Panduan Privasi AI Singapura: Kapan Konsumen Harus Diberi Tahu?

Komisi Perlindungan Data Pribadi Singapura (PDPC) menerbitkan pedoman konsultatif pada 20 Juli 2026 tentang penerapan Undang-Undang Perlindungan Data Pribadi Singapura (PDPA) ketika organisasi menggunakan data pribadi dalam sistem AI generatif. Aturan praktisnya cukup jelas, tetapi tidak berlaku secara mutlak: jika organisasi membutuhkan persetujuan untuk memakai data pribadi dalam pengembangan, pelatihan, atau penyempurnaan (fine-tuning) model, pemberitahuannya harus secara jelas menyebut keterlibatan AI generatif.

Intinya: penggunaan data untuk melatih AI harus dijelaskan secara spesifik

Pernyataan privasi umum yang hanya menyebut data dapat digunakan untuk “pengembangan produk” tidak cukup untuk memperoleh persetujuan yang bermakna atas pelatihan atau penyempurnaan model AI generatif berskala besar. Pemberitahuan harus menjelaskan tujuan AI generatif, kategori data yang digunakan, serta cara data tersebut akan digunakan.

Hal ini terutama penting ketika data yang awalnya dikumpulkan untuk layanan biasa—misalnya perbankan, asuransi, belanja daring, atau jejaring sosial—kemudian digunakan untuk tujuan baru berupa pengembangan AI. Organisasi tidak dapat begitu saja menganggap pemberitahuan lama yang bersifat luas sudah mencakup penggunaan baru tersebut jika penggunaan itu berada di luar hal yang secara wajar diperkirakan konsumen.

Pedoman ini bersifat konsultatif, bukan undang-undang baru yang berdiri sendiri. Dokumen tersebut menjelaskan cara PDPC menafsirkan kewajiban yang sudah ada dalam PDPA.

Bagaimana aturan ini berlaku dalam empat situasi umum?

Bank: data keuangan dan layanan pelanggan untuk asisten AI

Jika bank memakai data nasabah untuk mengembangkan atau meningkatkan asisten AI, bank harus memberikan pemberitahuan khusus AI apabila dasar hukumnya adalah persetujuan. Pemberitahuan itu perlu membedakan pengembangan model dari fungsi perbankan atau layanan pelanggan biasa.

Bank mungkin dapat menggunakan pengecualian persetujuan dalam PDPA, seperti pengecualian untuk peningkatan bisnis, tetapi hanya jika seluruh syarat dan cakupan pengecualian tersebut terpenuhi. Jika pengecualian yang sah berlaku, persetujuan—dan dengan demikian pilihan untuk menolak yang berbasis persetujuan—belum tentu diperlukan.

Perusahaan asuransi: informasi medis dan klaim

Pertanyaan dasarnya sama: jika persetujuan diperlukan untuk menggunakan data medis atau informasi klaim dalam pengembangan model AI generatif, pemberitahuan harus secara spesifik menjelaskan penggunaan AI tersebut. Pernyataan lama yang hanya menyebut “peningkatan layanan” tidak otomatis cukup untuk mencakup pelatihan model.

Perusahaan asuransi harus membuktikan bahwa pengecualian PDPA yang relevan berlaku atau memperoleh persetujuan yang sah melalui pemberitahuan khusus AI. Sumber yang tersedia tidak menetapkan bahwa semua data medis atau klaim otomatis dikecualikan dari kewajiban tersebut.

Platform e-commerce: riwayat pembelian dan aktivitas penelusuran

Memakai riwayat pembelian atau aktivitas penelusuran untuk mengembangkan produk AI generatif komersial yang terpisah merupakan contoh jelas penggunaan ulang data di luar pengalaman belanja langsung. Jika persetujuan diperlukan, platform harus menjelaskan tujuan AI secara langsung, bukan mengandalkan klausul umum tentang pengembangan produk.

Pengecualian peningkatan bisnis mungkin relevan dalam kondisi tertentu, tetapi bukan izin umum untuk setiap penggunaan komersial baru. Organisasi tetap harus memenuhi persyaratan hukum dan tidak melampaui cakupan pengecualian tersebut.

Platform media sosial: profil, foto, video, unggahan, dan interaksi

Platform media sosial yang menggunakan profil, foto, video, unggahan, atau interaksi pengguna untuk meningkatkan alat pembuatan konten berbasis AI generatif harus memberikan pemberitahuan khusus AI jika persetujuan menjadi dasar hukumnya.

Data pribadi yang benar-benar tersedia untuk publik mungkin dapat digunakan berdasarkan pengecualian data yang tersedia untuk publik dalam PDPA, sehingga persetujuan tidak selalu diperlukan. Namun, status visibilitas sangat penting: materi yang benar-benar terbuka untuk umum berbeda dari konten yang hanya dibagikan kepada pengguna tertentu atau dilindungi pengaturan akses.

Kapan pemberitahuan atau pilihan untuk menolak mungkin tidak diperlukan?

Data telah dianonimkan secara sungguh-sungguh

Jika data benar-benar dianonimkan sehingga tidak lagi menjadi data pribadi, kewajiban pemberitahuan dan persetujuan berdasarkan PDPA tidak berlaku. Data yang hanya dipseudonimkan atau disamarkan tidak otomatis dianggap anonim; pertanyaan utamanya adalah apakah seseorang masih dapat diidentifikasi.

Pengecualian PDPA yang sah berlaku

Organisasi mungkin tidak perlu meminta persetujuan jika dapat secara tepat mengandalkan pengecualian dalam undang-undang, termasuk pengecualian untuk data yang tersedia bagi publik atau, jika seluruh syaratnya terpenuhi, pengecualian peningkatan bisnis. Karena kewajiban pemberitahuan khusus AI terkait dengan situasi ketika persetujuan memang diperlukan, pedoman ini tidak menciptakan hak universal untuk menolak setiap penggunaan data yang sah untuk pelatihan AI.

Jalur persetujuan yang digunakan memang tidak mensyaratkan pilihan untuk menolak

Pedoman PDPC menjelaskan bahwa mekanisme opt-out—pilihan untuk menolak—melibatkan pemberitahuan, jangka waktu yang wajar, dan cara yang wajar bagi individu untuk menyatakan penolakan apabila jalur tersebut digunakan. Artinya, setiap aktivitas pemrosesan terkait AI tidak otomatis harus menyediakan pilihan opt-out, terutama jika organisasi mengandalkan pengecualian persetujuan, bukan persetujuan.

Konsumen tetap dapat memiliki hak untuk menarik persetujuan yang telah diberikan atau dianggap telah diberikan berdasarkan PDPA, dengan tunduk pada kerangka hukum yang berlaku untuk pemrosesan tersebut.

Bolehkah persetujuan pelatihan AI dijadikan syarat memperoleh layanan?

Pada umumnya, organisasi tidak boleh menolak memberikan produk atau layanan hanya karena konsumen menolak persetujuan untuk pelatihan AI, jika pelatihan tersebut tidak secara wajar diperlukan untuk menyediakan produk atau layanan yang diminta. Dengan kata lain, persetujuan untuk mengembangkan asisten AI serbaguna atau model komersial yang tidak berkaitan langsung dengan layanan tidak semestinya digabungkan sebagai syarat membuka rekening bank, menggunakan layanan belanja, atau mengakses platform sosial.

Pengecualian utamanya adalah kebutuhan. Persetujuan dapat dijadikan syarat jika pengumpulan, penggunaan, atau pengungkapan data memang secara wajar diperlukan untuk layanan atau transaksi yang diminta konsumen. Apakah ambang kebutuhan ini terpenuhi bergantung pada layanan, penggunaan data, dan keadaan spesifiknya; pedoman tersebut tidak memberikan jawaban tunggal untuk semua organisasi atau sistem AI.

Apa yang perlu diperhatikan konsumen dan organisasi?

Konsumen sebaiknya mencari empat informasi dalam pemberitahuan terkait AI:

• apakah data pribadi akan digunakan untuk mengembangkan, melatih, atau meningkatkan model AI generatif;
• kategori data yang akan digunakan;
• tujuan dan cara penggunaannya; serta
• apakah persetujuan dapat ditolak atau ditarik, dan bagaimana caranya.

Sementara itu, organisasi perlu lebih dulu menentukan apakah informasi tersebut masih merupakan data pribadi, apakah ada pengecualian yang berlaku, dan apakah penggunaan AI tersebut secara wajar diperlukan untuk layanan yang diminta. Setelah itu barulah organisasi dapat menentukan apakah pemberitahuan persetujuan khusus AI—serta mekanisme opt-out—diperlukan.

Inilah batas utama kerangka Singapura sejak Juli 2026: transparansi yang lebih besar untuk pelatihan AI berbasis persetujuan, tetapi bukan hak otomatis untuk menolak setiap penggunaan data yang sah.