleiskäyttöisen tekoälyavustajan tai yritykselle uuden, erillisen kaupallisen mallin kehittämiseen annettua suostumusta ei pitäisi tavallisesti sitoa tavallisen pankkitilin, ostospalvelun tai sosiaalisen median palvelun käyttöön.

Keskeinen poikkeus liittyy välttämättömyyteen. Suostumuksesta voidaan tehdä palvelun ehto, jos tietojen kerääminen, käyttö tai luovuttaminen on kohtuudella tarpeen kuluttajan pyytämän palvelun tai liiketoimen toteuttamiseksi. Kynnys riippuu kyseisestä palvelusta, tietojen käytöstä ja olosuhteista; ohje ei anna jokaiseen organisaatioon tai tekoälyjärjestelmään soveltuvaa yleisvastausta.

Mitä kuluttajan kannattaa ilmoituksesta tarkistaa?

Kuluttajan kannattaa etsiä tekoälyä koskevasta ilmoituksesta ainakin nämä neljä asiaa:

• kerrotaanko, että henkilötietoja käytetään generatiivisen tekoälymallin kehittämiseen, kouluttamiseen tai parantamiseen;
• mitä tietoryhmiä käyttö koskee;
• mikä on käytön tarkoitus ja miten tietoja käytetään; sekä
• voiko suostumuksesta kieltäytyä tai sen peruuttaa ja miten se tehdään.

Organisaation puolestaan pitäisi ensin selvittää, ovatko tiedot edelleen henkilötietoja, soveltuuko jokin poikkeus ja onko suunniteltu tekoälykäyttö kohtuudella välttämätöntä pyydetyn palvelun kannalta. Vasta tämän jälkeen voidaan arvioida, tarvitaanko tekoälyä koskeva suostumusilmoitus ja kieltäytymismekanismi.

Tässä on Singaporen heinäkuussa 2026 julkaistun kehyksen keskeinen raja: suostumukseen perustuvasta tekoälykoulutuksesta on kerrottava aiempaa täsmällisemmin, mutta ohje ei anna automaattista mahdollisuutta kieltäytyä jokaisesta lainmukaisesta tietojen käyttötavasta.