सिंगापुर के AI डेटा नियम: GenAI ट्रेनिंग के लिए कंपनियों को यूज़र्स को क्या बताना होगा?

सिंगापुर में जनरेटिव AI यानी GenAI मॉडल बनाने और बेहतर करने के लिए व्यक्तिगत डेटा के इस्तेमाल पर बहस अब केवल परामर्श के चरण तक सीमित नहीं है। Personal Data Protection Commission (PDPC), यानी सिंगापुर का डेटा सुरक्षा नियामक, ने 20 जुलाई 2026 को इस विषय पर अंतिम Advisory Guidelines जारी कीं।

इन गाइडलाइन का मुख्य संदेश सीधा है: जब किसी कंपनी को बड़े पैमाने पर AI मॉडल की ट्रेनिंग या फाइन-ट्यूनिंग के लिए सहमति चाहिए, तो वह केवल अस्पष्ट प्राइवेसी भाषा पर निर्भर नहीं कर सकती।

संक्षिप्त जवाब

अगर कोई संगठन व्यक्तिगत डेटा का इस्तेमाल जनरेटिव-AI मॉडल विकसित करने या उसमें सुधार करने के लिए करता है और इसके लिए सहमति आवश्यक है, तो उसके नोटिस में इस AI-विशिष्ट उद्देश्य का सीधे उल्लेख होना चाहिए। डेटा का इस्तेमाल ‘नए प्रोडक्ट के विकास’ जैसे सामान्य उद्देश्य के लिए किया जा सकता है—ऐसा लिखना पर्याप्त नहीं माना जाएगा।

हालांकि, यह गाइडलाइन AI ट्रेनिंग पर अलग से पूर्ण प्रतिबंध नहीं लगाती। यह सिंगापुर के Personal Data Protection Act (PDPA) के ढांचे के भीतर काम करती है। PDPA में कुछ अपवाद भी हैं, जिनके तहत कुछ परिस्थितियों में सहमति के बिना डेटा का इस्तेमाल किया जा सकता है। इनमें AI विकास के लिए इस्तेमाल किए जाने वाले कुछ सार्वजनिक रूप से उपलब्ध व्यक्तिगत डेटा का मामला भी शामिल है।

AI-विशिष्ट नोटिस में क्या बताया जाना चाहिए?

एक प्रभावी नोटिस लोगों को केवल यह नहीं बताए कि डेटा ‘प्रोसेस’ किया जा रहा है, बल्कि उन्हें पूरे डेटा-फ्लो को समझने लायक जानकारी दे। प्रस्तावित दृष्टिकोण के अनुसार, संगठनों को इन बातों की जानकारी देनी चाहिए:

• मॉडल क्या करता है और उसे क्यों विकसित किया जा रहा है
• व्यक्तिगत डेटा की कौन-कौन सी श्रेणियां इस्तेमाल होंगी, जैसे संपर्क विवरण, लेन-देन या लोकेशन की जानकारी, वीडियो या वॉयस रिकॉर्डिंग
• डेटा मॉडल में किस तरह योगदान देता है, न कि केवल यह कि उसे प्रोसेस किया जा रहा है
• ऑप्ट-आउट करने या सहमति वापस लेने का तरीका, जिसे व्यावहारिक और आसानी से उपलब्ध निर्देशों के साथ समझाया जाए

PDPC की चिंता केवल पारदर्शिता दिखाने तक सीमित नहीं है। नोटिस उस समय समझ में आना चाहिए जब व्यक्ति अपने डेटा के इस्तेमाल को लेकर फैसला कर रहा हो। इसलिए लंबे प्राइवेसी पॉलिसी दस्तावेज में छिपी एक पंक्ति के बजाय प्रमुख इन-प्रोडक्ट नोटिस या अलग वेबपेज जैसे प्रारूप सुझाए गए हैं।

उदाहरण: टेक्स्ट-टू-स्पीच के लिए वॉयस डेटा

मान लीजिए कोई कंपनी टेक्स्ट-टू-स्पीच सुविधा विकसित कर रही है। उसे यह स्पष्ट करना चाहिए कि ग्राहकों की वॉयस रिकॉर्डिंग का इस्तेमाल मॉडल को ट्रेन करने के लिए किया जाएगा और इन रिकॉर्डिंग से सिस्टम को बोलने के पैटर्न पहचानने में मदद मिलेगी। यह बताना केवल इतना लिखने से कहीं अधिक स्पष्ट है कि डेटा का इस्तेमाल ‘प्रोडक्ट सुधारने’ के लिए किया जाएगा।

नोटिफिकेशन और सहमति एक ही चीज नहीं हैं

अनुपालन के लिहाज से सबसे जरूरी अंतर यह है कि किसी व्यक्ति को डेटा के इस्तेमाल के बारे में बताना और उस इस्तेमाल के लिए वैध आधार स्थापित करना अलग-अलग बातें हैं। PDPA के सामान्य ढांचे के तहत, संगठनों को आम तौर पर व्यक्ति को उद्देश्य बताकर उसकी सहमति लेनी होती है, जब तक कि कोई कानूनी अपवाद लागू न हो।

अंतिम गाइडलाइन यह स्पष्ट करती है कि जहां सहमति आवश्यक है, वहां नोटिस की सामग्री में AI मॉडल के विकास के उद्देश्य का स्पष्ट उल्लेख होना चाहिए। इसका अर्थ यह नहीं है कि AI ट्रेनिंग के लिए व्यक्तिगत डेटा का हर इस्तेमाल स्वतः स्पष्ट, सक्रिय सहमति की मांग करेगा। यह इस बात पर निर्भर कर सकता है कि PDPA का कौन-सा अपवाद लागू होता है—मसलन, सार्वजनिक रूप से उपलब्ध जानकारी से जुड़े नियम।

व्यवसायों के लिए व्यावहारिक सीख यह है कि हर ट्रेनिंग डेटासेट के लिए कानूनी आधार अलग से दर्ज किया जाए। स्पष्ट नोटिस वहां सहमति का विकल्प नहीं बन सकता जहां सहमति लेना जरूरी है। वहीं, ऐसी भाषा से भी सहमति नहीं मानी जानी चाहिए जो वास्तविक AI इस्तेमाल को पर्याप्त रूप से स्पष्ट ही न करती हो।

मसौदा प्रस्ताव से जुड़े अहम सवाल

परामर्श के चरण में जारी मसौदे ने काफी ध्यान आकर्षित किया, क्योंकि शुरुआती नोटिफिकेशन आवश्यकता से जुड़े कई व्यावहारिक सवालों के जवाब स्पष्ट नहीं थे।

क्या हर मामले में स्पष्ट सहमति जरूरी है?

मसौदे में यह साफ तौर पर नहीं कहा गया था कि GenAI ट्रेनिंग के हर मामले में सक्रिय और स्पष्ट सहमति अनिवार्य होगी। इससे यह सवाल उठा कि किन परिस्थितियों में ऑप्ट-आउट व्यवस्था स्वीकार्य हो सकती है और कब PDPA का कोई मौजूदा अपवाद लागू होगा।

अंतिम गाइडलाइन में सहमति और अपवादों के बीच संबंध को स्पष्ट करने से कानूनी आधार का महत्व और बढ़ गया है। संगठनों को AI-विशिष्ट नोटिस को सहमति का सार्वभौमिक विकल्प मानने से बचना चाहिए।

क्या अनाम किए गए डेटा पर AI-विशिष्ट नोटिस लागू होगा?

मसौदे में यह भी पूरी तरह स्पष्ट नहीं था कि ट्रेनिंग से पहले डेटा को anonymise यानी इस तरह अनाम करने पर विशेष नोटिफिकेशन अपेक्षा लागू होगी या नहीं कि उसे किसी पहचाने जा सकने वाले व्यक्ति से जोड़ना कठिन हो जाए।

यह सवाल महत्वपूर्ण है, क्योंकि प्राइवेसी विश्लेषण इस बात पर निर्भर कर सकता है कि जानकारी को किसी व्यक्ति से दोबारा जोड़ा जा सकता है या नहीं और कंपनी ने अनामीकरण की प्रक्रिया को कैसे किया और दर्ज किया है। उपलब्ध रिपोर्टिंग से यह निष्कर्ष नहीं निकलता कि हर डेटासेट के लिए ‘अनाम’ लेबल लगाना अपने-आप पर्याप्त उत्तर है। कंपनियों को डेटा और प्रोसेसिंग पद्धति का अलग-अलग आकलन करना होगा।

क्या इनकार करने वाले ग्राहक को सेवा से वंचित किया जा सकता है?

एक अन्य अनसुलझा प्रश्न यह था कि अगर कोई व्यक्ति अपने डेटा के AI ट्रेनिंग में इस्तेमाल से इनकार करे, तो क्या बैंक, बीमा कंपनी, डिजिटल प्लेटफॉर्म या कोई अन्य सेवा प्रदाता उसे सेवा देने से मना कर सकता है या सेवा अनुपलब्ध बना सकता है।

यहीं औपचारिक विकल्प और वास्तविक विकल्प के बीच अंतर सामने आता है। कागज पर ऑप्ट-आउट उपलब्ध हो सकता है, लेकिन अगर इनकार करने की कीमत किसी महत्वपूर्ण सेवा तक पहुंच खोना है, तो व्यक्ति की पसंद कितनी स्वतंत्र है—यह सवाल बना रहता है।

नोटिफिकेशन से पारदर्शिता बढ़ती है, लेकिन इससे अपने-आप निष्पक्षता, सेवा तक पहुंच या ग्राहक और प्रदाता के बीच शक्ति-संतुलन से जुड़े सभी सवालों का जवाब नहीं मिलता।

AI-सक्षम डिवाइस भी इसी व्यापक प्राइवेसी बहस का हिस्सा हैं

PDPC का GenAI पर ध्यान उन उत्पादों को लेकर व्यापक चिंता का हिस्सा है जो लोगों की जानकारी के बिना या उनकी नजर से बचकर डेटा एकत्र कर सकते हैं। PDPC Commissioner Denise Wong की प्राथमिकताओं पर हुई रिपोर्टिंग में स्मार्ट ग्लासेज, स्मार्टवॉच और हथेली स्कैन करने वाली भुगतान प्रणालियों जैसे उपकरणों का उल्लेख किया गया है।

इन उत्पादों में चेहरे की विशेषताएं, फिंगरप्रिंट, वॉयस डेटा और हथेली की नसों के पैटर्न जैसी संवेदनशील जानकारी शामिल हो सकती है। रिपोर्ट किए गए जोखिमों में गुप्त रिकॉर्डिंग, बायोमेट्रिक जानकारी का लीक होना या दुरुपयोग और स्मार्ट ग्लासेज के जरिए परीक्षा सामग्री या अन्य जानकारी रिकॉर्ड कर नकल में मदद करना शामिल है।

सिंगापुर के Ministry of Digital Development and Information ने स्मार्ट ग्लासेज के विजुअल रिकॉर्डिंग संकेतों और आसपास मौजूद उन लोगों के बायोमेट्रिक या पर्यावरणीय डेटा के संग्रह से जुड़े सवालों पर भी जवाब दिया है, जो खुद उस डिवाइस का इस्तेमाल नहीं कर रहे हैं।

मूल मुद्दा ‘सार्थक जागरूकता’ का है। डिवाइस पर लगी छोटी रिकॉर्डिंग लाइट या दस्तावेजों में छिपी डिवाइस पॉलिसी आसपास के लोगों को यह समझने और निर्णय लेने का वास्तविक अवसर नहीं दे सकती कि उनके साथ क्या हो रहा है।

संगठनों को अब क्या करना चाहिए?

सिंगापुर में GenAI सिस्टम विकसित या लागू करने वाली टीमों को इन गाइडलाइन को डेटा-गवर्नेंस चेकलिस्ट की तरह देखना चाहिए:

1. हर डेटासेट को एक खास AI उपयोग से जोड़ें। तय करें कि डेटा का इस्तेमाल ट्रेनिंग, फाइन-ट्यूनिंग, टेस्टिंग, मॉनिटरिंग या किसी अन्य उद्देश्य के लिए हो रहा है।
2. PDPA के कानूनी आधार का चुनाव और दस्तावेजीकरण करें। दर्ज करें कि सहमति आवश्यक है या किसी वैधानिक अपवाद पर भरोसा किया जा रहा है।
3. सामान्य नोटिस को दोबारा लिखें। जहां उद्देश्य यही है, वहां साफ शब्दों में बताएं कि व्यक्तिगत डेटा का इस्तेमाल जनरेटिव-AI मॉडल विकसित करने या बेहतर बनाने के लिए किया जाएगा।
4. डेटा की श्रेणियों और मॉडल के कामकाज का वर्णन करें। लोगों को समझ आना चाहिए कि कौन-सी जानकारी इस्तेमाल हो रही है और मॉडल को उससे क्या सीखने में मदद मिलती है।
5. चुनाव को वास्तव में उपयोगी बनाएं। ऑप्ट-आउट या सहमति वापस लेने का तरीका बताएं और अनुरोधों पर की गई कार्रवाई का रिकॉर्ड रखें।
6. कनेक्टेड डिवाइस की अलग समीक्षा करें। स्मार्ट ग्लासेज, वियरेबल्स, कैमरा और बायोमेट्रिक सिस्टम ऐसे लोगों से जुड़े नोटिस और सहमति के सवाल खड़े कर सकते हैं जो सीधे उपयोगकर्ता नहीं हैं।

सिंगापुर का यह कदम जनरेटिव AI में व्यक्तिगत डेटा के इस्तेमाल पर रोक लगाने से अधिक, उसके इस्तेमाल को स्पष्ट, दिखाई देने वाला और किसी पहचाने जा सकने वाले कानूनी आधार से जोड़ने पर केंद्रित है। अंतिम गाइडलाइन पारंपरिक प्राइवेसी नोटिस और आधुनिक AI विकास के बीच की दूरी कम करती है। फिर भी सार्थक विकल्प, संवेदनशील डेटा और अप्रत्यक्ष रूप से रिकॉर्ड किए गए लोगों की जानकारी से जुड़े कठिन प्रशासनिक और नैतिक सवाल अभी भी महत्वपूर्ण बने हुए हैं।