Singapores nye AI-regler: Dette må selskaper fortelle om bruk av persondata

Kort fortalt

Singapores personvernmyndighet, Personal Data Protection Commission (PDPC), publiserte 20. juli 2026 endelige rådgivende retningslinjer for bruk av personopplysninger i generativ kunstig intelligens.

Hovedbudskapet er enkelt: Når en virksomhet trenger samtykke for å bruke personopplysninger til å utvikle eller forbedre en generativ AI-modell, må den si dette tydelig. En generell formulering om at data kan brukes til «utvikling av nye produkter», er ikke nok.

Retningslinjene er rådgivende og utgjør ikke et generelt forbud mot AI-trening. De skal brukes innenfor rammene av Singapores lov om personopplysningsvern, Personal Data Protection Act (PDPA). Loven inneholder også unntak som i enkelte tilfeller kan tillate bruk uten samtykke, blant annet for visse offentlig tilgjengelige personopplysninger.

Hva må et AI-spesifikt varsel inneholde?

Et godt varsel skal gjøre det mulig for folk å forstå både selve tjenesten og hva som skjer med dataene i treningsprosessen. PDPCs tilnærming innebærer at virksomheten bør forklare:

• Hva modellen gjør, og hvorfor den utvikles
• Hvilke kategorier personopplysninger som brukes, for eksempel kontaktinformasjon, transaksjons- eller stedsdata, video eller lydopptak
• Hvordan opplysningene bidrar til modellen, i stedet for bare å opplyse at de «behandles»
• Hvordan brukeren kan reservere seg eller trekke tilbake samtykke, med praktiske og rimelig tilgjengelige instrukser

Poenget er åpenhet når brukeren faktisk tar et valg – ikke en setning som gjemmes langt nede i en omfattende personvernerklæring. PDPC har blant annet pekt på et tydelig varsel inne i produktet eller en egen nettside som mulige formater.

Eksempel: stemmedata til tekst-til-tale

Et selskap som utvikler tekst-til-tale-funksjoner, kan for eksempel opplyse at kundens stemmeopptak brukes til å trene modellen. Det bør også forklare at opptakene hjelper systemet med å gjenkjenne talemønstre. Dette er langt tydeligere enn å beskrive formålet som «forbedring av produktet».

Varsel er ikke det samme som samtykke

Et sentralt skille handler om forskjellen mellom å informere noen om hva som skal skje, og å ha et lovlig grunnlag for å bruke opplysningene. Etter hovedreglene i PDPA må virksomheter normalt informere den registrerte om formålet og innhente samtykke, med mindre et lovbestemt unntak gjelder.

De endelige retningslinjene presiserer hva varselet må si når samtykke er nødvendig: Virksomheten må uttrykkelig omtale at personopplysningene skal brukes til utvikling av AI-modellen.

Det betyr likevel ikke at all bruk av personopplysninger til AI-trening automatisk krever et aktivt og uttrykkelig samtykke. Svaret avhenger av hvilket unntak i PDPA som eventuelt gjelder, blant annet reglene om offentlig tilgjengelig informasjon.

Den praktiske lærdommen for selskaper er å dokumentere det juridiske grunnlaget for hvert treningsdatasett separat. Et tydelig varsel kan ikke erstatte samtykke når samtykke kreves. Samtidig kan ikke samtykke uten videre anses som gitt på grunnlag av en så generell formulering at den ikke beskriver den faktiske AI-bruken.

Tre spørsmål som skapte usikkerhet

Forslaget til retningslinjer vakte oppmerksomhet fordi flere praktiske spørsmål ikke var åpenbare ut fra de første kravene til varsling.

Må brukerne alltid gi uttrykkelig samtykke?

Utkastet slo ikke klart fast at aktivt og uttrykkelig samtykke måtte innhentes i alle situasjoner der generativ AI trenes på personopplysninger. Det reiste i stedet spørsmål om når en reservasjonsordning kunne være tilstrekkelig, og når et eksisterende unntak i PDPA kunne brukes.

De endelige retningslinjene gjør det juridiske grunnlaget viktigere, ikke mindre viktig. Et AI-spesifikt varsel må derfor ikke presenteres som en universell erstatning for samtykke.

Fjerner anonymisering kravet om et AI-spesifikt varsel?

Forslaget ga heller ikke et klart svar på om det særskilte varslingskravet gjelder når opplysningene anonymiseres før treningen. Spørsmålet er viktig fordi personvernvurderingen kan bli annerledes avhengig av om informasjonen fortsatt kan knyttes til en identifiserbar person, og hvordan anonymiseringen er gjennomført og dokumentert.

Det tilgjengelige kildematerialet gir ikke grunnlag for å betrakte anonymisering som et automatisk svar for alle datasett. Selskapene må vurdere både opplysningene og behandlingsmetoden, i stedet for å anta at analysen er avsluttet bare fordi datasettet er merket «anonymisert».

Kan et selskap nekte noen en tjeneste?

Et annet uavklart spørsmål var om banker, forsikringsselskaper, plattformer og andre tjenesteleverandører kan holde tilbake eller gjøre en tjeneste utilgjengelig dersom en person nekter å la dataene sine brukes til AI-trening.

Her møter et formelt valg virkeligheten: En reservasjonsmulighet kan eksistere på papiret, men være vanskelig å bruke dersom det får store praktiske eller økonomiske konsekvenser.

Varslingskravet gjør bruken mer synlig, men besvarer ikke alene alle spørsmål om rimelighet, tilgang til tjenester eller maktforholdet mellom enkeltpersoner og leverandører.

AI-briller og biometriske data inngår i den større debatten

PDPCs arbeid med generativ AI er del av en bredere bekymring for produkter som samler inn data på måter folk ikke nødvendigvis legger merke til. Under kommissær Denise Wong har oppmerksomheten også vært rettet mot blant annet smarte briller, smartklokker og betalingssystemer som skanner håndflaten.

Slike produkter kan behandle sensitive opplysninger, blant annet ansiktstrekk, fingeravtrykk, stemmedata og mønstre fra blodårer i håndflaten. Risikoene som er omtalt, omfatter skjult opptak, eksponering eller misbruk av biometriske data, og at smarte briller kan brukes til å filme eksamensmateriale eller annen informasjon for å legge til rette for juks.

Singapores departement for digital utvikling og informasjon, Ministry of Digital Development and Information, har også svart på spørsmål om synlige opptaksindikatorer på smarte briller og om innsamling av biometriske eller miljørelaterte data fra personer i nærheten som ikke bruker enheten.

Det underliggende spørsmålet er om informasjonen faktisk gir folk en reell mulighet til å forstå hva som skjer og ta et valg. En liten lampe som lyser under opptak, eller en enhetspolicy som er gjemt i dokumentasjonen, trenger ikke gi forbipasserende meningsfull oversikt eller kontroll.

Hva bør virksomheter gjøre nå?

Selskaper som utvikler eller tar i bruk generative AI-systemer i Singapore, bør bruke retningslinjene som en sjekkliste for datastyring:

1. Knytt hvert datasett til et konkret AI-formål. Avklar om dataene brukes til trening, finjustering, testing, overvåking eller noe annet.
2. Velg og dokumenter grunnlaget etter PDPA. Noter om samtykke kreves, eller om virksomheten bygger på et lovbestemt unntak.
3. Skriv om generelle varsler. Si tydelig at personopplysninger skal brukes til å utvikle eller forbedre en generativ AI-modell når det er formålet.
4. Forklar datakategorier og modellens funksjon. Brukerne bør kunne forstå hvilken informasjon som brukes, og hva den hjelper modellen med å gjøre.
5. Gjør valget praktisk gjennomførbart. Forklar hvordan man reserverer seg eller trekker tilbake samtykke, og dokumenter hvordan forespørsler behandles.
6. Vurder tilkoblede enheter separat. Smarte briller, kroppsnær teknologi, kameraer og biometriske systemer kan skape spørsmål om varsling og samtykke også for personer som ikke er de direkte brukerne.

Singapores linje handler dermed mindre om å forby bruk av personopplysninger i generativ AI, og mer om å gjøre bruken synlig, konkret og knyttet til et identifiserbart juridisk grunnlag. De endelige retningslinjene tetter noe av avstanden mellom tradisjonelle personvernerklæringer og moderne AI-utvikling. Samtidig er meningsfull valgfrihet – særlig når sensitive eller indirekte innsamlede data er involvert – fortsatt en av de vanskeligste styringsutfordringene.