Quando empresas de Singapura precisam avisar que seus dados serão usados no treinamento de IA

A Comissão de Proteção de Dados Pessoais de Singapura (PDPC) publicou, em 20 de julho de 2026, uma orientação sobre a aplicação da Lei de Proteção de Dados Pessoais (PDPA) ao uso de dados pessoais em sistemas de IA generativa. A regra prática é direta, mas tem limites: quando uma organização precisa de consentimento para usar dados pessoais no desenvolvimento, treinamento ou ajuste fino de um modelo, o aviso ao titular deve informar claramente que a IA generativa está envolvida.

A regra central: o treinamento de IA deve ser explicado sem rodeios

Uma política de privacidade genérica, com frases como “os dados podem ser usados para desenvolvimento de produtos”, não basta para obter um consentimento válido para o treinamento ou ajuste fino, em larga escala, de modelos de IA generativa. O aviso deve indicar a finalidade ligada à IA generativa e explicar quais dados serão usados e de que maneira.

A exigência é especialmente relevante quando dados coletados para um serviço comum — como banco, seguro, compras on-line ou rede social — são reaproveitados para uma nova finalidade de desenvolvimento de IA. A organização não deve presumir que um aviso amplo e anterior cubra automaticamente esse uso quando ele estiver fora do que os consumidores poderiam esperar de forma razoável.

A orientação tem caráter consultivo: não é uma nova lei independente, mas uma explicação de como a PDPC interpreta as obrigações já existentes na PDPA.

Como a orientação se aplica a quatro situações comuns

Bancos que usam dados financeiros e de atendimento para assistentes de IA

Se um banco usar dados de clientes para desenvolver ou aprimorar um assistente de IA, deverá fornecer um aviso específico sobre IA caso esteja baseando esse uso no consentimento. O aviso deve diferenciar o desenvolvimento do modelo das funções normais de atendimento e prestação de serviços bancários.

O banco pode conseguir usar uma exceção ao consentimento prevista na PDPA, como a exceção para melhoria dos negócios, mas somente se cumprir as condições legais e respeitar o alcance dessa exceção. Quando uma exceção válida se aplica, o consentimento — e, portanto, uma possibilidade de recusa baseada nele — pode não ser necessário.

Seguradoras que usam informações médicas e de sinistros

A questão da notificação é essencialmente a mesma: se o consentimento for necessário para usar dados médicos ou de sinistros no desenvolvimento de um modelo de IA generativa, o aviso deverá descrever especificamente esse uso.

Uma declaração anterior e genérica sobre melhoria dos serviços não deve ser considerada automaticamente suficiente para o treinamento do modelo. A seguradora precisará demonstrar que uma exceção relevante da PDPA se aplica ou obter consentimento válido por meio de um aviso específico sobre IA. As fontes disponíveis não estabelecem uma regra geral segundo a qual todos os dados médicos ou de sinistros estariam automaticamente isentos.

Plataformas de comércio eletrônico que criam produtos comerciais de IA

Usar histórico de compras ou atividade de navegação para desenvolver um produto comercial de IA generativa separado é um exemplo claro de reaproveitamento dos dados para além da experiência imediata de compra. Quando o consentimento for exigido, a plataforma deverá explicar diretamente a finalidade ligada à IA, em vez de depender de uma cláusula genérica sobre desenvolvimento de produtos.

A exceção para melhoria dos negócios pode ser relevante em determinadas circunstâncias, mas não funciona como uma autorização geral para qualquer novo uso comercial. A organização ainda precisa cumprir os requisitos legais da exceção e permanecer dentro de seus limites.

Redes sociais que aprimoram ferramentas de criação de conteúdo

Se uma plataforma de mídia social usar perfis, fotos, vídeos, publicações ou interações para melhorar ferramentas de criação de conteúdo com IA generativa, deverá fazer uma notificação específica sobre IA quando o consentimento for sua base legal.

Dados pessoais genuinamente disponíveis ao público podem se enquadrar na exceção da PDPA para dados públicos, o que significa que o consentimento talvez não seja necessário. Mas a visibilidade é decisiva: um conteúdo realmente público não é o mesmo que uma publicação compartilhada apenas com usuários selecionados ou protegida por controles de acesso.

Quando a notificação ou a opção de recusa pode não ser necessária

Os dados foram verdadeiramente anonimizados

Se os dados forem efetivamente anonimizados, de modo que deixem de ser dados pessoais, as obrigações da PDPA relativas a notificação e consentimento não se aplicam. Dados pseudonimizados ou mascarados não devem ser tratados automaticamente como anônimos; a pergunta relevante é se as pessoas ainda podem ser identificadas.

Existe uma exceção válida na PDPA

A organização pode não precisar de consentimento quando conseguir se apoiar corretamente em uma exceção legal, incluindo a exceção para dados disponíveis publicamente ou, quando as condições forem atendidas, a exceção para melhoria dos negócios. Como a exigência de aviso específico sobre IA está ligada às situações em que o consentimento é necessário, ela não cria um direito universal de recusar todo uso legal de dados para treinamento de IA.

A modalidade de consentimento aplicável não exige opt-out

A orientação da PDPC descreve uma modalidade de recusa que envolve aviso, um prazo razoável e uma forma razoável de o indivíduo rejeitar o uso, quando essa modalidade for utilizada. Isso não significa que toda atividade de tratamento relacionada à IA precise oferecer uma opção de recusa — especialmente quando a organização estiver recorrendo a uma exceção ao consentimento, e não ao consentimento propriamente dito.

Ainda assim, consumidores podem ter o direito de retirar um consentimento que deram ou que tenha sido considerado concedido segundo a PDPA, de acordo com o regime aplicável ao tratamento.

A empresa pode condicionar o serviço ao consentimento para treinar IA?

Em geral, a organização não deve negar um produto ou serviço apenas porque o consumidor se recusou a autorizar o treinamento de IA quando esse treinamento não for razoavelmente necessário para oferecer o produto ou serviço solicitado. Na prática, o consentimento para desenvolver um assistente de IA de uso geral ou um modelo comercial sem relação direta com o serviço não deveria ser incluído como condição de acesso a uma conta bancária comum, a uma plataforma de compras ou a uma rede social.

A principal ressalva é a necessidade. O consentimento pode ser exigido como condição quando a coleta, o uso ou a divulgação dos dados forem razoavelmente necessários para o serviço ou a transação solicitada pelo consumidor. A aplicação desse critério depende do serviço específico, do uso dos dados e das circunstâncias do caso; a orientação não oferece uma resposta única para todas as organizações ou sistemas de IA.

O que consumidores e empresas devem observar

Os consumidores devem procurar quatro informações em um aviso sobre IA:

• se seus dados pessoais serão usados para desenvolver, treinar ou melhorar um modelo de IA generativa;
• quais categorias de dados estão envolvidas;
• qual é a finalidade e como os dados serão usados; e
• se é possível recusar ou retirar o consentimento, e como fazer isso.

As organizações devem primeiro verificar se as informações ainda são dados pessoais, se alguma exceção se aplica e se o uso proposto da IA é razoavelmente necessário para o serviço solicitado. Só depois poderão determinar se precisam de um aviso específico sobre IA baseado em consentimento — e de um mecanismo de recusa.

Essa é a principal limitação do marco de julho de 2026 em Singapura: ele aumenta a transparência no treinamento de IA baseado em consentimento, mas não cria automaticamente uma opção de recusa para todo uso legal de dados.