Singapore scherpt AI-transparantie aan: dit betekenen de nieuwe regels voor data en chatbots

Singapore heeft op 20 juli 2026 twee maatregelen aangekondigd die met elkaar te maken hebben, maar niet hetzelfde regelen. De Personal Data Protection Commission (PDPC) publiceerde richtlijnen voor het gebruik van persoonsgegevens in generatieve AI-modellen en -systemen. Daarin staat dat organisaties in bepaalde gevallen een AI-specifieke melding moeten geven wanneer toestemming nodig is. De Infocomm Media Development Authority (IMDA) bracht daarnaast vrijwillige transparantierichtlijnen uit voor publieke GenAI-chatbots, met de zogenoemde ‘Chatbot Info Card’ als centraal element.

Het onderscheid is belangrijk: de PDPC-richtlijnen gaan over de manier waarop organisaties persoonsgegevens gebruiken. De IMDA-richtlijnen gaan over de manier waarop publieke chatbots aan gebruikers uitleggen wat zij kunnen, waar zij tekort kunnen schieten en hoe zij met data omgaan.

Kort samengevat

Wanneer persoonsgegevens die oorspronkelijk voor een ander doel zijn verzameld later worden gebruikt om een GenAI-model te ontwikkelen of te verbeteren, is een algemene privacyzin als ‘we kunnen gegevens gebruiken om onze producten te verbeteren’ meestal niet specifiek genoeg als toestemming vereist is. De organisatie moet duidelijk zeggen dat de gegevens voor de ontwikkeling of verbetering van een GenAI-model worden gebruikt en toelichten welke keuzes de betrokkene heeft.

De chatbotrichtlijnen zijn van een andere orde. Ze zijn vrijwillig en gelden voor externe GenAI-chatbots die rechtstreeks communiceren met klanten, consumenten of andere leden van het publiek. IMDA adviseert één duidelijke, makkelijk vindbare plek waar gebruikers kunnen lezen wat de chatbot doet, wanneer antwoorden mogelijk onbetrouwbaar zijn, welke veiligheidsmaatregelen bestaan, hoe data wordt verwerkt en waar zij een probleem kunnen melden.

Wat regelen de PDPC-richtlijnen?

De richtlijnen van de PDPC bestrijken persoonsgegevens gedurende de hele levenscyclus van GenAI. Daaronder vallen onder meer van het web verzamelde gegevens, informatie die gebruikers voor een gewone dienst aanleveren en die later wordt hergebruikt voor modelontwikkeling, de ingebruikname van modellen, beveiliging, bewaartermijnen en verzoeken om inzage of correctie.

Het belangrijkste privacyrisico: een nieuw gebruik van bestaande data

De kern van het privacyvraagstuk is doelwijziging. Gegevens die iemand heeft verstrekt voor een transactie, account, klantenservicecontact of andere dienst kunnen later op grote schaal worden gebruikt voor training of fine-tuning van een model. Daardoor kan het voor mensen moeilijker worden om te begrijpen wat er met hun data is gebeurd, daar controle over te houden of hun rechten uit te oefenen nadat de informatie in een omvangrijk trainingsproces is terechtgekomen.

De richtlijnen verdelen de verantwoordelijkheden over de AI-keten. Modelaanbieders blijven verantwoordelijk voor de verplichtingen uit de Singaporese Personal Data Protection Act (PDPA) die samenhangen met de ontwikkeling en inzet van modellen. Systeemaanbieders moeten aandacht besteden aan beveiliging en relevante waarborgen communiceren. Organisaties die systemen inzetten, moeten de verwerkingsdoelen vastleggen, de datastromen begrijpen en de controles in de praktijk beoordelen.

Wanneer is een AI-specifieke melding nodig?

Een organisatie moet toestemming verkrijgen via een AI-specifieke melding wanneer zij zogenoemde ‘User Data’ wil gebruiken voor de ontwikkeling van een GenAI-model en geen uitzondering op toestemming binnen de PDPA van toepassing is. De melding moet het gebruik voor GenAI expliciet maken. Een brede omschrijving als ‘serviceverbetering’, ‘personalisatie’ of ‘productontwikkeling’ volstaat dan niet.

Dit is vooral relevant wanneer informatie rechtstreeks via een bestaand product of een bestaande dienst is aangeleverd voor een niet-generatief AI-doel en later wordt hergebruikt voor modelontwikkeling. De organisatie moet de oorspronkelijke context van de gegevensverzameling, het nieuwe doel en eventuele uitzonderingen beoordelen voordat zij beslist hoe verder te gaan.

Publiek beschikbare gegevens zijn een aparte categorie

De uitzondering voor publiek beschikbare gegevens in de PDPA kan het mogelijk maken om publiek beschikbare persoonsgegevens zonder toestemming te verzamelen voor modelontwikkeling. Dat betekent niet dat alle informatie die online bereikbaar is automatisch onder deze uitzondering valt. Gegevens achter een betaalmuur, login, registratieverplichting of vergelijkbare digitale drempel vereisen een zorgvuldige beoordeling.

Goed geanonimiseerde data

Goed geanonimiseerde data geldt voor de toepassing van de PDPA niet als persoonsgegeven, omdat de informatie geen individu meer kan identificeren. De PDPC moedigt organisaties aan om waar mogelijk geanonimiseerde gegevens te gebruiken voor analyses en onderzoek.

Alleen een naam verwijderen is echter niet per se genoeg. Als iemand op basis van de overgebleven informatie, in combinatie met andere redelijk beschikbare gegevens, alsnog herkenbaar is, is de dataset mogelijk niet werkelijk anoniem. Organisaties moeten daarom nagaan of hun anonimisering het identificeren van personen daadwerkelijk onmogelijk maakt.

Hoe zit het met opnames van callcenters?

De aangeleverde bronnen stellen geen afzonderlijke, algemene uitzondering vast voor opnames van callcenters. Een opname waarop een beller herkenbaar is of redelijkerwijs kan worden herkend, moet bij de beoordeling van hergebruik voor GenAI als persoonsgegeven worden behandeld. Voor modelontwikkeling is dan een geldige grondslag onder de PDPA nodig, zoals toestemming, een passende melding of een andere wettelijke uitzondering.

De beschikbare bronnen bevatten onvoldoende informatie om een aanvullende, specifieke regel voor callcenteropnames te formuleren. De juiste aanpak hangt daarom af van de inhoud van de opname, de manier waarop deze is verzameld, het voorgenomen GenAI-gebruik en een eventuele uitzondering binnen de PDPA.

Wat moet er in de AI-specifieke melding staan?

De melding moet mensen concrete en betekenisvolle informatie geven over het voorgenomen gebruik. Volgens de aangeleverde richtlijnen gaat het minimaal om de volgende punten:

• Het AI-doel: vermeld dat persoonsgegevens worden gebruikt om een GenAI-model te ontwikkelen of te verbeteren.
• De reden voor het gebruik: leg uit waarom het model wordt ontwikkeld of verbeterd.
• De betrokken gegevens: beschrijf welke categorieën persoonsgegevens worden gebruikt.
• De manier van gebruik: leg uit hoe de gegevens worden verwerkt, bijvoorbeeld voor training of fine-tuning wanneer dat relevant is.
• De keuze van de betrokkene: leg uit hoe iemand toestemming kan weigeren of intrekken, of zich kan afmelden wanneer die mogelijkheid bestaat.

Een algemene privacyverklaring kan nog steeds nuttige achtergrondinformatie bevatten. Zij mag echter niet de enige uitleg zijn als daaruit niet duidelijk blijkt dat persoonsgegevens voor de ontwikkeling of verbetering van een generatief AI-model kunnen worden gebruikt. De praktische toets is of een redelijk persoon kan begrijpen wat er met de data gebeurt.

Waar kan de melding verschijnen?

De aangeleverde materialen schrijven geen vaste vorm of één verplichte locatie voor die voor elke organisatie geldt. Een praktische aanpak is om de informatie te tonen op het moment waarop de relevante gegevens worden verzameld of de dienst wordt gebruikt. Dat kan bijvoorbeeld tijdens het aanmaken van een account, via een melding in de applicatie, in privacy-instellingen of via een duidelijk gelinkte privacyverklaring.

Dit is een implementatie-inferentie en geen uitputtende lijst uit het factsheet van de PDPC. Welke vorm een organisatie ook kiest, de informatie moet zichtbaar en specifiek zijn en niet worden verstopt in moeilijk vindbare, algemene voorwaarden.

Toestemming, intrekken en toegang tot de dienst

Mensen kunnen ook nadat hun data voor GenAI-ontwikkeling is gebruikt verzoeken om inzage of correctie van hun persoonsgegevens. Van organisaties wordt verwacht dat zij aan de bron zorgvuldige dataprocessen hanteren, verzoeken per geval beoordelen en passende technische maatregelen nemen. Het kan in de praktijk lastig zijn om informatie in een groot trainingsbestand terug te vinden.

Wanneer toestemming de wettelijke grondslag is, moet de gebruiker weten hoe die toestemming kan worden geweigerd of ingetrokken. Dat betekent niet automatisch dat iemand na afmelding alle onderdelen van een dienst onder exact dezelfde voorwaarden kan blijven gebruiken. Of toegang tot de kerndienst kan worden voortgezet, hangt af van de rol en noodzaak van de GenAI-verwerking en van de manier waarop de organisatie toestemming heeft ingericht. De bronnen stellen geen algemeen recht vast op volledige, ongewijzigde dienstverlening na elke afmelding.

De vrijwillige ‘Chatbot Info Card’ van IMDA

De transparantierichtlijnen van IMDA richten zich op het consumentenperspectief. Ze zijn bedoeld voor organisaties die externe GenAI-chatbots inzetten. Het doel is gebruikers beter in staat te stellen om geïnformeerde keuzes te maken, informatieverschaffing meer te standaardiseren en aanbieders aanspreekbaarder te maken voor hun eigen beloften over veiligheid en betrouwbaarheid.

Het centrale advies is een ‘Chatbot Info Card’, vergelijkbaar met een voedings- of medicijnetiket. Dat kan een aparte informatiepagina zijn, maar ook een openbaar document met informatie. Belangrijk is dat gebruikers alles op één geconsolideerde en toegankelijke plek kunnen vinden.

De kaart moet volgens drie uitgangspunten worden opgesteld:

• Relevant: geef de informatie die gebruikers nodig hebben om te beoordelen of en hoe zij op de chatbot kunnen vertrouwen.
• Toegankelijk: gebruik duidelijke taal en zorg dat de informatie eenvoudig te vinden en te navigeren is.
• Tijdig: publiceer de kaart wanneer de chatbot beschikbaar komt en werk haar bij als belangrijke wijzigingen gevolgen hebben voor mogelijkheden, risico’s of veiligheidsbeleid.

Welke informatie hoort op de kaart?

Een bruikbare kaart moet onder meer uitleg geven over:

• het beoogde doel, de functies en de mogelijkheden van de chatbot;
• belangrijke beperkingen, waaronder situaties waarin antwoorden moeten worden gecontroleerd of gebruik niet passend is;
• maatregelen voor betrouwbaarheid en veiligheid;
• de manier waarop invoer, gesprekken en andere gegevens van gebruikers worden verwerkt; en
• kanalen voor klachten, feedback en het melden van incidenten.

De kaart is geen garantie dat een chatbot altijd accuraat of veilig is. De meerwaarde zit in de transparantie: gebruikers krijgen een duidelijker uitgangspunt om te bepalen wanneer zij een antwoord kunnen gebruiken, welke informatie zij beter niet delen en waar zij terechtkunnen als er iets misgaat.

IMDA richtte zich in eerste instantie op publieke chatbots vanwege hun brede bereik onder consumenten en zorgen rond privacy, kindveiligheid en risico’s voor mentaal kwetsbare gebruikers. Het raamwerk kan later ook als referentie dienen voor andere GenAI-toepassingen en sectorspecifieke richtlijnen.

Hoe bedrijven en overheidsorganisaties ermee omgaan

Google, Meta, DBS, OCBC, Singapore Airlines en Synapxe hebben aangegeven de vrijwillige richtlijnen te zullen gebruiken als referentie bij het verbeteren van hun transparantiepraktijken voor publieke chatbots. Dat wijst op geplande afstemming en verdere ontwikkeling, maar bewijst niet dat elke organisatie al een identieke informatiekaart heeft gelanceerd.

Voor banken ligt de nadruk waarschijnlijk op het uitleggen van klantgerichte functies, beperkingen en waarborgen, naast bestaande processen voor AI-governance en risicobeheer. DBS verwees naar zijn klantgerichte AI-initiatieven. OCBC koppelde de richtlijnen aan zijn bestaande AI-governance en risicobeheer.

Singapore Airlines heeft gezegd de AI-governance en veiligheidsmaatregelen te blijven evalueren en versterken naarmate het meer AI-ondersteunde klantervaringen ontwikkelt. Google en Meta spraken hun steun uit voor duidelijkere en toegankelijkere informatie over de werking van hun AI-producten en de manier waarop gebruikers ermee omgaan.

Ook overheidsinstanties kunnen het raamwerk als referentie gebruiken. De National Library Board en de Health Promotion Board zijn van plan de richtlijnen mee te nemen bij hun publieke chatbots.

Wat betekenen de maatregelen in de praktijk?

Singapore combineert een specifiekere privacy-uitleg voor bepaalde vormen van GenAI-datagebruik met een vrijwillige transparantiestandaard voor chatbots. De twee maatregelen vullen elkaar aan, maar zijn niet uitwisselbaar. Organisaties doen er praktisch aan om:

1. De datastromen in kaart te brengen: bepaal welke persoonsgegevens in modelontwikkeling of een chatbot terechtkomen en met welk doel.
2. De wettelijke grondslag te controleren: ga na of toestemming nodig is of dat een uitzondering binnen de PDPA van toepassing is.
3. Hergebruik voor GenAI expliciet te maken: gebruik waar nodig een AI-specifieke melding in plaats van algemene formuleringen over productverbetering.
4. Verzoeken van gebruikers voor te bereiden: bewaar voldoende informatie aan de bron om verzoeken om inzage, correctie of intrekking te kunnen beoordelen.
5. Chatbotinformatie te publiceren: geef gebruikers van publieke GenAI-chatbots een relevante, toegankelijke en actuele informatiekaart met uitleg over mogelijkheden, beperkingen, betrouwbaarheid, veiligheid, datagebruik en meldingskanalen.

De maatregelen beloven niet dat gebruikers elke vorm van AI-gerelateerd datagebruik kunnen stopzetten. Ze sturen vooral aan op duidelijkere communicatie, zorgvuldiger gegevensbeheer en meer verantwoordelijkheid bij publieke AI-toepassingen.