Aturan Data AI Singapura: Perusahaan Wajib Terus Terang soal Pelatihan GenAI

Pedoman Singapura tentang data pribadi dan AI generatif kini bukan lagi sekadar bahan konsultasi. Pada 20 Juli 2026, Komisi Perlindungan Data Pribadi Singapura atau Personal Data Protection Commission (PDPC) menerbitkan Advisory Guidelines on the Use of Personal Data in Generative AI.

Pesan utamanya jelas: perusahaan tidak boleh menyamarkan penggunaan data pribadi untuk melatih atau menyempurnakan model AI berukuran besar di balik bahasa privasi yang terlalu umum.

Intinya bagi perusahaan

Jika sebuah organisasi memerlukan persetujuan untuk memakai data pribadi dalam mengembangkan atau meningkatkan model AI generatif, pemberitahuannya harus menyebut tujuan penggunaan AI tersebut secara langsung. Pernyataan umum seperti data dapat digunakan untuk “pengembangan produk baru” tidak dianggap cukup.

Pedoman ini bersifat nasihat, bukan larangan mandiri terhadap pelatihan AI. Penerapannya tetap berada dalam kerangka Personal Data Protection Act (PDPA) Singapura, yang memiliki sejumlah pengecualian. Salah satunya berkaitan dengan penggunaan data pribadi tertentu yang tersedia untuk publik dalam pengembangan AI.

Informasi yang harus ada dalam pemberitahuan khusus AI

Pemberitahuan yang baik harus membantu masyarakat memahami bukan hanya produk akhirnya, tetapi juga alur data di baliknya. Pendekatan yang diusulkan PDPC meminta organisasi menjelaskan:

• Apa fungsi model dan mengapa model itu dikembangkan
• Kategori data pribadi yang digunakan, misalnya data kontak, transaksi, lokasi, video, atau rekaman suara
• Bagaimana data tersebut berkontribusi pada model, bukan sekadar menyatakan bahwa data sedang diproses
• Cara menolak penggunaan data atau menarik persetujuan, dengan petunjuk yang praktis dan mudah diakses

Fokus PDPC adalah transparansi yang dapat dipahami saat seseorang mengambil keputusan—bukan satu kalimat yang tersembunyi di dalam kebijakan privasi yang panjang. Format yang disarankan antara lain pemberitahuan yang menonjol di dalam aplikasi atau halaman web khusus.

Contoh: rekaman suara untuk teknologi text-to-speech

Perusahaan yang mengembangkan fitur text-to-speech dapat menjelaskan bahwa rekaman suara pelanggan akan digunakan untuk melatih model. Perusahaan juga perlu menerangkan bahwa rekaman tersebut membantu sistem mengenali pola-pola ucapan. Penjelasan seperti ini jauh lebih spesifik dibandingkan hanya menyebutnya sebagai “peningkatan produk”.

Pemberitahuan berbeda dari persetujuan

Perbedaan antara memberi tahu dan memperoleh dasar hukum untuk menggunakan data merupakan hal penting dalam kepatuhan. Dalam kerangka umum PDPA, organisasi biasanya harus memberi tahu individu mengenai tujuan pengumpulan, penggunaan, atau pengungkapan data pribadi serta memperoleh persetujuan, kecuali berlaku pengecualian tertentu.

Pedoman final memperjelas isi pemberitahuan ketika persetujuan memang diperlukan: organisasi harus secara tegas menjelaskan bahwa data akan digunakan untuk pengembangan model AI.

Namun, ini bukan berarti setiap penggunaan data pribadi untuk melatih AI otomatis membutuhkan persetujuan afirmatif dan eksplisit. Jawabannya bergantung pada dasar hukum yang berlaku, termasuk pengecualian PDPA untuk informasi yang tersedia bagi publik.

Pelajaran praktis bagi perusahaan adalah mendokumentasikan dasar hukum untuk setiap kumpulan data secara terpisah. Pemberitahuan yang jelas tidak dapat menggantikan persetujuan ketika persetujuan diwajibkan. Sebaliknya, persetujuan juga tidak dapat dianggap sah jika bahasa yang digunakan terlalu umum untuk menggambarkan penggunaan AI yang sebenarnya.

Pertanyaan yang muncul sejak tahap rancangan

Pada tahap konsultasi, rancangan pedoman menarik perhatian karena sejumlah persoalan operasional belum terjawab secara jelas.

Apakah persetujuan eksplisit selalu wajib?

Rancangan awal tidak secara tegas menyatakan bahwa persetujuan afirmatif dan eksplisit wajib dalam setiap skenario pelatihan AI generatif. Hal itu memunculkan pertanyaan tentang kapan mekanisme penolakan (opt-out) dapat digunakan dan kapan pengecualian dalam PDPA berlaku.

Pedoman final menempatkan dasar hukum sebagai elemen yang semakin penting. Organisasi sebaiknya tidak menganggap pemberitahuan khusus AI sebagai pengganti universal untuk persetujuan.

Apakah anonimisasi menghapus kewajiban pemberitahuan khusus AI?

Rancangan tersebut juga menyisakan ketidakjelasan mengenai penerapan kewajiban pemberitahuan khusus jika data telah dianonimkan sebelum digunakan untuk pelatihan.

Persoalan ini penting karena analisis privasi dapat berbeda bergantung pada apakah informasi masih dapat dihubungkan dengan individu tertentu, serta bagaimana proses anonimisasi dilakukan dan didokumentasikan.

Informasi yang tersedia tidak mendukung anggapan bahwa anonimisasi otomatis menyelesaikan persoalan untuk semua kumpulan data. Perusahaan perlu menilai karakteristik data dan metode pemrosesannya, bukan hanya memberi label “anonim” pada sebuah dataset.

Bolehkah perusahaan menolak layanan bagi orang yang tidak setuju?

Pertanyaan lain adalah apakah bank, perusahaan asuransi, platform digital, atau penyedia layanan lain dapat menghentikan atau menolak layanan ketika seseorang tidak menyetujui penggunaan datanya untuk pelatihan AI.

Di sinilah pilihan formal dapat berhadapan dengan tekanan praktis. Opsi opt-out mungkin tersedia di atas kertas, tetapi sulit digunakan jika penolakan menimbulkan biaya atau kerugian yang signifikan bagi pengguna.

Kewajiban pemberitahuan meningkatkan visibilitas, tetapi tidak otomatis menjawab persoalan keadilan, akses layanan, atau ketimpangan posisi tawar antara individu dan penyedia layanan.

Perangkat AI memperluas perdebatan privasi

Perhatian PDPC terhadap AI generatif merupakan bagian dari kekhawatiran yang lebih luas mengenai produk yang mengumpulkan data tanpa selalu disadari orang. Prioritas Komisioner PDPC Denise Wong juga mencakup perangkat dan sistem seperti kacamata pintar, jam tangan pintar, serta sistem pembayaran yang memindai telapak tangan.

Perangkat tersebut dapat melibatkan informasi sensitif, termasuk karakteristik wajah, sidik jari, data suara, dan pola pembuluh darah di telapak tangan. Risiko yang dilaporkan mencakup perekaman secara diam-diam, paparan atau penyalahgunaan data biometrik, serta penggunaan kacamata pintar untuk merekam materi ujian atau informasi lain guna memfasilitasi kecurangan.

Kementerian Pengembangan Digital dan Informasi Singapura juga telah menanggapi pertanyaan mengenai indikator visual pada kacamata pintar serta pengumpulan data biometrik atau lingkungan dari orang-orang di sekitar yang tidak menggunakan perangkat tersebut.

Masalah dasarnya adalah apakah kesadaran pengguna benar-benar bermakna. Lampu indikator kecil atau kebijakan perangkat yang tersembunyi di dalam dokumentasi belum tentu memberi orang di sekitar kesempatan realistis untuk memahami apa yang sedang terjadi atau menentukan pilihan.

Langkah yang perlu dilakukan organisasi

Tim yang mengembangkan atau menerapkan sistem AI generatif di Singapura dapat menjadikan pedoman ini sebagai daftar periksa tata kelola data:

1. Petakan setiap dataset ke kasus penggunaan AI tertentu. Tentukan apakah data digunakan untuk pelatihan, penyempurnaan (fine-tuning), pengujian, pemantauan, atau tujuan lain.
2. Pilih dan dokumentasikan dasar hukum berdasarkan PDPA. Catat apakah persetujuan diperlukan atau organisasi mengandalkan pengecualian berdasarkan undang-undang.
3. Tulis ulang pemberitahuan yang terlalu umum. Nyatakan dengan jelas jika data pribadi akan digunakan untuk mengembangkan atau meningkatkan model AI generatif.
4. Jelaskan kategori data dan fungsi model. Pengguna harus dapat memahami informasi apa yang dipakai dan fungsi apa yang dibantu oleh data tersebut.
5. Pastikan pilihan dapat digunakan. Jelaskan cara menolak atau menarik persetujuan, serta dokumentasikan bagaimana permintaan pengguna ditangani.
6. Tinjau perangkat yang terhubung secara terpisah. Kacamata pintar, perangkat wearable, kamera, dan sistem biometrik dapat menimbulkan persoalan pemberitahuan dan persetujuan bagi orang yang bukan pengguna langsung.

Dengan demikian, langkah Singapura bukan terutama soal melarang penggunaan data pribadi untuk AI generatif. Fokusnya adalah membuat penggunaan tersebut terlihat, spesifik, dan terhubung dengan dasar hukum yang dapat diidentifikasi.

Pedoman final ini mempersempit jarak antara pemberitahuan privasi tradisional dan praktik pengembangan AI modern. Namun, persoalan tersulit—terutama soal pilihan yang benar-benar bermakna serta penanganan data sensitif atau data yang tertangkap secara tidak langsung—masih menjadi tantangan tata kelola.