As diretrizes têm natureza consultiva e não criam, por si só, uma proibição geral ao treinamento de modelos com dados pessoais. Elas orientam a aplicação da Lei de Proteção de Dados Pessoais de Singapura (PDPA), que prevê exceções capazes de permitir determinados usos sem consentimento. Entre elas está a possibilidade de utilizar certos dados pessoais disponíveis publicamente para o desenvolvimento de IA, sob condições específicas.

O que uma notificação específica para IA deve explicar

O aviso precisa ajudar as pessoas a entender não só o produto que estão usando, mas também o caminho percorrido por seus dados dentro do sistema. A abordagem apresentada pela PDPC prevê explicações sobre:

• O que o modelo faz e por que está sendo desenvolvido;
• Quais categorias de dados pessoais são utilizadas, como dados de contato, informações de transações ou localização, vídeos e gravações de voz;
• Como os dados contribuem para o modelo, em vez de apenas afirmar que são “processados”; e
• Como recusar o uso dos dados ou retirar o consentimento, com instruções práticas e razoavelmente acessíveis.

A preocupação da PDPC é evitar que a informação fique escondida em uma política de privacidade extensa, que o usuário dificilmente lerá ou compreenderá no momento da decisão. Entre os formatos sugeridos estão um aviso destacado dentro do próprio produto ou uma página específica dedicada ao uso dos dados.

Exemplo: gravações de voz em um sistema de texto para fala

Uma empresa que desenvolve uma ferramenta de conversão de texto em fala poderia informar que utiliza gravações de voz dos clientes para treinar o modelo e explicar que essas gravações ajudam o sistema a reconhecer padrões de fala.

Essa formulação é muito mais clara do que descrever o objetivo apenas como “melhoria do produto”.

Avisar não é o mesmo que obter consentimento

Uma das distinções mais importantes para a conformidade é a diferença entre explicar o que acontecerá e ter uma base legal para utilizar os dados.

Pela estrutura geral da PDPA, as organizações normalmente precisam informar a finalidade da coleta, do uso ou da divulgação dos dados pessoais e obter o consentimento do indivíduo, salvo quando uma exceção prevista na lei se aplicar.

As diretrizes finais esclarecem o conteúdo da notificação quando o consentimento é exigido: o aviso deve mencionar expressamente o uso pretendido no desenvolvimento do modelo de IA. Isso não significa, contudo, que todo uso de dados pessoais para treinamento de IA exija automaticamente consentimento afirmativo e explícito. A resposta depende da exceção aplicável na PDPA, incluindo as regras relativas a informações disponíveis publicamente.

Na prática, as empresas devem registrar separadamente a base legal de cada conjunto de dados usado no treinamento. Um aviso claro não substitui o consentimento quando ele é necessário; da mesma forma, não se pode presumir consentimento com base em uma linguagem tão ampla que não descreva o uso real da IA.

As dúvidas levantadas durante a consulta

A proposta colocada em consulta pública chamou atenção porque várias questões operacionais não estavam claramente respondidas no requisito inicial de notificação.

O consentimento explícito é sempre necessário?

O texto preliminar não estabelecia com clareza que o consentimento afirmativo e explícito seria obrigatório em todos os cenários de treinamento de IA generativa. Isso gerou dúvidas sobre quando um modelo de recusa — ou opt-out — poderia ser aceito e quando uma exceção da PDPA poderia ser aplicada.

O tratamento dado pelas diretrizes finais ao consentimento e às exceções torna a definição da base legal ainda mais importante. Uma notificação específica para IA não deve ser apresentada como substituta universal do consentimento.

A anonimização elimina a necessidade de um aviso específico?

Outra questão era saber se a expectativa de uma notificação específica para IA se aplicaria quando os dados fossem anonimizados antes do treinamento.

A análise pode variar conforme a possibilidade de vincular as informações novamente a uma pessoa identificável e conforme o método de anonimização utilizado e documentado pela organização. As informações disponíveis não permitem tratar a anonimização como uma solução automática para qualquer conjunto de dados. As empresas precisam avaliar o material e o processo aplicado, em vez de presumir que o rótulo “anonimizado” encerra a discussão.

Uma empresa pode negar um serviço a quem recusar?

Também permaneceu em aberto a possibilidade de bancos, seguradoras, plataformas e outros prestadores restringirem ou negarem um serviço quando a pessoa não aceitar o uso de seus dados para treinamento de IA.

É nesse ponto que uma escolha formal pode entrar em conflito com uma pressão prática: o usuário pode ter um botão de recusa, mas enfrentar um custo significativo se decidir utilizá-lo.

A exigência de transparência melhora a visibilidade sobre o uso dos dados, mas não responde sozinha a todas as questões de equidade, acesso a serviços ou poder de negociação entre indivíduos e empresas.

Por que óculos inteligentes e sistemas biométricos também entraram no debate

A atenção da PDPC à IA generativa faz parte de uma preocupação mais ampla com produtos que coletam dados de formas que podem passar despercebidas. As prioridades associadas à comissária Denise Wong incluem dispositivos e sistemas como óculos inteligentes, smartwatches e meios de pagamento que fazem leitura da palma da mão.

Esses produtos podem envolver informações sensíveis, como características faciais, impressões digitais, dados de voz e padrões das veias da palma da mão. Entre os riscos apontados estão gravações secretas, exposição ou uso indevido de informações biométricas e a utilização de óculos inteligentes para capturar material de provas ou outras informações com o objetivo de facilitar fraudes acadêmicas.

O Ministério do Desenvolvimento Digital e da Informação de Singapura também respondeu a perguntas sobre indicadores visuais em óculos inteligentes e sobre a coleta de dados biométricos ou ambientais de pessoas próximas que não estão usando o dispositivo.

A questão central é a possibilidade de uma percepção real do que está acontecendo. Uma pequena luz indicadora ou uma política escondida na documentação pode não dar às pessoas próximas uma oportunidade concreta de entender a coleta ou tomar uma decisão.

O que as organizações devem fazer agora

Empresas que desenvolvem ou implementam sistemas de IA generativa em Singapura podem tratar as diretrizes como uma lista de verificação para governança de dados:

1. Relacionar cada conjunto de dados a um caso de uso específico. Identifique se as informações serão usadas para treinamento, ajuste fino, testes, monitoramento ou outra finalidade.
2. Escolher e documentar a base prevista na PDPA. Registre se o consentimento é necessário ou se a empresa está recorrendo a uma exceção legal.
3. Reescrever avisos genéricos. Informe claramente que os dados pessoais serão usados para desenvolver ou aprimorar um modelo de IA generativa quando essa for a finalidade.
4. Descrever as categorias de dados e a função do modelo. As pessoas devem conseguir entender quais informações são utilizadas e o que elas ajudam o modelo a fazer.
5. Tornar a escolha utilizável. Explique como recusar o uso dos dados ou retirar o consentimento e registre como os pedidos serão tratados.
6. Avaliar dispositivos conectados separadamente. Óculos inteligentes, wearables, câmeras e sistemas biométricos podem criar questões de aviso e consentimento envolvendo pessoas que não são os usuários diretos.

A mudança de Singapura não representa, portanto, uma proibição geral do uso de dados pessoais em IA generativa. O foco está em tornar esse uso visível, específico e vinculado a uma base legal identificável.

As diretrizes finais reduzem parte da distância entre os avisos tradicionais de privacidade e a realidade do desenvolvimento de IA. Ainda assim, as questões mais difíceis — especialmente a possibilidade de escolha significativa e o tratamento de dados sensíveis ou capturados indiretamente — continuam no centro da governança de dados.

As diretrizes têm natureza consultiva e não criam, por si só, uma proibição geral ao treinamento de modelos com dados pessoais. Elas orientam a aplicação da Lei de Proteção de Dados Pessoais de Singapura (PDPA), que prevê exceções capazes de permitir determinados usos sem consentimento. Entre elas está a possibilidade de utilizar certos dados pessoais disponíveis publicamente para o desenvolvimento de IA, sob condições específicas.

O que uma notificação específica para IA deve explicar

O aviso precisa ajudar as pessoas a entender não só o produto que estão usando, mas também o caminho percorrido por seus dados dentro do sistema. A abordagem apresentada pela PDPC prevê explicações sobre:

• O que o modelo faz e por que está sendo desenvolvido;
• Quais categorias de dados pessoais são utilizadas, como dados de contato, informações de transações ou localização, vídeos e gravações de voz;
• Como os dados contribuem para o modelo, em vez de apenas afirmar que são “processados”; e
• Como recusar o uso dos dados ou retirar o consentimento, com instruções práticas e razoavelmente acessíveis.

A preocupação da PDPC é evitar que a informação fique escondida em uma política de privacidade extensa, que o usuário dificilmente lerá ou compreenderá no momento da decisão. Entre os formatos sugeridos estão um aviso destacado dentro do próprio produto ou uma página específica dedicada ao uso dos dados.

Exemplo: gravações de voz em um sistema de texto para fala

Uma empresa que desenvolve uma ferramenta de conversão de texto em fala poderia informar que utiliza gravações de voz dos clientes para treinar o modelo e explicar que essas gravações ajudam o sistema a reconhecer padrões de fala.

Essa formulação é muito mais clara do que descrever o objetivo apenas como “melhoria do produto”.

Avisar não é o mesmo que obter consentimento

Uma das distinções mais importantes para a conformidade é a diferença entre explicar o que acontecerá e ter uma base legal para utilizar os dados.

Pela estrutura geral da PDPA, as organizações normalmente precisam informar a finalidade da coleta, do uso ou da divulgação dos dados pessoais e obter o consentimento do indivíduo, salvo quando uma exceção prevista na lei se aplicar.

As diretrizes finais esclarecem o conteúdo da notificação quando o consentimento é exigido: o aviso deve mencionar expressamente o uso pretendido no desenvolvimento do modelo de IA. Isso não significa, contudo, que todo uso de dados pessoais para treinamento de IA exija automaticamente consentimento afirmativo e explícito. A resposta depende da exceção aplicável na PDPA, incluindo as regras relativas a informações disponíveis publicamente.

Na prática, as empresas devem registrar separadamente a base legal de cada conjunto de dados usado no treinamento. Um aviso claro não substitui o consentimento quando ele é necessário; da mesma forma, não se pode presumir consentimento com base em uma linguagem tão ampla que não descreva o uso real da IA.

As dúvidas levantadas durante a consulta

A proposta colocada em consulta pública chamou atenção porque várias questões operacionais não estavam claramente respondidas no requisito inicial de notificação.

O consentimento explícito é sempre necessário?

O texto preliminar não estabelecia com clareza que o consentimento afirmativo e explícito seria obrigatório em todos os cenários de treinamento de IA generativa. Isso gerou dúvidas sobre quando um modelo de recusa — ou opt-out — poderia ser aceito e quando uma exceção da PDPA poderia ser aplicada.

O tratamento dado pelas diretrizes finais ao consentimento e às exceções torna a definição da base legal ainda mais importante. Uma notificação específica para IA não deve ser apresentada como substituta universal do consentimento.

A anonimização elimina a necessidade de um aviso específico?

Outra questão era saber se a expectativa de uma notificação específica para IA se aplicaria quando os dados fossem anonimizados antes do treinamento.

A análise pode variar conforme a possibilidade de vincular as informações novamente a uma pessoa identificável e conforme o método de anonimização utilizado e documentado pela organização. As informações disponíveis não permitem tratar a anonimização como uma solução automática para qualquer conjunto de dados. As empresas precisam avaliar o material e o processo aplicado, em vez de presumir que o rótulo “anonimizado” encerra a discussão.

Uma empresa pode negar um serviço a quem recusar?

Também permaneceu em aberto a possibilidade de bancos, seguradoras, plataformas e outros prestadores restringirem ou negarem um serviço quando a pessoa não aceitar o uso de seus dados para treinamento de IA.

É nesse ponto que uma escolha formal pode entrar em conflito com uma pressão prática: o usuário pode ter um botão de recusa, mas enfrentar um custo significativo se decidir utilizá-lo.

A exigência de transparência melhora a visibilidade sobre o uso dos dados, mas não responde sozinha a todas as questões de equidade, acesso a serviços ou poder de negociação entre indivíduos e empresas.

Por que óculos inteligentes e sistemas biométricos também entraram no debate

A atenção da PDPC à IA generativa faz parte de uma preocupação mais ampla com produtos que coletam dados de formas que podem passar despercebidas. As prioridades associadas à comissária Denise Wong incluem dispositivos e sistemas como óculos inteligentes, smartwatches e meios de pagamento que fazem leitura da palma da mão.

Esses produtos podem envolver informações sensíveis, como características faciais, impressões digitais, dados de voz e padrões das veias da palma da mão. Entre os riscos apontados estão gravações secretas, exposição ou uso indevido de informações biométricas e a utilização de óculos inteligentes para capturar material de provas ou outras informações com o objetivo de facilitar fraudes acadêmicas.

O Ministério do Desenvolvimento Digital e da Informação de Singapura também respondeu a perguntas sobre indicadores visuais em óculos inteligentes e sobre a coleta de dados biométricos ou ambientais de pessoas próximas que não estão usando o dispositivo.

A questão central é a possibilidade de uma percepção real do que está acontecendo. Uma pequena luz indicadora ou uma política escondida na documentação pode não dar às pessoas próximas uma oportunidade concreta de entender a coleta ou tomar uma decisão.

O que as organizações devem fazer agora

Empresas que desenvolvem ou implementam sistemas de IA generativa em Singapura podem tratar as diretrizes como uma lista de verificação para governança de dados:

1. Relacionar cada conjunto de dados a um caso de uso específico. Identifique se as informações serão usadas para treinamento, ajuste fino, testes, monitoramento ou outra finalidade.
2. Escolher e documentar a base prevista na PDPA. Registre se o consentimento é necessário ou se a empresa está recorrendo a uma exceção legal.
3. Reescrever avisos genéricos. Informe claramente que os dados pessoais serão usados para desenvolver ou aprimorar um modelo de IA generativa quando essa for a finalidade.
4. Descrever as categorias de dados e a função do modelo. As pessoas devem conseguir entender quais informações são utilizadas e o que elas ajudam o modelo a fazer.
5. Tornar a escolha utilizável. Explique como recusar o uso dos dados ou retirar o consentimento e registre como os pedidos serão tratados.
6. Avaliar dispositivos conectados separadamente. Óculos inteligentes, wearables, câmeras e sistemas biométricos podem criar questões de aviso e consentimento envolvendo pessoas que não são os usuários diretos.

A mudança de Singapura não representa, portanto, uma proibição geral do uso de dados pessoais em IA generativa. O foco está em tornar esse uso visível, específico e vinculado a uma base legal identificável.

As diretrizes finais reduzem parte da distância entre os avisos tradicionais de privacidade e a realidade do desenvolvimento de IA. Ainda assim, as questões mais difíceis — especialmente a possibilidade de escolha significativa e o tratamento de dados sensíveis ou capturados indiretamente — continuam no centro da governança de dados.