กฎ GenAI ใหม่ของสิงคโปร์ปี 2026: สิ่งที่บริษัทและผู้บริโภคต้องรู้

ส่วน Chatbot Info Card เป็นแนวทางโดยสมัครใจสำหรับแชตบอต GenAI ที่ติดต่อกับลูกค้า ผู้บริโภค หรือประชาชนโดยตรง โดยแนะนำให้มีพื้นที่เดียวที่ค้นหาได้ง่าย เพื่อให้ผู้ใช้ทราบว่าแชตบอตทำอะไรได้บ้าง อาจผิดพลาดในสถานการณ์ใด มีมาตรการความปลอดภัยอย่างไร ใช้ข้อมูลของผู้ใช้อย่างไร และควรร้องเรียนหรือรายงานปัญหาที่ไหน

แนวทางของ PDPC ครอบคลุมอะไรบ้าง

แนวทางของ PDPC ครอบคลุมข้อมูลส่วนบุคคลตลอดวงจรชีวิตของ GenAI ตั้งแต่ข้อมูลที่เก็บจากเว็บไซต์ ข้อมูลที่ผู้ใช้ส่งให้บริการทั่วไปแล้วถูกนำไปใช้พัฒนาโมเดลภายหลัง การนำโมเดลไปใช้งาน การรักษาความปลอดภัย การเก็บรักษาข้อมูล ตลอดจนการตอบคำขอเข้าถึงหรือแก้ไขข้อมูลส่วนบุคคล

ความท้าทายด้านความเป็นส่วนตัวอยู่ที่การเปลี่ยนวัตถุประสงค์การใช้ข้อมูล ข้อมูลที่ผู้ใช้เคยให้ไว้เพื่อทำธุรกรรม เปิดบัญชี ติดต่อฝ่ายบริการลูกค้า หรือใช้บริการบางอย่าง อาจถูกนำไปใช้ในวงกว้างเพื่อฝึกหรือปรับแต่งโมเดลในภายหลัง การนำข้อมูลกลับไปใช้เช่นนี้อาจทำให้ผู้ใช้เข้าใจได้ยากว่าข้อมูลถูกนำไปใช้อย่างไร ควบคุมการใช้ข้อมูลได้มากน้อยเพียงใด หรือยังใช้สิทธิขอเข้าถึงและแก้ไขข้อมูลได้อย่างไรเมื่อข้อมูลเข้าไปอยู่ในกระบวนการฝึกโมเดลขนาดใหญ่แล้ว

แนวทางดังกล่าวยังแบ่งความรับผิดชอบตามห่วงโซ่การพัฒนา AI ด้วย ผู้ให้บริการโมเดลยังคงต้องรับผิดชอบต่อหน้าที่ตาม PDPA ที่เกี่ยวข้องกับการพัฒนาและนำโมเดลไปใช้ ผู้ให้บริการระบบควรพิจารณาความปลอดภัยของระบบและสื่อสารมาตรการป้องกันที่เกี่ยวข้อง ขณะที่ผู้ติดตั้งหรือผู้ใช้งานระบบต้องกำหนดวัตถุประสงค์ของการประมวลผล ทำความเข้าใจเส้นทางการไหลของข้อมูล และตรวจสอบมาตรการควบคุมในระบบที่นำไปใช้งาน

เมื่อใดจึงต้องมี AI-Specific Notification

หากองค์กรต้องการใช้ “ข้อมูลผู้ใช้” เพื่อพัฒนาโมเดล GenAI และไม่มีข้อยกเว้นตาม PDPA ที่ทำให้ไม่ต้องขอความยินยอม องค์กรต้องขอความยินยอมผ่านการแจ้งเตือนเฉพาะสำหรับ AI หรือ AI-Specific Notification การแจ้งเตือนต้องบอกให้ชัดว่าข้อมูลจะถูกใช้เพื่อพัฒนาโมเดล GenAI ไม่ควรอาศัยคำกว้าง ๆ เช่น “ยกระดับบริการ” “ปรับให้เหมาะกับผู้ใช้” หรือ “ปรับปรุงผลิตภัณฑ์” เพียงอย่างเดียว

เรื่องนี้มีความสำคัญเป็นพิเศษเมื่อข้อมูลถูกส่งให้องค์กรผ่านผลิตภัณฑ์หรือบริการเดิมเพื่อวัตถุประสงค์ที่ไม่เกี่ยวกับ GenAI แล้วถูกนำกลับไปใช้พัฒนาโมเดลในภายหลัง องค์กรต้องพิจารณาบริบทเดิมของการเก็บข้อมูล วัตถุประสงค์ใหม่ และดูว่ามีข้อยกเว้นใดใช้ได้หรือไม่ก่อนตัดสินใจดำเนินการ

ข้อมูลที่เปิดเผยต่อสาธารณะเป็นอีกกรณีหนึ่ง

ข้อยกเว้นเรื่องข้อมูลที่เปิดเผยต่อสาธารณะภายใต้ PDPA อาจทำให้องค์กรเก็บข้อมูลส่วนบุคคลที่เปิดเผยต่อสาธารณะเพื่อพัฒนาโมเดลได้โดยไม่ต้องขอความยินยอม อย่างไรก็ตาม ข้อมูลทุกอย่างที่เข้าถึงได้ทางอินเทอร์เน็ตไม่ได้หมายความว่าจะเข้าข่ายโดยอัตโนมัติ หากข้อมูลอยู่หลังกำแพงการชำระเงิน ต้องเข้าสู่ระบบ ต้องลงทะเบียน หรือมีข้อจำกัดทางดิจิทัลในลักษณะใกล้เคียง องค์กรต้องประเมินอย่างรอบคอบว่ายังถือเป็นข้อมูลที่เปิดเผยต่อสาธารณะสำหรับวัตถุประสงค์นี้หรือไม่

ข้อมูลที่ทำให้ไม่สามารถระบุตัวบุคคลได้อย่างเหมาะสม

ข้อมูลที่ทำให้ไม่สามารถระบุตัวบุคคลได้อย่างเหมาะสม หรือ properly anonymised data ไม่ถือเป็นข้อมูลส่วนบุคคลตาม PDPA เพราะไม่สามารถระบุว่าเป็นบุคคลใดได้ เอกสารของ PDPC ยังสนับสนุนให้องค์กรใช้ข้อมูลลักษณะนี้ในการวิเคราะห์และการวิจัยเมื่อสามารถทำได้

แต่การลบชื่อออกเพียงอย่างเดียวไม่ได้ทำให้ชุดข้อมูลกลายเป็นข้อมูลนิรนามเสมอไป หากยังสามารถระบุตัวบุคคลได้จากข้อมูลที่เหลือ หรือจากการนำไปจับคู่กับข้อมูลอื่นที่หาได้อย่างสมเหตุสมผล องค์กรจึงต้องประเมินว่ากระบวนการทำให้ข้อมูลไม่สามารถระบุตัวบุคคลนั้นตัดความเป็นไปได้ในการระบุตัวตนได้จริงหรือไม่

แล้วบันทึกเสียงจากคอลเซ็นเตอร์ล่ะ

ข้อมูลที่มีให้ไม่ได้ยืนยันว่ามีข้อยกเว้นเฉพาะและเป็นหมวดหมู่สำหรับบันทึกเสียงจากคอลเซ็นเตอร์ การบันทึกเสียงที่ระบุได้ หรือมีเหตุผลเพียงพอที่จะระบุได้ว่าเป็นลูกค้าคนใด ควรถูกพิจารณาเป็นข้อมูลส่วนบุคคลเมื่อประเมินการนำไปใช้กับ GenAI

ก่อนนำบันทึกเสียงไปพัฒนาโมเดล องค์กรจึงยังต้องมีฐานทางกฎหมายที่ใช้ได้ภายใต้ PDPA เช่น ความยินยอมที่ถูกต้อง การแจ้งให้ทราบ หรือข้อยกเว้นตามกฎหมายอื่น ทั้งนี้ แหล่งข้อมูลที่มีอยู่ยังไม่ละเอียดพอที่จะสรุปเป็นกฎเฉพาะสำหรับบันทึกเสียงคอลเซ็นเตอร์ การดำเนินการจริงต้องพิจารณาเนื้อหาในเสียง วิธีการเก็บข้อมูล วัตถุประสงค์ของการใช้กับ GenAI และข้อยกเว้นที่เกี่ยวข้องเป็นรายกรณี

AI-Specific Notification ควรระบุอะไรบ้าง

การแจ้งเตือนควรให้ข้อมูลที่เฉพาะเจาะจงและมีความหมายต่อผู้ใช้ อย่างน้อยควรประกอบด้วยองค์ประกอบต่อไปนี้

• วัตถุประสงค์ด้าน AI: ระบุว่าข้อมูลส่วนบุคคลจะถูกใช้เพื่อพัฒนา หรือปรับปรุงโมเดล GenAI
• เหตุผลของการใช้ข้อมูล: อธิบายว่าการพัฒนาหรือปรับปรุงโมเดลมีวัตถุประสงค์อะไร
• ประเภทข้อมูลที่เกี่ยวข้อง: บอกหมวดหมู่ของข้อมูลส่วนบุคคลที่จะถูกนำไปใช้
• วิธีการใช้ข้อมูล: อธิบายว่าข้อมูลจะถูกใช้ในลักษณะใด เช่น การฝึกโมเดลหรือการปรับแต่งโมเดล หากเกี่ยวข้อง
• ทางเลือกของผู้ใช้: อธิบายวิธีปฏิเสธ ถอนความยินยอม หรือยกเลิกการเข้าร่วม หากมีทางเลือกดังกล่าว

นโยบายความเป็นส่วนตัวทั่วไปยังมีประโยชน์ในการให้ข้อมูลพื้นฐาน แต่ไม่ควรเป็นการเปิดเผยเพียงช่องทางเดียว หากข้อความนั้นไม่ทำให้เห็นชัดว่าข้อมูลอาจถูกนำไปพัฒนา หรือปรับปรุงโมเดล GenAI หลักเกณฑ์สำคัญคือ บุคคลทั่วไปควรเข้าใจได้ว่าข้อมูลส่วนบุคคลของตนอาจถูกนำไปใช้ฝึกหรือปรับปรุงโมเดลปัญญาประดิษฐ์เชิงกำเนิด

ควรแสดงการแจ้งเตือนที่ไหน

เอกสารที่มีอยู่ไม่ได้กำหนดรูปแบบบังคับหรือสถานที่เดียวที่ทุกองค์กรต้องใช้ แนวทางในทางปฏิบัติคือแสดงข้อมูลในจุดที่มีการเก็บข้อมูล หรือในจุดที่ผู้ใช้กำลังใช้บริการ เช่น ระหว่างการสมัครใช้งาน ข้อความแจ้งเตือนในผลิตภัณฑ์แบบทันจังหวะ หน้าควบคุมความเป็นส่วนตัวของบัญชี หรือประกาศความเป็นส่วนตัวที่มีลิงก์ให้เห็นได้ชัดเจน

คำแนะนำเรื่องตำแหน่งเหล่านี้เป็นข้ออนุมานเพื่อการนำไปปฏิบัติ ไม่ใช่รายการสถานที่ที่เอกสารข้อเท็จจริงของ PDPC ระบุไว้อย่างครบถ้วน ไม่ว่าจะเลือกใช้รูปแบบใด การเปิดเผยควรเห็นได้ง่ายและระบุเรื่อง GenAI โดยตรง ไม่ควรถูกซ่อนไว้ในเงื่อนไขทั่วไปที่อ่านและค้นหาได้ยาก

ความยินยอม การถอนความยินยอม และสิทธิขอเข้าถึงข้อมูล

ผู้ใช้สามารถขอเข้าถึงและแก้ไขข้อมูลส่วนบุคคลของตนได้ แม้ข้อมูลนั้นจะถูกนำไปใช้พัฒนา GenAI แล้ว องค์กรควรจัดการข้อมูลตั้งแต่ต้นทางอย่างเหมาะสม พิจารณาคำขอเป็นรายกรณี และใช้มาตรการทางเทคนิคที่เหมาะสม แม้การติดตามว่าข้อมูลถูกนำไปอยู่ส่วนใดของชุดข้อมูลฝึกขนาดใหญ่อาจทำได้ยาก

หากองค์กรใช้ความยินยอมเป็นฐานทางกฎหมาย ผู้ใช้ต้องได้รับแจ้งว่าจะปฏิเสธหรือถอนความยินยอมได้อย่างไร อย่างไรก็ตาม การถอนความยินยอมไม่ได้หมายความโดยอัตโนมัติว่าผู้ใช้ทุกคนมีสิทธิใช้บริการทุกส่วนต่อไปภายใต้เงื่อนไขเดิม การจะยังใช้บริการหลักได้หรือไม่ขึ้นอยู่กับบทบาทของการฝึก GenAI ความจำเป็นของการประมวลผล และการออกแบบกระบวนการขอความยินยอมขององค์กร แหล่งข้อมูลที่มีไม่ได้ยืนยันสิทธิแบบครอบคลุมว่าผู้ใช้จะต้องได้รับบริการทั้งหมดต่อไปโดยไม่มีการเปลี่ยนแปลงหลังยกเลิกการเข้าร่วม

Chatbot Info Card ของ IMDA คืออะไร

แนวทางความโปร่งใสสำหรับแชตบอต GenAI ของ IMDA มุ่งเน้นประสบการณ์ของผู้บริโภค ใช้กับผู้ติดตั้งหรือผู้ให้บริการแชตบอต GenAI ที่ให้บุคคลภายนอกใช้งาน และมีเป้าหมายเพื่อช่วยให้ผู้ใช้ตัดสินใจได้อย่างมีข้อมูลมากขึ้น ทำให้การเปิดเผยข้อมูลมีมาตรฐาน และทำให้ผู้ให้บริการรับผิดชอบต่อแนวทางด้านความปลอดภัยและความน่าเชื่อถือที่ประกาศไว้

หัวใจของแนวทางนี้คือ “Chatbot Info Card” ซึ่งเปรียบได้กับฉลากโภชนาการหรือฉลากยา โดยอาจอยู่ในรูปหน้าเว็บข้อมูลเฉพาะ หรือเอกสารเปิดเผยข้อมูลก็ได้ ขอเพียงรวบรวมข้อมูลสำคัญไว้ในจุดเดียวที่ผู้ใช้เข้าถึงได้ง่าย

การ์ดข้อมูลควรยึด 3 หลักการ ได้แก่

• เกี่ยวข้อง: ให้ข้อมูลที่ผู้ใช้จำเป็นต้องรู้เพื่อประเมินว่าควรเชื่อถือแชตบอตหรือใช้ในลักษณะใด
• เข้าถึงง่าย: ใช้ภาษาที่ชัดเจน ค้นหาและนำทางได้ไม่ยุ่งยาก
• ทันเวลา: เผยแพร่เมื่อเปิดให้บริการ และปรับปรุงเมื่อมีการเปลี่ยนแปลงสำคัญที่กระทบความสามารถ ความเสี่ยง หรือนโยบายความปลอดภัย

การ์ดข้อมูลควรอธิบายเรื่องใด

การ์ดที่มีประโยชน์ควรครอบคลุมเรื่องต่อไปนี้

• วัตถุประสงค์ ฟังก์ชัน และความสามารถของแชตบอต
• ข้อจำกัดที่สำคัญ รวมถึงสถานการณ์ที่ควรตรวจสอบคำตอบเพิ่มเติม หรือสถานการณ์ที่ไม่ควรนำไปใช้
• มาตรการด้านความน่าเชื่อถือและความปลอดภัย
• วิธีจัดการข้อมูลที่ผู้ใช้ป้อน บทสนทนา และข้อมูลประเภทอื่น ๆ
• ช่องทางร้องเรียน ส่งข้อเสนอแนะ และรายงานเหตุการณ์หรือปัญหา

Chatbot Info Card ไม่ใช่ใบรับรองว่าแชตบอตมีความถูกต้องหรือปลอดภัยในทุกสถานการณ์ คุณค่าของการ์ดอยู่ที่การช่วยให้ผู้ใช้ตัดสินใจได้ดีขึ้นว่าเมื่อใดควรพึ่งพาเครื่องมือ ควรเปิดเผยข้อมูลอะไร และควรติดต่อใครเมื่อเกิดปัญหา

ในระยะแรก IMDA ให้ความสำคัญกับแชตบอตสาธารณะ เนื่องจากมีผู้บริโภคจำนวนมากใช้งาน และเกี่ยวข้องกับข้อกังวลเรื่องความเป็นส่วนตัว ความปลอดภัยของเด็ก และความเสี่ยงต่อผู้ใช้ที่มีความเปราะบางทางจิตใจ กรอบแนวทางนี้อาจกลายเป็นจุดอ้างอิงสำหรับแอปพลิเคชัน GenAI ประเภทอื่นและแนวทางเฉพาะรายอุตสาหกรรมในอนาคต

บริษัทและหน่วยงานต่าง ๆ จะนำไปใช้อย่างไร

Google, Meta, DBS, OCBC, Singapore Airlines และ Synapxe ระบุว่าจะใช้แนวทางโดยสมัครใจของ IMDA เป็นข้อมูลอ้างอิงในการปรับปรุงความโปร่งใสของแชตบอตที่ให้บริการต่อสาธารณะ นี่สะท้อนความตั้งใจที่จะปรับปรุงและดำเนินการให้สอดคล้องกับแนวทาง ไม่ใช่หลักฐานว่าทุกองค์กรได้เปิดตัวการ์ดข้อมูลรูปแบบเดียวกันแล้ว

สำหรับธนาคาร จุดเน้นน่าจะอยู่ที่การอธิบายฟังก์ชันของแชตบอตที่ลูกค้าใช้งาน ข้อจำกัด และมาตรการป้องกัน ควบคู่กับกระบวนการกำกับดูแล AI และการบริหารความเสี่ยงที่มีอยู่ DBS กล่าวถึงโครงการ AI ที่ให้บริการลูกค้า ขณะที่ OCBC เชื่อมโยงแนวทางนี้กับระบบกำกับดูแล AI และการบริหารความเสี่ยงของธนาคาร

Singapore Airlines ระบุว่าจะทบทวนและเสริมความแข็งแกร่งให้กับการกำกับดูแล AI และมาตรการป้องกันอย่างต่อเนื่อง ขณะที่ Google และ Meta สนับสนุนการให้ข้อมูลที่ชัดเจนและเข้าถึงง่ายเกี่ยวกับการทำงานของผลิตภัณฑ์ AI และวิธีที่ผู้ใช้โต้ตอบกับผลิตภัณฑ์เหล่านั้น

หน่วยงานภาครัฐก็มีแนวโน้มใช้กรอบนี้เป็นข้อมูลอ้างอิงเช่นกัน โดย National Library Board และ Health Promotion Board วางแผนพิจารณาแนวทางดังกล่าวสำหรับแชตบอตที่ให้บริการต่อสาธารณะ

สิ่งที่องค์กรควรทำในทางปฏิบัติ

มาตรการของสิงคโปร์ผสานการเปิดเผยข้อมูลด้านความเป็นส่วนตัวที่เฉพาะเจาะจงขึ้นสำหรับการใช้ข้อมูลกับ GenAI เข้ากับมาตรฐานความโปร่งใสโดยสมัครใจสำหรับแชตบอต องค์กรจึงควรดำเนินการดังนี้

1. ทำแผนที่ข้อมูล: ระบุว่าข้อมูลส่วนบุคคลประเภทใดเข้าสู่กระบวนการพัฒนาโมเดลหรือระบบแชตบอต และใช้เพื่ออะไร
2. ตรวจสอบฐานทางกฎหมาย: พิจารณาว่าต้องขอความยินยอมหรือไม่ หรือมีข้อยกเว้นตาม PDPA ที่ใช้ได้หรือไม่
3. ระบุการนำข้อมูลไปใช้กับ GenAI ให้ชัดเจน: หากจำเป็นต้องแจ้งแบบเฉพาะสำหรับ AI อย่าใช้ถ้อยคำกว้าง ๆ เรื่องการปรับปรุงผลิตภัณฑ์แทน
4. เตรียมรองรับการใช้สิทธิ: เก็บข้อมูลต้นทางไว้อย่างเพียงพอเพื่อประเมินคำขอเข้าถึง แก้ไข หรือถอนความยินยอม
5. เผยแพร่ข้อมูลของแชตบอต: สำหรับแชตบอต GenAI ที่ให้บริการต่อสาธารณะ ควรมีการ์ดข้อมูลที่เกี่ยวข้อง เข้าถึงง่าย และอัปเดตทันเวลา โดยครอบคลุมความสามารถ ข้อจำกัด ความปลอดภัย ความน่าเชื่อถือ การจัดการข้อมูล และช่องทางรายงานปัญหา

โดยสรุป มาตรการของสิงคโปร์ไม่ได้รับประกันว่าผู้ใช้จะสามารถหยุดการใช้ข้อมูลของตนในทุกกระบวนการที่เกี่ยวข้องกับ AI ได้ แต่เป็นการผลักดันให้องค์กรเปิดเผยข้อมูลชัดเจนขึ้น วางระบบกำกับดูแลข้อมูลอย่างรอบคอบขึ้น และรับผิดชอบต่อการให้บริการ AI ที่ประชาชนใช้งานมากขึ้น