Какие данные компании используют для обучения генеративного ИИ: новые правила Сингапура

Сингапур перешёл от обсуждения к финальным рекомендациям по использованию персональных данных в генеративном искусственном интеллекте. 20 июля 2026 года Комиссия по защите персональных данных (PDPC) выпустила Advisory Guidelines on the Use of Personal Data in Generative AI — разъяснения о том, как применять к ИИ действующий Закон о защите персональных данных (PDPA).

Главный сигнал для компаний прост: если для обучения или дообучения модели нужно согласие пользователя, спрятать это намерение за формулировкой вроде «разработка новых продуктов» больше нельзя. Уведомление должно прямо говорить об использовании персональных данных для создания или улучшения генеративной ИИ-модели.

Коротко: что меняется

Рекомендации носят консультативный характер и не вводят отдельный запрет на обучение ИИ на персональных данных. Они работают внутри общей системы PDPA, где согласие обычно требуется после уведомления о цели обработки, если только не применяется предусмотренное законом исключение.

Одно из таких исключений касается некоторых персональных данных, находящихся в открытом доступе. В отдельных случаях компании могут использовать общедоступную информацию для разработки ИИ без согласия, но это не отменяет необходимости оценивать конкретный набор данных и способ его обработки.

Что должно быть в специальном уведомлении об ИИ

Пользователю должны объяснить не только сам продукт, но и то, как его данные проходят через модель. В понятном уведомлении следует указать:

• что делает модель и зачем её разрабатывают;
• какие категории персональных данных используются — например, контактные сведения, данные о транзакциях или местоположении, видео- и аудиозаписи;
• какую роль эти данные играют в работе модели, а не просто сообщить, что они «обрабатываются»;
• как отказаться от использования данных или отозвать согласие — с практичными и достаточно доступными инструкциями.

Регулятор делает акцент на уведомлении в момент, когда человек принимает решение, а не на формальной фразе в конце длинной политики конфиденциальности. Среди возможных форматов назывались заметное сообщение внутри продукта и отдельная веб-страница.

Пример: голосовые записи для синтеза речи

Компания, которая создаёт функцию преобразования текста в речь, может прямо сообщить клиентам: их голосовые записи используются для обучения модели, чтобы система лучше распознавала речевые особенности. Такое объяснение значительно конкретнее, чем общее обещание «улучшать продукт».

Уведомить — не значит получить согласие

Здесь важно различать два юридических шага. Уведомление объясняет человеку, что произойдёт с его данными. Согласие создаёт правовое основание для обработки, если именно оно требуется по PDPA. В общем случае организация должна сообщить цели сбора, использования или передачи данных и получить согласие, если не действует исключение.

Финальные рекомендации уточняют содержание уведомления в тех случаях, когда согласие действительно необходимо: компания должна прямо указать предполагаемое использование данных для разработки ИИ-модели.

Однако это не означает, что любое использование персональных данных для обучения генеративного ИИ автоматически требует отдельного явного согласия. Ответ зависит от обстоятельств и применимого исключения, в том числе от правил об общедоступной информации.

Практический вывод для бизнеса: правовое основание нужно фиксировать отдельно для каждого набора данных. Понятное уведомление не заменяет согласие там, где оно обязательно, а согласие нельзя считать полученным на основании слишком общей формулировки, не описывающей реальное использование данных.

Какие вопросы оставались спорными на этапе проекта

Предложение PDPC привлекло внимание не только требованием к прозрачности. У компаний и правозащитников возникли вопросы о том, как эти принципы будут работать в повседневных сценариях.

Всегда ли нужно явное согласие?

В проекте не было однозначно сказано, что подтверждённое, явное согласие обязательно в каждом случае обучения генеративного ИИ. Это породило дискуссию о том, когда допустим механизм отказа и когда можно применить исключение из PDPA.

Финальные рекомендации делают правовое основание ещё важнее: специальное уведомление об ИИ нельзя преподносить как универсальную замену согласию.

Снимает ли анонимизация проблему уведомления?

Неясным оставался и вопрос о данных, которые были анонимизированы до начала обучения. Для правовой оценки важно, можно ли по-прежнему связать сведения с конкретным человеком, а также каким методом компания проводила и документировала анонимизацию.

Доступные материалы не дают оснований считать анонимизацию автоматическим решением для любого набора данных. Компаниям придётся оценивать конкретные данные и технологический процесс, а не ограничиваться ярлыком «анонимизировано».

Может ли компания отказать в услуге тем, кто не согласен?

Ещё одна проблема касается банков, страховщиков, онлайн-платформ и других поставщиков услуг. Сможет ли организация отказать человеку в обслуживании или сделать услугу недоступной, если тот не разрешает использовать свои данные для обучения ИИ?

На практике формальный выбор может оказаться неравным: возможность отказаться существует на бумаге, но отказ влечёт существенные неудобства или расходы. Требование об уведомлении повышает прозрачность, однако само по себе не решает вопросы справедливости, доступа к услугам и переговорной силы между клиентом и поставщиком.

Почему в дискуссии появились умные очки и биометрические платежи

Работа PDPC с генеративным ИИ вписывается в более широкую повестку, связанную с устройствами, которые могут собирать данные незаметно для окружающих. В центре внимания, в частности, находятся умные очки, смарт-часы и платёжные системы со сканированием ладони.

Такие продукты способны работать с чувствительной информацией: изображениями лица, отпечатками пальцев, голосом и рисунком вен на ладони. Среди упоминаемых рисков — скрытая запись, утечка или неправомерное использование биометрии, а также применение умных очков для съёмки экзаменационных материалов и другой информации, что может облегчать списывание.

Министерство цифрового развития и информации Сингапура отдельно отвечало на вопросы о визуальных индикаторах записи на умных очках и о сборе биометрических либо окружающих данных у людей, которые сами этим устройством не пользуются.

В основе спора — не просто наличие индикатора или пункта в пользовательском соглашении, а осведомлённость, позволяющая сделать реальный выбор. Маленький световой сигнал или спрятанные в документации правила не всегда дают случайным прохожим понять, что происходит и как защитить себя.

Что компаниям стоит сделать уже сейчас

Организациям, которые разрабатывают или внедряют генеративные ИИ-системы в Сингапуре, стоит использовать рекомендации как практический чек-лист управления данными:

1. Связать каждый набор данных с конкретным сценарием использования ИИ. Нужно определить, идёт ли речь об обучении, дообучении, тестировании, мониторинге или другой операции.
2. Выбрать и задокументировать основание по PDPA. Зафиксировать, требуется ли согласие или компания полагается на предусмотренное законом исключение.
3. Переписать общие уведомления. Если данные используются для создания или улучшения генеративной ИИ-модели, это следует сказать прямо.
4. Описать категории данных и функцию модели. Человек должен понимать, какая информация используется и чему она помогает научиться системе.
5. Сделать механизм выбора рабочим. Объяснить порядок отказа или отзыва согласия и вести учёт таких запросов.
6. Отдельно проверить подключённые устройства. Очки, носимые устройства, камеры и биометрические системы могут затрагивать людей, которые не являются непосредственными пользователями.

Таким образом, курс Сингапура — это не столько запрет на использование персональных данных в генеративном ИИ, сколько требование сделать такое использование видимым, конкретным и привязанным к понятному правовому основанию. Финальные рекомендации сокращают разрыв между традиционными политиками конфиденциальности и современной разработкой ИИ, но самые сложные вопросы — реальность выбора и обращение с чувствительными либо косвенно собранными данными — по-прежнему остаются предметом регулирования.