Singapurskie zasady GenAI na 2026 rok: powiadomienia o danych i „Chatbot Info Card”

Ma to szczególne znaczenie w sytuacji, gdy dane zostały przekazane przy okazji korzystania z istniejącego produktu lub usługi — na przykład podczas zakupu, obsługi konta albo kontaktu z działem wsparcia — a następnie mają zostać wykorzystane w zupełnie innym celu, czyli do rozwoju modelu AI. Organizacja powinna ocenić pierwotny kontekst zebrania danych, nowy cel oraz to, czy może skorzystać z któregoś z wyjątków od obowiązku uzyskania zgody.

Jakie dane mogą wiązać się z ryzykiem?

Wytyczne PDPC obejmują dane osobowe wykorzystywane na różnych etapach cyklu życia GenAI. Mogą to być między innymi:

• informacje zebrane podczas korzystania z produktów i usług;
• prompty, rozmowy i inne treści przekazywane przez użytkowników;
• dane kont i dane dotyczące obsługi klienta;
• informacje pozyskiwane z publicznie dostępnych źródeł internetowych;
• treści głosowe lub nagrania rozmów, jeżeli pozwalają zidentyfikować osobę;
• dane wykorzystywane do trenowania, dostrajania, wdrażania i zabezpieczania modeli.

Główne ryzyko polega na zmianie celu wykorzystania danych. Informacja przekazana pierwotnie w związku z transakcją, kontem lub pomocą techniczną może później zostać użyta na dużą skalę do trenowania modelu. W takiej sytuacji użytkownikowi trudniej zrozumieć, co stało się z jego danymi, kontrolować ich dalsze użycie oraz skorzystać z prawa dostępu lub korekty po włączeniu danych do dużego zbioru treningowego.

Wyjątki: dane publiczne i anonimizowane

Singapurska ustawa PDPA przewiduje wyjątek dotyczący danych osobowych dostępnych publicznie. W pewnych sytuacjach może on pozwolić organizacji na zebranie takich danych bez uzyskiwania zgody w celu rozwoju modelu. Nie oznacza to jednak, że każda informacja znaleziona w internecie automatycznie spełnia ten warunek. Dane znajdujące się za zaporą płatniczą, logowaniem, rejestracją lub podobną barierą cyfrową wymagają oceny, czy nadal można uznać je za publicznie dostępne.

Prawidłowo zanonimizowane dane nie są danymi osobowymi w rozumieniu PDPA, ponieważ nie pozwalają zidentyfikować konkretnej osoby. PDPC zachęca, by w miarę możliwości wykorzystywać takie dane do analiz i badań.

Samo usunięcie imienia i nazwiska nie zawsze jednak wystarczy. Jeżeli osobę można rozpoznać na podstawie pozostałych informacji albo w połączeniu z innymi rozsądnie dostępnymi danymi, zbiór może nadal nie być rzeczywiście anonimowy.

A co z nagraniami z infolinii?

Dostarczone materiały nie ustanawiają odrębnego, kategorycznego wyjątku dotyczącego nagrań z centrów obsługi. Nagranie, na którym rozmówca jest zidentyfikowany lub może zostać rozsądnie zidentyfikowany, powinno być traktowane jako dane osobowe przy ocenie planowanego wykorzystania w GenAI.

Przed użyciem takiego nagrania do rozwoju modelu organizacja nadal musi ustalić właściwą podstawę zgodną z PDPA — na przykład ważną zgodę, odpowiednie powiadomienie lub inny ustawowy wyjątek. Konkretna ocena zależy od treści nagrania, sposobu jego zebrania i planowanego zastosowania. Dostępne źródła nie pozwalają wskazać dodatkowej, szczególnej reguły wyłącznie dla nagrań z infolinii.

Co powinno zawierać powiadomienie AI?

Specjalne powiadomienie powinno przekazywać użytkownikowi konkretne i zrozumiałe informacje. W szczególności należy wskazać:

• cel związany z AI — że dane osobowe zostaną wykorzystane do opracowania lub ulepszenia modelu GenAI;
• powód wykorzystania — po co model jest rozwijany lub udoskonalany;
• zakres danych — jakie kategorie danych osobowych będą używane;
• sposób wykorzystania — na przykład do trenowania albo dostrajania modelu;
• dostępne możliwości wyboru — jak odmówić zgody, wycofać ją lub skorzystać z opcji rezygnacji, jeśli ma zastosowanie.

Ogólna polityka prywatności może nadal zawierać dodatkowe informacje, ale nie powinna być jedynym miejscem ujawnienia celu, jeśli nie wynika z niej jasno, że dane mogą posłużyć do rozwoju generatywnego modelu AI.

Gdzie można umieścić takie powiadomienie?

Materiały źródłowe nie wskazują jednego obowiązkowego formatu ani jednej lokalizacji dla wszystkich organizacji. W praktyce informacja może pojawić się w miejscu, w którym dane są zbierane lub usługa jest używana — na przykład podczas rejestracji, w komunikacie wyświetlanym w odpowiednim momencie, w ustawieniach prywatności konta albo w wyraźnie podlinkowanej części polityki prywatności.

To wskazówka wdrożeniowa, a nie zamknięta lista wymogów z arkusza informacyjnego PDPC. Niezależnie od formatu powiadomienie powinno być widoczne i konkretne, a nie ukryte w obszernych, ogólnych warunkach.

Zgoda, rezygnacja i dostęp do usługi

Użytkownicy mogą zwrócić się o dostęp do swoich danych osobowych i ich korektę także po wykorzystaniu danych w procesie rozwoju GenAI. Organizacje powinny stosować odpowiednie praktyki zarządzania danymi na wcześniejszych etapach, rozpatrywać wnioski indywidualnie i wdrażać środki techniczne umożliwiające ich obsługę, choć prześledzenie danych w dużym zbiorze treningowym może być trudne.

Jeżeli podstawą przetwarzania jest zgoda, osoba powinna otrzymać informację, jak jej odmówić lub ją wycofać. Nie oznacza to automatycznie prawa do dalszego korzystania ze wszystkich elementów usługi na identycznych zasadach po rezygnacji. Możliwość utrzymania dostępu do głównej usługi zależy między innymi od tego, jak istotne dla jej działania jest trenowanie AI oraz jak zaprojektowano mechanizm zgody. Źródła nie ustanawiają ogólnego prawa do zachowania pełnego dostępu po każdym wycofaniu zgody.

„Chatbot Info Card” — dobrowolna karta informacyjna

Drugie rozwiązanie, przygotowane przez IMDA, ma charakter dobrowolny i dotyczy zewnętrznych chatbotów GenAI, które bezpośrednio kontaktują się z klientami, konsumentami lub innymi osobami z ogółu społeczeństwa. Nie chodzi o narzędzia wykorzystywane wyłącznie wewnątrz organizacji.

Centralnym elementem wytycznych jest „Chatbot Info Card”, porównywana do etykiety na produkcie spożywczym lub ulotki dołączonej do leku. Może przyjąć formę osobnej strony informacyjnej albo dokumentu z ujawnieniami, o ile zapewnia użytkownikowi jedno, łatwo dostępne miejsce z najważniejszymi informacjami.

Karta powinna być:

• istotna — zawierać informacje potrzebne do oceny, czy i w jakim zakresie można polegać na chatbocie;
• dostępna — napisana prostym językiem, łatwa do znalezienia i przeglądania;
• aktualna — opublikowana wraz z udostępnieniem chatbota i aktualizowana po istotnych zmianach jego możliwości, ryzyk lub zasad bezpieczeństwa.

Co powinna wyjaśniać karta?

Rekomendowany zakres obejmuje:

• przeznaczenie, funkcje i możliwości chatbota;
• ważne ograniczenia, w tym sytuacje, w których odpowiedzi należy zweryfikować albo użycie narzędzia może być niewłaściwe;
• środki dotyczące niezawodności i bezpieczeństwa;
• sposób przetwarzania promptów, rozmów i innych danych użytkownika;
• kanały składania skarg, przekazywania opinii i zgłaszania incydentów.

Karta nie jest gwarancją, że chatbot będzie zawsze poprawny lub bezpieczny. Jej celem jest zapewnienie użytkownikowi lepszej podstawy do decyzji: kiedy korzystać z narzędzia, jakich informacji nie udostępniać oraz gdzie zgłosić problem.

IMDA skupiło się początkowo na publicznych chatbotach ze względu na ich szeroki zasięg oraz ryzyka związane między innymi z prywatnością, bezpieczeństwem dzieci i możliwym wpływem na osoby szczególnie podatne. Wytyczne mogą w przyszłości stać się punktem odniesienia także dla innych zastosowań GenAI i regulacji sektorowych.

Jak zareagują firmy i instytucje?

Google, Meta, DBS, OCBC, Singapore Airlines i Synapxe zadeklarowały, że będą traktować dobrowolne wytyczne jako punkt odniesienia przy rozwijaniu przejrzystości publicznych chatbotów. Oznacza to zapowiedź dalszego dostosowywania praktyk, a nie dowód, że każda z tych organizacji uruchomiła już identyczną kartę informacyjną.

Banki mają koncentrować się na wyjaśnianiu funkcji dostępnych dla klientów, ograniczeń i zabezpieczeń, a także na powiązaniu ujawnień z istniejącymi procesami zarządzania ryzykiem i nadzoru nad AI. DBS wskazał na swoje inicjatywy AI skierowane do klientów, natomiast OCBC powiązał wytyczne z istniejącym systemem zarządzania AI i ryzykiem.

Singapore Airlines zapowiedziały dalszy przegląd i wzmacnianie nadzoru nad AI oraz zabezpieczeń wraz z rozwojem usług dla klientów wykorzystujących sztuczną inteligencję. Google i Meta poparły bardziej jasne i dostępne informacje o działaniu ich produktów AI oraz sposobie interakcji użytkowników z tymi narzędziami.

Z wytycznych mają korzystać także instytucje publiczne. National Library Board i Health Promotion Board planują uwzględnić je przy rozwijaniu własnych chatbotów skierowanych do społeczeństwa.

Co oznacza to w praktyce?

Singapur łączy bardziej precyzyjne zasady informowania o niektórych sposobach wykorzystania danych osobowych z dobrowolnym standardem przejrzystości dla publicznych chatbotów. Organizacje powinny traktować te rozwiązania jako uzupełniające się, ale niezamienne:

1. Zmapować dane — ustalić, jakie dane osobowe trafiają do procesu rozwoju modelu lub działania chatbota i w jakim celu.
2. Sprawdzić podstawę prawną — określić, czy potrzebna jest zgoda, czy można zastosować wyjątek PDPA.
3. Jasno ujawnić wykorzystanie GenAI — w razie potrzeby użyć specjalnego powiadomienia AI zamiast ogólnego sformułowania o ulepszaniu produktu.
4. Przygotować się na realizację praw użytkowników — zachować informacje potrzebne do oceny wniosków o dostęp, korektę lub wycofanie zgody.
5. Opublikować informacje o chacie — w przypadku publicznego chatbota udostępnić istotną, dostępną i aktualną kartę opisującą jego możliwości, ograniczenia, niezawodność, bezpieczeństwo, praktyki dotyczące danych i kanały zgłoszeń.

Nie jest to uniwersalna obietnica, że użytkownik będzie mógł zatrzymać każde wykorzystanie swoich danych związane z AI. To raczej nacisk na bardziej zrozumiałe ujawnienia, świadome zarządzanie danymi i większą odpowiedzialność za AI udostępnianą publicznie.