Singapores AI-regler: vad företag och användare behöver veta

Singapore införde den 20 juli 2026 två närliggande men separata åtgärder för generativ AI. Personal Data Protection Commission (PDPC) publicerade vägledning om hur personuppgifter får användas i GenAI-modeller och -system. Samtidigt lanserade Infocomm Media Development Authority (IMDA) frivillig transparensvägledning för offentliga GenAI-chattbotar, med ett lättbegripligt ”Chatbot Info Card” som central rekommendation.

Skillnaden är viktig: PDPC:s vägledning handlar om organisationers användning av personuppgifter, medan IMDA:s ramverk handlar om hur offentliga chattbotar beskriver sin funktion, sina risker och sin datahantering för användarna.

Kortfattat

Om personuppgifter som samlats in för ett visst ändamål senare återanvänds för att utveckla eller förbättra en GenAI-modell, är en allmän formulering som ”vi kan använda uppgifter för att förbättra våra tjänster” normalt inte tillräckligt specifik när samtycke krävs. Organisationen bör tydligt ange att uppgifterna ska användas för utveckling eller förbättring av en generativ AI-modell och förklara vilka val personen har.

Chatbotvägledningen är något annat. Den är frivillig och gäller externa GenAI-chattbotar som kommunicerar med kunder, konsumenter eller allmänheten. IMDA rekommenderar en enda, lättillgänglig plats där användare kan se vad chattboten gör, när den kan ha fel, hur den säkras, hur data hanteras och vart man vänder sig med klagomål eller incidenter.

Vad PDPC:s vägledning omfattar

PDPC:s vägledning gäller personuppgifter genom hela GenAI-livscykeln. Det kan bland annat handla om webbinsamlad information, uppgifter som användare lämnar för en vanlig tjänst och som senare återanvänds för modellutveckling, driftsättning, säkerhet, lagring samt begäran om tillgång till eller rättelse av uppgifter.

Den centrala integritetsfrågan är att ett nytt ändamål kan uppstå. Information som ursprungligen lämnats vid en transaktion, i ett konto, till kundsupport eller i samband med en annan tjänst kan senare användas i stor skala för modellträning eller finjustering. Då kan det bli svårare för människor att förstå vad som hänt med uppgifterna, påverka användningen eller utöva sina rättigheter efter att informationen hamnat i en omfattande träningsprocess.

Vägledningen skiljer också mellan ansvaren i AI-kedjan. Modellleverantörer ansvarar fortfarande för skyldigheter enligt Singapores personuppgiftslagstiftning, PDPA, kopplade till utveckling och driftsättning av modeller. Systemleverantörer förväntas ta hänsyn till säkerheten och informera om relevanta skyddsåtgärder. Den som tar ett system i bruk måste definiera ändamålen med behandlingen, förstå dataflödena och granska kontrollerna i de system som används.

När krävs ett AI-specifikt meddelande?

En organisation måste inhämta samtycke genom ett AI-specifikt meddelande när den vill använda ”User Data” för att utveckla en GenAI-modell och inget tillämpligt undantag från samtycke enligt PDPA gäller. Meddelandet måste göra GenAI-användningen tydlig. Det räcker inte att hänvisa till exempelvis ”serviceförbättring”, ”personalisering” eller ”produktutveckling”.

Detta är särskilt relevant när information först lämnats genom en befintlig produkt eller tjänst för ett annat ändamål och därefter används för modellutveckling. Organisationen måste bedöma i vilket sammanhang uppgifterna samlades in, vilket det nya ändamålet är och om något undantag gäller innan den avgör hur den ska gå vidare.

Offentligt tillgängliga uppgifter är ett separat fall

Undantaget för offentligt tillgängliga uppgifter i PDPA kan i vissa fall göra det möjligt att samla in offentliga personuppgifter för modellutveckling utan samtycke. Det betyder dock inte att all information som går att hitta på internet automatiskt omfattas. Uppgifter bakom betalvägg, inloggning, registrering eller liknande digitala hinder kräver en noggrann bedömning av om de fortfarande ska betraktas som offentligt tillgängliga i detta sammanhang.

Korrekt anonymiserade uppgifter

Korrekt anonymiserade uppgifter är inte personuppgifter enligt PDPA, eftersom de inte kan kopplas till en viss individ. PDPC uppmuntrar organisationer att använda anonymiserade uppgifter för analys och forskning när det är möjligt.

Det räcker dock inte alltid att bara ta bort ett namn. Om en person fortfarande kan identifieras genom återstående information eller annan rimligen tillgänglig information är materialet kanske inte anonymiserat i lagens mening. Organisationen måste därför bedöma om anonymiseringsprocessen verkligen undanröjer möjligheten att identifiera individer.

Hur är det med inspelade samtal till kundtjänst?

Det tillgängliga underlaget fastställer inget separat, kategoriskt undantag för inspelningar från callcenter. En inspelning som identifierar, eller rimligen kan identifiera, den som ringer bör därför behandlas som personuppgift när en eventuell återanvändning i GenAI bedöms. Organisationen behöver fortfarande en tillämplig grund enligt PDPA – exempelvis giltigt samtycke, ett meddelande eller ett annat lagstadgat undantag – innan inspelningen används för modellutveckling.

Källorna ger inte tillräckligt stöd för att beskriva en ytterligare, särskild regel för samtalsinspelningar. Bedömningen beror därför på inspelningens innehåll, hur den samlades in, den planerade GenAI-användningen och om något undantag från PDPA gäller.

Vad ska ett AI-specifikt meddelande innehålla?

Meddelandet bör ge meningsfull och konkret information om den planerade användningen. Enligt den tillgängliga vägledningen bör det åtminstone innehålla följande:

• AI-ändamålet: ange att personuppgifter ska användas för att utveckla eller förbättra en GenAI-modell.
• Skälet till användningen: förklara varför modellen ska utvecklas eller förbättras.
• Vilka uppgifter som berörs: beskriv kategorierna av personuppgifter som ska användas.
• Hur uppgifterna används: förklara exempelvis om de ska användas för träning eller finjustering.
• Vilka val personen har: förklara hur personen kan tacka nej, återkalla sitt samtycke eller välja bort användningen när det alternativet finns.

En generell integritetspolicy kan fortfarande ge viktig bakgrundsinformation, men bör inte vara det enda meddelandet om den gör GenAI-träningen svår att upptäcka. Den centrala frågan är om en rimlig användare kan förstå att personuppgifterna kan användas för att utveckla eller förbättra en generativ AI-modell.

Var kan meddelandet visas?

Det tillgängliga materialet föreskriver inte ett enda obligatoriskt format eller en specifik plats som passar alla organisationer. En praktisk lösning är att visa informationen där uppgifterna samlas in eller där tjänsten används – exempelvis vid registrering, i en tydlig produktnotis i rätt ögonblick, i kontots integritetsinställningar eller via en väl synlig länkad integritetspolicy.

Detta är ett praktiskt genomföranderåd och inte en uttömmande lista från PDPC:s faktablad. Oavsett format bör informationen vara synlig och konkret, inte gömd i långa och allmänt hållna villkor.

Samtycke, återkallelse och rätt till tillgång

Användare kan begära tillgång till och rättelse av sina personuppgifter även efter att de har använts i GenAI-utveckling. Organisationer förväntas ha genomtänkta rutiner högre upp i dataflödet, bedöma förfrågningar från fall till fall och använda lämpliga tekniska åtgärder. Samtidigt kan det vara svårt att spåra viss information genom stora träningsdataset.

Om samtycke är den rättsliga grunden måste individen få veta hur samtycket kan nekas eller återkallas. Det innebär inte automatiskt att personen kan fortsätta använda alla delar av en tjänst på oförändrade villkor efter ett nej. Om tillgången till kärntjänsten kan fortsätta beror bland annat på vilken roll GenAI-träningen spelar, om behandlingen är nödvändig och hur organisationen har utformat sitt samtycke. Källorna fastställer ingen generell rätt att behålla full tillgång till en tjänst efter varje typ av avstående.

IMDA:s frivilliga Chatbot Info Card

IMDA:s transparensvägledning för generativa AI-chattbotar har ett tydligare konsumentperspektiv. Den riktar sig till aktörer som använder externa GenAI-chattbotar och ska hjälpa användare att fatta mer informerade beslut, skapa mer enhetliga upplysningar och göra leverantörer mer ansvariga för de säkerhets- och tillförlitlighetsrutiner de beskriver.

Kärnan är ett ”Chatbot Info Card”, ungefär som en innehållsdeklaration för livsmedel eller ett informationsblad för läkemedel. Det kan vara en särskild informationssida eller ett annat informationsdokument, så länge användaren får en samlad och lättillgänglig plats för de viktigaste uppgifterna.

Kortet bör bygga på tre principer:

• Relevant: ta med information som användaren behöver för att bedöma om och hur chattboten kan användas.
• Tillgängligt: använd ett tydligt språk och gör informationen enkel att hitta och navigera i.
• Aktuellt: publicera informationen när chattboten lanseras och uppdatera den när större förändringar påverkar funktioner, risker eller säkerhetspolicyer.

Vad bör kortet förklara?

Ett användbart informationskort bör täcka:

• chattbotens avsedda ändamål, funktioner och kapacitet;
• viktiga begränsningar, bland annat när svar bör kontrolleras eller användningen kan vara olämplig;
• åtgärder för tillförlitlighet och säkerhet;
• hur användarens frågor, konversationer och annan data hanteras; samt
• kanaler för klagomål, feedback och incidentrapportering.

Kortet är ingen garanti för att en chattbot är korrekt eller säker. Poängen är att ge användaren ett bättre underlag för att avgöra när verktyget kan litas på, vilken information som bör delas och vart man ska vända sig om något går fel.

IMDA fokuserade först på offentliga chattbotar eftersom de når många konsumenter och väcker frågor om bland annat integritet, barns säkerhet och risker för personer i psykiskt utsatta situationer. Ramverket kan också bli en referens för andra GenAI-tillämpningar och framtida branschspecifik vägledning.

Hur väntas företag och myndigheter agera?

Google, Meta, DBS, OCBC, Singapore Airlines och Synapxe har uppgett att de kommer att använda den frivilliga chatbotvägledningen som referens när de förbättrar transparensen i offentliga chattbotar. Det visar på planerad anpassning och fortsatt utveckling – inte att alla organisationer redan har lanserat ett identiskt informationskort.

För banker ligger fokus sannolikt på att förklara kundinriktade funktioner, begränsningar och skyddsåtgärder tillsammans med befintliga processer för AI-styrning och riskhantering. DBS hänvisade till sina kundinriktade AI-initiativ, medan OCBC kopplade vägledningen till sin etablerade AI-styrning och riskhantering.

Singapore Airlines har sagt att bolaget fortsätter att granska och stärka sin AI-styrning och sina skyddsåtgärder i takt med att AI-baserade kundupplevelser byggs ut. Google och Meta har ställt sig bakom tydligare och mer lättillgänglig information om hur deras AI-produkter fungerar och hur användarna interagerar med dem.

Även offentliga aktörer väntas använda ramverket som referens. National Library Board och Health Promotion Board planerar att ta hänsyn till det för sina offentliga chattbotar.

Vad betyder åtgärderna i praktiken?

Singapore kombinerar ett mer specifikt integritetsmeddelande för vissa typer av GenAI-användning med en frivillig transparensstandard för chattbotar. Åtgärderna kompletterar varandra, men kan inte ersätta varandra:

1. Kartlägg dataflödet: identifiera vilka personuppgifter som går in i modellutvecklingen eller chattbotens system och varför.
2. Kontrollera den rättsliga grunden: avgör om samtycke krävs eller om ett undantag enligt PDPA gäller.
3. Gör GenAI-återanvändningen tydlig: använd ett AI-specifikt meddelande när det krävs i stället för allmänna formuleringar om produktförbättring.
4. Planera för rättighetsförfrågningar: behåll tillräcklig information i tidigare delar av dataflödet för att kunna bedöma begäran om tillgång, rättelse eller återkallelse.
5. Publicera chattbotinformation: för offentliga GenAI-chattbotar bör ett relevant, tillgängligt och aktuellt informationskort beskriva kapacitet, begränsningar, säkerhet, tillförlitlighet, datahantering och rapporteringskanaler.

Resultatet är inte ett generellt löfte om att användare kan stoppa all AI-relaterad användning av sina uppgifter. Det är snarare ett steg mot tydligare information, mer genomtänkt datastyrning och större ansvar för AI-tjänster som möter allmänheten.