Peraturan GenAI Singapura 2026: Notis AI dan Kad Maklumat Chatbot Dijelaskan

Singapura memperkenalkan dua langkah berkaitan tetapi berbeza pada 20 Julai 2026. Suruhanjaya Perlindungan Data Peribadi Singapura (PDPC) menerbitkan panduan mengenai penggunaan data peribadi dalam model dan sistem kecerdasan buatan generatif (GenAI), termasuk keperluan memberikan notis khusus AI apabila persetujuan diperlukan. Pada masa yang sama, Penguasa Pembangunan Media Infokom (IMDA) menerbitkan panduan ketelusan secara sukarela untuk chatbot GenAI yang digunakan oleh orang awam, dengan tumpuan pada Kad Maklumat Chatbot dalam bahasa mudah.

Perbezaan ini penting: panduan PDPC berkaitan cara organisasi mengumpul dan menggunakan data peribadi, manakala rangka kerja IMDA berkaitan cara chatbot awam menerangkan keupayaan, risiko dan amalan pengendalian datanya kepada pengguna.

Ringkasnya, apa yang berubah?

Jika data peribadi yang asalnya dikumpulkan untuk satu tujuan—contohnya urusan akaun, transaksi atau khidmat pelanggan—kemudiannya digunakan untuk membangunkan atau menambah baik model GenAI, kenyataan umum seperti “data mungkin digunakan untuk penambahbaikan produk” biasanya tidak cukup khusus apabila persetujuan diperlukan. Organisasi perlu menyatakan dengan jelas bahawa data itu akan digunakan untuk pembangunan atau penambahbaikan model GenAI serta menerangkan pilihan yang tersedia kepada individu.

Bagi chatbot awam, panduannya berbeza. Ia bersifat sukarela dan terpakai kepada chatbot GenAI luaran yang berinteraksi secara langsung dengan pelanggan, pengguna atau orang ramai. Panduan itu mengesyorkan satu ruang yang mudah dicari supaya pengguna dapat memahami fungsi chatbot, batasannya, langkah keselamatan, penggunaan data dan cara membuat aduan atau melaporkan masalah.

Skop panduan PDPC

Panduan PDPC meliputi data peribadi sepanjang kitar hayat GenAI. Ini boleh merangkumi data yang dikumpulkan daripada web, maklumat yang diberikan pengguna ketika menggunakan perkhidmatan biasa sebelum digunakan semula untuk membangunkan atau menambah baik model, penggunaan model, keselamatan, tempoh penyimpanan serta permintaan untuk mengakses atau membetulkan data.

Cabaran privasi utama ialah perubahan tujuan penggunaan. Maklumat yang pada asalnya diberikan untuk transaksi, akaun, interaksi sokongan atau perkhidmatan lain mungkin digunakan semula pada skala besar untuk melatih atau memperhalus model. Apabila ini berlaku, pengguna mungkin lebih sukar memahami apa yang berlaku kepada data mereka, mengawalnya atau menggunakan hak akses dan pembetulan selepas data itu dimasukkan ke dalam proses latihan yang besar.

PDPC turut membezakan tanggungjawab di sepanjang rantaian bekalan AI:

• Penyedia model bertanggungjawab terhadap kewajipan di bawah PDPA yang berkaitan dengan pembangunan dan penggunaan model.
• Penyedia sistem perlu mengambil kira keselamatan sistem serta menyampaikan perlindungan yang berkaitan.
• Pengendali sistem perlu menentukan tujuan pemprosesan, memahami aliran data dan menyemak kawalan dalam sistem yang mereka kendalikan.

Bila notis khusus AI diperlukan?

Organisasi perlu mendapatkan persetujuan melalui notis khusus AI apabila mahu menggunakan “Data Pengguna” untuk membangunkan model GenAI dan tiada pengecualian persetujuan di bawah PDPA yang terpakai. Notis itu perlu menyebut penggunaan GenAI dengan jelas; penerangan umum seperti “penambahbaikan perkhidmatan”, “pemperibadian” atau “penambahbaikan produk” tidak boleh menjadi pengganti kepada pendedahan yang khusus.

Keperluan ini amat relevan apabila maklumat yang diberikan melalui produk atau perkhidmatan sedia ada untuk tujuan bukan GenAI kemudiannya digunakan bagi pembangunan model. Sebelum meneruskan, organisasi perlu menilai konteks pengumpulan asal, tujuan baharu dan sama ada terdapat pengecualian yang boleh digunakan.

Data yang tersedia kepada umum ialah kes berasingan

Pengecualian bagi data peribadi yang tersedia kepada umum di bawah PDPA mungkin membolehkan organisasi mengumpul data sedemikian tanpa persetujuan untuk pembangunan model. Namun, tidak semua maklumat yang boleh dicapai melalui internet secara automatik layak dianggap tersedia kepada umum. Data di sebalik bayaran langganan, log masuk, pendaftaran atau halangan digital yang serupa memerlukan penilaian teliti.

Data yang dianonimkan dengan betul

Data yang benar-benar dianonimkan bukan lagi data peribadi bagi tujuan PDPA kerana ia tidak boleh digunakan untuk mengenal pasti seseorang. Bahan PDPC turut menggalakkan organisasi menggunakan data yang dianonimkan untuk analitik dan penyelidikan jika boleh.

Bagaimanapun, membuang nama sahaja tidak semestinya menjadikan sesuatu set data benar-benar anonim. Seseorang masih mungkin dikenal pasti melalui maklumat yang tinggal atau maklumat lain yang munasabah untuk diperoleh. Oleh itu, organisasi perlu menilai sama ada proses anonimasi mereka benar-benar menghapuskan keupayaan mengenal pasti individu.

Bagaimana pula dengan rakaman pusat panggilan?

Bahan sumber yang diberikan tidak menetapkan pengecualian khusus dan menyeluruh untuk rakaman pusat panggilan. Secara praktikal, rakaman yang mengenal pasti atau secara munasabah boleh mengenal pasti pemanggil perlu dianggap sebagai data peribadi ketika organisasi menilai penggunaan semula untuk GenAI.

Organisasi masih memerlukan asas yang sah di bawah PDPA—seperti persetujuan yang sah, notis atau pengecualian berkanun lain—sebelum rakaman itu digunakan bagi pembangunan model. Peraturan tambahan yang khusus untuk rakaman pusat panggilan tidak dapat dipastikan berdasarkan sumber yang tersedia; pelaksanaannya bergantung pada kandungan rakaman, cara ia dikumpulkan, tujuan penggunaan GenAI dan pengecualian PDPA yang berkaitan.

Kandungan notis khusus AI

Notis tersebut perlu memberikan maklumat yang bermakna dan khusus. Sekurang-kurangnya, ia perlu menerangkan:

• Tujuan AI: bahawa data peribadi akan digunakan untuk membangunkan atau menambah baik model GenAI.
• Sebab penggunaan: tujuan pembangunan atau penambahbaikan model itu.
• Data yang terlibat: kategori data peribadi yang akan digunakan.
• Cara data digunakan: contohnya untuk latihan atau penalaan halus model, jika berkaitan.
• Pilihan pengguna: cara seseorang boleh menolak atau menarik balik persetujuan, atau memilih untuk tidak menyertai penggunaan itu jika pilihan tersebut tersedia.

Polisi privasi umum masih boleh digunakan untuk memberikan maklumat latar belakang. Namun, ia tidak sepatutnya menjadi satu-satunya pendedahan jika tujuan latihan GenAI masih kabur. Ujian praktikalnya ialah sama ada orang yang munasabah boleh memahami bahawa data peribadi mereka mungkin digunakan untuk membangunkan atau menambah baik model AI generatif.

Di mana notis itu boleh dipaparkan?

Bahan yang diberikan tidak menetapkan satu format atau lokasi wajib untuk semua organisasi. Pendekatan praktikal ialah memaparkan maklumat tersebut ketika data berkaitan dikumpulkan atau ketika perkhidmatan digunakan—contohnya semasa pendaftaran, melalui pemberitahuan segera dalam produk, di tetapan privasi akaun atau dalam notis privasi yang dipautkan dengan jelas.

Cadangan penempatan ini ialah kesimpulan pelaksanaan, bukan senarai lengkap yang ditetapkan dalam helaian fakta PDPC. Apa-apa format yang dipilih, pendedahan perlu mudah dilihat dan cukup khusus, bukannya disembunyikan dalam terma umum yang sukar ditemui.

Persetujuan, penarikan diri dan hak akses

Individu boleh meminta akses kepada dan pembetulan data peribadi mereka walaupun data itu telah digunakan dalam pembangunan GenAI. Organisasi dijangka mengamalkan pengurusan data di peringkat awal yang munasabah, menilai permintaan berdasarkan kes dan menggunakan langkah teknikal yang sesuai. Namun, menjejaki semula maklumat dalam set data latihan yang besar boleh menjadi sukar.

Jika persetujuan menjadi asas undang-undang, individu perlu dimaklumkan cara untuk menolak atau menarik balik persetujuan. Ini tidak bermakna setiap orang secara automatik berhak terus menggunakan semua bahagian perkhidmatan dengan syarat yang sama selepas memilih untuk tidak menyertai penggunaan tersebut. Sama ada akses kepada perkhidmatan utama boleh diteruskan bergantung pada peranan latihan GenAI, keperluan pemprosesan itu dan reka bentuk persetujuan organisasi. Sumber yang diberikan tidak menetapkan hak menyeluruh untuk mengekalkan akses penuh kepada perkhidmatan selepas setiap tindakan menarik diri.

Apakah Kad Maklumat Chatbot IMDA?

Garis Panduan Ketelusan IMDA untuk Chatbot AI Generatif mengambil pendekatan yang berpusatkan pengguna. Ia ditujukan kepada pengendali chatbot GenAI luaran yang berinteraksi dengan pelanggan, pengguna atau orang awam. Matlamatnya adalah membantu orang ramai membuat keputusan yang lebih bermaklumat, menyeragamkan pendedahan dan meningkatkan akauntabiliti penyedia terhadap amalan keselamatan serta kebolehpercayaan yang mereka nyatakan.

Cadangan utamanya ialah Kad Maklumat Chatbot, yang diumpamakan seperti label pemakanan atau label ubat. Kad ini boleh berbentuk halaman maklumat khusus atau dokumen pendedahan, asalkan pengguna mempunyai satu tempat yang mudah dicapai untuk mendapatkan maklumat penting.

Kad tersebut perlu berasaskan tiga prinsip:

• Relevan: mengandungi maklumat yang diperlukan pengguna untuk menilai sama ada dan bagaimana chatbot boleh dipercayai.
• Mudah diakses: menggunakan bahasa yang jelas serta mudah dicari dan dilayari.
• Tepat pada masanya: diterbitkan ketika chatbot tersedia dan dikemas kini apabila perubahan penting menjejaskan keupayaan, risiko atau polisi keselamatannya.

Maklumat yang patut diterangkan

Kad yang berguna perlu merangkumi:

• tujuan, fungsi dan keupayaan chatbot;
• batasan penting, termasuk keadaan apabila jawapan perlu disemak atau penggunaan chatbot mungkin tidak sesuai;
• langkah kebolehpercayaan dan keselamatan;
• cara input pengguna, perbualan dan data lain dikendalikan; serta
• saluran aduan, maklum balas dan laporan insiden.

Kad ini bukan jaminan bahawa chatbot sentiasa tepat atau selamat. Nilainya terletak pada pemberian maklumat yang lebih jelas supaya pengguna boleh menentukan bila hendak bergantung pada alat tersebut, maklumat apa yang wajar dikongsi dan ke mana mereka perlu melaporkan masalah.

IMDA pada mulanya memberi tumpuan kepada chatbot awam kerana pendedahannya kepada pengguna adalah luas, selain menimbulkan isu privasi, keselamatan kanak-kanak dan risiko terhadap individu yang mudah terjejas dari segi mental. Rangka kerja ini juga mungkin menjadi rujukan untuk aplikasi GenAI lain serta panduan khusus mengikut sektor pada masa depan.

Apa yang akan dilakukan oleh syarikat dan agensi?

Google, Meta, DBS, OCBC, Singapore Airlines dan Synapxe menyatakan bahawa mereka akan menggunakan panduan sukarela ini sebagai rujukan ketika menambah baik ketelusan chatbot yang berhadapan dengan orang awam. Ini menunjukkan komitmen terhadap penambahbaikan berterusan—bukan bukti bahawa semua organisasi itu sudah melancarkan Kad Maklumat yang seragam.

Bagi bank, tumpuan dijangka diberikan kepada penerangan tentang fungsi chatbot untuk pelanggan, batasan dan perlindungan keselamatan, di samping proses tadbir urus AI serta pengurusan risiko yang sedia ada. DBS merujuk kepada inisiatif AI yang berhadapan dengan pelanggan, manakala OCBC mengaitkan panduan itu dengan tadbir urus AI dan pengurusan risikonya.

Singapore Airlines pula berkata ia akan terus menyemak dan memperkukuh tadbir urus serta perlindungan AI ketika mengembangkan pengalaman pelanggan yang menggunakan AI. Google dan Meta menyokong penyampaian maklumat yang jelas serta mudah diakses tentang cara produk AI mereka berfungsi dan cara pengguna berinteraksi dengannya.

Agensi awam juga dijangka menggunakan rangka kerja tersebut sebagai rujukan. Lembaga Perpustakaan Negara dan Lembaga Promosi Kesihatan Singapura merancang untuk mengambilnya kira bagi chatbot awam mereka.

Maksudnya untuk organisasi dan pengguna

Pendekatan Singapura menggabungkan pendedahan privasi yang lebih khusus bagi penggunaan data GenAI tertentu dengan piawaian ketelusan chatbot awam yang bersifat sukarela. Kedua-dua langkah ini saling melengkapi tetapi tidak boleh dianggap sama:

1. Petakan data: kenal pasti data peribadi yang memasuki saluran pembangunan model atau chatbot serta sebab penggunaannya.
2. Semak asas undang-undang: tentukan sama ada persetujuan diperlukan atau pengecualian PDPA boleh digunakan.
3. Jelaskan penggunaan semula untuk GenAI: gunakan notis khusus AI apabila diperlukan, bukannya bergantung pada ayat umum tentang penambahbaikan produk.
4. Rancang untuk permintaan hak pengguna: simpan maklumat peringkat awal yang mencukupi untuk menilai permintaan akses, pembetulan dan penarikan persetujuan.
5. Terbitkan maklumat chatbot: bagi chatbot GenAI awam, sediakan kad yang relevan, mudah diakses dan dikemas kini, meliputi keupayaan, batasan, keselamatan, kebolehpercayaan, amalan data serta saluran pelaporan.

Kesannya bukanlah janji bahawa pengguna boleh menghentikan setiap bentuk penggunaan data mereka berkaitan AI. Sebaliknya, ia merupakan dorongan supaya organisasi memberikan pendedahan yang lebih jelas, mengurus data dengan lebih teratur dan bertanggungjawab terhadap AI yang digunakan oleh orang awam.