Singapore, nuove regole sui dati per l’AI generativa: cosa devono dire le aziende agli utenti

La risposta in breve

Singapore ha trasformato in linee guida definitive una parte importante del dibattito sull’uso dei dati personali per l’intelligenza artificiale generativa. Il 20 luglio 2026 la Personal Data Protection Commission (PDPC), l’autorità incaricata della protezione dei dati personali nel Paese, ha pubblicato le Advisory Guidelines on the Use of Personal Data in Generative AI.

Il principio di fondo è semplice: quando per sviluppare o migliorare un modello di AI generativa è necessario il consenso dell’utente, un’informativa generica non è sufficiente. Scrivere che i dati potrebbero essere usati per lo “sviluppo di nuovi prodotti” non descrive in modo abbastanza preciso l’addestramento o il fine-tuning di un modello su larga scala.

Le linee guida hanno natura consultiva e si inseriscono nel quadro del Personal Data Protection Act (PDPA) di Singapore. Non costituiscono quindi un divieto generale di usare dati personali per addestrare l’AI. In alcuni casi, la legge prevede eccezioni, tra cui quella relativa a determinati dati personali disponibili pubblicamente.

Cosa deve spiegare una notifica specifica per l’AI

L’obiettivo della PDPC è fare in modo che le persone possano capire non soltanto quale servizio stanno usando, ma anche dove finiscono i loro dati e quale ruolo svolgono nel processo di sviluppo del modello.

Una notifica chiara dovrebbe indicare:

• che cosa fa il modello e perché viene sviluppato;
• quali categorie di dati personali vengono utilizzate, per esempio dati di contatto, informazioni su transazioni o posizione, immagini, video e registrazioni vocali;
• in che modo i dati contribuiscono al modello, evitando di limitarsi a dire che vengono semplicemente “trattati”;
• come opporsi all’uso dei dati o ritirare il consenso, attraverso istruzioni concrete e facilmente accessibili.

La trasparenza, secondo l’impostazione della PDPC, deve essere utile nel momento in cui l’utente decide. Non dovrebbe essere affidata a una frase nascosta in fondo a un’informativa sulla privacy lunga e difficile da consultare. Tra i formati suggeriti figurano un avviso ben visibile direttamente nel prodotto oppure una pagina web dedicata.

Un esempio concreto: le registrazioni vocali

Immaginiamo un’azienda che stia sviluppando una funzione di sintesi vocale. L’informativa dovrebbe dire chiaramente che le registrazioni vocali dei clienti saranno usate per addestrare il modello e spiegare che quei dati aiutano il sistema a riconoscere i diversi schemi del parlato.

Dire soltanto che le registrazioni saranno utilizzate per “migliorare il prodotto” sarebbe molto meno trasparente: non permetterebbe all’utente di capire che la propria voce potrebbe diventare parte del processo di addestramento dell’AI.

Informare l’utente non significa automaticamente ottenere il consenso

Uno dei punti più importanti riguarda la differenza tra notifica e consenso.

Nel quadro generale del PDPA, le organizzazioni devono normalmente informare le persone sulle finalità della raccolta, dell’uso o della comunicazione dei dati personali e ottenere il loro consenso, salvo che si applichi un’eccezione prevista dalla legge.

Le linee guida definitive chiariscono il contenuto dell’informativa nei casi in cui il consenso sia necessario: l’organizzazione deve indicare espressamente che i dati saranno usati per sviluppare o migliorare un modello di AI.

Questo non significa, però, che ogni impiego di dati personali nell’addestramento di un sistema di AI richieda automaticamente un consenso esplicito e affermativo. La risposta dipende dalla base giuridica applicabile e dalle eventuali eccezioni del PDPA, comprese quelle relative alle informazioni disponibili pubblicamente.

Per le aziende, la conseguenza pratica è importante: ogni dataset dovrebbe essere collegato a uno specifico caso d’uso e a una base giuridica documentata. Un’informativa precisa non può sostituire il consenso quando il consenso è richiesto; allo stesso modo, il consenso non può essere dato per scontato se la formulazione è troppo vaga per descrivere l’uso effettivo dei dati.

I dubbi emersi durante la consultazione

La proposta iniziale della PDPC aveva attirato l’attenzione perché lasciava aperte alcune questioni operative rilevanti. Le linee guida definitive hanno chiarito alcuni aspetti, ma non hanno eliminato tutte le difficoltà pratiche e di governance.

Il consenso esplicito è sempre obbligatorio?

La proposta non stabiliva con chiarezza che il consenso esplicito e affermativo fosse necessario in ogni scenario di addestramento dell’AI generativa. Da qui le domande sulla possibilità di usare un meccanismo di opposizione, o opt-out, e sui casi in cui potrebbe applicarsi un’eccezione del PDPA.

La versione definitiva rende ancora più importante individuare la corretta base giuridica. Una notifica specifica sull’AI non deve essere presentata come un sostituto universale del consenso: serve a spiegare l’uso previsto, ma non risolve da sola il requisito del consenso quando la legge lo impone.

L’anonimizzazione esclude il problema?

Un altro punto rimasto incerto riguarda i dati anonimizzati prima dell’addestramento. La proposta non chiariva del tutto se, in questi casi, sarebbe comunque stata necessaria una notifica specifica per l’AI.

La valutazione dipende dalla possibilità di ricollegare le informazioni a una persona identificabile, dal metodo usato per l’anonimizzazione e dal modo in cui l’organizzazione esegue e documenta il processo.

Le informazioni disponibili non giustificano quindi l’idea che definire un dataset “anonimizzato” chiuda automaticamente ogni questione. Le aziende devono esaminare il tipo di dati e le modalità concrete del trattamento, invece di affidarsi soltanto all’etichetta utilizzata.

Un servizio può essere negato a chi rifiuta?

La consultazione ha sollevato anche un interrogativo particolarmente delicato: banche, assicurazioni, piattaforme digitali o altri fornitori possono negare o rendere indisponibile un servizio a chi non accetta che i propri dati siano usati per addestrare un modello?

È il punto in cui una scelta formalmente libera può scontrarsi con la realtà. Un’opzione di opt-out esiste sulla carta, ma potrebbe essere difficile da esercitare se il rifiuto comporta un costo elevato o la perdita dell’accesso a un servizio essenziale.

La nuova impostazione aumenta la visibilità sull’uso dei dati, ma non risponde da sola a tutte le domande su equità, accesso ai servizi e squilibrio di potere tra utenti e fornitori.

Il collegamento con smart glasses, smartwatch e dati biometrici

L’attenzione della PDPC sull’AI generativa si inserisce in una discussione più ampia sui prodotti capaci di raccogliere informazioni senza che le persone se ne accorgano realmente. Le priorità associate alla commissaria Denise Wong hanno incluso dispositivi e sistemi come smart glasses, smartwatch e sistemi di pagamento basati sulla scansione del palmo della mano.

Queste tecnologie possono trattare informazioni particolarmente sensibili, tra cui:

• tratti del volto;
• impronte digitali;
• dati vocali;
• configurazioni delle vene del palmo della mano.

Tra i rischi segnalati figurano registrazioni effettuate senza adeguata consapevolezza, esposizione o uso improprio dei dati biometrici e l’impiego degli smart glasses per catturare materiale d’esame o altre informazioni utili a facilitare comportamenti fraudolenti.

Anche il Ministero dello sviluppo digitale e dell’informazione di Singapore ha affrontato il tema degli indicatori visivi sugli smart glasses e della raccolta di dati biometrici o ambientali delle persone che si trovano nelle vicinanze ma non stanno utilizzando il dispositivo.

Il problema di fondo è quello della consapevolezza effettiva. Una piccola spia luminosa o una policy nascosta nella documentazione del prodotto potrebbero non offrire ai passanti una possibilità realistica di capire cosa sta accadendo né di compiere una scelta informata.

Cosa dovrebbero fare ora le organizzazioni

Per le aziende che sviluppano o utilizzano sistemi di AI generativa a Singapore, le linee guida possono diventare una vera checklist di gestione dei dati:

1. Mappare ogni dataset rispetto a uno specifico caso d’uso. Occorre distinguere tra addestramento, fine-tuning, test, monitoraggio e altri impieghi.
2. Scegliere e documentare la base prevista dal PDPA. Bisogna registrare se è necessario il consenso o se si fa affidamento su un’eccezione prevista dalla legge.
3. Riscrivere le informative generiche. Quando questa è la finalità, l’organizzazione dovrebbe dire chiaramente che i dati personali saranno usati per sviluppare o migliorare un modello di AI generativa.
4. Descrivere le categorie di dati e il funzionamento del modello. Gli utenti devono poter capire quali informazioni vengono usate e che cosa aiutano il modello a fare.
5. Rendere concreta la possibilità di scelta. Le istruzioni per opporsi o ritirare il consenso devono essere semplici da trovare e da utilizzare; le richieste devono inoltre essere registrate e gestite in modo coerente.
6. Valutare separatamente i dispositivi connessi. Smart glasses, dispositivi indossabili, videocamere e sistemi biometrici possono creare problemi di notifica e consenso anche per persone che non sono gli utenti diretti del prodotto.

La svolta di Singapore non consiste quindi nel vietare l’uso dei dati personali nell’AI generativa. Il punto è renderlo visibile, specifico e legato a una base giuridica identificabile.

Le linee guida definitive riducono il divario tra le tradizionali informative sulla privacy e i moderni processi di sviluppo dell’AI. Restano però aperte le questioni più difficili: quanto deve essere realmente libera la scelta dell’utente e come proteggere dati sensibili o raccolti indirettamente da dispositivi presenti nell’ambiente.