Singapore skärper AI-reglerna: Företag måste tydligt berätta hur persondata tränar generativ AI

Vad ett AI-specifikt meddelande ska innehålla

Ett tydligt meddelande ska ge människor tillräckligt med information för att förstå både produkten och hur deras data rör sig genom systemet. PDPC:s modell innebär att företag bör förklara:

• Vad modellen gör och varför den utvecklas
• Vilka kategorier av personuppgifter som används, exempelvis kontaktuppgifter, transaktions- eller platsinformation, video eller ljudinspelningar
• Hur uppgifterna bidrar till modellen, i stället för att bara säga att de ”behandlas”
• Hur användaren kan invända eller återkalla sitt samtycke, med praktiska och rimligt lättillgängliga instruktioner

Poängen är att informationen ska vara begriplig när personen faktiskt tar ställning – inte gömd i en lång integritetspolicy. PDPC har bland annat pekat på ett tydligt meddelande direkt i tjänsten eller en särskild webbsida som möjliga format.

Exempel: röstdata för talsyntes

Ett företag som utvecklar talsyntes skulle kunna skriva att kundernas röstinspelningar används för att träna modellen och att inspelningarna hjälper systemet att känna igen olika talmönster. Det är betydligt tydligare än att bara beskriva användningen som ”produktförbättring”.

Information är inte samma sak som samtycke

Den viktigaste juridiska skillnaden är den mellan att berätta vad som ska hända och att ha en laglig grund för att använda personuppgifterna. Enligt PDPA:s allmänna ramverk måste organisationer normalt informera människor om ändamålet och inhämta samtycke, om inget undantag gäller.

De slutliga riktlinjerna förtydligar vilket innehåll meddelandet ska ha när samtycke krävs: företaget måste uttryckligen beskriva den avsedda användningen för AI-modellens utveckling. Det betyder däremot inte att all användning av personuppgifter för AI-träning automatiskt kräver ett aktivt och uttryckligt samtycke. Bedömningen kan bero på vilket undantag i PDPA som är tillämpligt, inklusive reglerna om offentligt tillgänglig information.

För företag är den praktiska lärdomen att dokumentera den juridiska grunden för varje träningsdataset separat. Ett tydligt meddelande kan inte ersätta samtycke när samtycke krävs – och samtycke kan inte förutsättas utifrån en formulering som är för vag för att beskriva den faktiska AI-användningen.

Frågorna som förslaget inte löste

Förslaget väckte uppmärksamhet eftersom flera praktiska frågor inte hade något självklart svar.

Krävs alltid uttryckligt samtycke?

Det tidigare förslaget slog inte tydligt fast att ett aktivt, uttryckligt samtycke krävs i alla situationer där generativ AI tränas på personuppgifter. I stället uppstod frågor om när en opt-out-modell kan godtas och när ett befintligt undantag i PDPA kan användas.

De slutliga riktlinjerna gör den juridiska grunden viktigare, inte mindre viktig. Företag bör därför inte framställa ett AI-specifikt meddelande som ett universellt alternativ till samtycke.

Försvinner kravet om data anonymiseras?

Det var också oklart om den särskilda förväntan på AI-specifik information gäller när personuppgifter anonymiseras före träningen. Bedömningen kan bero på om informationen fortfarande kan kopplas till en identifierbar person och på hur anonymiseringen genomförs och dokumenteras.

Det tillgängliga underlaget stöder inte att anonymisering automatiskt löser frågan för alla dataset. Företag måste bedöma både uppgifterna och behandlingsmetoden, i stället för att utgå från att analysen är avslutad bara för att ett dataset kallas ”anonymiserat”.

Kan en tjänst nekas om kunden säger nej?

En annan olöst fråga gäller om banker, försäkringsbolag, plattformar eller andra tjänsteleverantörer kan neka eller begränsa en tjänst när en person inte vill att uppgifterna används för AI-träning.

Det är här den formella valfriheten kan krocka med verkligheten. Ett opt-out-alternativ kan finnas på papperet, men vara svårt att använda om ett nej innebär en betydande kostnad eller leder till att kunden förlorar tillgången till tjänsten.

Informationskravet gör användningen synligare, men besvarar inte i sig alla frågor om rättvisa, tillgång till tjänster eller maktbalansen mellan individ och leverantör.

AI-enheter breddar integritetsdebatten

PDPC:s fokus på generativ AI ingår i en större diskussion om produkter som samlar in data på sätt som människor kan ha svårt att upptäcka. Under kommissionären Denise Wongs ledning har uppmärksamheten även riktats mot bland annat smarta glasögon, smartklockor och betalningssystem som skannar handflator.

Sådana produkter kan hantera känsliga uppgifter som ansiktsdrag, fingeravtryck, röstdata och mönster i handflatan. De rapporterade riskerna omfattar dold inspelning, exponering eller missbruk av biometrisk information samt att smarta glasögon används för att fånga provmaterial eller annan information i syfte att underlätta fusk.

Singapores Ministry of Digital Development and Information har också behandlat frågor om synliga inspelningsindikatorer på smarta glasögon och om insamling av biometriska eller miljörelaterade uppgifter från personer i närheten som inte själva använder enheten.

Den gemensamma kärnfrågan är om medvetenheten faktiskt är meningsfull. En liten inspelningslampa eller en policy som ligger gömd i dokumentationen kanske inte ger personer i omgivningen en realistisk möjlighet att förstå vad som händer eller att göra ett informerat val.

Vad organisationer bör göra nu

Företag som utvecklar eller använder generativa AI-system i Singapore bör använda riktlinjerna som en checklista för datastyrning:

1. Koppla varje dataset till ett specifikt AI-användningsfall. Markera om uppgifterna används för träning, finjustering, testning, övervakning eller något annat.
2. Välj och dokumentera grunden enligt PDPA. Notera om samtycke krävs eller om organisationen lutar sig mot ett lagstadgat undantag.
3. Skriv om generella meddelanden. Ange tydligt att personuppgifter kommer att användas för att utveckla eller förbättra en generativ AI-modell när det är ändamålet.
4. Beskriv datakategorier och modellens funktion. Människor ska kunna förstå vilken information som används och vad den hjälper modellen att göra.
5. Gör valmöjligheten användbar. Förklara hur man invänder eller återkallar samtycke och dokumentera hur sådana önskemål hanteras.
6. Granska uppkopplade enheter separat. Smarta glasögon, wearables, kameror och biometriska system kan skapa frågor om information och samtycke även för personer som inte själva använder produkten.

Singapores kurs handlar alltså mindre om att förbjuda persondata i generativ AI och mer om att göra användningen synlig, specifik och kopplad till en identifierbar juridisk grund. De slutliga riktlinjerna minskar avståndet mellan traditionella integritetspolicyer och modern AI-utveckling – men de svåraste frågorna, särskilt om verklig valfrihet och känsliga eller indirekt insamlade uppgifter, är fortfarande aktuella.