Коротко: що змінюється

Рекомендації PDPC мають консультативний характер і не є окремою забороною на навчання ШІ. Вони пояснюють, як у таких сценаріях застосовується сінгапурський Закон про захист персональних даних (PDPA), зокрема його правила щодо повідомлення, згоди та передбачених законом винятків.

Один із важливих винятків стосується певних персональних даних, які вже є загальнодоступними. За відповідних умов їх можна використовувати для розвитку ШІ без згоди людини.

Що має містити повідомлення про використання даних для ШІ

Користувачеві потрібно дати достатньо інформації, щоб він зрозумів не лише кінцевий продукт, а й те, як його дані потрапляють у процес розробки моделі. Повідомлення має пояснювати:

• що робить модель і навіщо її розробляють;
• які категорії персональних даних використовують — наприклад, контактні дані, відомості про транзакції чи місцезнаходження, відео- або аудіозаписи;
• як саме дані допомагають моделі, а не просто повідомляти, що їх «обробляють»;
• як відмовитися від такого використання або відкликати згоду — за допомогою зрозумілих і доступних інструкцій.

Ідеться не про ще один малопомітний абзац у багатосторінковій політиці конфіденційності. PDPC орієнтує компанії на помітне повідомлення всередині продукту або окрему вебсторінку, де цю інформацію легко знайти.

Приклад: голосові записи для перетворення тексту на мовлення

Компанія, яка створює функцію перетворення тексту на мовлення, може прямо зазначити: голосові записи клієнтів використовуватимуться для навчання моделі, щоб система краще розпізнавала особливості мовлення.

Це значно зрозуміліше, ніж загальна фраза про те, що дані можуть використовуватися для «покращення продукту».

Повідомити — не означає отримати згоду

Одна з ключових юридичних відмінностей полягає в тому, що повідомлення людині про майбутнє використання даних і наявність законної підстави для такого використання — не одне й те саме.

За загальною моделлю PDPA організація має повідомити людину про мету збору, використання або розкриття її персональних даних і отримати згоду, якщо не діє передбачений законом виняток.

Фінальні рекомендації уточнюють, яким має бути повідомлення, коли згода справді потрібна: воно має прямо охоплювати використання даних для розробки ШІ-моделі. Водночас це не означає, що будь-яке навчання генеративного ШІ на персональних даних автоматично потребує окремої явної згоди. Все залежить від конкретної правової підстави та застосовного винятку, зокрема правил щодо загальнодоступної інформації.

Практичний висновок для компаній — документувати правову підставу окремо для кожного набору даних. Чітке повідомлення не замінює згоду там, де вона необхідна, а згоду не можна вважати отриманою на підставі формулювання, надто загального для опису реального використання даних у ШІ.

Які питання залишаються відкритими

Ще на етапі консультаційного проєкту PDPC виникли питання, на які одного лише обов’язку повідомляти користувачів було недостатньо, щоб відповісти.

Чи завжди потрібна явна згода?

Проєкт не встановлював однозначно, що в кожному випадку навчання генеративної моделі потрібна саме підтверджена, явна згода. Він залишав простір для дискусії про те, коли може застосовуватися модель відмови — opt-out — і коли можна покладатися на виняток із PDPA.

Фінальні рекомендації чіткіше розмежовують згоду та винятки, але це лише підсилює значення правильно обраної правової підстави. Компаніям не варто подавати спеціальне повідомлення про ШІ як універсальну заміну згоді.

Чи знімає анонімізація проблему?

Проєкт також не давав повної ясності щодо того, чи поширюватиметься спеціальна вимога до повідомлення на дані, анонімізовані до початку навчання.

Тут багато залежить від того, чи можна пов’язати інформацію з конкретною людиною, наскільки ефективно проведено анонімізацію та як саме організація це перевіряє й документує. Наявні матеріали не дають підстав вважати, що саме маркування набору даних як «анонімізованого» автоматично закриває всі питання.

Чи можна відмовити в послузі тому, хто не погодився?

Окреме занепокоєння стосується банків, страховиків, платформ та інших постачальників послуг. Чи можуть вони відмовити в обслуговуванні або зробити його недоступним, якщо людина не погоджується на використання своїх даних для навчання ШІ?

Формальна можливість відмовитися не завжди означає реальний вибір. Якщо відмова має високу ціну — наприклад, призводить до втрати важливої послуги, — користувач може відчувати тиск навіть за наявності кнопки «не погоджуюся».

Вимога про прозоре повідомлення допомагає побачити, що відбувається з даними, але сама по собі не вирішує питань справедливості, доступу до послуг і нерівної переговорної позиції між людиною та постачальником.

Чому в дискусії з’явилися розумні окуляри й біометрія

Увага PDPC до генеративного ШІ є частиною ширшої дискусії про пристрої, які можуть збирати дані непомітно для людей. У матеріалах про пріоритети комісії під керівництвом Деніз Вонг згадувалися розумні окуляри, смартгодинники та платіжні системи зі скануванням долоні.

Такі продукти можуть працювати з чутливою інформацією — рисами обличчя, відбитками пальців, голосом або візерунком вен на долоні. Серед ризиків називають прихований запис, розкриття чи зловживання біометричними даними, а також використання розумних окулярів для непомітної фіксації матеріалів іспиту або іншої інформації, що може сприяти списуванню.

Міністерство цифрового розвитку та інформації Сінгапуру також розглядало питання про візуальні індикатори на розумних окулярах і збирання біометричних чи навколишніх даних про людей поблизу, які не користуються пристроєм.

Спільна проблема для всіх цих сценаріїв — змістовна поінформованість. Маленький індикатор запису або правила, заховані в документації, можуть не дати перехожим реальної можливості зрозуміти, що відбувається, і зробити усвідомлений вибір.

Що компаніям варто зробити вже зараз

Організаціям, які розробляють або впроваджують генеративний ШІ в Сінгапурі, варто використати рекомендації як практичний перелік перевірок:

1. Прив’язати кожен набір даних до конкретного сценарію використання ШІ. Визначити, чи йдеться про навчання, доопрацювання, тестування, моніторинг або іншу мету.
2. Обрати й задокументувати підставу за PDPA. Зафіксувати, чи потрібна згода або компанія покладається на законний виняток.
3. Переписати загальні повідомлення. Якщо мета полягає в розробці чи вдосконаленні генеративної моделі, сказати про це прямо.
4. Описати категорії даних і функцію моделі. Людина має розуміти, яку інформацію використовують і що саме вона допомагає моделі робити.
5. Зробити вибір практичним. Пояснити порядок відмови або відкликання згоди та фіксувати, як обробляються такі запити.
6. Окремо перевірити підключені пристрої. Розумні окуляри, носимі пристрої, камери й біометричні системи можуть створювати додаткові питання щодо повідомлення та згоди людей, які не є безпосередніми користувачами.

Отже, підхід Сінгапуру полягає не стільки в забороні використання персональних даних для генеративного ШІ, скільки у вимозі зробити таке використання видимим, конкретним і пов’язаним із чіткою правовою підставою. Фінальні рекомендації скорочують дистанцію між традиційними політиками конфіденційності та сучасною розробкою ШІ. Водночас питання реального вибору, чутливих даних і інформації, яку пристрої можуть збирати про сторонніх людей, залишаються важливими викликами для регуляторів і бізнесу.

Коротко: що змінюється

Рекомендації PDPC мають консультативний характер і не є окремою забороною на навчання ШІ. Вони пояснюють, як у таких сценаріях застосовується сінгапурський Закон про захист персональних даних (PDPA), зокрема його правила щодо повідомлення, згоди та передбачених законом винятків.

Один із важливих винятків стосується певних персональних даних, які вже є загальнодоступними. За відповідних умов їх можна використовувати для розвитку ШІ без згоди людини.

Що має містити повідомлення про використання даних для ШІ

Користувачеві потрібно дати достатньо інформації, щоб він зрозумів не лише кінцевий продукт, а й те, як його дані потрапляють у процес розробки моделі. Повідомлення має пояснювати:

• що робить модель і навіщо її розробляють;
• які категорії персональних даних використовують — наприклад, контактні дані, відомості про транзакції чи місцезнаходження, відео- або аудіозаписи;
• як саме дані допомагають моделі, а не просто повідомляти, що їх «обробляють»;
• як відмовитися від такого використання або відкликати згоду — за допомогою зрозумілих і доступних інструкцій.

Ідеться не про ще один малопомітний абзац у багатосторінковій політиці конфіденційності. PDPC орієнтує компанії на помітне повідомлення всередині продукту або окрему вебсторінку, де цю інформацію легко знайти.

Приклад: голосові записи для перетворення тексту на мовлення

Компанія, яка створює функцію перетворення тексту на мовлення, може прямо зазначити: голосові записи клієнтів використовуватимуться для навчання моделі, щоб система краще розпізнавала особливості мовлення.

Це значно зрозуміліше, ніж загальна фраза про те, що дані можуть використовуватися для «покращення продукту».

Повідомити — не означає отримати згоду

Одна з ключових юридичних відмінностей полягає в тому, що повідомлення людині про майбутнє використання даних і наявність законної підстави для такого використання — не одне й те саме.

За загальною моделлю PDPA організація має повідомити людину про мету збору, використання або розкриття її персональних даних і отримати згоду, якщо не діє передбачений законом виняток.

Фінальні рекомендації уточнюють, яким має бути повідомлення, коли згода справді потрібна: воно має прямо охоплювати використання даних для розробки ШІ-моделі. Водночас це не означає, що будь-яке навчання генеративного ШІ на персональних даних автоматично потребує окремої явної згоди. Все залежить від конкретної правової підстави та застосовного винятку, зокрема правил щодо загальнодоступної інформації.

Практичний висновок для компаній — документувати правову підставу окремо для кожного набору даних. Чітке повідомлення не замінює згоду там, де вона необхідна, а згоду не можна вважати отриманою на підставі формулювання, надто загального для опису реального використання даних у ШІ.

Які питання залишаються відкритими

Ще на етапі консультаційного проєкту PDPC виникли питання, на які одного лише обов’язку повідомляти користувачів було недостатньо, щоб відповісти.

Чи завжди потрібна явна згода?

Проєкт не встановлював однозначно, що в кожному випадку навчання генеративної моделі потрібна саме підтверджена, явна згода. Він залишав простір для дискусії про те, коли може застосовуватися модель відмови — opt-out — і коли можна покладатися на виняток із PDPA.

Фінальні рекомендації чіткіше розмежовують згоду та винятки, але це лише підсилює значення правильно обраної правової підстави. Компаніям не варто подавати спеціальне повідомлення про ШІ як універсальну заміну згоді.

Чи знімає анонімізація проблему?

Проєкт також не давав повної ясності щодо того, чи поширюватиметься спеціальна вимога до повідомлення на дані, анонімізовані до початку навчання.

Тут багато залежить від того, чи можна пов’язати інформацію з конкретною людиною, наскільки ефективно проведено анонімізацію та як саме організація це перевіряє й документує. Наявні матеріали не дають підстав вважати, що саме маркування набору даних як «анонімізованого» автоматично закриває всі питання.

Чи можна відмовити в послузі тому, хто не погодився?

Окреме занепокоєння стосується банків, страховиків, платформ та інших постачальників послуг. Чи можуть вони відмовити в обслуговуванні або зробити його недоступним, якщо людина не погоджується на використання своїх даних для навчання ШІ?

Формальна можливість відмовитися не завжди означає реальний вибір. Якщо відмова має високу ціну — наприклад, призводить до втрати важливої послуги, — користувач може відчувати тиск навіть за наявності кнопки «не погоджуюся».

Вимога про прозоре повідомлення допомагає побачити, що відбувається з даними, але сама по собі не вирішує питань справедливості, доступу до послуг і нерівної переговорної позиції між людиною та постачальником.

Чому в дискусії з’явилися розумні окуляри й біометрія

Увага PDPC до генеративного ШІ є частиною ширшої дискусії про пристрої, які можуть збирати дані непомітно для людей. У матеріалах про пріоритети комісії під керівництвом Деніз Вонг згадувалися розумні окуляри, смартгодинники та платіжні системи зі скануванням долоні.

Такі продукти можуть працювати з чутливою інформацією — рисами обличчя, відбитками пальців, голосом або візерунком вен на долоні. Серед ризиків називають прихований запис, розкриття чи зловживання біометричними даними, а також використання розумних окулярів для непомітної фіксації матеріалів іспиту або іншої інформації, що може сприяти списуванню.

Міністерство цифрового розвитку та інформації Сінгапуру також розглядало питання про візуальні індикатори на розумних окулярах і збирання біометричних чи навколишніх даних про людей поблизу, які не користуються пристроєм.

Спільна проблема для всіх цих сценаріїв — змістовна поінформованість. Маленький індикатор запису або правила, заховані в документації, можуть не дати перехожим реальної можливості зрозуміти, що відбувається, і зробити усвідомлений вибір.

Що компаніям варто зробити вже зараз

Організаціям, які розробляють або впроваджують генеративний ШІ в Сінгапурі, варто використати рекомендації як практичний перелік перевірок:

1. Прив’язати кожен набір даних до конкретного сценарію використання ШІ. Визначити, чи йдеться про навчання, доопрацювання, тестування, моніторинг або іншу мету.
2. Обрати й задокументувати підставу за PDPA. Зафіксувати, чи потрібна згода або компанія покладається на законний виняток.
3. Переписати загальні повідомлення. Якщо мета полягає в розробці чи вдосконаленні генеративної моделі, сказати про це прямо.
4. Описати категорії даних і функцію моделі. Людина має розуміти, яку інформацію використовують і що саме вона допомагає моделі робити.
5. Зробити вибір практичним. Пояснити порядок відмови або відкликання згоди та фіксувати, як обробляються такі запити.
6. Окремо перевірити підключені пристрої. Розумні окуляри, носимі пристрої, камери й біометричні системи можуть створювати додаткові питання щодо повідомлення та згоди людей, які не є безпосередніми користувачами.

Отже, підхід Сінгапуру полягає не стільки в забороні використання персональних даних для генеративного ШІ, скільки у вимозі зробити таке використання видимим, конкретним і пов’язаним із чіткою правовою підставою. Фінальні рекомендації скорочують дистанцію між традиційними політиками конфіденційності та сучасною розробкою ШІ. Водночас питання реального вибору, чутливих даних і інформації, яку пристрої можуть збирати про сторонніх людей, залишаються важливими викликами для регуляторів і бізнесу.