Singapore wil organisaties meer houvast geven bij het gebruik van persoonsgegevens voor generatieve AI (GenAI) en consumenten beter informeren over chatbots. De richtlijnen en hulpmiddelen werden op 20 juli 2026 aangekondigd tijdens het eerste Singapore Data Festival. Ze zijn afkomstig van de Personal Data Protection Commission (PDPC), de toezichthouder op persoonsgegevens, en de Infocomm Media Development Authority (IMDA), die onder meer verantwoordelijk is voor de digitale sector.
17
21
Persoonsgegevens gebruiken voor GenAI
De nieuwe adviesrichtlijnen van de PDPC leggen uit hoe het bestaande Singaporese privacykader van toepassing is op persoonsgegevens in GenAI-modellen en -systemen. Ze verduidelijken de verantwoordelijkheden van organisaties tijdens verschillende fasen van de AI-levenscyclus, waaronder de ontwikkeling en verbetering van modellen.
6
21
44
Een praktisch aandachtspunt is hoe organisaties om toestemming vragen. Als persoonsgegevens worden gebruikt om een GenAI-model te ontwikkelen of te verbeteren, moet dat doel duidelijk worden genoemd; het mag niet verdwijnen in een brede of onduidelijke omschrijving. De richtlijnen verduidelijken hoe een bestaande toestemmingsvereiste uit de Personal Data Protection Act (PDPA), de Singaporese privacywet, moet worden toegepast. Ze betekenen niet dat voor elk gebruik van elke dataset automatisch toestemming nodig is. In sommige gevallen kan de uitzondering voor openbaar beschikbare gegevens relevant zijn, maar organisaties moeten zelf beoordelen of die van toepassing is.
4
21
De beschikbare samenvattingen beschrijven niet alle voorwaarden of de precieze verdeling van verantwoordelijkheden tussen partijen in de AI-keten. Wie wil bepalen hoe de regels op een specifieke dataset of activiteit van toepassing zijn, moet daarom de volledige adviesrichtlijnen raadplegen.
6
Chatbotinformatie op één plek
De aparte richtlijnen van de IMDA gaan over chatbots waarmee consumenten werken, niet over de onderliggende AI-modellen. Ze zijn vrijwillig en bevelen een centrale Chatbot Info Card aan: een informatiekaart waarop gebruikers belangrijke gegevens op één plek kunnen vinden, in plaats van die uit verschillende privacyverklaringen en andere mededelingen te moeten halen.
3
12
31
De kaart moet onder meer uitleg geven over wat een chatbot wel en niet kan, de veiligheid en betrouwbaarheid ervan, het gebruik en de bescherming van gegevens en manieren om zorgen of problemen te melden. Zo kunnen gebruikers beter geïnformeerd beslissen of ze een chatbot willen gebruiken. Een informatiekaart is op zichzelf geen garantie dat een systeem veilig of nauwkeurig is.
12
31
Ook hulpmiddelen voor gegevensbescherming en nieuwe technologie
Het pakket gaat verder dan GenAI. De bijgewerkte Guide to Data Protection Practices for ICT Systems bevat praktische adviezen om persoonsgegevens in ICT-systemen te beschermen. Volgens de aankondiging is de gids herzien op basis van lessen uit recente datalekken en belangrijke cyberveiligheidsmaatregelen.
1
2
Voor bedrijven die digitale tweelingen overwegen — virtuele weergaven van bijvoorbeeld processen of systemen — heeft de IMDA de Digital Twin for Enterprises Playbook uitgebracht. Dat handboek is bedoeld als praktische leidraad voor bedrijven in Singapore.
2
7
Verder bevat het pakket een gids over federated learning en bijgewerkte richtlijnen voor synthetische data. Ook wordt de PET Sandbox uitgebreid: bedrijven krijgen ondersteuning bij proof-of-conceptprojecten en toegang tot demonstraties van privacyverhogende technologieën (PET’s). De aangekondigde toepassingen omvatten voorbeelden met Singapore General Hospital en Ant International.
2
7
16
Wat organisaties ermee moeten doen
Voor bedrijven is de eerste stap nagaan of persoonsgegevens worden gebruikt bij de ontwikkeling of verbetering van GenAI, en het doel duidelijk omschrijven wanneer zij om toestemming vragen. Daarna is het zaak de volledige PDPC-richtlijnen te raadplegen om te bepalen welke voorwaarden voor hun specifieke activiteiten gelden. Chatbotaanbieders kunnen de vrijwillige informatiekaart gebruiken als structuur om hun mogelijkheden, beperkingen en gegevenspraktijken inzichtelijk te maken.
6
12
21
De initiatieven bieden uitleg en praktische ondersteuning, maar nemen niet weg dat organisaties hun eigen gegevensgebruik moeten toetsen aan de volledige richtlijnen en de toepasselijke eisen van de PDPA.