सिंगापुर के 2026 GenAI नियम: कंपनियों और यूज़र्स के लिए क्या बदलेगा?

20 जुलाई 2026 को सिंगापुर ने GenAI से जुड़े दो अलग लेकिन एक-दूसरे के पूरक कदम पेश किए। Personal Data Protection Commission (PDPC) ने GenAI मॉडल और systems में personal data के इस्तेमाल पर guidance जारी की। इसमें उन मामलों के लिए स्पष्ट AI-specific notification की जरूरत बताई गई है, जहाँ consent आवश्यक हो। दूसरी ओर, Infocomm Media Development Authority (IMDA) ने आम लोगों से सीधे संवाद करने वाले GenAI chatbots के लिए voluntary transparency guidance जारी की, जिसका केंद्र plain-language “Chatbot Info Card” है।

दोनों पहलों में फर्क समझना जरूरी है: PDPC की guidance संगठनों द्वारा personal data के इस्तेमाल से जुड़ी है, जबकि IMDA का framework public-facing chatbots को अपनी क्षमताओं, सीमाओं, जोखिमों और data practices के बारे में यूज़र्स को जानकारी देने पर केंद्रित है।

आसान भाषा में मुख्य बात

अगर किसी व्यक्ति का data पहले किसी transaction, account, customer-support interaction या दूसरी service के लिए लिया गया था और बाद में उसे GenAI मॉडल को train या improve करने के लिए इस्तेमाल किया जाना है, तो “हम data का इस्तेमाल product improvement के लिए कर सकते हैं” जैसी सामान्य privacy भाषा आम तौर पर पर्याप्त नहीं होगी—जब consent जरूरी हो। संगठन को साफ तौर पर बताना होगा कि data का इस्तेमाल GenAI मॉडल के development या improvement के लिए किया जाएगा और व्यक्ति के पास कौन-से विकल्प हैं।

IMDA की chatbot guidance अलग है। यह voluntary है और उन external-facing GenAI chatbots पर लागू होती है जो customers, consumers या आम जनता से सीधे बातचीत करते हैं। इसका सुझाव है कि यूज़र के लिए एक ऐसी जगह हो जहाँ वे आसानी से समझ सकें कि chatbot क्या कर सकता है, कहाँ गलत हो सकता है, उसे सुरक्षित रखने के लिए क्या उपाय किए गए हैं, data कैसे संभाला जाता है और समस्या होने पर शिकायत कहाँ की जा सकती है।

PDPC की guidance में क्या शामिल है?

PDPC की guidance GenAI lifecycle के अलग-अलग चरणों में personal data को कवर करती है। इसमें web-scraped information, किसी सामान्य service के दौरान यूज़र द्वारा दिया गया data जिसे बाद में मॉडल सुधारने के लिए reuse किया जाता है, model deployment, security, data retention और access या correction requests का जवाब देना शामिल हो सकता है।

मुख्य privacy challenge purpose change है। किसी transaction, account, support interaction या service के लिए दिया गया data बाद में बड़े पैमाने पर model training या fine-tuning में इस्तेमाल किया जा सकता है। इससे लोगों के लिए यह समझना कठिन हो सकता है कि उनका data किस तरह reuse हुआ, वे उस पर कितना नियंत्रण रखते हैं और बड़े training dataset में शामिल होने के बाद अपने अधिकारों का इस्तेमाल कैसे करें।

Guidance AI supply chain में जिम्मेदारियों को भी अलग-अलग करती है:

• Model providers को model development और deployment से जुड़े PDPA दायित्वों का पालन करना होगा।
• System providers को security पर विचार करना और संबंधित safeguards के बारे में जानकारी देना चाहिए।
• System deployers को processing का उद्देश्य तय करना, data flows समझना और अपने इस्तेमाल में लाए गए systems के controls की समीक्षा करनी चाहिए।

AI-specific notification कब जरूरी है?

जब कोई संगठन “User Data” का इस्तेमाल GenAI मॉडल विकसित करने के लिए करना चाहता है और PDPA के तहत consent से जुड़ा कोई exception लागू नहीं होता, तब उसे AI-specific notification के जरिए consent लेना होगा। इस notification में GenAI के इस्तेमाल को साफ तौर पर बताया जाना चाहिए। “Service enhancement”, “personalisation” या “product improvement” जैसे व्यापक शब्द इसका विकल्प नहीं हैं।

यह स्थिति खास तौर पर तब महत्वपूर्ण है जब data किसी मौजूदा product या service के जरिए गैर-GenAI उद्देश्य से सीधे यूज़र से लिया गया हो और बाद में model development के लिए इस्तेमाल किया जाना हो। संगठन को मूल collection context, नए उद्देश्य और संभावित exception का आकलन करके आगे बढ़ना होगा।

Publicly available data का मामला अलग है

PDPA के publicly available-data exception के तहत कुछ परिस्थितियों में संगठन बिना consent के सार्वजनिक रूप से उपलब्ध personal data को model development के लिए collect कर सकते हैं। लेकिन इंटरनेट पर दिखाई देने वाला हर data अपने-आप इस श्रेणी में नहीं आ जाता। Paywall, login, registration requirement या किसी समान digital barrier के पीछे मौजूद information के लिए यह सावधानी से तय करना होगा कि वह इस उद्देश्य के लिए वास्तव में publicly available है या नहीं।

Properly anonymised data

Properly anonymised data PDPA के तहत personal data नहीं माना जाता, क्योंकि उससे किसी व्यक्ति की पहचान नहीं की जा सकती। PDPC analytics और research के लिए, जहाँ संभव हो, anonymised data इस्तेमाल करने को प्रोत्साहित करता है।

हालाँकि, केवल नाम हटा देना पर्याप्त नहीं हो सकता। यदि बचे हुए data या अन्य reasonably available information को मिलाकर व्यक्ति की पहचान की जा सकती है, तो dataset वास्तव में anonymous नहीं माना जा सकता। इसलिए संस्थाओं को अपनी anonymisation प्रक्रिया का आकलन करना होगा।

Call-centre recordings पर क्या नियम है?

उपलब्ध स्रोत call-centre recordings के लिए कोई अलग, स्पष्ट categorical exception स्थापित नहीं करते। जो recording किसी caller की पहचान करती है या reasonably identify कर सकती है, उसे GenAI reuse का आकलन करते समय personal data माना जाना चाहिए। Model development के लिए इस्तेमाल से पहले संगठन को valid consent, notification या किसी अन्य statutory exception जैसे लागू PDPA आधार की जरूरत होगी।

उपलब्ध सामग्री के आधार पर call recordings के लिए कोई अतिरिक्त विशेष नियम बताना संभव नहीं है। सही implementation recording की सामग्री, collection का तरीका, प्रस्तावित GenAI use और लागू PDPA exception पर निर्भर करेगी।

AI-specific notification में क्या लिखा होना चाहिए?

Notification meaningful और specific होना चाहिए। उपलब्ध guidance के आधार पर इसमें कम-से-कम ये बातें शामिल होनी चाहिए:

• AI का उद्देश्य: साफ बताएं कि personal data का इस्तेमाल GenAI मॉडल विकसित या बेहतर करने के लिए होगा।
• इस्तेमाल का कारण: model development या improvement का उद्देश्य समझाएं।
• Data का प्रकार: इस्तेमाल होने वाले personal data की श्रेणियां बताएं।
• इस्तेमाल का तरीका: जरूरत के अनुसार समझाएं कि data training, fine-tuning या किसी अन्य प्रक्रिया में कैसे इस्तेमाल होगा।
• यूज़र का विकल्प: consent से इनकार या उसे वापस लेने का तरीका बताएं; जहाँ लागू हो, opt out की प्रक्रिया भी स्पष्ट करें।

Generic privacy policy उपयोगी background information दे सकती है, लेकिन यदि उसमें GenAI training का उद्देश्य अस्पष्ट है तो वह अकेली पर्याप्त नहीं होगी। मूल कसौटी यह है कि एक सामान्य व्यक्ति समझ सके कि उसका personal data generative-AI मॉडल विकसित या बेहतर करने में इस्तेमाल हो सकता है।

Notification कहाँ दिखाई जा सकती है?

उपलब्ध सामग्री हर संगठन के लिए कोई एक अनिवार्य format या location तय नहीं करती। व्यावहारिक तौर पर notification वहीं दिखाई जा सकती है जहाँ संबंधित data collect किया जाता है या service इस्तेमाल होती है—जैसे onboarding के दौरान, product में just-in-time prompt के रूप में, account privacy controls में या स्पष्ट रूप से linked privacy notice में।

यह placement advice implementation inference है, PDPC factsheet में दी गई exhaustive सूची नहीं। किसी भी format में notice स्पष्ट, दिखाई देने योग्य और specific होना चाहिए; उसे मुश्किल से मिलने वाली लंबी terms में छिपाना उचित नहीं होगा।

Consent, withdrawal और access rights

GenAI development में data इस्तेमाल हो जाने के बाद भी लोग अपने personal data तक access और उसमें correction का अनुरोध कर सकते हैं। संगठनों से sensible upstream data practices अपनाने, requests का case-by-case आकलन करने और उचित technical measures लागू करने की अपेक्षा की जाती है। बड़े training dataset में data को trace करना कठिन हो सकता है, फिर भी यह जिम्मेदारी खत्म नहीं होती।

जहाँ consent legal basis है, वहाँ व्यक्ति को consent से इनकार या उसे वापस लेने का तरीका बताया जाना चाहिए। हालांकि opt out करने के बाद हर व्यक्ति को service के हर हिस्से तक पहले जैसी शर्तों पर access मिलता रहे—ऐसा कोई blanket right उपलब्ध स्रोतों में स्थापित नहीं है। Core service जारी रहेगी या नहीं, यह इस बात पर निर्भर करेगा कि GenAI training उस service के लिए कितनी जरूरी है और संगठन ने consent design कैसे तैयार किया है।

IMDA का voluntary Chatbot Info Card क्या है?

IMDA की Transparency Guidelines for Generative AI Chatbots consumer-facing दृष्टिकोण अपनाती हैं। ये external-facing GenAI chatbots deploy करने वाली संस्थाओं के लिए हैं और इनका उद्देश्य यूज़र्स को अधिक informed decisions लेने में मदद करना, disclosures को standardise करना और providers को उनकी घोषित safety तथा reliability practices के लिए अधिक accountable बनाना है।

इस framework का केंद्र Chatbot Info Card है, जिसकी तुलना nutrition label या medicine label से की गई है। यह dedicated information page या disclosure document हो सकता है, बशर्ते यूज़र को जरूरी जानकारी एक consolidated और आसानी से उपलब्ध जगह पर मिल जाए।

Card को तीन सिद्धांतों पर आधारित होना चाहिए:

• Relevant: इसमें वह जानकारी हो जिससे यूज़र तय कर सके कि chatbot पर कब और किस हद तक भरोसा करना है।
• Accessible: भाषा सरल हो और जानकारी आसानी से खोजी व समझी जा सके।
• Timely: chatbot उपलब्ध होते समय card प्रकाशित हो और उसकी capabilities, risks या safety policies में महत्वपूर्ण बदलाव होने पर update किया जाए।

Card में कौन-सी जानकारी होनी चाहिए?

एक उपयोगी Chatbot Info Card में ये बातें शामिल होनी चाहिए:

• chatbot का intended purpose, functions और capabilities;
• महत्वपूर्ण limitations, जिनमें वे परिस्थितियां भी शामिल हों जहाँ output को verify करना जरूरी है या chatbot का इस्तेमाल उचित नहीं है;
• reliability और safety measures;
• user inputs, conversations और अन्य data को संभालने का तरीका; तथा
• complaints, feedback और incident reporting के channels।

यह card chatbot की accuracy या safety की guarantee नहीं है। इसका फायदा यह है कि यूज़र बेहतर तरीके से तय कर सकते हैं कि tool पर कब भरोसा करना है, कौन-सी जानकारी साझा करनी है और कुछ गलत होने पर मदद या शिकायत कहाँ दर्ज करनी है।

IMDA ने शुरुआत में public chatbots पर ध्यान दिया है क्योंकि इनका consumer exposure व्यापक है और privacy, child safety तथा mentally vulnerable users से जुड़े जोखिम हो सकते हैं। आगे चलकर यह framework अन्य GenAI applications और sector-specific guidance के लिए reference बन सकता है।

कंपनियां और public agencies इसे कैसे अपनाएंगी?

Google, Meta, DBS, OCBC, Singapore Airlines और Synapxe ने संकेत दिया है कि वे public-facing chatbots में transparency practices बेहतर करने के लिए voluntary guidance को reference के रूप में इस्तेमाल करेंगे। इसका अर्थ planned alignment और ongoing improvement है—यह प्रमाण नहीं कि हर संगठन ने पहले से एक जैसा information card लागू कर दिया है।

बैंकों के लिए focus customer-facing functions, limitations और safeguards को मौजूदा AI-governance तथा risk-management processes के साथ समझाने पर हो सकता है। DBS ने अपने customer-facing AI initiatives का उल्लेख किया, जबकि OCBC ने guidance को अपनी स्थापित AI governance और risk management से जोड़ा।

Singapore Airlines ने कहा है कि AI-enabled customer experiences बढ़ाते हुए वह AI governance और safeguards की समीक्षा तथा मजबूती जारी रखेगी। Google और Meta ने भी अपने AI products के काम करने और यूज़र्स के साथ interaction के बारे में अधिक स्पष्ट और accessible जानकारी देने के समर्थन की बात कही है।

Public agencies भी इस framework को reference के रूप में इस्तेमाल करेंगी। National Library Board और Health Promotion Board ने अपने public-facing chatbots के लिए इसे ध्यान में रखने की योजना बताई है।

संगठनों के लिए व्यावहारिक checklist

सिंगापुर का approach GenAI data use के लिए अधिक specific privacy disclosure और public chatbots के लिए voluntary transparency standard—दोनों को साथ लाता है। इसलिए संगठनों को इन दोनों उपायों को complementary मानना चाहिए, एक-दूसरे का विकल्प नहीं:

1. Data map करें: पहचानें कि कौन-सा personal data model development या chatbot pipeline में जा रहा है और क्यों।
2. Legal basis जांचें: तय करें कि consent जरूरी है या PDPA का कोई exception लागू होता है।
3. GenAI reuse स्पष्ट करें: जहाँ आवश्यक हो, generic product-improvement wording के बजाय AI-specific notification दें।
4. Rights requests की तैयारी रखें: access, correction और withdrawal requests का आकलन करने के लिए पर्याप्त upstream information सुरक्षित रखें।
5. Chatbot information प्रकाशित करें: public-facing GenAI chatbot के लिए capabilities, limitations, safety, reliability, data practices और reporting channels को कवर करने वाला relevant, accessible और timely card उपलब्ध कराएं।

इन उपायों का मतलब यह नहीं है कि यूज़र हर तरह के AI-related data use को हमेशा रोक सकेंगे। व्यापक दिशा अधिक स्पष्ट disclosure, जिम्मेदार data governance और public-facing AI के लिए बेहतर accountability की ओर है।