Singapore scherpt AI-regels aan: wat bedrijven moeten melden over GenAI-training

De discussie over persoonsgegevens en generatieve AI in Singapore is niet langer alleen een beleidsvoorstel. De Personal Data Protection Commission (PDPC) publiceerde op 20 juli 2026 de definitieve Advisory Guidelines on the Use of Personal Data in Generative AI.

De kernboodschap: bedrijven mogen zich niet verschuilen achter brede privacyformuleringen wanneer zij toestemming nodig hebben om persoonsgegevens op grote schaal te gebruiken voor het trainen of verfijnen van een AI-model.

Kort antwoord

Als een organisatie toestemming nodig heeft om persoonsgegevens te gebruiken voor de ontwikkeling of verbetering van een generatief-AI-model, moet de privacyverklaring dat AI-doel rechtstreeks benoemen. Een algemene formulering als ‘nieuwe producten ontwikkelen’ is daarvoor niet voldoende.

De richtlijnen vormen geen algemeen verbod op AI-training. Ze sluiten aan op de Singaporese Personal Data Protection Act (PDPA), die ook uitzonderingen kent waarbij gegevens onder bepaalde voorwaarden zonder toestemming mogen worden gebruikt. Een belangrijk voorbeeld is het gebruik van bepaalde openbaar beschikbare persoonsgegevens voor AI-ontwikkeling.

Wat moet een AI-melding uitleggen?

Een goede melding moet mensen voldoende inzicht geven in zowel het product als de gegevensstroom erachter. Volgens de voorgestelde aanpak moeten organisaties duidelijk maken:

• wat het model doet en waarom het wordt ontwikkeld;
• welke categorieën persoonsgegevens worden gebruikt, zoals contactgegevens, transactie- of locatiegegevens, video- en geluidsopnamen;
• hoe de gegevens bijdragen aan het model, in plaats van alleen te melden dat ze worden verwerkt;
• hoe iemand bezwaar kan maken of toestemming kan intrekken, met praktische en redelijk toegankelijke instructies.

De PDPC mikt daarmee op transparantie op het moment waarop iemand een keuze maakt — niet op een verborgen zin in een lange privacyverklaring. Als mogelijke vormen worden onder meer een opvallende melding in het product of een speciale webpagina genoemd.

Voorbeeld: stemgegevens voor tekst-naar-spraak

Een bedrijf dat tekst-naar-spraakfunctionaliteit ontwikkelt, kan uitleggen dat het stemopnamen van klanten gebruikt om het model te trainen. Ook moet het aangeven dat deze opnamen het systeem helpen om spraakpatronen te herkennen. Dat is veel duidelijker dan het doel omschrijven als alleen ‘productverbetering’.

Een melding is niet hetzelfde als toestemming

Het belangrijkste onderscheid voor organisaties is dat tussen uitleggen wat er met gegevens gebeurt en beschikken over een geldige grondslag om die gegevens te gebruiken. Binnen het algemene kader van de PDPA moeten organisaties mensen doorgaans informeren over het doel en toestemming verkrijgen, tenzij een wettelijke uitzondering van toepassing is.

De definitieve richtlijnen verduidelijken vooral wat de melding moet bevatten wanneer toestemming vereist is: het voorgenomen gebruik voor de ontwikkeling van een AI-model moet uitdrukkelijk worden genoemd. Dat betekent niet dat elk gebruik van persoonsgegevens voor AI-training automatisch een expliciete, actieve toestemming vereist. Dat hangt af van de relevante uitzondering binnen de PDPA, waaronder regels voor openbaar beschikbare informatie.

De praktische les voor bedrijven is daarom om voor elke trainingsdataset afzonderlijk de juridische grondslag vast te leggen. Een heldere melding kan toestemming niet vervangen wanneer die verplicht is. Omgekeerd kan toestemming niet zomaar worden verondersteld op basis van taal die het daadwerkelijke AI-gebruik te algemeen omschrijft.

Welke vragen riep het voorstel op?

De consultatieversie trok aandacht omdat verschillende praktische gevolgen niet direct uit de voorgestelde meldingsplicht bleken.

Is altijd expliciete toestemming nodig?

Het voorstel maakte niet duidelijk dat in elk scenario rond GenAI-training actieve, expliciete toestemming nodig zou zijn. Het riep daarom vragen op over wanneer een opt-outmodel aanvaardbaar kan zijn en wanneer een bestaande PDPA-uitzondering kan worden gebruikt.

De definitieve richtlijnen maken de juridische grondslag belangrijker, niet minder belangrijk. Organisaties moeten een AI-specifieke melding dus niet presenteren als universele vervanging voor toestemming.

Verdwijnt de meldingskwestie bij anonimisering?

Ook bleef onduidelijk of de bijzondere verwachting rond AI-specifieke meldingen geldt wanneer gegevens vóór de training worden geanonimiseerd. Dat is relevant omdat de privacybeoordeling kan verschillen naargelang informatie nog aan een identificeerbare persoon kan worden gekoppeld en hoe de anonimisering wordt uitgevoerd en gedocumenteerd.

De beschikbare berichtgeving rechtvaardigt niet de conclusie dat anonimisering voor elke dataset automatisch een oplossing biedt. Bedrijven moeten de gegevens en de verwerkingsmethode afzonderlijk beoordelen, in plaats van ervan uit te gaan dat het label ‘geanonimiseerd’ verdere analyse overbodig maakt.

Mag een bedrijf een dienst weigeren?

Een andere open vraag was of banken, verzekeraars, platforms en andere dienstverleners een dienst mogen onthouden of niet beschikbaar mogen stellen wanneer iemand weigert zijn gegevens voor AI-training te laten gebruiken.

Daar komt een formele keuze in botsing met praktische druk: op papier kan er een opt-out zijn, maar in de praktijk kan die keuze moeilijk zijn als weigeren grote gevolgen heeft.

De meldingsplicht vergroot de zichtbaarheid van het datagebruik, maar beantwoordt niet automatisch alle vragen over eerlijkheid, toegang tot diensten of de machtsverhouding tussen consumenten en dienstverleners.

AI-apparaten in het bredere privacydebat

De aandacht van de PDPC voor generatieve AI staat niet op zichzelf. Ze past in een bredere zorg over producten die gegevens verzamelen zonder dat mensen dat altijd in de gaten hebben. Berichtgeving over de prioriteiten van PDPC-commissaris Denise Wong noemt onder meer slimme brillen, smartwatches en betaalsystemen die handpalmen scannen.

Dergelijke producten kunnen gevoelige informatie verwerken, waaronder gezichtskenmerken, vingerafdrukken, stemgegevens en patronen van handpalmen en handaderen. Genoemde risico’s zijn heimelijke opnamen, het uitlekken of misbruik van biometrische gegevens en het gebruik van slimme brillen om examenmateriaal of andere informatie vast te leggen en zo fraude te faciliteren.

Het Singaporese Ministry of Digital Development and Information heeft daarnaast vragen behandeld over zichtbare indicatoren op slimme brillen en over het verzamelen van biometrische of omgevingsgegevens van omstanders die het apparaat zelf niet gebruiken.

De onderliggende kwestie is of mensen daadwerkelijk kunnen begrijpen wat er gebeurt. Een klein opnameledje of een apparaatbeleid dat diep in de documentatie verborgen staat, biedt omstanders mogelijk geen realistische kans om informatie in te winnen of een keuze te maken.

Wat organisaties nu moeten doen

Teams die in Singapore generatieve-AI-systemen ontwikkelen of inzetten, kunnen de richtlijnen als checklist voor gegevensbeheer gebruiken:

1. Koppel elke dataset aan een concrete AI-toepassing. Leg vast of de gegevens worden gebruikt voor training, fine-tuning, testen, monitoring of een ander doel.
2. Kies en documenteer de grondslag onder de PDPA. Noteer of toestemming nodig is of dat een wettelijke uitzondering wordt ingeroepen.
3. Vervang algemene meldingen. Schrijf duidelijk dat persoonsgegevens worden gebruikt om een generatief-AI-model te ontwikkelen of te verbeteren wanneer dat het doel is.
4. Beschrijf gegevenscategorieën en de functie van het model. Mensen moeten kunnen begrijpen welke informatie wordt gebruikt en wat het model ermee leert doen.
5. Maak de keuze uitvoerbaar. Leg uit hoe iemand bezwaar kan maken of toestemming kan intrekken en registreer hoe verzoeken worden afgehandeld.
6. Beoordeel gekoppelde apparaten afzonderlijk. Slimme brillen, wearables, camera’s en biometrische systemen kunnen meldings- en toestemmingsvragen oproepen rond mensen die niet de directe gebruiker zijn.

Singapore verbiedt het gebruik van persoonsgegevens voor generatieve AI daarmee niet. De koers draait vooral om datagebruik dat zichtbaar, specifiek en gekoppeld aan een herkenbare juridische grondslag is. De definitieve richtlijnen verkleinen de kloof tussen traditionele privacyverklaringen en moderne AI-ontwikkeling, terwijl vragen over een betekenisvolle keuze en over gevoelige of indirect vastgelegde gegevens nog volop aandacht vragen.