Wanneer moeten Singaporese bedrijven melden dat ze uw gegevens voor AI-training gebruiken?
Sinds 20 juli 2026 moeten organisaties in Singapore een expliciete AI melding geven als zij persoonsgegevens gebruiken om generatieve AI modellen te ontwikkelen, trainen of verfijnen en daarvoor toestemming nodig hebben. Een algemene privacyverklaring over ‘productontwikkeling’ volstaat niet voor grootschalige train...
Sinds 20 juli 2026 moeten organisaties in Singapore een expliciete AI melding geven als zij persoonsgegevens gebruiken om generatieve AI modellen te ontwikkelen, trainen of verfijnen en daarvoor toestemming nodig hebben.
Een algemene privacyverklaring over ‘productontwikkeling’ volstaat niet voor grootschalige training of fine tuning van generatieve AI.
Weigeren van toestemming voor AI training mag de toegang tot een dienst doorgaans niet blokkeren, tenzij het gegevensgebruik redelijkerwijs noodzakelijk is voor het gevraagde product of de transactie.
Under Singapore’s new rules effective July 20, 2026, when must organisations notify consumers that their personal data is being used to traiAI-generated editorial illustration of data governance and generative-AI training.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Under Singapore’s new rules effective July 20, 2026, when must organisations notify consumers that their personal data is being used to trai. Article summary: From 20 July 2026, an organisation that uses a consumer’s personal data to develop, train or fine-tune a generative-AI model must give an explicit, AI-specific notice if consent is its legal basis. A generic statement su. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com
Singaporese bedrijven moeten consumenten sinds 20 juli 2026 duidelijk informeren wanneer zij persoonsgegevens gebruiken voor de ontwikkeling, training of fine-tuning van een generatief-AI-model — maar alleen wanneer toestemming daarvoor de wettelijke grondslag is. De Singaporese Personal Data Protection Commission (PDPC) heeft hierover adviesrichtlijnen gepubliceerd die uitleggen hoe de bestaande Personal Data Protection Act (PDPA) op generatieve AI van toepassing is.
De hoofdregel: zeg expliciet dat het om AI-training gaat
Een algemene privacyverklaring waarin staat dat gegevens mogelijk worden gebruikt voor ‘productontwikkeling’ is niet voldoende om betekenisvolle toestemming te verkrijgen voor grootschalige training of fine-tuning van een generatief-AI-model. De melding moet duidelijk maken dat generatieve AI wordt gebruikt en uitleggen welke gegevens voor welk doel en op welke manier worden verwerkt.
Dat is vooral relevant wanneer gegevens die oorspronkelijk voor een gewone dienst zijn verzameld — bijvoorbeeld bankieren, verzekeren, winkelen of sociale media — later voor een nieuw AI-doel worden ingezet. Bedrijven mogen er niet automatisch van uitgaan dat een brede, eerdere privacyverklaring ook een gebruik dekt dat buiten de redelijke verwachtingen van consumenten valt.
De richtlijnen vormen geen nieuwe, op zichzelf staande wet. Ze beschrijven hoe de PDPC de bestaande verplichtingen uit de PDPA uitlegt.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Wanneer moeten Singaporese bedrijven melden dat ze uw gegevens voor AI-training gebruiken?"?
Sinds 20 juli 2026 moeten organisaties in Singapore een expliciete AI melding geven als zij persoonsgegevens gebruiken om generatieve AI modellen te ontwikkelen, trainen of verfijnen en daarvoor toestemming nodig hebben.
What are the key points to validate first?
Sinds 20 juli 2026 moeten organisaties in Singapore een expliciete AI melding geven als zij persoonsgegevens gebruiken om generatieve AI modellen te ontwikkelen, trainen of verfijnen en daarvoor toestemming nodig hebben. Een algemene privacyverklaring over ‘productontwikkeling’ volstaat niet voor grootschalige training of fine tuning van generatieve AI.
What should I do next in practice?
Weigeren van toestemming voor AI training mag de toegang tot een dienst doorgaans niet blokkeren, tenzij het gegevensgebruik redelijkerwijs noodzakelijk is voor het gevraagde product of de transactie.
Banken: financiële gegevens en klantcontact voor AI-assistenten
Als een bank klantgegevens gebruikt om een AI-assistent te ontwikkelen of te verbeteren en zich daarbij op toestemming beroept, moet zij een AI-specifieke melding geven. Die melding moet het ontwikkelen van het model onderscheiden van de normale uitvoering van bank- of klantenservice.
Een bank kan mogelijk een uitzondering op de toestemmingsplicht in de PDPA gebruiken, zoals de uitzondering voor bedrijfsverbetering. Dat kan alleen wanneer aan alle wettelijke voorwaarden is voldaan en het gebruik binnen de reikwijdte van de uitzondering blijft. In dat geval zijn toestemming en een aan toestemming gekoppelde opt-out mogelijk niet nodig.
Verzekeraars: medische gegevens en claiminformatie
Voor verzekeraars geldt dezelfde basisvraag. Als toestemming nodig is om medische gegevens of informatie uit schadeclaims voor de ontwikkeling van een generatief-AI-model te gebruiken, moet de melding dat AI-doel specifiek benoemen. Een algemene eerdere verklaring over het verbeteren van de dienstverlening is niet automatisch voldoende voor modeltraining.
De verzekeraar moet dus aantonen dat een relevante PDPA-uitzondering van toepassing is, of geldige toestemming verkrijgen via een AI-specifieke melding. De beschikbare bronnen ondersteunen geen algemene regel dat medische gegevens of claiminformatie altijd van de toestemmingsplicht zijn uitgezonderd.
E-commerce: aankoop- en browsegegevens voor commerciële AI-producten
Wanneer een webwinkel of platform aankoopgeschiedenis of browsegedrag gebruikt om een afzonderlijk commercieel generatief-AI-product te ontwikkelen, gaat het om hergebruik buiten de directe winkelervaring. Als toestemming vereist is, moet het platform dat AI-doel rechtstreeks uitleggen en kan het niet volstaan met een algemene passage over productontwikkeling.
De uitzondering voor bedrijfsverbetering kan in bepaalde omstandigheden relevant zijn, maar is geen algemene vergunning voor elk nieuw commercieel gebruik van gegevens. Ook dan moet de organisatie aan de wettelijke voorwaarden voldoen en binnen de grenzen van de uitzondering blijven.
Sociale media: profielen, foto’s en posts voor creatieve AI-tools
Een sociaal platform dat profielen, foto’s, video’s, berichten of interacties gebruikt om generatieve tools voor contentcreatie te verbeteren, moet een AI-specifieke melding geven wanneer toestemming de wettelijke basis is.
Gegevens die daadwerkelijk openbaar beschikbaar zijn, kunnen onder de uitzondering voor openbaar beschikbare gegevens vallen. In dat geval is mogelijk geen toestemming nodig. Het verschil tussen openbaar en afgeschermd is daarbij belangrijk: een foto of bericht dat alleen met geselecteerde gebruikers wordt gedeeld of door toegangsinstellingen wordt beschermd, is niet hetzelfde als publiek beschikbare informatie.
Wanneer zijn een melding of opt-out mogelijk niet nodig?
De gegevens zijn echt geanonimiseerd
Zijn gegevens daadwerkelijk geanonimiseerd en daardoor geen persoonsgegevens meer, dan gelden de meldings- en toestemmingsverplichtingen uit de PDPA voor persoonsgegevens niet. Gepseudonimiseerde of gemaskeerde gegevens zijn niet automatisch anoniem. De doorslaggevende vraag is of personen nog kunnen worden geïdentificeerd.
Er geldt een geldige wettelijke uitzondering
Een organisatie hoeft mogelijk geen toestemming te vragen als zij zich rechtsgeldig kan beroepen op een uitzondering in de PDPA, bijvoorbeeld voor openbaar beschikbare gegevens of — als aan de voorwaarden is voldaan — voor bedrijfsverbetering.
De eis voor een AI-specifieke melding geldt juist in situaties waarin toestemming nodig is. De richtlijnen creëren daarom geen algemeen recht om elk rechtmatig gebruik van gegevens voor AI-training te weigeren.
De gekozen toestemmingsroute vereist geen opt-out
De PDPC beschrijft een opt-outprocedure als een route waarbij iemand wordt geïnformeerd, een redelijke termijn krijgt en een redelijke manier om bezwaar te maken wanneer die route wordt gebruikt. Dat betekent niet dat elke AI-gerelateerde verwerking standaard een opt-outmogelijkheid moet bieden — zeker niet wanneer de organisatie zich op een toestemmingsuitzondering beroept in plaats van op toestemming.
Wie eerder toestemming heeft gegeven of geacht wordt toestemming te hebben gegeven, kan die toestemming volgens de PDPA nog steeds intrekken, binnen het kader dat op de betreffende verwerking van toepassing is.
Mag toestemming voor AI-training een voorwaarde voor de dienst zijn?
In het algemeen hoort een organisatie een product of dienst niet te weigeren alleen omdat een consument geen toestemming geeft voor AI-training die niet redelijkerwijs noodzakelijk is om dat product of die dienst te leveren. Toestemming voor het ontwikkelen van een algemene AI-assistent of een losstaand commercieel model zou dus doorgaans niet mogen worden gekoppeld aan toegang tot een gewone bankrekening, winkelservice of sociaal platform.
De belangrijke beperking is de noodzaak. Toestemming kan wel als voorwaarde gelden wanneer het verzamelen, gebruiken of delen van de gegevens redelijkerwijs noodzakelijk is voor de dienst of transactie die de consument heeft gevraagd. Of dat zo is, hangt af van de concrete dienst, het gegevensgebruik en de omstandigheden. De richtlijnen geven geen standaardantwoord voor elke organisatie of elk AI-systeem.
Waar moeten consumenten en bedrijven op letten?
Consumenten doen er goed aan in een AI-melding op vier punten te letten:
staat er expliciet dat persoonsgegevens worden gebruikt om een generatief-AI-model te ontwikkelen, trainen of verbeteren;
om welke categorieën gegevens gaat het;
voor welk doel en op welke manier worden de gegevens gebruikt; en
kan toestemming worden geweigerd of ingetrokken, en hoe werkt dat?
Organisaties moeten eerst bepalen of de informatie nog persoonsgegevens zijn, of een wettelijke uitzondering van toepassing is en of het AI-gebruik redelijkerwijs noodzakelijk is voor de gevraagde dienst. Pas daarna kunnen zij vaststellen of een AI-specifieke toestemmingsmelding en een opt-outmechanisme nodig zijn.
Dat is de kern van het Singaporese kader van juli 2026: meer transparantie bij AI-training waarvoor toestemming nodig is, maar geen automatische opt-out voor elk rechtmatig gebruik van persoonsgegevens.
