הדרישה חשובה במיוחד כאשר מידע שנאסף לצורך שירות רגיל — למשל בנקאות, ביטוח, קניות או רשתות חברתיות — מוסב למטרה חדשה של פיתוח AI. ארגון אינו אמור להניח שהודעה כללית שנמסרה בעבר מכסה אוטומטית שימוש חדש, כאשר הוא חורג ממה שהצרכנים היו מצפים לו באופן סביר.

חשוב להדגיש: מדובר בהנחיות מייעצות, ולא בחוק חדש ונפרד. ההנחיות מפרטות כיצד ה־PDPC מפרש את החובות הקיימות לפי ה־PDPA.

איך הכלל חל על ארבעה תרחישים נפוצים

בנקים: שימוש בנתונים פיננסיים ובנתוני שירות לפיתוח עוזר AI

בנק שמשתמש בנתוני לקוחות כדי לפתח או לשפר עוזר AI חייב למסור הודעה ייעודית ל־AI אם הוא מסתמך על הסכמה. ההודעה צריכה להבחין בין פיתוח המודל לבין אספקת שירותי הבנקאות או שירות הלקוחות הרגילים.

ייתכן שהבנק יוכל להסתמך על חריג להסכמה לפי ה־PDPA, למשל החריג לשיפור עסקי, אך רק אם הוא עומד בתנאים הקבועים בחוק ופועל בתוך גבולות החריג. אם חריג תקף חל, ייתכן שלא תידרש הסכמה — ולכן גם לא בהכרח תידרש אפשרות לסירוב המבוססת על הסכמה.

חברות ביטוח: שימוש במידע רפואי ובנתוני תביעות

אצל חברת ביטוח השאלה הבסיסית זהה: אם נדרשת הסכמה לשימוש במידע רפואי או בנתוני תביעות לצורך פיתוח מודל AI גנרטיבי, ההודעה חייבת לתאר באופן ספציפי את השימוש הזה. הצהרה כללית קודמת על "שיפור השירות" אינה אמורה להיחשב אוטומטית כמספיקה לאימון מודל.

החברה תצטרך להראות שחריג רלוונטי לפי ה־PDPA חל בעניינה, או לקבל הסכמה תקפה באמצעות הודעה ייעודית ל־AI. המקורות הזמינים אינם קובעים שכל מידע רפואי או נתוני תביעות פטורים אוטומטית מהחובה.

פלטפורמות מסחר מקוון: הפיכת היסטוריית קניות למוצר AI מסחרי

שימוש בהיסטוריית רכישות או בפעילות גלישה כדי לפתח מוצר AI גנרטיבי מסחרי נפרד הוא דוגמה ברורה לשימוש משני במידע, מעבר לחוויית הקנייה המיידית. כאשר נדרשת הסכמה, על הפלטפורמה להסביר ישירות שהמידע ישמש למטרת AI, ולא להסתמך על סעיף כללי העוסק בפיתוח מוצרים.

החריג לשיפור עסקי עשוי להיות רלוונטי בנסיבות מסוימות, אך הוא אינו היתר גורף לכל שימוש מסחרי חדש. הארגון עדיין חייב לעמוד בדרישות החוק ולפעול בתוך היקף החריג.

רשתות חברתיות: שימוש בפרופילים, תמונות ופוסטים לשיפור כלי יצירה

רשת חברתית שמשתמשת בפרופילים, תמונות, סרטונים, פוסטים או אינטראקציות כדי לשפר כלי יצירת תוכן המבוססים על AI גנרטיבי חייבת למסור הודעה ייעודית ל־AI כאשר ההסכמה היא הבסיס המשפטי לשימוש.

מידע אישי שזמין לציבור עשוי להיכלל בחריג המידע הזמין לציבור לפי ה־PDPA, ולכן ייתכן שלא תידרש הסכמה. עם זאת, השאלה אם התוכן באמת ציבורי היא מכרעת: חומר שפתוח לכל אדם אינו זהה לתוכן ששותף רק עם משתמשים מסוימים או מוגן באמצעות הגדרות גישה.

מתי אין חובה למסור הודעה או לאפשר opt-out?

כאשר המידע עבר אנונימיזציה אמיתית

אם המידע עבר אנונימיזציה אמיתית כך שאינו עוד מידע אישי, חובות ההודעה וההסכמה של ה־PDPA אינן חלות עליו. מידע שעבר פסאודונימיזציה או הסתרה חלקית אינו נחשב אוטומטית לאנונימי; השאלה הרלוונטית היא אם עדיין ניתן לזהות את האנשים שאליהם הוא מתייחס.

כאשר חל חריג תקף לפי ה־PDPA

ארגון עשוי שלא להזדקק להסכמה אם הוא יכול להסתמך כדין על חריג סטטוטורי, כגון החריג למידע זמין לציבור או, כאשר התנאים מתקיימים, החריג לשיפור עסקי. מכיוון שהחובה למסור הודעה ייעודית ל־AI קשורה למצבים שבהם נדרשת הסכמה, היא אינה יוצרת זכות כללית לסרב לכל שימוש חוקי במידע לצורכי אימון AI.

כאשר מסלול ההסכמה הרלוונטי אינו מחייב opt-out

הנחיות ה־PDPC מתארות מסלול של הסכמה באמצעות opt-out כמסלול הכולל הודעה, פרק זמן סביר ודרך סבירה שבה האדם יכול לסרב — כאשר זהו המסלול שבו משתמש הארגון. אין פירוש הדבר שכל פעילות עיבוד הקשורה ל־AI חייבת לכלול אפשרות opt-out, במיוחד כאשר הארגון מסתמך על חריג להסכמה ולא על הסכמה.

עם זאת, לצרכנים עשויה לעמוד זכות למשוך הסכמה שניתנה, או שנחשבה כניתנת, בכפוף למסגרת החלה על אותו עיבוד מידע.

האם חברה יכולה להתנות את קבלת השירות בהסכמה לאימון AI?

ככלל, ארגון אינו אמור למנוע מצרכן מוצר או שירות רק משום שסירב להסכים לאימון AI, כאשר האימון אינו נחוץ באופן סביר כדי לספק את המוצר או השירות שהתבקש. לכן, הסכמה לפיתוח עוזר AI כללי או מודל מסחרי שאינו קשור לשירות לא אמורה בדרך כלל להיות תנאי לקבלת חשבון בנק רגיל, שימוש בשירות קניות או גישה לרשת חברתית.

הסייג המרכזי הוא נחיצות. הסכמה יכולה להיות תנאי לקבלת שירות כאשר האיסוף, השימוש או הגילוי של המידע נחוצים באופן סביר לשירות או לעסקה שהצרכן ביקש. השאלה אם התנאי מתקיים תלויה בשירות הספציפי, בשימוש במידע ובנסיבות; ההנחיות אינן קובעות תשובה גורפת לכל ארגון או מערכת AI.

מה צרכנים וארגונים צריכים לבדוק?

צרכנים צריכים לחפש בהודעת פרטיות הקשורה ל־AI ארבעה פרטים:

• האם המידע האישי ישמש לפיתוח, אימון או שיפור של מודל AI גנרטיבי;
• אילו קטגוריות של מידע מעורבות;
• מהי מטרת השימוש ובאיזה אופן ייעשה בו שימוש; וכן
• האם ניתן לסרב להסכמה או למשוך אותה, וכיצד עושים זאת.

ארגונים צריכים לבדוק תחילה אם המידע עדיין נחשב מידע אישי, אם חל חריג להסכמה ואם השימוש המוצע ב־AI נחוץ באופן סביר לשירות שהתבקש. רק לאחר מכן ניתן לקבוע אם נדרשת הודעת הסכמה ייעודית ל־AI — ואם יש להציע מנגנון opt-out.

זהו הגבול המרכזי של המסגרת שנקבעה בהנחיות יולי 2026 בסינגפור: יותר שקיפות כאשר אימון AI מבוסס על הסכמה, אך לא זכות אוטומטית לסרב לכל שימוש חוקי במידע.

הדרישה חשובה במיוחד כאשר מידע שנאסף לצורך שירות רגיל — למשל בנקאות, ביטוח, קניות או רשתות חברתיות — מוסב למטרה חדשה של פיתוח AI. ארגון אינו אמור להניח שהודעה כללית שנמסרה בעבר מכסה אוטומטית שימוש חדש, כאשר הוא חורג ממה שהצרכנים היו מצפים לו באופן סביר.

חשוב להדגיש: מדובר בהנחיות מייעצות, ולא בחוק חדש ונפרד. ההנחיות מפרטות כיצד ה־PDPC מפרש את החובות הקיימות לפי ה־PDPA.

איך הכלל חל על ארבעה תרחישים נפוצים

בנקים: שימוש בנתונים פיננסיים ובנתוני שירות לפיתוח עוזר AI

בנק שמשתמש בנתוני לקוחות כדי לפתח או לשפר עוזר AI חייב למסור הודעה ייעודית ל־AI אם הוא מסתמך על הסכמה. ההודעה צריכה להבחין בין פיתוח המודל לבין אספקת שירותי הבנקאות או שירות הלקוחות הרגילים.

ייתכן שהבנק יוכל להסתמך על חריג להסכמה לפי ה־PDPA, למשל החריג לשיפור עסקי, אך רק אם הוא עומד בתנאים הקבועים בחוק ופועל בתוך גבולות החריג. אם חריג תקף חל, ייתכן שלא תידרש הסכמה — ולכן גם לא בהכרח תידרש אפשרות לסירוב המבוססת על הסכמה.

חברות ביטוח: שימוש במידע רפואי ובנתוני תביעות

אצל חברת ביטוח השאלה הבסיסית זהה: אם נדרשת הסכמה לשימוש במידע רפואי או בנתוני תביעות לצורך פיתוח מודל AI גנרטיבי, ההודעה חייבת לתאר באופן ספציפי את השימוש הזה. הצהרה כללית קודמת על "שיפור השירות" אינה אמורה להיחשב אוטומטית כמספיקה לאימון מודל.

החברה תצטרך להראות שחריג רלוונטי לפי ה־PDPA חל בעניינה, או לקבל הסכמה תקפה באמצעות הודעה ייעודית ל־AI. המקורות הזמינים אינם קובעים שכל מידע רפואי או נתוני תביעות פטורים אוטומטית מהחובה.

פלטפורמות מסחר מקוון: הפיכת היסטוריית קניות למוצר AI מסחרי

שימוש בהיסטוריית רכישות או בפעילות גלישה כדי לפתח מוצר AI גנרטיבי מסחרי נפרד הוא דוגמה ברורה לשימוש משני במידע, מעבר לחוויית הקנייה המיידית. כאשר נדרשת הסכמה, על הפלטפורמה להסביר ישירות שהמידע ישמש למטרת AI, ולא להסתמך על סעיף כללי העוסק בפיתוח מוצרים.

החריג לשיפור עסקי עשוי להיות רלוונטי בנסיבות מסוימות, אך הוא אינו היתר גורף לכל שימוש מסחרי חדש. הארגון עדיין חייב לעמוד בדרישות החוק ולפעול בתוך היקף החריג.

רשתות חברתיות: שימוש בפרופילים, תמונות ופוסטים לשיפור כלי יצירה

רשת חברתית שמשתמשת בפרופילים, תמונות, סרטונים, פוסטים או אינטראקציות כדי לשפר כלי יצירת תוכן המבוססים על AI גנרטיבי חייבת למסור הודעה ייעודית ל־AI כאשר ההסכמה היא הבסיס המשפטי לשימוש.

מידע אישי שזמין לציבור עשוי להיכלל בחריג המידע הזמין לציבור לפי ה־PDPA, ולכן ייתכן שלא תידרש הסכמה. עם זאת, השאלה אם התוכן באמת ציבורי היא מכרעת: חומר שפתוח לכל אדם אינו זהה לתוכן ששותף רק עם משתמשים מסוימים או מוגן באמצעות הגדרות גישה.

מתי אין חובה למסור הודעה או לאפשר opt-out?

כאשר המידע עבר אנונימיזציה אמיתית

אם המידע עבר אנונימיזציה אמיתית כך שאינו עוד מידע אישי, חובות ההודעה וההסכמה של ה־PDPA אינן חלות עליו. מידע שעבר פסאודונימיזציה או הסתרה חלקית אינו נחשב אוטומטית לאנונימי; השאלה הרלוונטית היא אם עדיין ניתן לזהות את האנשים שאליהם הוא מתייחס.

כאשר חל חריג תקף לפי ה־PDPA

ארגון עשוי שלא להזדקק להסכמה אם הוא יכול להסתמך כדין על חריג סטטוטורי, כגון החריג למידע זמין לציבור או, כאשר התנאים מתקיימים, החריג לשיפור עסקי. מכיוון שהחובה למסור הודעה ייעודית ל־AI קשורה למצבים שבהם נדרשת הסכמה, היא אינה יוצרת זכות כללית לסרב לכל שימוש חוקי במידע לצורכי אימון AI.

כאשר מסלול ההסכמה הרלוונטי אינו מחייב opt-out

הנחיות ה־PDPC מתארות מסלול של הסכמה באמצעות opt-out כמסלול הכולל הודעה, פרק זמן סביר ודרך סבירה שבה האדם יכול לסרב — כאשר זהו המסלול שבו משתמש הארגון. אין פירוש הדבר שכל פעילות עיבוד הקשורה ל־AI חייבת לכלול אפשרות opt-out, במיוחד כאשר הארגון מסתמך על חריג להסכמה ולא על הסכמה.

עם זאת, לצרכנים עשויה לעמוד זכות למשוך הסכמה שניתנה, או שנחשבה כניתנת, בכפוף למסגרת החלה על אותו עיבוד מידע.

האם חברה יכולה להתנות את קבלת השירות בהסכמה לאימון AI?

ככלל, ארגון אינו אמור למנוע מצרכן מוצר או שירות רק משום שסירב להסכים לאימון AI, כאשר האימון אינו נחוץ באופן סביר כדי לספק את המוצר או השירות שהתבקש. לכן, הסכמה לפיתוח עוזר AI כללי או מודל מסחרי שאינו קשור לשירות לא אמורה בדרך כלל להיות תנאי לקבלת חשבון בנק רגיל, שימוש בשירות קניות או גישה לרשת חברתית.

הסייג המרכזי הוא נחיצות. הסכמה יכולה להיות תנאי לקבלת שירות כאשר האיסוף, השימוש או הגילוי של המידע נחוצים באופן סביר לשירות או לעסקה שהצרכן ביקש. השאלה אם התנאי מתקיים תלויה בשירות הספציפי, בשימוש במידע ובנסיבות; ההנחיות אינן קובעות תשובה גורפת לכל ארגון או מערכת AI.

מה צרכנים וארגונים צריכים לבדוק?

צרכנים צריכים לחפש בהודעת פרטיות הקשורה ל־AI ארבעה פרטים:

• האם המידע האישי ישמש לפיתוח, אימון או שיפור של מודל AI גנרטיבי;
• אילו קטגוריות של מידע מעורבות;
• מהי מטרת השימוש ובאיזה אופן ייעשה בו שימוש; וכן
• האם ניתן לסרב להסכמה או למשוך אותה, וכיצד עושים זאת.

ארגונים צריכים לבדוק תחילה אם המידע עדיין נחשב מידע אישי, אם חל חריג להסכמה ואם השימוש המוצע ב־AI נחוץ באופן סביר לשירות שהתבקש. רק לאחר מכן ניתן לקבוע אם נדרשת הודעת הסכמה ייעודית ל־AI — ואם יש להציע מנגנון opt-out.

זהו הגבול המרכזי של המסגרת שנקבעה בהנחיות יולי 2026 בסינגפור: יותר שקיפות כאשר אימון AI מבוסס על הסכמה, אך לא זכות אוטומטית לסרב לכל שימוש חוקי במידע.