Données personnelles et IA à Singapour : ce que les entreprises doivent désormais préciser

Il s’agit de recommandations interprétatives, et non d’une nouvelle loi autonome : la PDPC explique ainsi comment elle comprend les obligations déjà prévues par la PDPA.

Les quatre cas les plus courants

Banques : données financières et échanges avec le service client

Une banque qui utilise les données de ses clients pour développer ou améliorer un assistant d’IA doit fournir une notification spécifique à l’IA si elle s’appuie sur le consentement. Cette notification doit distinguer le développement du modèle des fonctions ordinaires de tenue de compte ou de service client.

La banque peut éventuellement invoquer une exception au consentement prévue par la PDPA, notamment l’exception liée à l’amélioration de l’activité, mais uniquement si les conditions légales et le champ d’application de cette exception sont respectés. Dans ce cas, le consentement — et donc un mécanisme d’opposition fondé sur le consentement — peut ne pas être nécessaire.

Assureurs : informations médicales et données de sinistres

Le même principe s’applique aux assureurs. Si le consentement est requis pour utiliser des informations médicales ou des données de sinistres afin de développer un modèle d’IA générative, la notification doit décrire précisément cet usage. Une mention générale sur l’amélioration des services ne devrait pas être considérée automatiquement comme suffisante pour l’entraînement d’un modèle.

L’assureur doit donc démontrer qu’une exception pertinente de la PDPA s’applique ou obtenir un consentement valable au moyen d’une notification spécifique à l’IA. Les sources disponibles ne permettent pas d’affirmer que toutes les données médicales ou de sinistres bénéficient automatiquement d’une exemption.

Commerce en ligne : historiques d’achat et navigation utilisés pour créer un produit d’IA

Utiliser l’historique des achats ou les données de navigation pour développer un produit commercial d’IA générative distinct constitue un exemple évident de réutilisation dépassant l’expérience d’achat initiale. Lorsque le consentement est requis, la plateforme doit expliquer directement cette finalité liée à l’IA, plutôt que de s’appuyer sur une clause générique consacrée au développement de produits.

L’exception liée à l’amélioration de l’activité peut être pertinente dans certaines situations, mais elle ne constitue pas une autorisation générale pour tout nouvel usage commercial. L’organisation doit toujours respecter les exigences légales applicables et rester dans les limites de l’exception.

Réseaux sociaux : profils, photos, vidéos et publications utilisés pour améliorer des outils créatifs

Une plateforme sociale qui utilise des profils, photos, vidéos, publications ou interactions pour améliorer des outils de création de contenu fondés sur l’IA générative doit fournir une notification spécifique lorsqu’elle fonde cet usage sur le consentement.

Les données personnelles réellement accessibles au public peuvent relever de l’exception applicable aux données publiquement disponibles, auquel cas le consentement n’est pas nécessairement requis. Mais la visibilité compte : un contenu véritablement public n’est pas la même chose qu’une publication visible uniquement par certains utilisateurs ou protégée par des paramètres d’accès.

Dans quels cas une notification ou une possibilité d’opposition peut-elle ne pas être requise ?

Les données ont été véritablement anonymisées

Si les données sont réellement anonymisées et ne constituent plus des données personnelles, les obligations de notification et de consentement prévues par la PDPA ne s’appliquent pas. Des données pseudonymisées ou masquées ne doivent toutefois pas être considérées automatiquement comme anonymes : le point décisif est de savoir si les personnes peuvent encore être identifiées.

Une exception valable de la PDPA s’applique

Une organisation peut ne pas avoir à recueillir le consentement si elle peut légalement s’appuyer sur une exception, par exemple celle concernant les données publiquement disponibles ou, lorsque les conditions sont réunies, celle liée à l’amélioration de l’activité. Comme l’obligation de notification spécifique à l’IA concerne les situations où le consentement est requis, elle ne crée pas un droit universel de s’opposer à tout usage légal de données pour entraîner une IA.

Le régime de consentement applicable ne prévoit pas nécessairement un droit d’opposition

Les recommandations générales de la PDPC décrivent un mécanisme d’opposition fondé sur une notification, un délai raisonnable et un moyen raisonnable permettant à la personne de refuser l’utilisation de ses données, lorsque ce mécanisme est utilisé. Cela ne signifie pas que toute activité de traitement liée à l’IA doit obligatoirement proposer une option d’opposition, notamment lorsque l’organisation s’appuie sur une exception au consentement plutôt que sur le consentement lui-même.

Les consommateurs peuvent néanmoins disposer d’un droit de retrait lorsqu’ils ont donné leur consentement — ou sont réputés l’avoir donné — sous réserve du cadre applicable au traitement concerné.

Une entreprise peut-elle conditionner l’accès à un service au consentement pour l’entraînement d’une IA ?

En règle générale, une organisation ne devrait pas refuser un produit ou un service simplement parce qu’un consommateur refuse que ses données soient utilisées pour entraîner une IA, lorsque cet entraînement n’est pas raisonnablement nécessaire à la fourniture du produit ou du service demandé. En pratique, l’accès à un compte bancaire classique, à un service d’achat ou à une plateforme sociale ne devrait pas être conditionné au consentement à l’entraînement d’un assistant d’IA généraliste ou d’un modèle commercial sans rapport avec le service.

La limite tient à la notion de nécessité. Le consentement peut être exigé comme condition d’accès lorsque la collecte, l’utilisation ou la communication des données est raisonnablement nécessaire à la prestation ou à la transaction demandée. L’évaluation dépend du service précis, de l’usage des données et des circonstances : les recommandations ne donnent pas de réponse automatique applicable à toutes les organisations ni à tous les systèmes d’IA.

Ce que les consommateurs et les entreprises doivent vérifier

Les consommateurs devraient rechercher au moins quatre éléments dans une notification liée à l’IA :

• l’indication que leurs données personnelles serviront à développer, entraîner ou améliorer un modèle d’IA générative ;
• les catégories de données concernées ;
• la finalité et les modalités de leur utilisation ;
• la possibilité de refuser ou de retirer son consentement, ainsi que la procédure à suivre.

De leur côté, les organisations doivent d’abord déterminer si les informations constituent encore des données personnelles, si une exception s’applique et si l’usage envisagé est raisonnablement nécessaire au service demandé. C’est seulement ensuite qu’elles peuvent établir si une notification spécifique à l’IA, un consentement et un mécanisme d’opposition sont requis.

C’est la principale limite du cadre singapourien de juillet 2026 : il renforce la transparence lorsque l’entraînement de l’IA repose sur le consentement, sans instaurer pour autant un droit automatique de refus pour chaque utilisation légale de données.