סינגפור מחדדת את כללי ה-AI: מה חברות חייבות לספר למשתמשים על אימון מודלים

מה צריכה לכלול הודעה ייעודית ל-AI?

לפי הגישה של ה-PDPC, הודעה טובה צריכה לאפשר לאנשים להבין לא רק את המוצר שהם משתמשים בו, אלא גם מה קורה לנתונים שלהם מאחורי הקלעים. היא אמורה להסביר:

• מה המודל עושה ולשם מה הוא מפותח;
• אילו קטגוריות של מידע אישי משמשות, למשל פרטי קשר, מידע על עסקאות או מיקום, סרטונים והקלטות קול;
• כיצד המידע תורם למודל, ולא רק לציין שהוא "מעובד";
• כיצד ניתן לסרב לשימוש או לחזור מהסכמה, באמצעות הוראות ברורות, מעשיות ונגישות.

הדגש של הרשות הוא על שקיפות בזמן שבו המשתמש מקבל החלטה — ולא על משפט שמוטמן בתחתית מדיניות פרטיות ארוכה. בין הפורמטים שהוצעו: הודעה בולטת בתוך המוצר או עמוד אינטרנט ייעודי.

דוגמה: הקלטות קול למערכת המרת טקסט לדיבור

חברה שמפתחת מערכת המרת טקסט לדיבור יכולה להסביר שהיא משתמשת בהקלטות הקול של לקוחותיה כדי לאמן את המודל, ושההקלטות מסייעות למערכת לזהות דפוסי דיבור. זהו הסבר ברור בהרבה מהצהרה כללית שלפיה הנתונים משמשים ל"שיפור המוצר".

הודעה אינה הסכמה

זו ההבחנה המשפטית החשובה ביותר: לספר לאדם מה עומד לקרות למידע שלו אינו אותו דבר כמו לקבל בסיס חוקי לשימוש בו.

לפי המסגרת הכללית של ה-PDPA, ארגונים נדרשים בדרך כלל להודיע לאנשים לאיזו מטרה נאסף המידע ולקבל את הסכמתם, אלא אם חל חריג בחוק.

ההנחיות הסופיות מבהירות מה צריכה לכלול ההודעה כאשר הסכמה אכן נדרשת: על החברה להתייחס במפורש לשימוש המתוכנן בפיתוח מודל AI. עם זאת, אין פירוש הדבר שכל שימוש במידע אישי לאימון AI מחייב תמיד הסכמה מפורשת וחיובית. התשובה תלויה, בין היתר, בחריג הרלוונטי לפי ה-PDPA — כולל הכללים הנוגעים למידע שזמין לציבור.

מבחינה מעשית, חברות צריכות לתעד בנפרד את הבסיס המשפטי לכל מאגר אימון. הודעה ברורה אינה מחליפה הסכמה כאשר החוק דורש אותה, והסכמה אינה יכולה להישען על ניסוח כללי מדי מכדי לתאר את השימוש האמיתי ב-AI.

שלוש שאלות שהטיוטה הותירה פתוחות

הטיוטה שפורסמה בשלב ההתייעצות הציבורית עוררה תשומת לב משום שהותירה כמה שאלות תפעוליות ומשפטיות ללא תשובה ברורה.

האם תמיד נדרשת הסכמה מפורשת?

הטיוטה לא קבעה באופן חד-משמעי שהסכמה חיובית ומפורשת נדרשת בכל תרחיש של אימון מודל AI יוצרת. היא העלתה שאלות לגבי המקרים שבהם ניתן להסתפק במנגנון של סירוב או יציאה, ומתי אפשר להסתמך על חריג קיים בחוק ה-PDPA.

ההנחיות הסופיות מדגישות את חשיבות הבסיס המשפטי ואת ההבחנה בין הסכמה לחריגים. לכן חברות לא צריכות להציג הודעה ייעודית ל-AI כתחליף אוניברסלי להסכמה.

האם אנונימיזציה פותרת את הבעיה?

הטיוטה לא הבהירה אם הציפייה להודעה ייעודית חלה גם כאשר המידע עבר אנונימיזציה לפני האימון. זו שאלה משמעותית, משום שהניתוח עשוי להשתנות בהתאם לשאלה אם ניתן עדיין לקשר את המידע לאדם מזוהה, וכן בהתאם לאופן שבו בוצעה האנונימיזציה ולתיעוד שלה.

המידע הזמין אינו תומך בהנחה שאנונימיזציה היא פתרון אוטומטי לכל מאגר. על חברות לבחון את הנתונים ואת שיטת העיבוד בפועל, ולא להסתפק בתיוג של מאגר כ"אנונימי".

האם אפשר למנוע שירות ממי שמסרב?

שאלה נוספת היא אם בנקים, חברות ביטוח, פלטפורמות וספקי שירותים אחרים יוכלו לסרב לספק שירות — או להפוך אותו ללא זמין — כאשר אדם אינו מסכים להשתמש בנתוניו לאימון AI.

כאן מתגלה הפער בין בחירה רשמית לבין בחירה אמיתית: אפשר להציע למשתמש כפתור "סירוב", אך אם הסירוב כרוך במחיר משמעותי או באובדן השירות, הבחירה עלולה להיות מוגבלת מאוד.

החובה לשפר את השקיפות מסייעת לאנשים להבין מה נעשה בנתונים שלהם, אך כשלעצמה אינה פותרת את כל שאלות ההוגנות, הגישה לשירותים ומאזן הכוחות בין הצרכנים לספקים.

הדיון רחב יותר מאימון מודלים

העיסוק של ה-PDPC ב-AI יוצרת משתלב בדאגה רחבה יותר למוצרים שאוספים מידע בדרכים שמשתמשים או עוברי אורח עלולים שלא להבחין בהן. במסגרת סדרי העדיפויות שיוחסו לנציבת ה-PDPC, דניז וונג, הוזכרו גם משקפיים חכמים, שעונים חכמים ומערכות תשלום הסורקות את כף היד.

מכשירים כאלה עשויים להתמודד עם מידע רגיש, כולל מאפייני פנים, טביעות אצבע, קול ודפוסים של כלי דם בכף היד. הסיכונים שדווחו כוללים צילום סמוי, חשיפה או שימוש לרעה במידע ביומטרי, וכן שימוש במשקפיים חכמים לצילום חומרי בחינות או מידע אחר כדי להקל על רמאות.

משרד הפיתוח הדיגיטלי והמידע של סינגפור התייחס גם לשאלות הנוגעות לסימנים חזותיים במשקפיים חכמים ולאיסוף מידע ביומטרי או סביבתי מאנשים שנמצאים בקרבת המשתמש ואינם משתמשים במכשיר.

הסוגיה הבסיסית היא מודעות משמעותית. נורית הקלטה קטנה או מדיניות שימוש שמסתתרת במסמכים אינן בהכרח מספקות לעוברי אורח הזדמנות מציאותית להבין מה מתרחש — או לבחור שלא להשתתף בכך.

מה חברות צריכות לעשות עכשיו?

ארגונים שמפתחים או מפעילים מערכות AI יוצרת בסינגפור יכולים להתייחס להנחיות כאל רשימת בדיקה לממשל נתונים:

1. למפות כל מאגר לתרחיש שימוש מוגדר. יש לזהות אם הנתונים משמשים לאימון, לכוונון, לבדיקה, לניטור או למטרה אחרת.
2. לבחור ולתעד את הבסיס לפי ה-PDPA. יש לרשום אם נדרשת הסכמה או אם מסתמכים על חריג חוקי.
3. לנסח מחדש הודעות כלליות. כאשר זו המטרה, יש לציין בפשטות שהמידע האישי ישמש לפיתוח או לשיפור של מודל בינה מלאכותית יוצרת.
4. להסביר את קטגוריות המידע ואת תפקיד המודל. אנשים צריכים להבין איזה מידע משמש ומה הוא מסייע למודל לעשות.
5. להפוך את הבחירה לשימושית. יש להסביר כיצד לסרב או לחזור מהסכמה, ולתעד את אופן הטיפול בבקשות.
6. לבחון מכשירים מחוברים בנפרד. משקפיים חכמים, מכשירים לבישים, מצלמות ומערכות ביומטריות עלולים ליצור שאלות הנוגעות להודעה ולהסכמה גם ביחס לאנשים שאינם המשתמשים הישירים.

השינוי של סינגפור אינו מתמקד באיסור גורף על שימוש במידע אישי בבינה מלאכותית יוצרת. הוא מבקש להפוך את השימוש הזה לגלוי, ספציפי ומבוסס על מסגרת משפטית מזוהה. ההנחיות הסופיות מצמצמות את הפער בין מדיניות פרטיות מסורתית לבין תהליכי פיתוח AI מודרניים — אך שאלות כמו בחירה אמיתית וטיפול במידע רגיש או במידע שנקלט בעקיפין עדיין נמצאות בלב הדיון.