Dati personali e IA generativa: le nuove indicazioni di Singapore spiegate ai consumatori

La Commissione per la protezione dei dati personali di Singapore (PDPC) ha pubblicato il 20 luglio 2026 indicazioni consultive su come il Personal Data Protection Act (PDPA), la legge singaporiana sulla protezione dei dati personali, si applichi all’uso dei dati nei sistemi di IA generativa.

La regola pratica è semplice, ma non assoluta: quando un’organizzazione ha bisogno del consenso per usare dati personali nello sviluppo, nell’addestramento o nel fine-tuning di un modello di IA generativa, deve dichiararlo chiaramente nella propria informativa.

La regola centrale: non basta scrivere “sviluppo del prodotto”

Una privacy policy che si limiti a dire che i dati potranno essere usati per lo “sviluppo dei prodotti” non è sufficiente per ottenere un consenso consapevole all’addestramento o al perfezionamento, su larga scala, di un modello di IA generativa. L’informativa deve identificare lo scopo legato all’IA generativa e spiegare quali dati saranno utilizzati e in che modo.

Il punto è particolarmente importante quando i dati sono stati raccolti per un servizio ordinario — per esempio attività bancaria, assicurativa, acquisti online o social networking — e vengono poi destinati a un nuovo progetto di sviluppo dell’IA. Un’informativa generica fornita in passato non copre automaticamente un uso che esula da ciò che il consumatore poteva ragionevolmente aspettarsi.

Le indicazioni della PDPC sono consultive: non introducono una nuova legge autonoma, ma spiegano come l’autorità interpreta gli obblighi già previsti dal PDPA.

Quattro casi concreti

Banche: dati finanziari e richieste al servizio clienti

Se una banca utilizza i dati dei clienti per sviluppare o migliorare un assistente basato sull’IA, deve fornire un’informativa specifica sull’IA quando il consenso è la base giuridica utilizzata. La comunicazione dovrebbe distinguere lo sviluppo del modello dalle normali attività necessarie a fornire servizi bancari o assistenza alla clientela.

La banca potrebbe però fare affidamento su un’eccezione al consenso prevista dal PDPA, come quella per il miglioramento dell’attività, ma solo se ne rispetta tutte le condizioni e i limiti. In quel caso il consenso — e quindi un opt-out basato sul consenso — potrebbe non essere necessario.

Assicurazioni: dati medici e informazioni sui sinistri

La domanda di fondo è la stessa: se per usare dati medici o relativi a sinistri nello sviluppo di un modello di IA generativa è necessario il consenso, l’informativa deve descrivere specificamente questo impiego.

Una precedente formula generica sul miglioramento del servizio non dovrebbe essere considerata automaticamente sufficiente per l’addestramento di un modello. L’assicuratore dovrebbe dimostrare l’applicabilità di un’eccezione prevista dal PDPA oppure ottenere un consenso valido attraverso un’informativa specifica sull’IA. Le fonti disponibili non stabiliscono che tutti i dati medici o sui sinistri siano automaticamente esenti.

Commercio elettronico: dati sugli acquisti e sulla navigazione

Usare la cronologia degli acquisti o la navigazione per sviluppare un prodotto commerciale separato basato sull’IA generativa è un esempio evidente di riutilizzo dei dati oltre l’esperienza immediata di acquisto.

Quando il consenso è richiesto, la piattaforma dovrebbe spiegare direttamente lo scopo legato all’IA, senza affidarsi a una clausola generica sullo sviluppo dei prodotti.

L’eccezione per il miglioramento dell’attività può essere rilevante in alcuni casi, ma non rappresenta un’autorizzazione generale per qualsiasi nuovo uso commerciale dei dati. L’organizzazione deve comunque rispettare i requisiti di legge e rimanere entro l’ambito dell’eccezione.

Social network: profili, foto, video, post e interazioni

Se un social network utilizza profili, foto, video, post o interazioni degli utenti per migliorare strumenti di creazione di contenuti basati sull’IA generativa, deve fornire una notifica specifica sull’IA quando il consenso è la base giuridica.

I dati personali effettivamente disponibili al pubblico possono rientrare nell’eccezione prevista dal PDPA per i dati pubblicamente accessibili, per i quali il consenso potrebbe non essere necessario. Ma la visibilità è decisiva: un contenuto realmente pubblico è diverso da un post visibile soltanto a determinati utenti o protetto da impostazioni di accesso.

Quando la notifica o l’opt-out possono non essere necessari

I dati sono stati realmente anonimizzati

Se i dati sono stati anonimizzati in modo effettivo, tanto da non essere più dati personali, gli obblighi del PDPA relativi a notifica e consenso non si applicano. Dati pseudonimizzati o semplicemente mascherati non sono però automaticamente anonimi: la questione centrale è se una persona possa ancora essere identificata.

Si applica una valida eccezione prevista dal PDPA

Un’organizzazione potrebbe non aver bisogno del consenso se può fare correttamente affidamento su un’eccezione prevista dalla legge, tra cui quella per i dati pubblicamente disponibili o, quando ne ricorrono le condizioni, quella per il miglioramento dell’attività.

Poiché l’obbligo di informativa specifica sull’IA è collegato ai casi in cui il consenso è necessario, le indicazioni non creano un diritto universale a opporsi a qualsiasi uso legittimo dei dati per l’addestramento dell’IA.

Il meccanismo di consenso applicabile non prevede necessariamente un opt-out

Le indicazioni generali della PDPC descrivono un percorso di opt-out basato su una comunicazione, un periodo ragionevole e una modalità ragionevole con cui l’interessato può rifiutare l’uso dei propri dati, quando quel percorso viene utilizzato. Ciò non significa che ogni attività di trattamento collegata all’IA debba includere un opt-out, soprattutto quando l’organizzazione si basa su un’eccezione al consenso.

Chi ha prestato il consenso può comunque avere il diritto di revocarlo, anche nei casi in cui il consenso sia stato considerato prestato secondo il PDPA, in base alle regole applicabili a quello specifico trattamento.

Un’azienda può subordinare il servizio al consenso per l’addestramento dell’IA?

In linea generale, un’organizzazione non dovrebbe negare un prodotto o un servizio solo perché il consumatore rifiuta di autorizzare l’addestramento dell’IA, quando tale attività non è ragionevolmente necessaria per fornire il prodotto o il servizio richiesto.

In pratica, il consenso per sviluppare un assistente generico o un modello commerciale non collegato al servizio non dovrebbe normalmente essere inserito come condizione per aprire un conto bancario standard, usare un servizio di shopping o accedere a una piattaforma social.

La qualificazione decisiva è la necessità. Il consenso può essere richiesto come condizione quando la raccolta, l’uso o la comunicazione dei dati sono ragionevolmente necessari per il servizio o la transazione domandata dal consumatore. La valutazione dipende dal servizio specifico, dal tipo di dati e dalle circostanze: le indicazioni non danno una risposta valida indistintamente per ogni organizzazione o sistema di IA.

Cosa controllare in un’informativa sull’IA

I consumatori dovrebbero verificare che la comunicazione indichi almeno quattro elementi:

• che i loro dati personali saranno utilizzati per sviluppare, addestrare o migliorare un modello di IA generativa;
• quali categorie di dati saranno coinvolte;
• per quale scopo e con quali modalità i dati saranno utilizzati;
• se il consenso può essere rifiutato o revocato e come esercitare questa scelta.

Le organizzazioni, invece, dovrebbero prima stabilire se le informazioni sono ancora dati personali, se si applica un’eccezione prevista dal PDPA e se l’uso proposto è ragionevolmente necessario per il servizio richiesto.

Solo dopo questa verifica è possibile capire se serva un’informativa specifica sull’IA accompagnata dal consenso e da un meccanismo di opt-out. È questo il limite principale del quadro delineato a Singapore nel luglio 2026: più trasparenza quando l’addestramento si basa sul consenso, ma nessun diritto automatico a rifiutare ogni uso legittimo dei dati.