Нові правила Сінгапуру щодо GenAI у 2026 році: що потрібно знати компаніям і користувачам

Рекомендації щодо чатботів мають інший статус. Вони добровільні та стосуються зовнішніх GenAI-чатботів, які взаємодіють із клієнтами, споживачами або широкою громадськістю. IMDA рекомендує створювати єдине легкодоступне місце, де користувач може зрозуміти, що вміє чатбот, де він може помилятися, як забезпечується його безпека, як обробляються дані та куди звертатися зі скаргами.

Що передбачають рекомендації PDPC

Рекомендації PDPC охоплюють персональні дані на різних етапах життєвого циклу GenAI. Йдеться, зокрема, про інформацію, зібрану з вебсайтів, дані, які користувачі надають для отримання звичайної послуги, а згодом використовують для розроблення чи вдосконалення моделі, а також про розгортання моделей, безпеку, зберігання даних і відповіді на запити щодо доступу або виправлення інформації.

Ключовий ризик для приватності виникає через зміну мети обробки. Дані, які людина спочатку надала для здійснення операції, користування обліковим записом, звернення до служби підтримки чи іншої послуги, згодом можуть повторно використовуватися у великих масштабах для навчання або донавчання моделі. Після потрапляння до масштабного навчального процесу людині може бути складніше зрозуміти, що сталося з її даними, контролювати їх використання або реалізувати право на доступ і виправлення.

Рекомендації також розмежовують відповідальність учасників AI-ланцюжка. Постачальники моделей відповідають за виконання обов’язків за PDPA у частині розроблення та розгортання моделей. Постачальники систем мають враховувати безпеку та повідомляти про відповідні заходи захисту, а оператори систем — визначати мету обробки, розуміти рух даних і перевіряти засоби контролю у системах, які вони запускають.

Коли потрібне спеціальне AI-повідомлення

Якщо організація хоче використати «дані користувача» для розроблення GenAI-моделі, а жоден виняток із вимоги про згоду за PDPA не застосовується, вона має отримати згоду за допомогою спеціального AI-повідомлення. У ньому потрібно чітко назвати використання даних для GenAI, а не обмежуватися широкими формулюваннями на кшталт «покращення сервісу», «персоналізація» чи «вдосконалення продукту».

Це особливо важливо, коли інформацію було безпосередньо надано через уже наявний продукт або сервіс для не пов’язаної з GenAI мети, а згодом вирішено використати для розроблення моделі. Перед подальшою обробкою організація має оцінити первинний контекст збору даних, нову мету та наявність відповідного винятку.

Публічно доступні дані — окремий випадок

Виняток для публічно доступних даних у межах сінгапурського закону PDPA може дозволяти збирати публічні персональні дані без згоди для розроблення моделі. Але не кожна інформація, доступна через інтернет, автоматично відповідає цій категорії. Дані за платним доступом, авторизацією, реєстрацією або іншим подібним цифровим бар’єром потребують окремої оцінки.

Належно анонімізовані дані

Належно анонімізовані дані не вважаються персональними даними для цілей PDPA, оскільки за ними неможливо ідентифікувати конкретну людину. Матеріали PDPC заохочують організації використовувати анонімізовані дані для аналітики та досліджень, якщо це можливо.

Водночас простого видалення імені може бути недостатньо. Якщо людину можна ідентифікувати за іншими фрагментами інформації або шляхом поєднання набору даних з іншими обґрунтовано доступними відомостями, дані можуть не вважатися анонімними. Тому організації мають перевірити, чи справді їхній процес анонімізації усуває можливість ідентифікації.

Що робити із записами кол-центру

Надані матеріали не встановлюють окремого, безумовного винятку спеціально для записів розмов у кол-центрах. Запис, за яким можна ідентифікувати абонента або обґрунтовано встановити його особу, слід розглядати як персональні дані під час оцінки можливого використання в GenAI. Для такого використання організації все одно потрібна відповідна правова підстава за PDPA — наприклад, дійсна згода, належне повідомлення або інший передбачений законом виняток.

Джерела не містять достатньо деталей, щоб сформулювати додаткове спеціальне правило саме для записів кол-центру. Тому рішення залежатиме від змісту запису, способу його отримання, запланованого використання в GenAI та наявності відповідного винятку за PDPA.

Що має містити AI-повідомлення

Повідомлення повинно надавати конкретну й зрозумілу інформацію про заплановане використання даних. Щонайменше воно має містити:

• Мету, пов’язану зі штучним інтелектом: прямо вказати, що персональні дані використовуватимуться для розроблення або вдосконалення GenAI-моделі.
• Причину використання: пояснити, навіщо потрібне розроблення чи вдосконалення моделі.
• Типи даних: описати категорії персональних даних, які будуть використані.
• Спосіб використання: за потреби пояснити, як саме дані оброблятимуться — наприклад, для навчання або донавчання моделі.
• Доступний вибір: повідомити, як людина може відмовитися, відкликати згоду або скористатися можливістю відмови від обробки, якщо така опція передбачена.

Загальна політика конфіденційності може містити додаткову довідкову інформацію, але не повинна бути єдиним повідомленням, якщо з неї незрозуміло, що дані використовуватимуться для навчання GenAI. Основний критерій простий: пересічна людина має зрозуміти, що її персональні дані можуть бути використані для розроблення або вдосконалення генеративної AI-моделі.

Де може з’явитися повідомлення

Надані матеріали не встановлюють єдиного обов’язкового формату або місця розміщення для всіх організацій. Практичним рішенням може бути показ повідомлення там, де збираються відповідні дані або використовується послуга: під час створення облікового запису, у своєчасному сповіщенні всередині продукту, у налаштуваннях приватності чи через помітне посилання на політику конфіденційності.

Це рекомендація щодо реалізації, а не вичерпний перелік місць із фактшиту PDPC. Незалежно від формату, інформація має бути видимою та конкретною, а не захованою серед загальних і складних для пошуку умов.

Згода, її відкликання та право на доступ

Люди можуть вимагати доступу до своїх персональних даних і їх виправлення навіть після використання інформації для розроблення GenAI. Від організацій очікують належної роботи з даними на попередніх етапах, розгляду запитів у кожному конкретному випадку та впровадження відповідних технічних заходів. Водночас відстежити конкретну інформацію у великому навчальному наборі може бути складно.

Якщо правовою підставою є згода, людині мають пояснити, як відмовитися від неї або відкликати її. Це не означає автоматичного права без змін продовжувати користуватися всіма частинами сервісу після відмови. Можливість зберегти доступ до основної послуги залежатиме від ролі GenAI-навчання, необхідності такої обробки та того, як організація побудувала механізм згоди. Надані джерела не встановлюють загального права зберігати повний доступ до сервісу після будь-якої відмови.

Добровільна Chatbot Info Card від IMDA

Прозорість у рекомендаціях IMDA орієнтована безпосередньо на споживача. Вони стосуються операторів зовнішніх GenAI-чатботів і мають допомогти користувачам ухвалювати більш поінформовані рішення, уніфікувати розкриття інформації та підвищити відповідальність постачальників за заявлені практики безпеки й надійності.

Центральний елемент рекомендацій — Chatbot Info Card, яку IMDA порівнює з етикеткою на харчовому продукті або упаковці ліків. Це може бути окрема інформаційна сторінка чи документ із розкриттям інформації, якщо він дає користувачеві єдине доступне місце для ознайомлення з ключовими відомостями.

Картка має відповідати трьом принципам:

• Релевантність: містити інформацію, потрібну для оцінки того, чи варто довіряти чатботу і як саме ним користуватися.
• Доступність: бути написаною зрозумілою мовою та легко знаходитися й переглядатися.
• Своєчасність: публікуватися під час запуску чатбота й оновлюватися після істотних змін у його можливостях, ризиках або політиках безпеки.

Що має пояснювати картка

Корисна інформаційна картка повинна охоплювати:

• призначення, функції та можливості чатбота;
• важливі обмеження, зокрема ситуації, коли відповіді потрібно перевіряти або використання інструменту може бути недоречним;
• заходи для забезпечення надійності та безпеки;
• порядок роботи з повідомленнями користувачів, розмовами та іншими даними;
• канали для скарг, відгуків і повідомлень про інциденти.

Картка не гарантує, що чатбот завжди відповідає правильно або є безпечним. Її цінність у тому, що вона дає користувачеві зрозумілішу основу для рішення: коли можна покладатися на інструмент, якою інформацією не варто з ним ділитися та куди звертатися, якщо щось пішло не так.

Спочатку IMDA зосередилося на публічних чатботах через їхнє широке споживче охоплення та ризики, пов’язані з приватністю, безпекою дітей і потенційним впливом на психологічно вразливих користувачів. Надалі цей підхід може стати орієнтиром для інших GenAI-застосунків і галузевих рекомендацій.

Як реагуватимуть компанії та державні установи

Google, Meta, DBS, OCBC, Singapore Airlines і Synapxe заявили, що використовуватимуть добровільні рекомендації щодо чатботів як орієнтир під час удосконалення прозорості своїх публічних AI-сервісів. Це свідчить про намір узгоджувати практики та поступово їх покращувати, але не доводить, що кожна з цих організацій уже запустила однакову інформаційну картку.

Для банків особливо важливо буде пояснити функції клієнтських чатботів, їхні обмеження та засоби захисту, поєднавши це з чинними процесами управління AI-ризиками. DBS послалася на свої клієнтські AI-ініціативи, а OCBC пов’язала рекомендації зі сформованою системою управління AI та ризиками.

Singapore Airlines заявила, що продовжить переглядати й посилювати управління AI та заходи безпеки в міру розширення AI-послуг для клієнтів. Google і Meta підтримали ідею чіткішої та доступнішої інформації про роботу їхніх AI-продуктів і взаємодію користувачів із ними.

Очікується, що державні установи також братимуть цей підхід за орієнтир. Національна бібліотечна рада та Рада зі зміцнення здоров’я Сінгапуру планують врахувати рекомендації у своїх публічних чатботах.

Що це означає на практиці

Сінгапур поєднав конкретніші вимоги до повідомлень про окремі способи використання даних у GenAI з добровільним стандартом прозорості для публічних чатботів. Тому організаціям варто сприймати ці заходи як взаємодоповнювальні, але не взаємозамінні:

1. Скласти карту даних: визначити, які персональні дані потрапляють до процесів розроблення моделей або роботи чатбота і з якою метою.
2. Перевірити правову підставу: з’ясувати, чи потрібна згода, чи можна застосувати виняток за PDPA.
3. Чітко описати повторне використання для GenAI: у необхідних випадках застосовувати спеціальне AI-повідомлення, а не покладатися на загальні слова про вдосконалення продукту.
4. Підготуватися до запитів користувачів: зберігати достатньо інформації на попередніх етапах, щоб оцінювати запити щодо доступу, виправлення та відкликання згоди.
5. Опублікувати інформацію про чатбота: для публічних GenAI-чатботів створити релевантну, доступну та своєчасну картку з описом можливостей, обмежень, безпеки, надійності, роботи з даними й каналів для повідомлень про проблеми.

Ці заходи не означають універсальної гарантії, що користувач зможе зупинити будь-яке використання своїх даних, пов’язане зі штучним інтелектом. Їхня мета — зробити повторне використання даних зрозумілішим, управління ними відповідальнішим, а взаємодію з публічними AI-сервісами — прозорішою.