Données personnelles et IA générative : ce que Singapour exige désormais des entreprises

Les règles singapouriennes sur les données personnelles et l’intelligence artificielle générative ne relèvent plus seulement de la consultation. La Commission de protection des données personnelles (PDPC) a publié ses lignes directrices définitives sur l’utilisation des données personnelles dans l’IA générative le 20 juillet 2026.

Le message central est simple : lorsqu’une entreprise doit obtenir un consentement pour utiliser des données personnelles afin d’entraîner ou d’affiner un modèle d’IA générative, elle ne peut pas se contenter d’une clause de confidentialité vague.

À retenir

Si des données personnelles servent à développer ou à améliorer un modèle d’IA générative, la notification adressée aux personnes concernées doit mentionner directement cette finalité. Une formule générale indiquant que les données pourraient être utilisées pour le « développement de nouveaux produits » n’est pas suffisante.

Ces lignes directrices ont une portée consultative : elles ne constituent pas une interdiction autonome de l’entraînement des modèles d’IA. Elles s’inscrivent dans le cadre de la loi singapourienne sur la protection des données personnelles (PDPA), qui prévoit aussi des exceptions permettant certains usages sans consentement. C’est notamment le cas de certaines données personnelles accessibles au public utilisées pour développer une IA.

Ce qu’une notification spécifique à l’IA doit expliquer

L’objectif est de permettre à chacun de comprendre non seulement le produit utilisé, mais aussi le parcours de ses données au sein du système. Une notification utile devrait préciser :

• ce que fait le modèle et pourquoi il est développé ;
• les catégories de données personnelles utilisées, par exemple des coordonnées, des données de transaction ou de localisation, des vidéos ou des enregistrements vocaux ;
• la manière dont ces données contribuent au modèle, plutôt que de se limiter à indiquer qu’elles sont « traitées » ;
• la procédure pour s’opposer à l’utilisation des données ou retirer son consentement, au moyen d’instructions concrètes et raisonnablement accessibles.

Pour le PDPC, la transparence doit intervenir au moment où la personne prend sa décision, et non être dissimulée dans une longue politique de confidentialité. Parmi les formats suggérés figurent une notification bien visible dans le produit ou une page web dédiée.

Exemple : utiliser la voix pour la synthèse vocale

Une entreprise qui développe une fonctionnalité de synthèse vocale pourrait expliquer qu’elle utilise les enregistrements vocaux de ses clients pour entraîner le modèle et que ces enregistrements l’aident à reconnaître les caractéristiques de la parole. Cette formulation est nettement plus claire qu’une simple référence à l’amélioration du produit.

Informer ne signifie pas automatiquement obtenir un consentement

La distinction entre notification et consentement est essentielle. Dans le cadre général de la PDPA, les organisations doivent en principe informer les personnes de la finalité de la collecte ou de l’utilisation de leurs données et obtenir leur consentement, sauf lorsqu’une exception prévue par la loi s’applique.

Les lignes directrices définitives précisent surtout le contenu de la notification lorsque le consentement est requis : l’entreprise doit mentionner expressément l’utilisation envisagée des données pour développer le modèle d’IA.

Cela ne signifie pas que tout usage de données personnelles pour entraîner une IA exige automatiquement un consentement explicite et affirmatif. La réponse dépend de la base juridique applicable au titre de la PDPA, notamment des règles relatives aux informations accessibles au public.

Pour les entreprises, la leçon pratique est de documenter séparément la base juridique de chaque jeu de données utilisé pour l’entraînement. Une notification claire ne remplace pas le consentement lorsque celui-ci est obligatoire ; inversement, un consentement ne peut pas être présumé à partir d’une formulation trop générale pour décrire l’usage réel de l’IA.

Les questions soulevées par le projet

Le projet soumis à consultation avait attiré l’attention parce que plusieurs questions opérationnelles restaient ouvertes derrière la nouvelle exigence d’information.

Le consentement explicite est-il toujours nécessaire ?

Le projet ne précisait pas clairement si un consentement affirmatif et explicite serait exigé dans tous les scénarios d’entraînement d’une IA générative. Il soulevait plutôt la question des situations dans lesquelles un mécanisme d’opposition pourrait suffire et de celles où une exception de la PDPA pourrait être invoquée.

Le traitement final du consentement et des exceptions rend la base juridique encore plus importante. Les organisations doivent éviter de présenter une notification spécifique à l’IA comme un substitut universel au consentement.

L’anonymisation fait-elle disparaître le problème de notification ?

Le projet laissait également planer un doute sur l’application de l’exigence de notification spécifique lorsque les données sont anonymisées avant l’entraînement.

La réponse dépend notamment de la possibilité de relier encore les informations à une personne identifiable et de la façon dont l’anonymisation est réalisée et documentée. Les éléments disponibles ne permettent pas de considérer l’anonymisation comme une solution automatique pour tous les jeux de données. Les entreprises doivent donc examiner les données et les méthodes de traitement au cas par cas.

Une entreprise peut-elle refuser un service à une personne qui s’y oppose ?

Une autre question non résolue concerne les banques, les assureurs, les plateformes et les autres prestataires : peuvent-ils refuser ou rendre un service indisponible lorsqu’une personne refuse que ses données soient utilisées pour entraîner une IA ?

C’est là que le choix théorique peut se heurter à une pression très concrète. Une possibilité d’opposition existe peut-être sur le papier, mais elle est difficilement réelle si son exercice entraîne un coût important ou la perte d’un service essentiel.

L’obligation d’informer améliore la visibilité, mais elle ne répond pas à elle seule à toutes les questions liées à l’équité, à l’accès aux services ou au rapport de force entre les particuliers et les fournisseurs.

Des modèles d’IA aux lunettes connectées : un débat plus large

L’attention portée par le PDPC à l’IA générative s’inscrit dans une préoccupation plus vaste : certains produits collectent des données d’une manière que les personnes ne perçoivent pas toujours. Les priorités attribuées à la commissaire du PDPC, Denise Wong, ont notamment mis en lumière les lunettes connectées, les montres intelligentes et les systèmes de paiement reposant sur le scan de la paume.

Ces appareils peuvent traiter des informations sensibles, comme des caractéristiques faciales, des empreintes digitales, des données vocales ou des motifs veineux de la paume. Les risques évoqués comprennent l’enregistrement à l’insu des personnes, l’exposition ou le détournement de données biométriques, ainsi que l’utilisation de lunettes connectées pour filmer des sujets d’examen ou d’autres informations afin de faciliter la triche.

Le ministère singapourien du Développement numérique et de l’Information a également été interrogé sur les indicateurs visuels des lunettes connectées et sur la collecte de données biométriques ou environnementales concernant les personnes présentes à proximité, même lorsqu’elles n’utilisent pas l’appareil.

Le problème de fond est celui d’une information réellement compréhensible. Un petit voyant d’enregistrement ou une politique d’utilisation enfouie dans une documentation ne donne pas forcément aux personnes filmées une possibilité réaliste de comprendre ce qui se passe et de choisir en conséquence.

Ce que les organisations doivent faire dès maintenant

Les équipes qui développent ou déploient des systèmes d’IA générative à Singapour peuvent utiliser ces lignes directrices comme une liste de contrôle pour leur gouvernance des données :

1. Associer chaque jeu de données à un cas d’usage précis. Indiquer s’il sert à l’entraînement, à l’affinage, aux tests, au suivi ou à une autre finalité.
2. Choisir et documenter la base prévue par la PDPA. Préciser si le consentement est nécessaire ou si l’entreprise s’appuie sur une exception légale.
3. Réécrire les notifications générales. Indiquer clairement que les données personnelles serviront à développer ou à améliorer un modèle d’IA générative lorsque c’est bien la finalité poursuivie.
4. Décrire les catégories de données et la fonction du modèle. Les personnes doivent pouvoir comprendre quelles informations sont utilisées et ce qu’elles permettent au modèle de faire.
5. Rendre le choix réellement utilisable. Expliquer comment s’opposer ou retirer son consentement, puis documenter le traitement des demandes.
6. Examiner séparément les appareils connectés. Lunettes intelligentes, objets portables, caméras et systèmes biométriques peuvent soulever des questions concernant des personnes qui ne sont pas les utilisateurs directs.

Le virage singapourien ne consiste donc pas tant à interdire l’utilisation de données personnelles dans l’IA générative qu’à rendre cette utilisation visible, précise et rattachée à une base juridique identifiable. Les lignes directrices définitives réduisent l’écart entre les avis de confidentialité traditionnels et les méthodes modernes de développement de l’IA. Les questions les plus délicates — notamment la réalité du choix laissé aux personnes et le traitement des données sensibles ou captées indirectement — restent toutefois au cœur des débats de gouvernance.