Singapore làm rõ quyền được biết khi dữ liệu cá nhân được dùng để huấn luyện AI

Ngày 20 tháng 7 năm 2026, Ủy ban Bảo vệ Dữ liệu Cá nhân Singapore (PDPC) ban hành hướng dẫn tư vấn về cách Đạo luật Bảo vệ Dữ liệu Cá nhân (PDPA) hiện hành áp dụng khi tổ chức sử dụng dữ liệu cá nhân trong các hệ thống AI tạo sinh. Quy tắc thực tế khá rõ nhưng có giới hạn: nếu tổ chức cần sự đồng ý để dùng dữ liệu cá nhân cho việc phát triển, huấn luyện hoặc tinh chỉnh mô hình, thông báo phải nói rõ rằng AI tạo sinh có liên quan.

Nguyên tắc cốt lõi: phải nói rõ dữ liệu được dùng để huấn luyện AI

Một điều khoản chung trong chính sách quyền riêng tư, chẳng hạn dữ liệu có thể được dùng cho “phát triển sản phẩm”, không đủ để tạo thành sự đồng ý có ý nghĩa cho việc huấn luyện hoặc tinh chỉnh mô hình AI tạo sinh quy mô lớn. Thông báo nên nêu cụ thể mục đích phát triển AI tạo sinh, loại dữ liệu được sử dụng và cách dữ liệu sẽ được sử dụng.

Điểm này đặc biệt quan trọng khi dữ liệu ban đầu được thu thập cho một dịch vụ thông thường—như ngân hàng, bảo hiểm, mua sắm hoặc mạng xã hội—sau đó được chuyển sang một mục đích phát triển AI mới. Doanh nghiệp không nên mặc định rằng thông báo rộng từ trước luôn bao phủ việc sử dụng mới, nhất là khi người dùng khó có thể lường trước mục đích đó.

Đây là hướng dẫn tư vấn, không phải một đạo luật độc lập mới. Văn bản giải thích cách PDPC diễn giải và áp dụng các nghĩa vụ đã có trong PDPA.

Bốn tình huống phổ biến được áp dụng ra sao?

Ngân hàng dùng dữ liệu tài chính và chăm sóc khách hàng để phát triển trợ lý AI

Nếu ngân hàng dùng dữ liệu khách hàng để phát triển hoặc cải thiện một trợ lý AI và dựa vào sự đồng ý, ngân hàng phải gửi thông báo riêng về AI. Thông báo cần phân biệt việc phát triển mô hình với hoạt động cung cấp dịch vụ ngân hàng hoặc chăm sóc khách hàng thông thường.

Trong một số trường hợp, ngân hàng có thể dựa vào ngoại lệ về sự đồng ý trong PDPA, chẳng hạn ngoại lệ phục vụ cải thiện hoạt động kinh doanh. Tuy nhiên, ngoại lệ chỉ áp dụng khi đáp ứng đầy đủ điều kiện luật định và nằm trong đúng phạm vi cho phép. Nếu ngoại lệ hợp lệ được áp dụng, doanh nghiệp có thể không cần xin sự đồng ý và do đó cũng không nhất thiết phải cung cấp cơ chế từ chối dựa trên sự đồng ý.

Doanh nghiệp bảo hiểm dùng thông tin y tế và hồ sơ bồi thường

Câu hỏi về nghĩa vụ thông báo cũng tương tự: nếu cần sự đồng ý để dùng dữ liệu y tế hoặc dữ liệu yêu cầu bồi thường nhằm phát triển mô hình AI tạo sinh, thông báo phải mô tả cụ thể mục đích sử dụng AI đó. Một tuyên bố chung về “cải thiện dịch vụ” không nên mặc nhiên được xem là đủ cho việc huấn luyện mô hình.

Doanh nghiệp bảo hiểm phải chứng minh có ngoại lệ phù hợp trong PDPA hoặc xin sự đồng ý hợp lệ thông qua thông báo riêng về AI. Các nguồn hiện có không thiết lập quy tắc chung rằng mọi dữ liệu y tế hoặc hồ sơ bồi thường đều tự động được miễn.

Nền tảng thương mại điện tử dùng lịch sử mua hàng và hoạt động duyệt web để tạo sản phẩm AI thương mại

Việc dùng lịch sử mua hàng hoặc hành vi duyệt web để phát triển một sản phẩm AI tạo sinh thương mại riêng là ví dụ rõ về việc tái sử dụng dữ liệu vượt ra ngoài trải nghiệm mua sắm ban đầu. Khi cần sự đồng ý, nền tảng nên giải thích trực tiếp mục đích AI thay vì chỉ dựa vào điều khoản chung về phát triển sản phẩm.

Ngoại lệ phục vụ cải thiện hoạt động kinh doanh có thể phù hợp trong một số hoàn cảnh, nhưng không phải giấy phép chung cho mọi mục đích thương mại mới. Tổ chức vẫn phải đáp ứng các yêu cầu pháp lý và không được vượt quá phạm vi của ngoại lệ.

Nền tảng mạng xã hội dùng hồ sơ, ảnh, video, bài đăng và tương tác để cải thiện công cụ sáng tạo nội dung bằng AI

Nếu dựa vào sự đồng ý, nền tảng mạng xã hội phải gửi thông báo riêng về AI khi dùng hồ sơ, ảnh, video, bài đăng hoặc dữ liệu tương tác để cải thiện các công cụ sáng tạo nội dung.

Dữ liệu cá nhân thực sự được công khai có thể thuộc ngoại lệ dành cho dữ liệu công khai trong PDPA, theo đó doanh nghiệp có thể không cần xin sự đồng ý. Nhưng mức độ hiển thị là yếu tố then chốt: nội dung ai cũng có thể xem khác với nội dung chỉ chia sẻ cho một nhóm người dùng hoặc được bảo vệ bằng quyền truy cập hạn chế.

Khi nào có thể không cần thông báo hoặc cơ chế từ chối?

Dữ liệu đã được ẩn danh thực sự

Nếu dữ liệu được ẩn danh đến mức không còn là dữ liệu cá nhân, các nghĩa vụ thông báo và xin sự đồng ý theo PDPA không áp dụng. Dữ liệu giả danh hoặc được che một phần không nên mặc nhiên được coi là dữ liệu ẩn danh; câu hỏi quyết định là cá nhân có còn có thể bị nhận diện hay không.

Có ngoại lệ hợp lệ trong PDPA

Tổ chức có thể không cần xin sự đồng ý nếu dựa đúng vào một ngoại lệ luật định, bao gồm ngoại lệ đối với dữ liệu công khai hoặc, khi đủ điều kiện, ngoại lệ phục vụ cải thiện hoạt động kinh doanh. Vì yêu cầu thông báo riêng về AI gắn với những trường hợp cần sự đồng ý, hướng dẫn này không tạo ra quyền từ chối phổ quát đối với mọi hoạt động huấn luyện AI hợp pháp.

Cơ chế đồng ý được áp dụng không đòi hỏi quyền từ chối

Hướng dẫn chung của PDPC mô tả cơ chế từ chối theo hướng tổ chức phải đưa ra thông báo, dành một khoảng thời gian hợp lý và cung cấp phương thức hợp lý để cá nhân từ chối, khi tổ chức sử dụng cơ chế này. Điều đó không có nghĩa mọi hoạt động xử lý dữ liệu liên quan đến AI đều bắt buộc phải có nút “opt-out”, đặc biệt khi tổ chức đang dựa vào một ngoại lệ thay vì sự đồng ý.

Người dùng vẫn có thể có quyền rút lại sự đồng ý đã đưa ra hoặc được coi là đã đưa ra theo PDPA, tùy thuộc vào khuôn khổ áp dụng cho hoạt động xử lý cụ thể.

Doanh nghiệp có được buộc khách hàng đồng ý cho AI huấn luyện để đổi lấy dịch vụ không?

Nhìn chung, tổ chức không nên từ chối cung cấp sản phẩm hoặc dịch vụ chỉ vì khách hàng không đồng ý cho dữ liệu của mình được dùng để huấn luyện AI, nếu hoạt động huấn luyện đó không thực sự cần thiết một cách hợp lý để cung cấp sản phẩm hoặc dịch vụ được yêu cầu. Vì vậy, việc phát triển một trợ lý AI đa dụng hoặc một mô hình thương mại không liên quan thường không nên được gắn điều kiện với quyền mở tài khoản ngân hàng, sử dụng dịch vụ mua sắm hay truy cập mạng xã hội tiêu chuẩn.

Điểm cần lưu ý là tiêu chí cần thiết. Sự đồng ý có thể trở thành điều kiện cung cấp dịch vụ khi việc thu thập, sử dụng hoặc tiết lộ dữ liệu là điều cần thiết một cách hợp lý cho dịch vụ hoặc giao dịch mà khách hàng yêu cầu. Ngưỡng này phụ thuộc vào từng dịch vụ, loại dữ liệu và hoàn cảnh cụ thể; hướng dẫn không đưa ra câu trả lời chung cho mọi tổ chức hoặc hệ thống AI.

Người dùng và doanh nghiệp nên kiểm tra điều gì?

Người dùng nên tìm bốn thông tin trong một thông báo liên quan đến AI:

• dữ liệu cá nhân có được dùng để phát triển, huấn luyện hoặc cải thiện mô hình AI tạo sinh hay không;
• những nhóm dữ liệu nào được sử dụng;
• mục đích và cách thức sử dụng dữ liệu; và
• người dùng có thể từ chối hoặc rút lại sự đồng ý hay không, cũng như thực hiện bằng cách nào.

Về phía doanh nghiệp, cần xác định trước liệu thông tin còn là dữ liệu cá nhân hay không, có ngoại lệ nào áp dụng không và mục đích dùng AI có thực sự cần thiết cho dịch vụ được yêu cầu không. Sau đó, doanh nghiệp mới có thể kết luận liệu có cần thông báo xin sự đồng ý riêng về AI và cơ chế từ chối hay không.

Đây là giới hạn quan trọng trong khung hướng dẫn tháng 7 của Singapore: tăng tính minh bạch đối với hoạt động huấn luyện AI dựa trên sự đồng ý, nhưng không tự động tạo ra quyền từ chối mọi cách sử dụng dữ liệu hợp pháp.