Bila syarikat Singapura wajib memaklumkan data anda digunakan untuk melatih AI?

Bagaimana peraturan ini terpakai dalam empat situasi biasa

Bank menggunakan data kewangan dan khidmat pelanggan untuk pembantu AI

Jika bank menggunakan data pelanggan untuk membangunkan atau menambah baik pembantu AI, bank perlu memberikan notis khusus AI sekiranya bergantung pada persetujuan. Notis itu harus membezakan pembangunan model daripada fungsi biasa penyampaian perkhidmatan perbankan atau khidmat pelanggan.

Bank mungkin boleh bergantung pada pengecualian persetujuan di bawah PDPA, seperti pengecualian penambahbaikan perniagaan, tetapi hanya jika semua syarat dan skop undang-undang dipenuhi. Jika pengecualian yang sah terpakai, persetujuan — dan dengan itu pilihan menarik diri yang berasaskan persetujuan — mungkin tidak diperlukan.

Syarikat insurans menggunakan maklumat perubatan dan tuntutan

Persoalan asas yang sama terpakai kepada syarikat insurans: jika persetujuan diperlukan untuk menggunakan data perubatan atau tuntutan bagi membangunkan model AI generatif, notis itu mesti menerangkan penggunaan AI tersebut secara khusus. Kenyataan lama yang umum tentang “penambahbaikan perkhidmatan” tidak sepatutnya dianggap mencukupi secara automatik untuk latihan model.

Syarikat insurans perlu membuktikan bahawa pengecualian PDPA yang berkaitan terpakai atau mendapatkan persetujuan sah melalui notis khusus AI. Sumber yang tersedia tidak menetapkan bahawa semua data perubatan atau tuntutan secara automatik dikecualikan.

Platform e-dagang membangunkan produk AI komersial

Penggunaan sejarah pembelian atau aktiviti pelayaran untuk membangunkan produk AI generatif komersial yang berasingan ialah contoh jelas penggunaan semula data melangkaui pengalaman membeli-belah asal. Jika persetujuan diperlukan, platform tersebut harus menerangkan tujuan AI secara terus dan tidak bergantung pada klausa umum tentang pembangunan produk.

Pengecualian penambahbaikan perniagaan mungkin relevan dalam keadaan tertentu, tetapi ia bukan lesen umum untuk setiap penggunaan komersial baharu. Organisasi masih perlu memenuhi keperluan undang-undang pengecualian itu dan kekal dalam skopnya.

Platform sosial menambah baik alat penciptaan kandungan

Platform media sosial yang menggunakan profil, foto, video, hantaran atau interaksi pengguna untuk menambah baik alat penciptaan kandungan berasaskan AI generatif mesti memberikan notis khusus AI jika persetujuan menjadi asas undang-undang penggunaannya.

Data peribadi yang tersedia kepada umum mungkin termasuk dalam pengecualian data tersedia umum di bawah PDPA, yang bermaksud persetujuan mungkin tidak diperlukan. Namun, status keterlihatan amat penting: bahan yang benar-benar terbuka kepada umum berbeza daripada kandungan yang hanya dikongsi dengan pengguna terpilih atau dilindungi kawalan akses.

Bila notis atau pilihan menarik diri mungkin tidak diperlukan

Data telah dinyahnamakan sepenuhnya

Jika data benar-benar dinyahnamakan sehingga tidak lagi menjadi data peribadi, kewajipan notis dan persetujuan berkaitan data peribadi di bawah PDPA tidak terpakai. Data yang hanya dipseudonimkan atau disamarkan tidak boleh terus dianggap anonim; persoalan utamanya ialah sama ada seseorang masih boleh dikenal pasti.

Pengecualian PDPA yang sah terpakai

Organisasi mungkin tidak perlu mendapatkan persetujuan jika dapat bergantung dengan betul pada pengecualian berkanun, termasuk pengecualian data tersedia umum atau, apabila syaratnya dipenuhi, pengecualian penambahbaikan perniagaan. Oleh sebab kewajipan notis khusus AI berkait dengan keadaan yang memerlukan persetujuan, ia tidak mewujudkan hak sejagat untuk menarik diri daripada setiap penggunaan data bagi latihan AI yang sah.

Laluan persetujuan yang digunakan tidak memerlukan pilihan menarik diri

Panduan PDPC menerangkan bahawa laluan menarik diri melibatkan pemberian notis, tempoh yang munasabah dan kaedah yang munasabah untuk seseorang menolak penggunaan tersebut apabila laluan itu digunakan. Ini tidak bermaksud setiap aktiviti pemprosesan berkaitan AI mesti menyediakan pilihan menarik diri — khususnya apabila organisasi bergantung pada pengecualian persetujuan, bukannya persetujuan.

Pengguna masih boleh mempunyai hak untuk menarik balik persetujuan yang telah diberikan atau dianggap telah diberikan di bawah PDPA, tertakluk pada rangka kerja yang terpakai kepada pemprosesan tersebut.

Bolehkah syarikat menjadikan persetujuan latihan AI sebagai syarat perkhidmatan?

Secara umum, organisasi tidak sepatutnya menolak sesuatu produk atau perkhidmatan hanya kerana pengguna enggan memberikan persetujuan untuk latihan AI, jika latihan itu tidak diperlukan secara munasabah bagi menyediakan produk atau perkhidmatan yang diminta. Ini bermakna persetujuan untuk membangunkan pembantu AI serba guna atau model komersial yang tidak berkaitan biasanya tidak boleh digabungkan sebagai syarat untuk membuka akaun bank biasa, menggunakan perkhidmatan beli-belah atau mengakses platform sosial.

Namun, persoalan utama ialah keperluan. Persetujuan mungkin boleh dijadikan syarat jika pengumpulan, penggunaan atau pendedahan data itu sememangnya diperlukan secara munasabah untuk perkhidmatan atau urus niaga yang diminta pengguna. Sama ada ambang ini dipenuhi bergantung pada perkhidmatan, penggunaan data dan keadaan khusus; panduan tersebut tidak memberikan jawapan mutlak untuk setiap organisasi atau sistem AI.

Perkara yang perlu diperhatikan oleh pengguna dan organisasi

Pengguna wajar mencari empat maklumat utama dalam notis AI:

• kenyataan bahawa data peribadi mereka akan digunakan untuk membangunkan, melatih atau menambah baik model AI generatif;
• kategori data yang terlibat;
• tujuan serta cara data itu akan digunakan; dan
• sama ada persetujuan boleh ditolak atau ditarik balik, serta cara melakukannya.

Organisasi pula perlu menentukan terlebih dahulu sama ada maklumat itu masih merupakan data peribadi, sama ada pengecualian terpakai dan sama ada penggunaan AI tersebut diperlukan secara munasabah untuk perkhidmatan yang diminta. Selepas itu barulah organisasi boleh menentukan sama ada notis persetujuan khusus AI — serta mekanisme menarik diri — diperlukan.

Inilah batas utama rangka kerja Singapura pada Julai 2026: ketelusan yang lebih tinggi untuk latihan AI berasaskan persetujuan, tetapi tiada hak automatik untuk menarik diri daripada setiap penggunaan data yang sah.