Peraturan data AI Singapura: Notis umum tidak lagi memadai untuk latihan GenAI

Apa yang perlu diterangkan dalam notis khusus AI?

Notis yang baik perlu memberi gambaran yang mencukupi tentang produk dan aliran data di belakangnya. Pendekatan yang dicadangkan PDPC meminta organisasi menjelaskan:

• Apa yang dilakukan oleh model dan sebab ia dibangunkan;
• Kategori data peribadi yang digunakan, seperti butiran hubungan, maklumat transaksi atau lokasi, rakaman video dan rakaman suara;
• Bagaimana data itu menyumbang kepada model, bukan sekadar menyatakan bahawa data tersebut “diproses”; dan
• Cara pengguna menarik diri atau membatalkan persetujuan, melalui arahan yang praktikal dan mudah dicapai.

Fokus PDPC ialah ketelusan yang boleh difahami ketika pengguna membuat keputusan, bukannya satu ayat yang disorokkan dalam polisi privasi yang panjang. Antara format yang dicadangkan ialah notis yang dipaparkan dengan jelas dalam produk atau laman sesawang khusus.

Contoh: rakaman suara untuk teknologi teks-ke-suara

Sebuah syarikat yang membangunkan fungsi teks-ke-suara, misalnya, boleh menjelaskan bahawa rakaman suara pelanggan digunakan untuk melatih model. Ia juga perlu menerangkan bahawa rakaman tersebut membantu sistem mengenal pasti corak pertuturan.

Penjelasan ini jauh lebih jelas berbanding hanya menyebut bahawa data digunakan untuk “menambah baik produk”.

Notis tidak sama dengan persetujuan

Perbezaan paling penting dalam pematuhan ialah antara memaklumkan pengguna tentang perkara yang akan berlaku dan mempunyai asas undang-undang untuk menggunakan data mereka.

Di bawah kerangka umum PDPA, organisasi lazimnya perlu memaklumkan individu tentang tujuan pengumpulan, penggunaan atau pendedahan data dan mendapatkan persetujuan, melainkan terdapat pengecualian yang terpakai.

Garis panduan akhir menjelaskan kandungan notis apabila persetujuan diperlukan: organisasi perlu menyatakan secara nyata bahawa data itu akan digunakan untuk membangunkan model AI yang dimaksudkan.

Namun, ini tidak bermakna setiap penggunaan data peribadi untuk latihan AI secara automatik memerlukan persetujuan nyata dan afirmatif. Jawapannya bergantung pada pengecualian PDPA yang berkenaan, termasuk peraturan mengenai maklumat yang tersedia kepada umum.

Bagi syarikat, pengajaran praktikalnya ialah setiap set data latihan perlu dipadankan dengan asas undang-undang dan direkodkan secara berasingan. Notis yang jelas tidak boleh menggantikan persetujuan jika persetujuan diwajibkan, manakala persetujuan pula tidak boleh dianggap wujud berdasarkan bahasa yang terlalu umum untuk menerangkan penggunaan AI sebenar.

Persoalan yang timbul daripada cadangan awal

Cadangan pada peringkat rundingan mendapat perhatian kerana beberapa persoalan operasi tidak begitu jelas daripada keperluan notis yang asal.

Adakah persetujuan nyata sentiasa diperlukan?

Draf tersebut tidak menetapkan dengan jelas bahawa persetujuan afirmatif dan nyata diperlukan dalam setiap keadaan latihan GenAI. Sebaliknya, ia menimbulkan persoalan tentang bila pendekatan menarik diri mungkin diterima dan bila pengecualian sedia ada di bawah PDPA boleh digunakan.

Garis panduan akhir yang membezakan antara persetujuan dan pengecualian menjadikan asas undang-undang lebih penting, bukannya kurang penting. Organisasi tidak sepatutnya menganggap notis khusus AI sebagai pengganti universal kepada persetujuan.

Adakah penyahkenalpastian menghapuskan keperluan notis khusus AI?

Draf itu juga menimbulkan ketidakpastian tentang sama ada jangkaan notis khusus AI terpakai apabila data dinyahkenal pasti sebelum digunakan untuk latihan.

Persoalan ini penting kerana analisis privasi mungkin berbeza bergantung pada sama ada maklumat tersebut masih boleh dipautkan kepada individu yang boleh dikenal pasti, serta cara proses penyahkenalpastian dijalankan dan didokumenkan.

Maklumat yang tersedia tidak menyokong anggapan bahawa label “dinyahkenal pasti” secara automatik menyelesaikan semua isu bagi setiap set data. Syarikat perlu menilai data dan kaedah pemprosesan yang digunakan, bukannya menganggap analisis tamat begitu sahaja.

Bolehkah syarikat menafikan perkhidmatan kepada pengguna yang enggan?

Satu lagi persoalan yang belum selesai ialah sama ada bank, syarikat insurans, platform atau penyedia perkhidmatan lain boleh menahan atau menafikan perkhidmatan apabila seseorang enggan datanya digunakan untuk latihan AI.

Di sinilah pilihan rasmi boleh bertembung dengan tekanan praktikal. Pilihan untuk menarik diri mungkin wujud di atas kertas, tetapi sukar digunakan jika keengganan itu membawa kos yang besar kepada pengguna.

Keperluan notis meningkatkan ketelusan, tetapi dengan sendirinya tidak menjawab semua persoalan berkaitan keadilan, akses kepada perkhidmatan atau ketidakseimbangan kuasa antara individu dengan penyedia perkhidmatan.

Mengapa peranti berasaskan AI turut menjadi perhatian?

Perhatian PDPC terhadap GenAI adalah sebahagian daripada kebimbangan yang lebih luas tentang produk yang mengumpul data dengan cara yang mungkin tidak disedari oleh orang ramai. Pelaporan mengenai keutamaan Pesuruhjaya PDPC, Denise Wong, turut menyentuh peranti dan sistem seperti cermin mata pintar, jam tangan pintar serta sistem pembayaran yang mengimbas tapak tangan.

Produk ini boleh melibatkan maklumat sensitif, termasuk ciri wajah, cap jari, data suara dan corak vena tapak tangan. Risiko yang dilaporkan termasuk rakaman secara senyap, pendedahan atau penyalahgunaan data biometrik, serta penggunaan cermin mata pintar untuk merakam bahan peperiksaan atau maklumat lain bagi memudahkan perbuatan meniru.

Kementerian Pembangunan Digital dan Maklumat Singapura (MDDI) juga telah menjawab persoalan mengenai penunjuk visual pada cermin mata pintar serta pengumpulan data biometrik atau persekitaran daripada orang berdekatan yang tidak menggunakan peranti tersebut.

Isu asasnya ialah kesedaran yang bermakna. Lampu rakaman yang kecil atau polisi peranti yang disembunyikan dalam dokumentasi mungkin tidak memberi orang di sekeliling peluang sebenar untuk memahami perkara yang sedang berlaku atau membuat pilihan.

Apa yang perlu dilakukan organisasi sekarang?

Pasukan yang membangunkan atau menggunakan sistem GenAI di Singapura boleh menjadikan garis panduan ini sebagai senarai semak tadbir urus data:

1. Padankan setiap set data dengan kes penggunaan AI tertentu. Kenal pasti sama ada data digunakan untuk latihan, penalaan halus, ujian, pemantauan atau tujuan lain.
2. Pilih dan dokumentasikan asas di bawah PDPA. Rekod sama ada persetujuan diperlukan atau pengecualian berkanun digunakan.
3. Tulis semula notis yang terlalu umum. Nyatakan dengan terus bahawa data peribadi akan digunakan untuk membangunkan atau menambah baik model AI generatif jika itu tujuan sebenar.
4. Terangkan kategori data dan fungsi model. Pengguna perlu dapat memahami maklumat yang digunakan dan perkara yang dibantu oleh data tersebut dalam model.
5. Pastikan pilihan pengguna benar-benar boleh digunakan. Terangkan cara menarik diri atau membatalkan persetujuan, dan rekodkan cara permintaan dikendalikan.
6. Semak peranti yang bersambung secara berasingan. Cermin mata pintar, peranti boleh pakai, kamera dan sistem biometrik mungkin menimbulkan persoalan notis serta persetujuan melibatkan orang yang bukan pengguna langsung.

Perubahan di Singapura ini bukan sekadar tentang mengharamkan penggunaan data peribadi dalam GenAI. Fokusnya adalah untuk menjadikan penggunaan tersebut jelas, khusus dan dikaitkan dengan asas undang-undang yang boleh dikenal pasti.

Garis panduan akhir itu merapatkan jurang antara notis privasi tradisional dengan realiti pembangunan AI moden. Namun, persoalan paling sukar—terutamanya pilihan yang benar-benar bermakna serta pengendalian data sensitif atau data yang dirakam secara tidak langsung—kekal sebagai cabaran tadbir urus.