As novas regras de IA generativa de Singapura: o que empresas e consumidores precisam saber

Já a orientação sobre chatbots é voluntária. Ela se aplica a ferramentas externas que interagem com clientes, consumidores ou membros do público. A recomendação é reunir, em um único local fácil de encontrar, informações sobre o que o chatbot faz, onde pode falhar, como é protegido, como trata os dados e como o usuário pode registrar uma reclamação ou relatar um incidente.

O que a orientação da PDPC abrange

A orientação da PDPC considera os dados pessoais ao longo de todo o ciclo de vida da IA generativa. Isso pode incluir informações coletadas na internet, dados fornecidos por usuários para receber um serviço comum e posteriormente reutilizados no desenvolvimento ou aprimoramento de um modelo, implantação do sistema, segurança, retenção e resposta a pedidos de acesso ou correção.

O principal desafio é a mudança de finalidade. Informações entregues originalmente em uma transação, conta, atendimento ou outro serviço podem ser reutilizadas em larga escala para treinar ou ajustar um modelo. Esse processo pode dificultar que as pessoas entendam o que aconteceu com seus dados, controlem esse uso ou exerçam seus direitos depois que as informações entram em um grande conjunto de treinamento.

A orientação também distribui responsabilidades pela cadeia de fornecimento de IA. Os provedores de modelos continuam responsáveis pelas obrigações previstas na Lei de Proteção de Dados Pessoais de Singapura (PDPA) relacionadas ao desenvolvimento e à implantação dos modelos. Os provedores de sistemas devem considerar a segurança e comunicar as salvaguardas relevantes. Já quem coloca o sistema em operação deve definir as finalidades do tratamento, entender os fluxos de dados e revisar os controles adotados.

Quando é necessário um aviso específico sobre IA

Se uma organização quiser usar “Dados do Usuário” para desenvolver um modelo de IA generativa e nenhuma exceção de consentimento prevista na PDPA se aplicar, ela deverá obter consentimento por meio de um aviso específico sobre IA. O texto precisa deixar claro o uso para desenvolvimento ou aprimoramento de um modelo de IA generativa, em vez de depender de expressões amplas como “melhoria do serviço”, “personalização” ou “aprimoramento do produto”.

A exigência é especialmente relevante quando a informação foi fornecida diretamente por uma pessoa em um produto ou serviço existente para uma finalidade não relacionada à IA generativa e, mais tarde, é reaproveitada no desenvolvimento de um modelo. Antes de prosseguir, a organização deve avaliar o contexto da coleta original, a nova finalidade e a existência de alguma exceção aplicável.

Dados disponíveis publicamente

A exceção da PDPA para dados pessoais disponíveis publicamente pode permitir a coleta, sem consentimento, de informações acessíveis ao público para o desenvolvimento de modelos. Isso não significa que todo dado encontrado na internet se enquadre automaticamente nessa categoria. Informações protegidas por paywall, login, cadastro ou barreira digital semelhante exigem uma análise cuidadosa para determinar se continuam sendo consideradas disponíveis publicamente para essa finalidade.

Dados devidamente anonimizados

Dados devidamente anonimizados não são considerados dados pessoais para os fins da PDPA, pois não permitem identificar uma pessoa. Os materiais da PDPC incentivam seu uso em análises e pesquisas sempre que possível.

Há, porém, uma ressalva prática: remover apenas o nome não necessariamente torna um conjunto de dados anônimo. Uma pessoa ainda pode ser identificada a partir das informações restantes ou da combinação delas com outras informações razoavelmente disponíveis. Por isso, a organização precisa avaliar se o processo de anonimização realmente elimina a possibilidade de identificação.

E as gravações de call center?

Os materiais fornecidos não estabelecem uma exceção categórica específica para gravações de call center. Uma gravação que identifica, ou pode razoavelmente identificar, quem ligou deve ser tratada como dado pessoal na avaliação de um eventual uso em IA generativa.

Nesse caso, a organização ainda precisaria de uma base válida prevista na PDPA — como consentimento, aviso adequado ou outra exceção legal — antes de usar a gravação no desenvolvimento de um modelo. A aplicação concreta dependerá do conteúdo da gravação, da forma como ela foi coletada, da finalidade proposta e da exceção eventualmente aplicável. As fontes disponíveis não permitem afirmar uma regra adicional específica para gravações de atendimento.

O que o aviso específico deve informar

O aviso deve fornecer informações significativas e específicas sobre o uso planejado. No mínimo, os materiais indicam que ele deve explicar:

• A finalidade de IA: informar que os dados pessoais serão usados para desenvolver ou aprimorar um modelo de IA generativa.
• O motivo do uso: explicar a finalidade do desenvolvimento ou aprimoramento do modelo.
• Os dados envolvidos: descrever as categorias de dados pessoais utilizadas.
• A forma de uso: explicar como os dados serão utilizados, inclusive para treinamento ou ajuste fino, quando relevante.
• As opções da pessoa: mostrar como recusar ou retirar o consentimento, ou como exercer o opt-out quando essa alternativa estiver disponível.

Uma política de privacidade geral ainda pode trazer informações úteis, mas não deve ser a única comunicação quando não deixar claro que os dados poderão ser usados para desenvolver ou aprimorar um modelo de IA generativa. O ponto central é saber se uma pessoa razoável entenderia essa finalidade específica.

Onde o aviso pode aparecer

Os materiais fornecidos não determinam um formato único nem um local obrigatório para todas as organizações. Uma abordagem prática é apresentar a informação no momento em que os dados relevantes são coletados ou quando o serviço é utilizado — por exemplo, durante o cadastro, em um aviso contextual dentro do produto, nos controles de privacidade da conta ou em uma política de privacidade claramente vinculada.

Essa orientação sobre o local é uma inferência de implementação, não uma lista exaustiva do factsheet da PDPC. Qualquer que seja o formato escolhido, o aviso deve ser visível e específico, e não ficar escondido em termos gerais e difíceis de localizar.

Consentimento, retirada e direito de acesso

As pessoas podem solicitar acesso e correção de seus dados pessoais mesmo depois de eles terem sido usados no desenvolvimento de IA generativa. Espera-se que as organizações adotem boas práticas na origem dos dados, analisem cada pedido individualmente e implementem medidas técnicas adequadas, embora rastrear informações dentro de grandes conjuntos de treinamento possa ser difícil.

Quando o consentimento for a base legal, a pessoa deve ser informada sobre como recusá-lo ou retirá-lo. Isso não significa automaticamente que ela poderá continuar usando todos os componentes de um serviço exatamente nas mesmas condições após optar por sair. A possibilidade de manter o acesso ao serviço principal dependerá do papel do treinamento de IA, da necessidade desse tratamento e do desenho do consentimento adotado pela organização. As fontes não estabelecem um direito geral de manter o acesso integral após qualquer opt-out.

O Cartão de Informações do Chatbot da IMDA

As orientações de transparência da IMDA adotam uma perspectiva voltada ao consumidor. Elas se dirigem a operadores de chatbots externos de IA generativa e buscam ajudar os usuários a tomar decisões mais informadas, padronizar divulgações e aumentar a responsabilidade dos provedores em relação às práticas de segurança e confiabilidade que declaram.

A principal recomendação é o “Cartão de Informações do Chatbot”, comparado pela IMDA a um rótulo nutricional ou a uma bula. Ele pode ser uma página dedicada ou um documento de divulgação, desde que ofereça ao usuário um local único, consolidado e acessível para consultar as informações importantes.

O cartão deve seguir três princípios:

• Relevância: incluir as informações necessárias para avaliar se, e como, o chatbot deve ser utilizado.
• Acessibilidade: usar linguagem clara e tornar o conteúdo fácil de encontrar e navegar.
• Atualidade: publicar o cartão quando o chatbot for disponibilizado e atualizá-lo quando mudanças relevantes afetarem suas capacidades, riscos ou políticas de segurança.

O que o cartão deve explicar

Um cartão útil deve abordar:

• a finalidade, as funções e as capacidades do chatbot;
• limitações importantes, inclusive situações em que as respostas devem ser verificadas ou o uso pode ser inadequado;
• medidas de confiabilidade e segurança;
• como entradas dos usuários, conversas e outros dados são tratados; e
• canais para reclamações, feedback e comunicação de incidentes.

O cartão não é uma garantia de que o chatbot será preciso ou seguro. Seu valor está em oferecer uma base mais clara para o usuário decidir quando confiar na ferramenta, quais informações compartilhar e a quem recorrer se algo der errado.

A IMDA priorizou inicialmente os chatbots públicos por causa do amplo alcance entre consumidores e de preocupações relacionadas à privacidade, à segurança de crianças e a riscos para pessoas em situação de vulnerabilidade mental. O modelo também poderá servir de referência para outras aplicações de IA generativa e para futuras orientações específicas por setor.

Como empresas e órgãos públicos devem implementar as medidas

Google, Meta, DBS, OCBC, Singapore Airlines e Synapxe indicaram que usarão a orientação voluntária sobre chatbots como referência para melhorar suas práticas de transparência em ferramentas voltadas ao público. Isso demonstra uma intenção de alinhamento e aprimoramento contínuo — não significa que todas as organizações já tenham lançado cartões idênticos.

Para bancos, a tendência é que os cartões expliquem as funções oferecidas aos clientes, as limitações e as salvaguardas, em conjunto com os processos existentes de governança e gestão de riscos de IA. O DBS mencionou suas iniciativas de IA voltadas ao consumidor, enquanto o OCBC relacionou a orientação à sua estrutura já estabelecida de governança e gerenciamento de riscos de IA.

A Singapore Airlines afirmou que continuará avaliando e fortalecendo a governança e as salvaguardas de IA à medida que amplia experiências de atendimento habilitadas por essa tecnologia. Google e Meta apoiaram a oferta de informações mais claras e acessíveis sobre o funcionamento de seus produtos de IA e a interação dos usuários com eles.

Órgãos públicos também devem usar o modelo como referência. A National Library Board e a Health Promotion Board planejam considerá-lo em seus próprios chatbots voltados ao público.

O que muda na prática

A abordagem de Singapura combina uma exigência mais específica de transparência sobre determinados usos de dados pessoais em IA generativa com um padrão voluntário para a comunicação pública de chatbots. As duas medidas são complementares, mas não podem ser tratadas como substitutas:

1. Mapear os dados: identificar quais dados pessoais entram no fluxo de desenvolvimento do modelo ou do chatbot e por quê.
2. Verificar a base legal: determinar se o consentimento é necessário ou se alguma exceção da PDPA se aplica.
3. Deixar o reaproveitamento explícito: usar um aviso específico sobre IA quando exigido, em vez de depender de uma expressão genérica como “melhoria do produto”.
4. Preparar-se para pedidos de direitos: manter informações suficientes na origem para analisar solicitações de acesso, correção e retirada do consentimento.
5. Publicar informações sobre o chatbot: para ferramentas voltadas ao público, oferecer um cartão relevante, acessível e atualizado, cobrindo capacidades, limitações, segurança, confiabilidade, práticas de dados e canais de denúncia.

O resultado não é uma promessa universal de que os usuários poderão interromper todo e qualquer uso de seus dados relacionado à IA. Trata-se de um movimento para tornar a reutilização de dados mais clara, fortalecer a governança e aumentar a responsabilidade das ferramentas de IA generativa oferecidas ao público.