Singapore, nuove regole sull’IA generativa: notifiche sui dati e schede informative per i chatbot

Per i chatbot pubblici, invece, la scheda informativa dell’IMDA è volontaria. L’obiettivo è offrire in un unico punto, con un linguaggio comprensibile, le informazioni essenziali su funzioni, limiti, sicurezza, affidabilità, trattamento dei dati e canali per segnalare eventuali problemi.

Cosa prevede la guida della PDPC

La guida si applica al ciclo di vita dei sistemi GenAI e può riguardare:

• dati raccolti online o tramite attività di web scraping;
• informazioni fornite dagli utenti per ottenere un servizio ordinario e poi riutilizzate per sviluppare o migliorare un modello;
• sviluppo e distribuzione dei modelli;
• sicurezza e conservazione dei dati;
• richieste di accesso o rettifica dei dati personali.

Il nodo principale è il cambio di finalità. Un’informazione fornita per una transazione, per aprire un account o per ricevere assistenza può finire, in un secondo momento e su larga scala, nei processi di addestramento o perfezionamento di un modello. In questi casi può diventare più difficile per le persone capire come sono stati riutilizzati i propri dati, esercitare un controllo su tale uso o far valere i propri diritti dopo l’ingresso dei dati in un ampio insieme di addestramento.

La PDPC distingue inoltre le responsabilità lungo la filiera dell’IA. I fornitori dei modelli restano responsabili degli obblighi previsti dal Personal Data Protection Act (PDPA) per lo sviluppo e la distribuzione dei modelli. I fornitori dei sistemi devono considerare la sicurezza e comunicare le protezioni rilevanti, mentre chi implementa il sistema deve definire le finalità del trattamento, comprendere i flussi di dati e verificare i controlli adottati.

Quando serve una notifica specifica per l’IA

Quando un’organizzazione vuole usare i dati degli utenti per sviluppare un modello GenAI e non si applica un’eccezione al consenso prevista dal PDPA, deve ottenere il consenso attraverso una AI-Specific Notification, cioè una notifica specifica sull’uso dell’IA.

Non basta quindi una clausola generale che faccia riferimento al “miglioramento del prodotto” o allo “sviluppo di nuovi servizi”. La comunicazione deve rendere evidente che i dati personali saranno utilizzati per sviluppare o migliorare un modello di IA generativa.

Questo aspetto è particolarmente rilevante quando i dati sono stati forniti direttamente dall’utente attraverso un prodotto o un servizio per uno scopo non legato all’IA e vengono successivamente riutilizzati per l’addestramento o il perfezionamento di un modello. L’organizzazione deve valutare il contesto della raccolta iniziale, la nuova finalità e l’eventuale applicabilità di un’eccezione.

Dati pubblicamente disponibili

Il PDPA può consentire la raccolta senza consenso di dati personali realmente disponibili al pubblico per lo sviluppo di modelli. Tuttavia, il fatto che un’informazione sia raggiungibile online non significa automaticamente che rientri in questa eccezione.

I dati protetti da paywall, accesso con credenziali, registrazione o barriere digitali analoghe richiedono una valutazione attenta per stabilire se possano ancora essere considerati “pubblicamente disponibili” ai fini del PDPA.

Dati correttamente anonimizzati

I dati adeguatamente anonimizzati non sono considerati dati personali ai fini del PDPA, perché non consentono di identificare un individuo. La PDPC incoraggia, quando possibile, l’uso di dati anonimizzati per analisi e ricerca.

La semplice rimozione del nome, però, non è necessariamente sufficiente. Se una persona può ancora essere identificata usando le informazioni rimaste o altri dati ragionevolmente disponibili, il dataset potrebbe non essere davvero anonimo. L’organizzazione deve quindi verificare che il processo elimini concretamente la possibilità di identificazione.

E le registrazioni dei call center?

Le fonti disponibili non stabiliscono un’eccezione separata e generale per le registrazioni dei call center. Una registrazione che identifica, o può ragionevolmente identificare, il chiamante dovrebbe essere trattata come dato personale nella valutazione del riutilizzo per l’IA generativa.

Prima di usare la registrazione per sviluppare un modello, l’organizzazione avrebbe quindi bisogno di una base prevista dal PDPA, come un consenso valido, una notifica conforme o un’altra eccezione normativa applicabile. La decisione concreta dipende dal contenuto della registrazione, dal modo in cui è stata raccolta e dalla finalità GenAI proposta; le fonti non consentono di affermare una regola ulteriore specifica per le telefonate.

Che cosa deve contenere la notifica

La comunicazione dovrebbe fornire informazioni specifiche e realmente comprensibili. In particolare, dovrebbe indicare:

• la finalità legata all’IA: che i dati personali saranno usati per sviluppare o migliorare un modello GenAI;
• il motivo dell’utilizzo: perché il modello viene sviluppato o migliorato;
• le categorie di dati coinvolte: quali tipi di informazioni personali saranno utilizzati;
• le modalità d’uso: per esempio, se i dati serviranno all’addestramento o al fine-tuning del modello;
• le possibilità dell’interessato: come rifiutare o revocare il consenso, oppure esercitare l’opt-out quando previsto.

Un’informativa privacy generale può continuare a fornire il contesto, ma non dovrebbe essere l’unica comunicazione se non chiarisce l’uso dei dati per l’addestramento GenAI. Il criterio centrale è semplice: una persona ragionevole deve poter capire che i propri dati potrebbero essere impiegati per sviluppare o migliorare un modello di IA generativa.

Dove può comparire la notifica

Le fonti non impongono un unico formato o una posizione obbligatoria per tutte le organizzazioni. In pratica, la comunicazione potrebbe essere mostrata nel momento in cui i dati vengono raccolti o quando l’utente utilizza il servizio: durante la registrazione, attraverso un avviso contestuale nell’applicazione, nelle impostazioni sulla privacy dell’account o tramite un’informativa chiaramente collegata.

Questi esempi sono una deduzione operativa e non un elenco esaustivo della scheda informativa della PDPC. In ogni caso, la notifica dovrebbe essere visibile e specifica, non nascosta tra condizioni generiche e difficili da individuare.

Consenso, revoca e accesso al servizio

Gli utenti possono chiedere l’accesso o la rettifica dei propri dati personali anche dopo che questi sono stati utilizzati nello sviluppo di un sistema GenAI. Le organizzazioni dovrebbero adottare buone pratiche nella fase iniziale di gestione dei dati, esaminare le richieste caso per caso e predisporre misure tecniche adeguate, anche se rintracciare un’informazione all’interno di un grande dataset di addestramento può essere complesso.

Quando il consenso è la base giuridica del trattamento, l’utente deve essere informato su come rifiutarlo o revocarlo. Questo non significa automaticamente che possa continuare a utilizzare ogni componente del servizio alle stesse condizioni dopo l’opt-out. La possibilità di mantenere l’accesso al servizio principale dipende dal ruolo dell’addestramento GenAI, dalla necessità di quel trattamento e dalla struttura del consenso adottata dall’organizzazione. Le fonti non riconoscono un diritto generale a conservare integralmente il servizio dopo ogni revoca.

La “Chatbot Info Card” dell’IMDA

Le linee guida sulla trasparenza dell’IMDA hanno un taglio diverso e più orientato all’esperienza del consumatore. Si applicano ai soggetti che gestiscono chatbot GenAI rivolti all’esterno, cioè capaci di interagire direttamente con clienti, consumatori o membri del pubblico. Sono volontarie e non riguardano gli strumenti utilizzati esclusivamente all’interno di un’organizzazione.

Il loro elemento centrale è la Chatbot Info Card, paragonata a un’etichetta nutrizionale o a quella di un medicinale. Può essere una pagina informativa dedicata o un documento di trasparenza, purché offra agli utenti un punto unico, accessibile e facilmente consultabile.

La scheda dovrebbe rispettare tre principi:

• Rilevanza: includere ciò che serve per capire se e come affidarsi al chatbot;
• Accessibilità: usare un linguaggio chiaro e rendere le informazioni facili da trovare e navigare;
• Tempestività: pubblicare la scheda quando il chatbot viene reso disponibile e aggiornarla se cambiano in modo significativo capacità, rischi o politiche di sicurezza.

Le informazioni attese nella scheda

Una scheda utile dovrebbe spiegare:

• lo scopo, le funzioni e le capacità del chatbot;
• i principali limiti, compresi i casi in cui le risposte devono essere verificate o l’utilizzo può essere inappropriato;
• le misure adottate per affidabilità e sicurezza;
• come vengono gestiti input, conversazioni e altri dati degli utenti;
• i canali per reclami, feedback e segnalazioni di incidenti.

La scheda non garantisce che il chatbot sia sempre accurato o sicuro. Il suo valore consiste nel dare agli utenti una base più chiara per decidere quando usare lo strumento, quali informazioni condividere e a chi rivolgersi se qualcosa non funziona.

L’IMDA ha scelto di concentrarsi inizialmente sui chatbot pubblici per la loro ampia esposizione ai consumatori e per i rischi legati, tra gli altri, alla privacy, alla sicurezza dei minori e alle persone psicologicamente vulnerabili. Il quadro potrebbe inoltre diventare un riferimento per altre applicazioni GenAI e per future linee guida settoriali.

Come intendono muoversi aziende e agenzie pubbliche

Google, Meta, DBS, OCBC, Singapore Airlines e Synapxe hanno indicato che useranno le linee guida volontarie come riferimento per migliorare la trasparenza dei propri chatbot rivolti al pubblico. Si tratta di un impegno all’allineamento e al miglioramento progressivo, non della prova che tutte queste organizzazioni abbiano già pubblicato una scheda identica.

Per le banche, l’attenzione dovrebbe concentrarsi sulla spiegazione delle funzioni rivolte alla clientela, dei limiti e delle protezioni, in coordinamento con i sistemi già esistenti di governance e gestione del rischio dell’IA. DBS ha richiamato le proprie iniziative di IA per i clienti, mentre OCBC ha collegato le raccomandazioni alla governance e alla gestione del rischio già adottate.

Singapore Airlines ha dichiarato che continuerà a rivedere e rafforzare governance e salvaguardie mentre amplia le esperienze per i clienti basate sull’IA. Google e Meta hanno sostenuto l’importanza di informazioni più chiare e accessibili sul funzionamento dei loro prodotti e sulle modalità di interazione degli utenti con essi.

Anche le agenzie pubbliche dovrebbero usare il quadro come riferimento: la National Library Board e la Health Promotion Board intendono tenerne conto per i propri chatbot rivolti al pubblico.

Che cosa cambia, in concreto

Le misure di Singapore combinano una maggiore precisione nell’informare sull’uso dei dati personali con uno standard volontario di trasparenza per i chatbot. Le due iniziative sono complementari, ma non intercambiabili:

1. Mappare i dati: individuare quali dati personali entrano nei processi di sviluppo del modello o nel chatbot e per quale motivo.
2. Verificare la base giuridica: stabilire se serve il consenso o se si applica un’eccezione del PDPA.
3. Rendere esplicito il riutilizzo per l’IA: usare una notifica specifica quando richiesta, invece di formule generiche sul miglioramento del prodotto.
4. Prepararsi alle richieste degli utenti: conservare informazioni sufficienti per valutare richieste di accesso, rettifica e revoca.
5. Pubblicare informazioni sul chatbot: per i servizi rivolti al pubblico, offrire una scheda rilevante, accessibile e aggiornata su capacità, limiti, sicurezza, affidabilità, dati e segnalazioni.

Il risultato non è una garanzia universale che gli utenti possano bloccare ogni uso dei propri dati legato all’IA. È piuttosto una spinta verso comunicazioni più trasparenti, una governance dei dati più rigorosa e una maggiore responsabilità per gli strumenti GenAI destinati al pubblico.