สิงคโปร์ออกแนวทางความเป็นส่วนตัวด้าน AI: บริษัทต้องแจ้งผู้บริโภคเมื่อใดว่าข้อมูลถูกนำไปฝึกโมเดล

4 กรณีใกล้ตัว บริษัทต้องแจ้งแบบไหน

ธนาคารนำข้อมูลการเงินและการติดต่อฝ่ายบริการไปพัฒนา AI Assistant

หากธนาคารนำข้อมูลลูกค้าไปพัฒนาหรือปรับปรุงผู้ช่วย AI และใช้ความยินยอมเป็นฐานทางกฎหมาย ธนาคารต้องมีคำแจ้งเฉพาะด้าน AI ให้ลูกค้าทราบ โดยควรแยกให้ชัดระหว่างการพัฒนาโมเดลกับการให้บริการธนาคารหรืองานบริการลูกค้าตามปกติ

ธนาคารอาจอาศัยข้อยกเว้นการขอความยินยอมตาม PDPA ได้ เช่น ข้อยกเว้นเพื่อการปรับปรุงธุรกิจ แต่ต้องเป็นไปตามเงื่อนไขและขอบเขตที่กฎหมายกำหนด หากข้อยกเว้นใช้ได้อย่างถูกต้อง ก็อาจไม่จำเป็นต้องขอความยินยอม และจึงอาจไม่ต้องมีช่องทางถอนตัวที่ตั้งอยู่บนฐานของความยินยอมด้วย

บริษัทประกันใช้ข้อมูลการแพทย์และข้อมูลเคลม

หลักการแจ้งข้อมูลก็เหมือนกัน หากบริษัทประกันต้องขอความยินยอมเพื่อนำข้อมูลการแพทย์หรือข้อมูลการเคลมไปพัฒนาโมเดล Generative AI คำแจ้งต้องระบุการใช้ข้อมูลเพื่อ AI โดยเฉพาะ การเขียนข้อความกว้าง ๆ ว่าใช้เพื่อปรับปรุงบริการไม่ควรถูกถือว่าเพียงพอสำหรับการฝึกโมเดลโดยอัตโนมัติ

บริษัทประกันต้องแสดงให้ได้ว่ามีข้อยกเว้นตาม PDPA ที่เกี่ยวข้อง หรือขอความยินยอมที่ถูกต้องผ่านคำแจ้งเฉพาะด้าน AI แหล่งข้อมูลที่มีอยู่ไม่ได้ระบุว่าข้อมูลการแพทย์หรือข้อมูลเคลมทั้งหมดได้รับการยกเว้นโดยอัตโนมัติ

แพลตฟอร์มอีคอมเมิร์ซนำประวัติซื้อสินค้าและการเข้าชมไปสร้างผลิตภัณฑ์ AI เชิงพาณิชย์

การนำประวัติการซื้อหรือพฤติกรรมการเข้าชมไปพัฒนาผลิตภัณฑ์ Generative AI เชิงพาณิชย์แยกต่างหาก เป็นตัวอย่างชัดเจนของการนำข้อมูลไปใช้เกินกว่าประสบการณ์ซื้อสินค้าหรือการใช้งานเดิม หากต้องขอความยินยอม แพลตฟอร์มควรอธิบายวัตถุประสงค์ด้าน AI โดยตรง ไม่ควรอาศัยข้อความทั่วไปเรื่องการพัฒนาผลิตภัณฑ์

ข้อยกเว้นเพื่อการปรับปรุงธุรกิจอาจเกี่ยวข้องในบางสถานการณ์ แต่ไม่ใช่ใบอนุญาตทั่วไปสำหรับการนำข้อมูลไปใช้ในเชิงพาณิชย์รูปแบบใหม่ทุกประเภท องค์กรยังต้องปฏิบัติตามเงื่อนไขทางกฎหมายและไม่ใช้ข้อมูลเกินขอบเขตของข้อยกเว้นนั้น

แพลตฟอร์มโซเชียลใช้โปรไฟล์ รูป วิดีโอ โพสต์ และปฏิสัมพันธ์เพื่อปรับปรุงเครื่องมือสร้างคอนเทนต์ด้วย AI

หากแพลตฟอร์มโซเชียลนำข้อมูลโปรไฟล์ รูปภาพ วิดีโอ โพสต์ หรือปฏิสัมพันธ์ของผู้ใช้ไปปรับปรุงเครื่องมือสร้างคอนเทนต์ด้วย Generative AI และอาศัยความยินยอมเป็นฐานทางกฎหมาย แพลตฟอร์มต้องแจ้งเฉพาะด้าน AI

ข้อมูลส่วนบุคคลที่เปิดเผยต่อสาธารณะอย่างแท้จริงอาจเข้าข้อยกเว้นข้อมูลที่เปิดเผยต่อสาธารณะตาม PDPA ทำให้ไม่จำเป็นต้องขอความยินยอม แต่ต้องพิจารณาให้ชัดว่าข้อมูลนั้นเปิดเผยต่อสาธารณะจริง ไม่ใช่เพียงโพสต์อยู่บนแพลตฟอร์มที่จำกัดการมองเห็น หรืออยู่ภายใต้การควบคุมสิทธิ์การเข้าถึง

กรณีใดอาจไม่ต้องแจ้งหรือไม่ต้องมีทางเลือกให้ปฏิเสธ

ข้อมูลถูกทำให้เป็นนิรนามอย่างแท้จริง

หากข้อมูลถูกทำให้เป็นนิรนามจนไม่ถือเป็นข้อมูลส่วนบุคคลอีกต่อไป หน้าที่แจ้งและขอความยินยอมตาม PDPA สำหรับข้อมูลส่วนบุคคลก็จะไม่ใช้บังคับ การทำข้อมูลเป็นนามแฝงหรือการปกปิดบางส่วนไม่ได้หมายความว่าข้อมูลนั้นเป็นนิรนามโดยอัตโนมัติ คำถามสำคัญคือยังสามารถระบุตัวบุคคลได้หรือไม่

มีข้อยกเว้นตาม PDPA ที่ใช้ได้จริง

องค์กรอาจไม่ต้องขอความยินยอม หากสามารถอาศัยข้อยกเว้นตามกฎหมายได้อย่างถูกต้อง เช่น ข้อยกเว้นสำหรับข้อมูลที่เปิดเผยต่อสาธารณะ หรือข้อยกเว้นเพื่อการปรับปรุงธุรกิจเมื่อเป็นไปตามเงื่อนไขที่กำหนด

เนื่องจากข้อกำหนดเรื่องคำแจ้งเฉพาะด้าน AI เชื่อมโยงกับกรณีที่ต้องขอความยินยอม ข้อกำหนดนี้จึงไม่ได้สร้างสิทธิ์สากลให้ผู้บริโภคปฏิเสธการใช้ข้อมูลเพื่อฝึก AI ที่ชอบด้วยกฎหมายได้ทุกกรณี

เส้นทางการให้ความยินยอมที่ใช้ไม่ได้กำหนดให้ต้องมี opt-out

แนวทางของ PDPC อธิบายว่า หากใช้รูปแบบการยินยอมโดยการเปิดทางให้ปฏิเสธ องค์กรต้องแจ้งให้ทราบ ให้ระยะเวลาที่เหมาะสม และจัดวิธีการที่สมเหตุสมผลเพื่อให้บุคคลปฏิเสธได้

อย่างไรก็ตาม ไม่ได้หมายความว่ากิจกรรมประมวลผลข้อมูลที่เกี่ยวข้องกับ AI ทุกประเภทต้องมีปุ่ม opt-out โดยเฉพาะเมื่อองค์กรอาศัยข้อยกเว้นที่ไม่ต้องขอความยินยอม ผู้บริโภคยังอาจมีสิทธิ์ถอนความยินยอมที่เคยให้ไว้ หรือถือว่าได้ให้ไว้ตาม PDPA ทั้งนี้ขึ้นอยู่กับกรอบกฎหมายที่ใช้กับการประมวลผลนั้น

บริษัทบังคับให้ยินยอมฝึก AI ก่อนใช้บริการได้หรือไม่

โดยทั่วไป องค์กรไม่ควรปฏิเสธสินค้าหรือบริการเพียงเพราะผู้บริโภคไม่ยินยอมให้ใช้ข้อมูลเพื่อฝึก AI หากการฝึกดังกล่าวไม่จำเป็นอย่างสมเหตุสมผลต่อการให้บริการที่ผู้บริโภคร้องขอ

ในทางปฏิบัติ ความยินยอมให้พัฒนาผู้ช่วย AI แบบใช้งานทั่วไป หรือโมเดลเชิงพาณิชย์ที่ไม่เกี่ยวข้อง ไม่ควรถูกผูกเป็นเงื่อนไขในการเปิดบัญชีธนาคาร ใช้บริการซื้อสินค้า หรือเข้าถึงบริการหลักของแพลตฟอร์มโซเชียล

ข้อยกเว้นอยู่ที่เรื่อง “ความจำเป็น” องค์กรอาจกำหนดให้ความยินยอมเป็นเงื่อนไขได้ หากการเก็บ ใช้ หรือเปิดเผยข้อมูลนั้นจำเป็นอย่างสมเหตุสมผลต่อบริการหรือธุรกรรมที่ผู้บริโภคร้องขอ แต่การจะถึงเกณฑ์ดังกล่าวหรือไม่ ต้องพิจารณาจากบริการ ข้อมูล และสถานการณ์เฉพาะ แนวทางนี้ไม่ได้ให้คำตอบแบบเหมารวมกับทุกองค์กรหรือทุกระบบ AI

ผู้บริโภคและบริษัทควรตรวจสอบอะไรในคำแจ้ง AI

ผู้บริโภคควรมองหารายละเอียดอย่างน้อย 4 ประการ:

• ระบุชัดหรือไม่ว่าข้อมูลส่วนบุคคลจะถูกใช้เพื่อพัฒนา ฝึก หรือปรับปรุงโมเดล Generative AI
• ข้อมูลประเภทใดบ้างที่จะถูกนำไปใช้
• วัตถุประสงค์และวิธีการใช้ข้อมูลคืออะไร
• สามารถปฏิเสธหรือถอนความยินยอมได้หรือไม่ และต้องดำเนินการอย่างไร

ส่วนองค์กรควรเริ่มจากการตรวจสอบว่า ข้อมูลดังกล่าวยังเป็นข้อมูลส่วนบุคคลหรือไม่ มีข้อยกเว้นตาม PDPA ใช้ได้หรือไม่ และการใช้ข้อมูลเพื่อ AI จำเป็นอย่างสมเหตุสมผลต่อบริการที่ร้องขอหรือไม่ จากนั้นจึงค่อยตัดสินใจว่าต้องมีคำแจ้งเฉพาะด้าน AI ขอความยินยอม หรือจัดช่องทาง opt-out หรือไม่

นี่คือขอบเขตสำคัญของกรอบแนวทางสิงคโปร์ในเดือนกรกฎาคม 2026: เพิ่มความโปร่งใสเมื่อองค์กรใช้ความยินยอมเพื่อฝึก AI แต่ไม่ได้ให้สิทธิ์ผู้บริโภคปฏิเสธการใช้ข้อมูลที่ชอบด้วยกฎหมายทุกกรณี