Aturan GenAI Singapura 2026: Apa yang Perlu Diketahui Perusahaan dan Konsumen

Singapura memperkenalkan dua langkah yang saling melengkapi namun memiliki fokus berbeda pada 20 Juli 2026. Personal Data Protection Commission (PDPC) menerbitkan panduan mengenai penggunaan data pribadi dalam model dan sistem kecerdasan buatan generatif (GenAI), termasuk kewajiban memberikan notifikasi khusus AI ketika persetujuan diperlukan. Secara terpisah, Infocomm Media Development Authority (IMDA) menerbitkan panduan transparansi sukarela untuk chatbot GenAI yang ditujukan kepada publik melalui konsep Chatbot Info Card.

Perbedaannya penting: panduan PDPC berfokus pada cara organisasi menggunakan data pribadi, sedangkan kerangka IMDA berfokus pada cara chatbot publik menjelaskan kemampuan, risiko, serta praktik pengelolaan datanya kepada pengguna.

Inti aturannya

Jika data pribadi yang semula dikumpulkan untuk satu tujuan kemudian digunakan untuk mengembangkan atau meningkatkan model GenAI, keterangan umum seperti “data dapat digunakan untuk meningkatkan produk” biasanya tidak cukup ketika persetujuan diperlukan. Organisasi perlu menyatakan secara jelas bahwa data tersebut akan digunakan untuk pengembangan atau peningkatan model GenAI, serta menjelaskan pilihan yang tersedia bagi individu.

Sementara itu, panduan chatbot IMDA bersifat sukarela. Panduan ini ditujukan untuk chatbot GenAI eksternal yang berinteraksi dengan pelanggan, konsumen, atau masyarakat umum. IMDA merekomendasikan satu tempat yang mudah ditemukan agar pengguna dapat memahami fungsi chatbot, potensi kegagalan, langkah pengamanan, cara data ditangani, dan cara menyampaikan keluhan.

Cakupan panduan PDPC

Panduan PDPC mencakup penggunaan data pribadi di berbagai tahap siklus hidup GenAI. Cakupannya dapat meliputi informasi yang dikumpulkan dari web, data yang diberikan pengguna untuk memperoleh layanan biasa lalu digunakan kembali untuk mengembangkan atau meningkatkan model, penerapan model, keamanan, penyimpanan data, serta permintaan akses atau koreksi.

Tantangan privasi utamanya adalah perubahan tujuan penggunaan. Informasi yang awalnya diberikan untuk transaksi, akun, layanan pelanggan, atau kebutuhan lain dapat digunakan kembali dalam skala besar untuk melatih atau menyempurnakan model. Setelah masuk ke proses pelatihan berukuran besar, pengguna bisa lebih sulit memahami penggunaan ulang tersebut, mengendalikannya, atau menggunakan hak mereka atas data.

Panduan ini juga membedakan tanggung jawab dalam rantai pasok AI. Penyedia model tetap bertanggung jawab atas kewajiban berdasarkan PDPA yang berkaitan dengan pengembangan dan penerapan model. Penyedia sistem diharapkan memperhatikan keamanan serta mengomunikasikan perlindungan yang relevan, sedangkan penerap sistem harus menentukan tujuan pemrosesan, memahami aliran data, dan meninjau pengendalian pada sistem yang mereka operasikan.

Kapan notifikasi khusus AI diperlukan?

Organisasi harus memperoleh persetujuan melalui notifikasi khusus AI ketika ingin menggunakan User Data untuk mengembangkan model GenAI dan tidak ada pengecualian persetujuan berdasarkan PDPA yang berlaku. Notifikasi tersebut harus menyebutkan penggunaan GenAI secara jelas, bukan hanya menggunakan istilah luas seperti “peningkatan layanan”, “personalisasi”, atau “peningkatan produk”.

Hal ini terutama relevan ketika informasi diberikan langsung melalui suatu produk atau layanan untuk tujuan non-GenAI, lalu digunakan kembali untuk pengembangan model. Organisasi perlu menilai konteks pengumpulan awal, tujuan baru, dan kemungkinan adanya pengecualian sebelum menentukan langkah yang tepat.

Data yang tersedia untuk umum

Pengecualian PDPA untuk data pribadi yang tersedia untuk umum dapat memungkinkan organisasi mengumpulkan data tersebut tanpa persetujuan untuk pengembangan model. Namun, tidak semua informasi yang dapat ditemukan di internet otomatis memenuhi kriteria ini. Data di balik paywall, login, pendaftaran, atau penghalang digital serupa perlu dinilai dengan hati-hati untuk menentukan apakah masih tergolong tersedia untuk umum dalam konteks tersebut.

Data yang telah dianonimkan

Data yang benar-benar telah dianonimkan bukan lagi data pribadi untuk keperluan PDPA karena tidak dapat mengidentifikasi seseorang. Materi PDPC juga mendorong organisasi menggunakan data anonim untuk analitik dan penelitian jika memungkinkan.

Namun, menghapus nama saja belum tentu cukup. Seseorang masih dapat diidentifikasi melalui informasi lain yang tersisa atau dengan menggabungkannya dengan informasi lain yang tersedia secara wajar. Karena itu, organisasi perlu memastikan proses anonimisasi benar-benar menghilangkan kemampuan untuk mengidentifikasi individu.

Bagaimana dengan rekaman pusat panggilan?

Materi yang tersedia tidak menetapkan pengecualian khusus dan menyeluruh untuk rekaman pusat panggilan. Rekaman yang mengidentifikasi, atau secara wajar dapat mengidentifikasi, penelepon sebaiknya diperlakukan sebagai data pribadi saat organisasi menilai rencana penggunaan ulang untuk GenAI.

Sebelum rekaman tersebut digunakan untuk mengembangkan model, organisasi tetap memerlukan dasar yang sesuai berdasarkan PDPA—misalnya persetujuan yang sah, notifikasi, atau pengecualian berdasarkan undang-undang. Sumber yang tersedia belum cukup untuk menyimpulkan adanya aturan tambahan yang secara khusus berlaku untuk semua rekaman pusat panggilan. Penerapannya bergantung pada isi rekaman, cara pengumpulan, tujuan penggunaan GenAI, dan pengecualian PDPA yang mungkin berlaku.

Isi notifikasi khusus AI

Notifikasi harus memberikan informasi yang spesifik dan bermakna. Setidaknya, panduan yang tersedia mengidentifikasi unsur-unsur berikut:

• Tujuan AI: nyatakan bahwa data pribadi akan digunakan untuk mengembangkan atau meningkatkan model GenAI.
• Alasan penggunaan: jelaskan tujuan pengembangan atau peningkatan model.
• Data yang digunakan: uraikan kategori data pribadi yang akan diproses.
• Cara penggunaan: jelaskan bagaimana data digunakan, termasuk untuk pelatihan atau penyempurnaan model jika relevan.
• Pilihan pengguna: jelaskan cara seseorang menolak atau menarik persetujuan, atau melakukan opt-out jika pilihan tersebut tersedia.

Kebijakan privasi umum tetap dapat memuat informasi latar belakang yang berguna. Namun, kebijakan tersebut tidak seharusnya menjadi satu-satunya pemberitahuan jika tujuan pelatihan GenAI masih samar. Ukuran utamanya adalah apakah orang yang wajar dapat memahami bahwa data pribadinya mungkin digunakan untuk mengembangkan atau meningkatkan model AI generatif.

Di mana notifikasi dapat ditampilkan?

Materi yang tersedia tidak menetapkan satu format atau lokasi wajib untuk semua organisasi. Secara praktis, informasi dapat ditampilkan ketika data yang relevan dikumpulkan atau ketika layanan digunakan—misalnya saat pendaftaran, melalui pemberitahuan langsung di dalam produk, pada pengaturan privasi akun, atau melalui tautan yang jelas menuju kebijakan privasi.

Penempatan tersebut merupakan pertimbangan implementasi, bukan daftar lokasi yang secara khusus diwajibkan dalam lembar fakta PDPC. Apa pun formatnya, pemberitahuan sebaiknya terlihat dan spesifik, bukan disembunyikan di dalam ketentuan umum yang panjang dan sulit ditemukan.

Persetujuan, penarikan persetujuan, dan hak akses

Pengguna dapat meminta akses atau koreksi atas data pribadi mereka, termasuk setelah data tersebut digunakan dalam pengembangan GenAI. Organisasi diharapkan menerapkan praktik pengelolaan data yang baik sejak tahap awal, menilai setiap permintaan berdasarkan kasusnya, dan menggunakan langkah teknis yang sesuai. Namun, melacak informasi tertentu di dalam kumpulan data pelatihan yang besar dapat menjadi tantangan.

Jika persetujuan menjadi dasar hukum pemrosesan, individu harus diberi tahu cara menolak atau menarik persetujuan. Hal ini tidak otomatis berarti setiap orang berhak terus menggunakan seluruh bagian layanan dengan syarat yang sama setelah memilih opt-out. Kelanjutan akses ke layanan inti bergantung pada peran dan kebutuhan pelatihan GenAI dalam layanan tersebut, serta rancangan persetujuan organisasi. Sumber yang tersedia tidak menetapkan hak menyeluruh untuk mempertahankan akses penuh setelah setiap opt-out.

Chatbot Info Card dari IMDA

Panduan Transparansi IMDA untuk Chatbot AI Generatif mengambil pendekatan yang berorientasi pada konsumen. Panduan ini berlaku bagi penerap chatbot GenAI eksternal dan bertujuan membantu pengguna mengambil keputusan yang lebih terinformasi, menyeragamkan pengungkapan informasi, serta meningkatkan akuntabilitas penyedia atas praktik keamanan dan keandalan yang mereka nyatakan.

Rekomendasi utamanya adalah Chatbot Info Card, yang dianalogikan dengan label nutrisi atau label obat. Bentuknya dapat berupa halaman informasi khusus atau dokumen pengungkapan, selama menyediakan satu tempat yang mudah diakses untuk menemukan informasi penting.

Kartu tersebut sebaiknya memenuhi tiga prinsip:

• Relevan: memuat informasi yang dibutuhkan pengguna untuk menilai apakah dan bagaimana chatbot dapat diandalkan.
• Mudah diakses: menggunakan bahasa yang jelas serta mudah ditemukan dan dinavigasi.
• Tepat waktu: diterbitkan saat chatbot mulai tersedia dan diperbarui ketika perubahan penting memengaruhi kemampuan, risiko, atau kebijakan keselamatan.

Informasi yang sebaiknya dicantumkan

Chatbot Info Card sebaiknya menjelaskan:

• tujuan, fungsi, dan kemampuan chatbot;
• keterbatasan penting, termasuk situasi ketika jawaban perlu diverifikasi atau penggunaannya tidak sesuai;
• langkah-langkah untuk menjaga keandalan dan keamanan;
• cara masukan pengguna, percakapan, dan data lain ditangani; serta
• saluran untuk keluhan, masukan, dan pelaporan insiden.

Kartu ini bukan jaminan bahwa chatbot selalu akurat atau aman. Manfaatnya adalah memberi pengguna dasar yang lebih jelas untuk memutuskan kapan harus mengandalkan chatbot, informasi apa yang sebaiknya dibagikan, dan ke mana harus melapor ketika terjadi masalah.

IMDA pada awalnya memusatkan perhatian pada chatbot publik karena jangkauannya luas dan risikonya mencakup privasi, keselamatan anak, serta potensi dampak terhadap pengguna yang rentan secara mental. Kerangka ini juga dapat menjadi rujukan bagi aplikasi GenAI lain dan panduan sektoral di masa mendatang.

Rencana penerapan oleh perusahaan dan lembaga publik

Google, Meta, DBS, OCBC, Singapore Airlines, dan Synapxe menyatakan akan menggunakan panduan sukarela tersebut sebagai referensi ketika meningkatkan praktik transparansi untuk chatbot yang ditujukan kepada publik. Pernyataan ini menunjukkan rencana penyelarasan dan perbaikan berkelanjutan—bukan bukti bahwa semua organisasi itu telah meluncurkan kartu informasi yang identik.

Bagi bank, fokusnya kemungkinan mencakup penjelasan fungsi chatbot untuk nasabah, keterbatasan dan perlindungan yang tersedia, serta penyelarasan dengan proses tata kelola AI dan manajemen risiko yang sudah ada. DBS merujuk pada inisiatif AI yang berhadapan langsung dengan nasabah, sementara OCBC mengaitkan panduan tersebut dengan tata kelola AI dan manajemen risikonya.

Singapore Airlines mengatakan akan terus meninjau dan memperkuat tata kelola serta perlindungan AI seiring pengembangan pengalaman pelanggan yang didukung AI. Google dan Meta juga mendukung penyediaan informasi yang lebih jelas dan mudah diakses mengenai cara kerja produk AI mereka serta cara pengguna berinteraksi dengannya.

Lembaga publik juga diperkirakan menggunakan kerangka ini sebagai rujukan. National Library Board dan Health Promotion Board berencana mempertimbangkannya untuk chatbot publik mereka.

Apa artinya bagi organisasi dan pengguna?

Pendekatan Singapura menggabungkan pengungkapan privasi yang lebih spesifik untuk penggunaan data GenAI tertentu dengan standar transparansi sukarela bagi chatbot publik. Kedua langkah ini saling melengkapi, tetapi tidak dapat saling menggantikan:

1. Petakan data: identifikasi data pribadi yang masuk ke alur pengembangan model atau chatbot dan alasan penggunaannya.
2. Periksa dasar hukum: tentukan apakah persetujuan diperlukan atau pengecualian PDPA dapat diterapkan.
3. Jelaskan penggunaan GenAI secara tegas: gunakan notifikasi khusus AI jika diperlukan, bukan hanya istilah umum seperti “peningkatan produk”.
4. Siapkan penanganan permintaan hak pengguna: simpan informasi sejak tahap awal agar permintaan akses, koreksi, atau penarikan persetujuan dapat dinilai.
5. Publikasikan informasi chatbot: untuk chatbot GenAI publik, sediakan kartu yang relevan, mudah diakses, dan diperbarui, mencakup kemampuan, keterbatasan, keamanan, keandalan, praktik data, serta saluran pelaporan.

Pada akhirnya, langkah-langkah ini bukan janji universal bahwa pengguna dapat menghentikan setiap penggunaan datanya yang berkaitan dengan AI. Ini adalah dorongan menuju pemberitahuan yang lebih jelas, tata kelola data yang lebih terencana, dan AI publik yang lebih dapat dipertanggungjawabkan.