Singaporen uudet tekoälysäännöt 2026: mitä yritysten ja kuluttajien on tiedettävä

Singapore otti 20. heinäkuuta 2026 käyttöön kaksi toisiinsa liittyvää mutta erillistä toimenpidettä. Henkilötietojen suojaa valvova Personal Data Protection Commission (PDPC) julkaisi ohjeet henkilötietojen käyttämisestä generatiivisten tekoälymallien ja -järjestelmien yhteydessä. Samana päivänä Infocomm Media Development Authority (IMDA) julkaisi vapaaehtoiset läpinäkyvyysohjeet julkisille GenAI-chatboteille. Niiden ytimessä on selkokielinen Chatbot Info Card eli chatbotin tietokortti.

Ero on olennainen: PDPC:n ohjeet koskevat sitä, miten organisaatiot käyttävät henkilötietoja, kun taas IMDA:n ohjeet koskevat sitä, miten julkiset chatbotit kertovat käyttäjille ominaisuuksistaan, rajoituksistaan, riskeistään ja tietojenkäsittelystään.

Pähkinänkuoressa

Jos yritys käyttää alun perin jotakin muuta tarkoitusta varten kerättyjä henkilötietoja generatiivisen tekoälymallin kehittämiseen tai parantamiseen, yleinen tietosuojalauseke, kuten ”voimme käyttää tietoja palvelun kehittämiseen”, ei yleensä riitä silloin, kun suostumus vaaditaan. Organisaation on kerrottava nimenomaisesti, että tietoja käytetään GenAI-mallin kehittämiseen tai parantamiseen, sekä kuvattava henkilön käytettävissä olevat vaihtoehdot.

Chatboteista annettu ohjeistus on eri asia. Se on vapaaehtoinen ja koskee ulospäin suuntautuvia generatiivisen tekoälyn chatbotteja, jotka ovat suoraan yhteydessä asiakkaisiin, kuluttajiin tai muuhun yleisöön. Tavoitteena on tarjota yhdessä helposti löydettävässä paikassa tieto siitä, mitä chatbot tekee, milloin sen vastauksiin ei pidä luottaa, miten sitä suojataan, miten tietoja käsitellään ja miten ongelmista voi ilmoittaa.

Mitä PDPC:n henkilötieto-ohjeet kattavat?

PDPC:n ohjeet koskevat henkilötietoja koko generatiivisen tekoälyn elinkaaren aikana. Tämä voi tarkoittaa esimerkiksi verkosta kerättyä tietoa, käyttäjän tavallista palvelua varten antamia tietoja, joita myöhemmin käytetään mallin kehittämiseen tai hienosäätöön, sekä mallin käyttöönottoa, turvallisuutta, säilytysaikoja ja pääsy- tai korjauspyyntöihin vastaamista.

Keskeinen tietosuojahaaste liittyy käyttötarkoituksen muuttumiseen. Asiakas on voinut antaa tietonsa maksutapahtumaa, tiliä, asiakastukea tai muuta palvelua varten, mutta tietoja käytetäänkin myöhemmin laajamittaisesti mallin kouluttamiseen. Tällöin henkilön voi olla vaikeampi ymmärtää, mitä tiedoille tapahtui, vaikuttaa niiden käyttöön tai käyttää oikeuttaan tietojen tarkastamiseen ja korjaamiseen sen jälkeen, kun tiedot ovat päätyneet laajaan koulutusaineistoon.

Ohjeissa jaetaan vastuita myös tekoälyn toimitusketjussa. Mallien tarjoajat vastaavat mallien kehittämiseen ja käyttöönottoon liittyvistä PDPA-velvoitteista. Järjestelmien tarjoajien odotetaan huolehtivan turvallisuudesta ja kertovan olennaisista suojatoimista. Järjestelmien käyttöönottajien puolestaan on määriteltävä käsittelyn tarkoitukset, tunnettava tietovirrat ja arvioitava käyttöön ottamiensa järjestelmien kontrollit.

Milloin tekoälyä koskeva erityisilmoitus vaaditaan?

Organisaation on hankittava suostumus tekoälyä koskevalla erityisilmoituksella, jos se haluaa käyttää User Data -tietoja generatiivisen tekoälymallin kehittämiseen eikä Singaporen henkilötietolaki PDPA:n mukainen suostumuspoikkeus sovellu. Ilmoituksessa on sanottava suoraan, että tietoja käytetään GenAI-mallin kehittämiseen tai parantamiseen. Ilmaisut kuten ”palvelun parantaminen”, ”personointi” tai ”tuotekehitys” eivät yleensä ole riittävän täsmällisiä.

Tämä on erityisen tärkeää silloin, kun henkilö on antanut tiedot alun perin jotakin muuta kuin generatiiviseen tekoälyyn liittyvää palvelutarkoitusta varten. Organisaation on arvioitava tietojen alkuperäinen keräystilanne, uusi käyttötarkoitus ja mahdollinen poikkeus ennen kuin se päättää, miten tietoja voidaan käyttää.

Julkisesti saatavilla olevat tiedot ovat erillinen tapaus

PDPA:n julkisesti saatavilla olevia tietoja koskeva poikkeus voi sallia julkisten henkilötietojen keräämisen ilman suostumusta mallin kehittämistä varten. Kaikki verkossa saavutettavissa oleva tieto ei kuitenkaan automaattisesti kuulu poikkeuksen piiriin. Jos tieto on maksumuurin, kirjautumisen, rekisteröitymisen tai vastaavan digitaalisen esteen takana, sen julkisesti saatavilla oleva asema on arvioitava huolellisesti.

Asianmukaisesti anonymisoitu tieto

Asianmukaisesti anonymisoitu tieto ei ole PDPA:n tarkoittamaa henkilötietoa, koska sen perusteella henkilöä ei voida tunnistaa. PDPC kannustaa organisaatioita käyttämään anonymisoitua tietoa analytiikassa ja tutkimuksessa aina, kun se on mahdollista.

Pelkkä nimen poistaminen ei kuitenkaan välttämättä anonymisoi aineistoa. Henkilö voidaan yhä tunnistaa jäljelle jäävien tietojen tai kohtuudella saatavilla olevien muiden tietojen avulla. Organisaation on siksi varmistettava, että anonymisointi todella poistaa henkilön tunnistamisen mahdollisuuden.

Entä puhelinpalvelujen nauhoitteet?

Saatavilla olevat lähteet eivät osoita, että puhelinpalvelujen nauhoitteille olisi olemassa erillinen, kategorinen poikkeus. Jos nauhoitteesta ilmenee soittajan henkilöllisyys tai hänet voidaan kohtuudella tunnistaa, nauhoitetta on pidettävä henkilötietona arvioitaessa sen käyttöä GenAI-kehityksessä.

Tällöin organisaatiolla on oltava soveltuva PDPA:n mukainen peruste, kuten pätevä suostumus, asianmukainen ilmoitus tai muu lakisääteinen poikkeus. Ratkaisu riippuu nauhoitteen sisällöstä, tietojen keräämistavasta, suunnitellusta GenAI-käytöstä ja mahdollisesta poikkeuksesta. Lähteet eivät anna riittävästi tietoa erillisen puhelunauhoitteita koskevan säännön esittämiseen.

Mitä erityisilmoituksessa on kerrottava?

Ilmoituksen on annettava käyttäjälle merkityksellistä ja täsmällistä tietoa. Ohjeiden perusteella siinä tulisi vähintään kuvata:

• Tekoälyyn liittyvä tarkoitus: henkilötietoja käytetään generatiivisen tekoälymallin kehittämiseen tai parantamiseen.
• Käytön syy: miksi mallia kehitetään tai parannetaan.
• Käytettävät tiedot: mitä henkilötietoryhmiä käsitellään.
• Käyttötapa: miten tietoja käytetään, esimerkiksi koulutukseen tai hienosäätöön.
• Käyttäjän vaihtoehdot: miten henkilö voi kieltäytyä, peruuttaa suostumuksensa tai käyttää soveltuvaa opt-out-mahdollisuutta.

Yleinen tietosuojakäytäntö voi sisältää hyödyllistä taustatietoa, mutta sen ei pitäisi olla ainoa ilmoitus, jos GenAI-koulutuksen tarkoitus jää epäselväksi. Käytännön mittari on yksinkertainen: ymmärtäisikö kohtuullinen henkilö, että hänen henkilötietojaan voidaan käyttää generatiivisen tekoälymallin kehittämiseen tai parantamiseen?

Missä ilmoitus voidaan näyttää?

Lähteet eivät määrää kaikille organisaatioille yhtä tiettyä ilmoitusmuotoa tai sijoituspaikkaa. Käytännössä tiedot voidaan esittää siellä, missä kyseiset tiedot kerätään tai palvelua käytetään: esimerkiksi käyttöönoton yhteydessä, oikea-aikaisena ilmoituksena palvelussa, tilin yksityisyysasetuksissa tai selkeästi linkitetyssä tietosuojailmoituksessa.

Tämä sijoittelua koskeva ehdotus on toteutukseen liittyvä päätelmä, ei PDPC:n tietokoosteessa lueteltu tyhjentävä lista. Olennaista on, että ilmoitus on näkyvä ja täsmällinen eikä hautaudu vaikeasti löydettäviin yleisehtoihin.

Suostumus, peruuttaminen ja palvelun käyttöoikeus

Henkilö voi pyytää pääsyä omiin henkilötietoihinsa ja niiden korjaamista myös sen jälkeen, kun tietoja on käytetty GenAI-kehityksessä. Organisaatioiden odotetaan huolehtivan järkevistä tietokäytännöistä jo käsittelyn alkupäässä, arvioivan pyynnöt tapauskohtaisesti ja käyttävän asianmukaisia teknisiä keinoja. Tietojen jäljittäminen suuresta koulutusaineistosta voi silti olla käytännössä vaikeaa.

Jos käsittelyn oikeusperusteena on suostumus, henkilölle on kerrottava, miten suostumuksesta voi kieltäytyä tai miten sen voi peruuttaa. Tämä ei kuitenkaan automaattisesti tarkoita, että henkilö voisi jatkaa palvelun kaikkien osien käyttöä täysin ennallaan opt-out-valinnan jälkeen. Ratkaisu riippuu siitä, kuinka välttämätöntä GenAI-koulutus on palvelulle ja miten organisaation suostumus on suunniteltu. Lähteet eivät vahvista yleistä oikeutta kaikkien palvelujen ennallaan jatkuvaan käyttöön jokaisen opt-out-valinnan jälkeen.

IMDA:n vapaaehtoinen Chatbot Info Card

IMDA:n generatiivisen tekoälyn chatbotien läpinäkyvyysohjeet lähestyvät asiaa kuluttajan näkökulmasta. Ne on suunnattu ulkoisille GenAI-chatboteille, jotka ovat vuorovaikutuksessa asiakkaiden, kuluttajien tai muun yleisön kanssa. Tavoitteena on auttaa käyttäjiä tekemään harkitumpia päätöksiä, yhdenmukaistaa tietojen esittämistä ja tehdä tarjoajista vastuullisempia niiden ilmoittamien turvallisuus- ja luotettavuuskäytäntöjen suhteen.

Ohjeiden keskiössä on Chatbot Info Card, jota verrataan ravintoarvomerkintään tai lääkepakkauksen selosteeseen. Se voi olla erillinen tietosivu tai ilmoitusasiakirja, kunhan käyttäjälle tarjotaan yksi koottu ja helposti saavutettava paikka olennaisille tiedoille.

Tietokortin tulisi olla:

• olennainen: sen on sisällettävä tiedot, joiden avulla käyttäjä voi arvioida chatbotin käyttöä ja siihen luottamista;
• saavutettava: kielen on oltava selkeää ja tietojen helposti löydettävissä ja navigoitavissa;
• ajantasainen: kortti julkaistaan chatbotin tullessa saataville ja päivitetään, kun sen ominaisuuksiin, riskeihin tai turvallisuuslinjauksiin tulee olennaisia muutoksia.

Mitä tietokortin pitäisi kertoa?

Hyvässä tietokortissa kuvataan ainakin:

• chatbotin käyttötarkoitus, toiminnot ja kyvykkyydet;
• olennaiset rajoitukset, mukaan lukien tilanteet, joissa vastaukset on tarkistettava tai käyttö voi olla sopimatonta;
• luotettavuus- ja turvallisuustoimet;
• miten käyttäjän syötteitä, keskusteluja ja muita tietoja käsitellään; sekä
• kanavat valituksille, palautteelle ja vaaratilanteista ilmoittamiselle.

Tietokortti ei takaa, että chatbot olisi aina tarkka tai turvallinen. Sen hyöty on siinä, että se antaa käyttäjälle paremman pohjan arvioida, milloin työkaluun voi luottaa, mitä tietoja sille kannattaa antaa ja minne ottaa yhteyttä, jos jokin menee pieleen.

IMDA keskittyi aluksi julkisiin chatbotteihin, koska niillä on laaja kuluttajavaikutus ja ne voivat herättää huolia esimerkiksi yksityisyydestä, lasten turvallisuudesta ja henkisesti haavoittuvassa asemassa olevien käyttäjien suojasta. Kehyksestä voi myöhemmin tulla viitekehys myös muille GenAI-sovelluksille ja toimialakohtaisille ohjeille.

Miten yritykset ja viranomaiset aikovat toimia?

Google, Meta, DBS, OCBC, Singapore Airlines ja Synapxe ovat ilmoittaneet käyttävänsä vapaaehtoista chatbot-ohjeistusta vertailukohtana, kun ne kehittävät julkisten chatbot-palvelujensa läpinäkyvyyttä. Tämä kertoo suunnitellusta yhdenmukaistamisesta ja jatkuvasta kehittämisestä – ei siitä, että jokaisella organisaatiolla olisi jo käytössä samanlainen tietokortti.

Pankeissa painopiste on todennäköisesti asiakaschatbottien toimintojen, rajoitusten ja suojatoimien kuvaamisessa sekä niiden yhdistämisessä olemassa oleviin tekoälyn hallinta- ja riskienhallintaprosesseihin. DBS viittasi asiakkaille suunnattuihin tekoälyhankkeisiinsa, kun taas OCBC yhdisti ohjeistuksen omaan vakiintuneeseen tekoälyn hallintaansa ja riskienhallintaansa.

Singapore Airlines kertoi jatkavansa tekoälyn hallinnan ja suojatoimien arviointia ja vahvistamista samalla, kun se laajentaa tekoälyä hyödyntäviä asiakaskokemuksia. Google ja Meta puolestaan tukivat selkeämpää ja helpommin saavutettavaa tietoa siitä, miten niiden tekoälytuotteet toimivat ja miten käyttäjät ovat niiden kanssa vuorovaikutuksessa.

Myös julkisten toimijoiden odotetaan käyttävän kehystä viitteenä. National Library Board ja Health Promotion Board aikovat ottaa ohjeet huomioon omissa yleisölle suunnatuissa chatboteissaan.

Mitä tämä tarkoittaa käytännössä?

Singapore yhdistää lähestymistavassaan täsmällisemmän tietosuojailmoituksen tiettyihin GenAI-datan käyttötapauksiin ja vapaaehtoisen läpinäkyvyysstandardin julkisille chatboteille. Toimenpiteet täydentävät toisiaan, mutta niitä ei pidä sekoittaa keskenään:

1. Kartoita tiedot: selvitä, mitä henkilötietoja mallin kehitys- tai chatbot-prosessiin päätyy ja miksi.
2. Tarkista oikeusperuste: arvioi, tarvitaanko suostumus vai soveltuuko jokin PDPA:n poikkeus.
3. Kerro GenAI-käytöstä suoraan: käytä tekoälyä koskevaa erityisilmoitusta silloin, kun sitä tarvitaan, äläkä nojaa yleiseen ”tuotekehitys”-muotoiluun.
4. Valmistaudu oikeuspyyntöihin: säilytä riittävät tiedot pääsy-, korjaus- ja suostumuksen peruuttamispyyntöjen arvioimiseksi.
5. Julkaise chatbotin tietokortti: tarjoa julkiselle GenAI-chatbotille olennainen, saavutettava ja ajantasainen kuvaus sen ominaisuuksista, rajoituksista, turvallisuudesta, luotettavuudesta, tietojen käsittelystä ja ilmoituskanavista.

Kyse ei ole yleisestä lupauksesta, että käyttäjä voisi estää kaiken tekoälyyn liittyvän tietojensa käytön. Pikemminkin Singapore pyrkii tekemään datan uudelleenkäytöstä näkyvämpää, tietohallinnasta harkitumpaa ja julkisista tekoälypalveluista vastuullisempia.