מה חברות ומשתמשים צריכים לדעת על כללי ה־GenAI החדשים בסינגפור

ב־20 ביולי 2026 פרסמה סינגפור שתי יוזמות קשורות, אך שונות במהותן: הנחיות של הוועדה להגנת מידע אישי (PDPC) בנוגע לשימוש במידע אישי במודלי ובמערכות בינה מלאכותית יוצרת (GenAI), והנחיות שקיפות וולונטריות של הרשות לפיתוח המידע והתקשורת (IMDA) לצ'אטבוטים ציבוריים.

ההבדל חשוב: הנחיות ה־PDPC עוסקות באופן שבו ארגונים משתמשים במידע אישי, ואילו מסגרת ה־IMDA עוסקת באופן שבו צ'אטבוטים הפונים לציבור מסבירים למשתמשים את היכולות, הסיכונים ונוהלי השימוש בנתונים שלהם.

בשורה התחתונה

כאשר מידע אישי שנאסף למטרה מסוימת משמש מאוחר יותר לפיתוח או לשיפור של מודל GenAI, ניסוח כללי כמו “ייתכן שנשתמש במידע לשיפור המוצר” בדרך כלל לא יספיק במקרים שבהם נדרשת הסכמה. על הארגון לציין במפורש שהמידע ישמש לפיתוח או לשיפור מודל GenAI, ולהסביר אילו אפשרויות עומדות בפני האדם.

ההנחיות לצ'אטבוטים שונות. הן וולונטריות וחלות על צ'אטבוטים חיצוניים מבוססי GenAI שמקיימים אינטראקציה עם לקוחות, צרכנים או הציבור. הן ממליצות לרכז במקום אחד, בשפה פשוטה, מידע על תפקוד הצ'אטבוט, מגבלותיו, אמצעי הבטיחות, אופן הטיפול בנתונים והדרכים להעלות תלונה או לדווח על תקלה.

מה כוללות הנחיות ה־PDPC?

הנחיות ה־PDPC מתייחסות למידע אישי לאורך מחזור החיים של מערכת GenAI. הדבר עשוי לכלול מידע שנאסף מהרשת, מידע שמשתמשים מסרו לצורך שירות רגיל ולאחר מכן נעשה בו שימוש לפיתוח או לשיפור מודל, וכן היבטים של פריסה, אבטחה, שמירת מידע ומענה לבקשות עיון או תיקון.

האתגר המרכזי הוא שינוי המטרה. מידע שנמסר במקור במסגרת עסקה, ניהול חשבון, פנייה לתמיכה או שירות אחר עשוי לשמש בהמשך, בקנה מידה נרחב, לאימון או לכוונון של מודל. שימוש חוזר כזה עלול להקשות על אנשים להבין מה נעשה במידע שלהם, לשלוט בו או לממש את זכויותיהם לאחר שהמידע כבר שולב בתהליך אימון גדול.

ההנחיות גם מחלקות אחריות בין הגורמים בשרשרת ה־AI. ספקי מודלים נותרים אחראים לעמידה בחובות לפי החוק להגנת מידע אישי (PDPA) בקשר לפיתוח ולפריסה של מודלים. מספקי מערכות מצופה לבחון את האבטחה ולתקשר את אמצעי ההגנה הרלוונטיים, ואילו מפעילי המערכות צריכים להגדיר את מטרות העיבוד, להבין את זרימת המידע ולבחון את הבקרות במערכות שהם מפעילים.

מתי נדרשת הודעה ייעודית על שימוש ב־AI?

כאשר ארגון מעוניין להשתמש ב“נתוני משתמש” (User Data) כדי לפתח מודל GenAI, ואין חריג רלוונטי לדרישת ההסכמה לפי ה־PDPA, עליו לקבל הסכמה באמצעות הודעה ייעודית על שימוש ב־AI. ההודעה צריכה להבהיר שמדובר בפיתוח מודל GenAI, ולא להסתמך על תיאורים כלליים כמו “שיפור השירות”, “התאמה אישית” או “שיפור המוצר”.

הדבר חשוב במיוחד כאשר המידע נמסר ישירות במסגרת מוצר או שירות קיים למטרה שאינה קשורה ל־GenAI, ולאחר מכן מבקשים לעשות בו שימוש חוזר לצורך פיתוח מודל. על הארגון לבחון את נסיבות האיסוף המקוריות, את המטרה החדשה והאם חל חריג כלשהו, לפני שיחליט כיצד לפעול.

מידע זמין לציבור הוא מקרה נפרד

החריג של מידע אישי הזמין לציבור לפי ה־PDPA עשוי לאפשר לארגונים לאסוף מידע אישי פומבי ללא הסכמה לצורך פיתוח מודל. עם זאת, לא כל מידע שניתן להגיע אליו דרך האינטרנט נחשב אוטומטית לזמין לציבור. מידע הנמצא מאחורי חומת תשלום, התחברות, הרשמה או מחסום דיגיטלי דומה מחייב בדיקה זהירה של השאלה אם הוא עדיין עומד בתנאי החריג.

מידע שעבר אנונימיזציה כראוי

מידע שעבר אנונימיזציה כראוי אינו נחשב מידע אישי לצורכי ה־PDPA, משום שלא ניתן לזהות באמצעותו אדם מסוים. מסמכי ה־PDPC מעודדים ארגונים להשתמש במידע אנונימי לניתוח ולמחקר, ככל שהדבר אפשרי.

עם זאת, הסרת השם בלבד אינה בהכרח מספיקה. אם ניתן לזהות אדם באמצעות הפרטים שנותרו או באמצעות שילובם עם מידע אחר שנגיש באופן סביר, ייתכן שהנתונים עדיין אינם אנונימיים באמת. לכן על הארגון לבדוק אם תהליך האנונימיזציה שלו אכן מונע זיהוי של אנשים.

ומה לגבי הקלטות במוקדי שירות?

החומרים שסופקו אינם קובעים חריג נפרד וגורף להקלטות של מוקדי שירות. הקלטה שמזהה מתקשר, או שניתן לזהותו באופן סביר, צריכה להיחשב מידע אישי לצורך בחינת השימוש החוזר בה ל־GenAI. לפני שימוש כזה בפיתוח מודל נדרש בסיס מתאים לפי ה־PDPA, כגון הסכמה תקפה, הודעה או חריג סטטוטורי אחר.

המקורות הזמינים אינם מספקים מספיק מידע כדי לקבוע כלל נוסף, ייחודי להקלטות מוקד שירות. היישום בפועל תלוי בתוכן ההקלטה, באופן שבו נאספה, בשימוש המתוכנן ב־GenAI ובחריגים האפשריים לפי ה־PDPA.

מה צריכה לכלול ההודעה הייעודית?

על ההודעה למסור לאנשים מידע ברור, ספציפי ומשמעותי. לפי ההנחיות שסופקו, עליה לכלול לכל הפחות:

• מטרת השימוש ב־AI: לציין שהמידע האישי ישמש לפיתוח או לשיפור של מודל GenAI.
• הסיבה לשימוש: להסביר לשם מה מפותח או משופר המודל.
• המידע המעורב: לתאר את קטגוריות המידע האישי שישמשו בתהליך.
• אופן השימוש: להסביר כיצד ישמש המידע, למשל לאימון או לכוונון של המודל, לפי העניין.
• האפשרות לבחור: להסביר כיצד ניתן לסרב להסכמה, לבטל אותה או להסיר את ההסכמה במקרים שבהם אפשרות כזו חלה.

מדיניות פרטיות כללית עדיין יכולה לספק מידע רקע מועיל, אך היא לא אמורה להיות הגילוי היחיד אם היא אינה מבהירה שהמידע עשוי לשמש לאימון או לשיפור של מודל בינה מלאכותית יוצרת. המבחן המרכזי הוא אם אדם סביר יכול להבין את מטרת השימוש החדשה.

היכן ניתן להציג את ההודעה?

החומרים שסופקו אינם קובעים תבנית חובה אחת או מיקום יחיד שמתאים לכל ארגון. גישה מעשית היא להציג את המידע במקום שבו הנתונים נאספים או שבו נעשה שימוש בשירות — למשל בעת פתיחת חשבון, בחלונית הסבר בזמן אמת בתוך המוצר, בהגדרות הפרטיות של החשבון או באמצעות קישור ברור למדיניות הפרטיות.

זו מסקנת יישום מעשית, ולא רשימה ממצה של מיקומים שנקבעו בדף העובדות של ה־PDPC. בכל פורמט שייבחר, הגילוי צריך להיות גלוי וספציפי, ולא להיקבר בתנאים כלליים שקשה למצוא ולהבין.

הסכמה, ביטול הסכמה וזכויות עיון

אנשים רשאים לבקש לעיין במידע האישי שלהם ולתקן אותו גם לאחר שנעשה בו שימוש בפיתוח GenAI. מצופה מארגונים לנהל את המידע כבר בשלבים המוקדמים באופן שמאפשר זאת, לבחון בקשות לפי נסיבותיהן ולאמץ אמצעים טכניים מתאימים — אף שמעקב אחר מידע בתוך מערך אימון גדול עשוי להיות מורכב.

כאשר ההסכמה היא הבסיס המשפטי לעיבוד, יש להסביר לאנשים כיצד לסרב לה או לבטל אותה. עם זאת, ביטול הסכמה אינו אומר אוטומטית שכל אדם זכאי להמשיך להשתמש בכל רכיבי השירות בדיוק באותם תנאים. השאלה אם ניתן להמשיך לספק את השירות המרכזי תלויה בתפקידו של אימון ה־GenAI, בנחיצות העיבוד ובעיצוב מנגנון ההסכמה של הארגון. המקורות שסופקו אינם קובעים זכות גורפת להמשך גישה מלאה לשירות לאחר כל ביטול הסכמה.

כרטיס המידע הוולונטרי לצ'אטבוטים

הנחיות השקיפות של ה־IMDA לצ'אטבוטים מבוססי GenAI נוקטות גישה הממוקדת במשתמש. הן מיועדות למפעילים של צ'אטבוטים הפונים מחוץ לארגון ללקוחות, לצרכנים או לציבור, ומטרתן לסייע למשתמשים לקבל החלטות מושכלות יותר, ליצור סטנדרט גילוי אחיד ולחזק את האחריות של הספקים להצהרותיהם בנוגע לבטיחות ולאמינות.

במרכז ההמלצה נמצא “כרטיס מידע לצ'אטבוט” — מסמך המזכיר בתפקידו תווית תזונתית או עלון תרופה. הוא יכול להיות עמוד מידע ייעודי או מסמך גילוי, כל עוד הוא מרכז במקום אחד, נגיש וברור, את המידע החשוב למשתמשים.

על הכרטיס להתבסס על שלושה עקרונות:

• רלוונטיות: לכלול את המידע שהמשתמשים צריכים כדי להחליט אם וכיצד להסתמך על הצ'אטבוט.
• נגישות: להשתמש בשפה ברורה ולהקל על מציאת המידע ועל הניווט בו.
• עיתוי: לפרסם את הכרטיס עם השקת הצ'אטבוט ולעדכן אותו כאשר שינויים מהותיים משפיעים על היכולות, הסיכונים או מדיניות הבטיחות.

מה צריך להסביר בכרטיס?

כרטיס שימושי צריך לכלול:

• את המטרה המיועדת של הצ'אטבוט, תפקידיו ויכולותיו;
• מגבלות חשובות, כולל מצבים שבהם יש לבדוק את התשובות או שבהם השימוש אינו מתאים;
• אמצעי אמינות ובטיחות;
• כיצד מטופלים קלטים של משתמשים, שיחות ונתונים אחרים; וכן
• ערוצים לתלונות, משוב ודיווח על אירועים.

הכרטיס אינו ערובה לכך שהצ'אטבוט מדויק או בטוח. הערך שלו הוא ביצירת בסיס ברור יותר להחלטה מתי להסתמך על הכלי, איזה מידע לשתף ולאן לפנות כשמשהו משתבש.

ה־IMDA התמקד בתחילה בצ'אטבוטים ציבוריים משום שהם חשופים לקהל רחב ומעוררים חששות בנושאים כמו פרטיות, בטיחות ילדים וסיכונים למשתמשים פגיעים מבחינה נפשית. המסגרת עשויה לשמש בעתיד גם נקודת ייחוס ליישומי GenAI אחרים ולהנחיות ייעודיות לענפים שונים.

כיצד חברות וגופים ציבוריים צפויים ליישם את ההנחיות?

Google, Meta, DBS, OCBC, Singapore Airlines ו־Synapxe מסרו כי ישתמשו בהנחיות הוולונטריות כנקודת ייחוס לשיפור השקיפות בצ'אטבוטים הפונים לציבור. מדובר בכוונה להתיישר עם המסגרת ולהמשיך להשתפר — לא בהוכחה שכל אחד מהגופים כבר השיק כרטיס מידע זהה.

בבנקים, הדגש צפוי להיות על הסבר של תפקודי הצ'אטבוטים ללקוחות, המגבלות ואמצעי ההגנה, לצד תהליכי ממשל AI וניהול סיכונים קיימים. DBS הצביעה על יוזמות ה־AI שלה מול לקוחות, ואילו OCBC קשרה את ההנחיות למערך הממשל וניהול הסיכונים הקיים שלה בתחום ה־AI.

Singapore Airlines מסרה כי תמשיך לבחון ולחזק את ממשל ה־AI ואת אמצעי ההגנה שלה ככל שתרחיב חוויות שירות המבוססות על AI. Google ו־Meta הביעו תמיכה במידע ברור ונגיש יותר על אופן פעולת מוצרי ה־AI שלהן ועל האופן שבו משתמשים מקיימים איתם אינטראקציה.

גם גופים ציבוריים צפויים להשתמש במסגרת כנקודת ייחוס: מועצת הספריות הלאומית של סינגפור (National Library Board) ומועצת קידום הבריאות (Health Promotion Board) מתכננות להביא אותה בחשבון בעת הפעלת צ'אטבוטים הפונים לציבור.

מה המשמעות המעשית?

הגישה של סינגפור משלבת דרישת גילוי ספציפית יותר לשימושים מסוימים במידע אישי לצורכי GenAI עם תקן שקיפות ציבורי וולונטרי לצ'אטבוטים. לכן חשוב להתייחס לשתי היוזמות כמשלימות, אך לא כתחליף זו לזו:

1. מיפוי הנתונים: לזהות איזה מידע אישי נכנס לתהליך פיתוח המודל או לצינור הנתונים של הצ'אטבוט, ולשם מה.
2. בדיקת הבסיס המשפטי: לקבוע אם נדרשת הסכמה או אם חל חריג לפי ה־PDPA.
3. הבהרת השימוש החוזר ב־GenAI: להשתמש בהודעה ייעודית על AI כאשר הדבר נדרש, ולא להסתמך על ניסוח כללי של “שיפור המוצר”.
4. היערכות לבקשות של משתמשים: לשמור מספיק מידע בשלבים המוקדמים כדי לבחון בקשות לעיון, תיקון וביטול הסכמה.
5. פרסום מידע על הצ'אטבוט: עבור צ'אטבוטים ציבוריים מבוססי GenAI, לספק כרטיס רלוונטי, נגיש ועדכני שמכסה יכולות, מגבלות, בטיחות, אמינות, נוהלי נתונים וערוצי דיווח.

התוצאה אינה הבטחה כללית שמשתמשים יוכלו לעצור כל שימוש הקשור ל־AI במידע שלהם. מדובר במהלך שנועד להפוך את השימוש החוזר בנתונים לשקוף יותר, את ניהול המידע למכוון יותר ואת ה־AI הפונה לציבור לאחראי יותר.