Ce que les nouvelles règles singapouriennes sur l’IA générative changent pour les entreprises et le public

Le 20 juillet 2026, Singapour a adopté deux mesures liées mais distinctes. La Personal Data Protection Commission (PDPC) a publié des recommandations sur l’utilisation des données personnelles dans les modèles et systèmes d’IA générative, avec des notifications spécifiques à l’IA lorsque le consentement est requis. De son côté, l’Infocomm Media Development Authority (IMDA) a présenté des recommandations volontaires de transparence pour les chatbots d’IA générative accessibles au public, autour d’une fiche d’information rédigée en langage clair.

La distinction est essentielle : la mesure de la PDPC porte sur l’utilisation des données personnelles par les organisations, tandis que le cadre de l’IMDA concerne la façon dont les chatbots publics expliquent leurs capacités, leurs risques et leurs pratiques en matière de données.

L’essentiel en quelques mots

Lorsqu’une organisation réutilise des données personnelles collectées pour une finalité donnée afin de développer ou d’améliorer un modèle d’IA générative, une mention générale comme « nous pouvons utiliser vos données pour améliorer nos produits » ne sera généralement pas assez précise si le consentement est nécessaire. L’organisation doit indiquer clairement que les données serviront au développement ou à l’amélioration d’un modèle d’IA générative et expliquer les choix dont disposent les personnes concernées.

Le dispositif relatif aux chatbots est différent. Il est volontaire et vise les chatbots d’IA générative tournés vers l’extérieur, qui interagissent avec des clients, des consommateurs ou des membres du public. Il recommande un emplacement unique et facile d’accès où l’utilisateur peut comprendre ce que le chatbot sait faire, dans quelles situations il peut se tromper, comment il est sécurisé, comment ses données sont traitées et comment signaler un problème.

Ce que couvre la recommandation de la PDPC

Les recommandations de la PDPC concernent les données personnelles à différentes étapes du cycle de vie de l’IA générative. Elles peuvent notamment porter sur les informations récupérées sur le Web, les données fournies par un utilisateur pour bénéficier d’un service puis réutilisées pour développer ou améliorer un modèle, le déploiement du modèle, la sécurité, la conservation des données ainsi que les demandes d’accès ou de rectification.

Le principal enjeu tient au changement de finalité. Des informations communiquées pour une transaction, un compte, une demande d’assistance ou un autre service peuvent ensuite être réutilisées à grande échelle pour entraîner ou ajuster un modèle. Cette réutilisation peut rendre plus difficile la compréhension de ce qui est arrivé aux données, leur contrôle ou l’exercice ultérieur des droits lorsque les informations ont intégré un vaste processus d’entraînement.

La PDPC distingue également les responsabilités au sein de la chaîne de valeur de l’IA. Les fournisseurs de modèles restent responsables des obligations découlant du PDPA pour le développement et le déploiement des modèles. Les fournisseurs de systèmes doivent notamment prendre en compte la sécurité et communiquer les garanties pertinentes. Les déployeurs, eux, doivent définir les finalités du traitement, comprendre les flux de données et vérifier les contrôles appliqués aux systèmes qu’ils mettent en service.

Quand une notification spécifique à l’IA est-elle nécessaire ?

Une organisation doit obtenir le consentement au moyen d’une notification spécifique à l’IA lorsqu’elle souhaite utiliser des « données utilisateur » pour développer un modèle d’IA générative et qu’aucune exception au consentement prévue par le PDPA ne s’applique. La notification doit rendre explicite l’utilisation liée à l’IA générative ; elle ne peut pas simplement s’appuyer sur des termes larges comme « amélioration du service », « personnalisation » ou « amélioration du produit ».

Cette exigence est particulièrement importante lorsque les informations ont été fournies directement dans le cadre d’un produit ou d’un service existant pour une finalité étrangère à l’IA générative, puis réutilisées pour développer un modèle. L’organisation doit examiner le contexte initial de collecte, la nouvelle finalité et l’existence éventuelle d’une exception avant de décider de la marche à suivre.

Les données accessibles au public constituent un cas distinct

L’exception prévue par le PDPA pour les données accessibles au public peut permettre de collecter, sans consentement, certaines données personnelles publiquement disponibles afin de développer un modèle. Cela ne signifie pas que toute information trouvable en ligne relève automatiquement de cette exception. Les données protégées par un abonnement payant, une connexion, une inscription ou une barrière numérique comparable nécessitent une analyse attentive pour déterminer si elles restent accessibles au public à cette fin.

Les données correctement anonymisées

Les données véritablement anonymisées ne sont pas des données personnelles au sens du PDPA, puisqu’elles ne permettent pas d’identifier une personne. La PDPC encourage les organisations à privilégier les données anonymisées pour l’analyse et la recherche lorsque cela est possible.

La nuance est importante : supprimer un nom ne suffit pas nécessairement à anonymiser un fichier. Une personne peut encore être identifiable à partir des informations restantes ou d’autres informations raisonnablement disponibles. Les organisations doivent donc vérifier que leur méthode d’anonymisation supprime réellement la possibilité d’identifier les individus.

Et les enregistrements des centres d’appels ?

Les documents fournis n’établissent pas d’exception distincte et générale pour les enregistrements de centres d’appels. Un enregistrement qui identifie un appelant, ou permet raisonnablement de l’identifier, doit être traité comme une donnée personnelle lors de l’évaluation d’une réutilisation dans un système d’IA générative. Avant de l’utiliser pour développer un modèle, l’organisation doit disposer d’un fondement applicable au titre du PDPA : consentement valable, notification ou autre exception légale.

Les sources disponibles ne permettent pas d’affirmer l’existence d’une règle supplémentaire propre aux enregistrements téléphoniques. La mise en œuvre dépend donc du contenu de l’enregistrement, de la manière dont il a été collecté, de l’utilisation envisagée dans l’IA générative et de l’exception éventuellement applicable.

Que doit contenir la notification ?

La notification doit fournir des informations suffisamment concrètes pour permettre un choix éclairé. D’après les recommandations fournies, elle devrait au minimum préciser :

• La finalité liée à l’IA : indiquer que les données personnelles seront utilisées pour développer ou améliorer un modèle d’IA générative.
• La raison de cette utilisation : expliquer l’objectif du développement ou de l’amélioration du modèle.
• Les données concernées : décrire les catégories de données personnelles utilisées.
• La méthode d’utilisation : expliquer comment les données seront exploitées, par exemple pour l’entraînement ou l’ajustement du modèle lorsque cela est pertinent.
• Le choix offert à la personne : expliquer comment refuser ou retirer son consentement, ou comment exercer un droit d’opposition lorsque cette possibilité existe.

Une politique de confidentialité générale peut toujours fournir des informations utiles, mais elle ne devrait pas constituer la seule information lorsque la finalité d’entraînement de l’IA générative reste difficile à comprendre. Le critère central est le suivant : une personne raisonnable doit pouvoir comprendre que ses données personnelles peuvent servir à développer ou améliorer un modèle d’IA générative.

Où cette notification peut-elle apparaître ?

Les documents fournis n’imposent ni format unique ni emplacement obligatoire pour toutes les organisations. En pratique, l’information peut être présentée au moment où les données pertinentes sont collectées ou lorsque le service est utilisé : lors de la création d’un compte, dans une fenêtre contextuelle au moment opportun, dans les paramètres de confidentialité du compte ou via une politique de confidentialité clairement accessible.

Cette recommandation sur l’emplacement relève d’une déduction pratique et ne constitue pas une liste exhaustive tirée de la fiche de la PDPC. Quel que soit le format choisi, l’information doit être visible et suffisamment précise, plutôt que noyée dans des conditions générales difficiles à trouver.

Consentement, retrait et droits d’accès

Une personne peut demander l’accès à ses données personnelles ou leur rectification même après leur utilisation dans le développement d’un système d’IA générative. Les organisations sont censées adopter de bonnes pratiques en amont, examiner les demandes au cas par cas et mettre en place des mesures techniques appropriées, même si retrouver une information au sein d’un vaste jeu d’entraînement peut être difficile.

Lorsque le consentement constitue le fondement juridique du traitement, les personnes doivent être informées de la manière de le refuser ou de le retirer. Cela ne signifie pas automatiquement qu’elles pourront continuer à utiliser toutes les composantes d’un service dans les mêmes conditions après leur retrait. La possibilité de conserver l’accès au service principal dépend du rôle de l’entraînement de l’IA générative, de la nécessité de ce traitement et de la conception du consentement par l’organisation. Les sources fournies n’établissent pas de droit général à conserver un accès complet au service après tout retrait.

La « Chatbot Info Card » volontaire de l’IMDA

Les recommandations de transparence de l’IMDA pour les chatbots d’IA générative adoptent une approche centrée sur l’utilisateur. Elles s’adressent aux déployeurs de chatbots accessibles à l’extérieur de l’organisation et doivent aider le public à prendre des décisions plus éclairées, harmoniser les informations communiquées et responsabiliser davantage les fournisseurs quant aux mesures de sécurité et de fiabilité qu’ils déclarent appliquer.

Leur principal outil est une « Chatbot Info Card », comparable à une étiquette nutritionnelle ou à la notice d’un médicament. Il peut s’agir d’une page d’information dédiée ou d’un document de transparence, à condition de rassembler les informations importantes en un endroit accessible.

La fiche doit respecter trois principes :

• Pertinence : présenter les informations nécessaires pour évaluer si le chatbot peut être utilisé et dans quelle mesure ses réponses sont fiables.
• Accessibilité : employer un langage clair et rendre la fiche facile à trouver et à parcourir.
• Actualité : la publier au lancement du chatbot et la mettre à jour lorsque des changements importants touchent ses capacités, ses risques ou ses règles de sécurité.

Ce que la fiche devrait expliquer

Une fiche utile devrait couvrir :

• la finalité, les fonctions et les capacités prévues du chatbot ;
• ses limites importantes, notamment les situations dans lesquelles les réponses doivent être vérifiées ou l’utilisation déconseillée ;
• les mesures de fiabilité et de sécurité ;
• la manière dont sont traités les messages des utilisateurs, les conversations et les autres données ;
• les canaux permettant d’adresser une plainte, un commentaire ou un signalement d’incident.

La fiche ne garantit pas que le chatbot sera exact ou sûr. Son intérêt est de donner aux utilisateurs une base plus claire pour décider quand se fier à l’outil, quelles informations partager et vers qui se tourner en cas de problème.

L’IMDA s’est d’abord intéressée aux chatbots publics en raison de leur large exposition auprès des consommateurs et des préoccupations qu’ils soulèvent, notamment en matière de vie privée, de protection des enfants et de risques pour les personnes psychologiquement vulnérables. Le cadre pourrait aussi servir de référence pour d’autres applications d’IA générative et pour de futures recommandations sectorielles.

Comment les entreprises et les organismes publics comptent-ils l’appliquer ?

Google, Meta, DBS, OCBC, Singapore Airlines et Synapxe ont indiqué qu’ils utiliseraient ces recommandations volontaires comme référence pour améliorer la transparence de leurs chatbots destinés au public. Cela traduit une volonté d’alignement et d’amélioration progressive, et non la preuve que chaque organisation a déjà lancé une fiche identique.

Pour les banques, l’enjeu devrait notamment consister à expliquer les fonctions proposées aux clients, les limites et les garanties du chatbot, en complément des dispositifs existants de gouvernance et de gestion des risques liés à l’IA. DBS a évoqué ses initiatives d’IA destinées aux clients, tandis qu’OCBC a relié ces recommandations à son cadre établi de gouvernance de l’IA et de gestion des risques.

Singapore Airlines a déclaré qu’elle continuerait à examiner et à renforcer sa gouvernance de l’IA et ses mesures de protection à mesure qu’elle développe des expériences client intégrant l’IA. Google et Meta ont soutenu l’idée d’informations plus claires et plus accessibles sur le fonctionnement de leurs produits d’IA et sur la manière dont les utilisateurs interagissent avec eux.

Les organismes publics devraient également prendre le cadre en considération : le National Library Board et le Health Promotion Board prévoient de s’y référer pour leurs chatbots destinés au public.

Ce que ces mesures changent concrètement

L’approche singapourienne combine une obligation de transparence plus précise pour certains usages de données personnelles dans l’IA générative et une norme volontaire de transparence publique pour les chatbots. Les organisations doivent donc considérer ces deux mesures comme complémentaires, mais non interchangeables :

1. Cartographier les données : identifier les données personnelles qui entrent dans les chaînes de développement des modèles ou des chatbots, et comprendre pourquoi.
2. Vérifier le fondement juridique : déterminer si un consentement est nécessaire ou si une exception au PDPA s’applique.
3. Rendre la réutilisation explicite : utiliser une notification spécifique à l’IA lorsque cela est requis, plutôt que de s’en remettre à une formule générale sur l’amélioration du produit.
4. Préparer les demandes de droits : conserver suffisamment d’informations en amont pour examiner les demandes d’accès, de rectification ou de retrait.
5. Publier les informations sur le chatbot : pour les chatbots publics, fournir une fiche pertinente, accessible et actualisée couvrant capacités, limites, fiabilité, sécurité, pratiques de traitement des données et canaux de signalement.

Ces mesures ne promettent pas aux utilisateurs de pouvoir interrompre toute utilisation de leurs données liée à l’IA. Elles poussent plutôt les organisations vers une information plus claire, une gouvernance plus rigoureuse des données et une plus grande responsabilité des services d’IA proposés au public.