Singapur zaostrza zasady dotyczące danych AI. Firmy muszą mówić wprost o trenowaniu modeli

Co powinien zawierać komunikat dotyczący AI?

Informacja dla użytkownika powinna pozwalać zrozumieć nie tylko działanie samego produktu, lecz także cały proces przepływu danych. Zgodnie z podejściem PDPC firma powinna wyjaśnić:

• co robi model i w jakim celu jest rozwijany;
• jakie kategorie danych osobowych są wykorzystywane — na przykład dane kontaktowe, informacje o transakcjach lub lokalizacji, nagrania wideo i głosowe;
• w jaki sposób dane przyczyniają się do działania modelu, a nie tylko stwierdzić, że są „przetwarzane”;
• jak zrezygnować z wykorzystania danych lub wycofać zgodę, korzystając z praktycznych i łatwo dostępnych instrukcji.

Chodzi o przejrzystość w momencie podejmowania decyzji, a nie o kolejne zdanie ukryte na końcu długiej polityki prywatności. Wśród sugerowanych form znalazły się widoczny komunikat w aplikacji lub osobna strona internetowa.

Przykład: nagrania głosu w syntezie mowy

Firma rozwijająca funkcję zamiany tekstu na mowę może napisać, że wykorzystuje nagrania głosowe klientów do trenowania modelu, a nagrania pomagają mu rozpoznawać wzorce mowy. Taki komunikat jest znacznie bardziej konkretny niż ogólne stwierdzenie o „ulepszaniu produktu”.

Informacja nie zastępuje zgody

Jedną z najważniejszych kwestii jest rozróżnienie między poinformowaniem użytkownika o planowanym działaniu a wskazaniem podstawy prawnej, która pozwala firmie wykorzystać jego dane. Zgodnie z ogólnymi zasadami PDPA organizacje zazwyczaj muszą poinformować osobę o celu przetwarzania i uzyskać jej zgodę, chyba że zastosowanie ma ustawowy wyjątek.

Finalne wytyczne doprecyzowują, co powinna zawierać informacja, gdy zgoda jest wymagana: firma musi wyraźnie wskazać planowane wykorzystanie danych do rozwoju modelu AI. Nie oznacza to jednak, że każdy przypadek trenowania AI na danych osobowych automatycznie wymaga wyraźnej, aktywnej zgody. Zależy to od podstawy prawnej i odpowiedniego wyjątku w PDPA, w tym przepisów dotyczących informacji publicznie dostępnych.

Dla przedsiębiorstw praktyczny wniosek jest następujący: każdemu zbiorowi danych trzeba osobno przypisać cel i podstawę prawną. Jasny komunikat nie zastąpi zgody tam, gdzie jest ona wymagana, a zgody nie można domniemywać na podstawie sformułowania zbyt ogólnego, by opisywało rzeczywiste wykorzystanie danych.

Pytania, które pojawiły się przy projekcie wytycznych

Projekt konsultowany przez PDPC zwrócił uwagę, ponieważ pozostawiał kilka istotnych pytań operacyjnych bez oczywistej odpowiedzi.

Czy zawsze potrzebna jest wyraźna zgoda?

Projekt nie przesądzał jasno, że w każdym scenariuszu trenowania generatywnej AI konieczna będzie aktywna i wyraźna zgoda. Pojawiały się pytania o to, kiedy wystarczyłby model rezygnacji (opt-out), a kiedy można byłoby skorzystać z wyjątku przewidzianego w PDPA.

Finalne wytyczne, wskazując na znaczenie podstawy prawnej i wyjątków, nie czynią z komunikatu dotyczącego AI uniwersalnego zamiennika zgody. Organizacje powinny analizować każdy przypadek osobno.

Czy anonimizacja rozwiązuje problem?

Projekt pozostawiał również niepewność, czy szczególne oczekiwanie dotyczące komunikatu AI obejmuje dane zanonimizowane przed rozpoczęciem trenowania. Znaczenie ma między innymi to, czy informacje nadal można powiązać z możliwą do zidentyfikowania osobą oraz w jaki sposób firma przeprowadziła i udokumentowała anonimizację.

Dostępne informacje nie uzasadniają traktowania anonimizacji jako automatycznego rozwiązania dla każdego zbioru danych. Firmy powinny ocenić konkretny materiał i sposób jego przetwarzania, zamiast zakładać, że sama etykieta „dane zanonimizowane” kończy analizę.

Czy odmowa może oznaczać utratę usługi?

Kolejna nierozstrzygnięta kwestia dotyczyła tego, czy banki, ubezpieczyciele, platformy i inni usługodawcy mogą odmówić świadczenia usługi lub uzależnić do niej dostęp od zgody na wykorzystanie danych do trenowania AI.

To punkt, w którym formalny wybór może zderzyć się z realną presją. Rezygnacja istniejąca na papierze nie musi być rzeczywiście dobrowolna, jeśli jej konsekwencją jest znaczący koszt dla użytkownika.

Sam obowiązek informowania zwiększa przejrzystość, ale nie odpowiada na wszystkie pytania o sprawiedliwość, dostęp do usług i przewagę negocjacyjną dostawców nad klientami.

Szerszy kontekst: urządzenia wykorzystujące AI

Zainteresowanie PDPC generatywną AI wpisuje się w szerszą debatę o produktach, które zbierają dane w sposób trudny do zauważenia. Wśród priorytetów przypisywanych komisarz PDPC Denise Wong wymieniano między innymi inteligentne okulary, smartwatche oraz systemy płatności wykorzystujące skanowanie dłoni.

Takie produkty mogą przetwarzać szczególnie wrażliwe informacje, w tym cechy twarzy, odciski palców, dane głosowe i wzory naczyń krwionośnych dłoni. Wskazywane zagrożenia obejmują ukryte nagrywanie, ujawnienie lub niewłaściwe wykorzystanie danych biometrycznych, a także używanie inteligentnych okularów do przechwytywania materiałów egzaminacyjnych lub innych informacji w celu ułatwiania oszustw.

Singapurskie Ministerstwo Rozwoju Cyfrowego i Informacji zajmowało się również pytaniami o wizualne sygnały na inteligentnych okularach oraz o zbieranie danych biometrycznych i informacji o otoczeniu od osób postronnych, które nie korzystają z urządzenia.

Wspólnym problemem jest rzeczywista świadomość osób, których dane mogą zostać zebrane. Mała dioda nagrywania albo zasady urządzenia ukryte w dokumentacji nie zawsze dają przechodniom, klientom czy współpracownikom realną możliwość zrozumienia sytuacji i podjęcia decyzji.

Co firmy powinny zrobić teraz?

Organizacje rozwijające lub wdrażające systemy generatywnej AI w Singapurze mogą potraktować wytyczne jako listę kontrolną zarządzania danymi:

1. Przypisać każdy zbiór danych do konkretnego zastosowania AI. Trzeba ustalić, czy dane służą do trenowania, dostrajania, testowania, monitorowania czy innego celu.
2. Wybrać i udokumentować podstawę prawną w PDPA. Należy zapisać, czy wymagana jest zgoda, czy firma korzysta z ustawowego wyjątku.
3. Zastąpić ogólne klauzule konkretnymi informacjami. Jeśli dane będą służyć do rozwoju lub ulepszania modelu generatywnej AI, trzeba powiedzieć to wprost.
4. Opisać kategorie danych i funkcję modelu. Użytkownik powinien rozumieć, jakie informacje są wykorzystywane i co pomagają modelowi robić.
5. Ułatwić skorzystanie z wyboru. Instrukcje rezygnacji lub wycofania zgody powinny być praktyczne, a firma powinna rejestrować sposób obsługi takich żądań.
6. Osobno przeanalizować urządzenia połączone z AI. Inteligentne okulary, urządzenia ubieralne, kamery i systemy biometryczne mogą rodzić pytania o informowanie oraz zgodę osób, które nie są bezpośrednimi użytkownikami.

Singapurska zmiana nie polega więc przede wszystkim na zakazie wykorzystywania danych osobowych w generatywnej AI. Chodzi o to, by takie wykorzystanie było widoczne, opisane konkretnie i powiązane z możliwą do wskazania podstawą prawną. Finalne wytyczne zmniejszają dystans między tradycyjnymi politykami prywatności a współczesnym rozwojem AI, ale najtrudniejsze kwestie — zwłaszcza realna dobrowolność wyboru oraz dane wrażliwe i zbierane pośrednio — nadal pozostają ważnym problemem zarządzania ryzykiem.