这项要求尤其针对“二次利用”场景：消费者最初为了办理银行业务、购买商品、获得保险服务或使用社交平台而提交数据，企业之后却把这些数据用于新的AI开发目的。企业不能想当然地认为，早先一段宽泛的隐私声明必然涵盖超出消费者合理预期的用途。

四类常见场景如何适用

银行：用金融和客服数据开发AI助手

如果银行依靠用户同意，使用账户资料、交易相关信息或客户服务数据开发或改进AI助手，就应向客户发出AI专项通知，并将模型开发与日常提供银行服务区分开来。

在某些情况下，银行可能可以依靠PDPA中的同意例外，例如“业务改进例外”。但前提是满足法律规定的条件，且实际用途没有超出该例外的适用范围。如果例外成立，银行可能无需取得同意，因而也不一定需要提供以同意为基础的退出选项。

保险公司：用医疗和理赔资料训练模型

保险公司面对的是同一个基本问题：如果使用医疗资料或理赔信息开发生成式AI模型需要征得同意，通知就必须具体说明这项AI用途。

一段笼统的“改善服务”声明，不应自动被视为足以覆盖模型训练。保险公司需要证明适用相关PDPA例外，或者通过AI专项通知取得有效同意。现有资料并未确立“所有医疗或理赔数据一律自动豁免”的规则。

电商平台：把购物数据用于开发商业AI产品

将购买记录、浏览行为等原本服务于购物体验的数据，改用于开发独立的商业生成式AI产品，是较为典型的用途转换。

如果此类使用需要征得同意，平台应直接说明AI开发目的，而不能只依赖“产品开发”之类的通用条款。业务改进例外在某些情况下可能适用，但并不是所有新商业用途的“通行证”；企业仍须满足法定条件，并确保使用范围没有越界。

社交平台：用个人资料和内容改进创作工具

如果社交平台使用用户资料、照片、视频、帖子或互动记录，改进生成式AI内容创作工具，那么在以同意为法律依据时，就必须提供AI专项通知。

对于真正公开可获得的个人数据，PDPA中的“公开可获得数据例外”可能允许企业在无需同意的情况下收集和使用。但“发布在平台上”不等于“对所有人公开”：仅限好友可见、受权限控制或设置了访问限制的内容，不能仅因存在于社交平台，就自动被视为公开数据。

哪些情况下可能无需通知，或不必提供退出选项？

数据已被真正匿名化

如果数据经过真正匿名化处理，个人已经无法被识别，且数据不再属于个人数据，那么PDPA关于个人数据通知和同意的义务就不适用。仅仅做了假名化、遮蔽或部分脱敏，并不代表数据已经匿名；关键在于个人是否仍有可能被识别。

企业能够适用有效的PDPA法定例外

如果企业可以合法依靠适用的PDPA例外，例如公开可获得数据例外，或在满足条件时适用业务改进例外，就可能无需取得同意。

AI专项通知要求本身，是针对“企业需要征得同意”的情形，并不会自动赋予消费者拒绝所有合法AI训练用途的普遍权利。

所采用的同意路径本身不要求退出机制

PDPC的一般指引提到，如果企业采用基于通知的退出路径，通常应提供明确通知、合理的退出期限，以及合理可行的拒绝方式。

但这不代表每一项AI相关数据处理都必须提供退出选项，特别是企业依靠的是法定同意例外，而不是用户同意。消费者在已经给予同意，或依据PDPA被视为已经同意的情况下，仍可能拥有撤回同意的权利，但具体要受适用法律框架限制。

企业能否把“同意AI训练”设为使用服务的条件？

一般而言，如果AI训练并非提供消费者所要求的产品或服务所合理必需，企业不应仅因为消费者拒绝AI训练同意，就拒绝提供该产品或服务。

换句话说，银行通常不应把“允许训练通用AI助手”作为开立普通银行账户的前提；电商或社交平台也不应把与核心服务无关的商业模型开发同意，捆绑在购物、浏览或使用平台的基本权限中。

但这里的关键词是“合理必需”。如果收集、使用或披露数据确实是完成用户所要求的服务或交易所合理必要的，企业可能可以将相关同意设为条件。是否达到这一门槛，要结合具体服务、数据用途和实际情况判断；2026年7月的指引没有为所有企业或所有AI系统给出一刀切的答案。

消费者和企业应重点查看什么？

消费者看到AI相关隐私通知时，可以重点确认四件事：

1. 是否明确写明个人数据会被用于开发、训练或改进生成式AI模型；
2. 使用的是哪些类别的数据；
3. 数据将用于什么目的、以什么方式使用；以及
4. 是否可以拒绝或撤回同意，操作路径是什么。

企业则应先厘清三个问题：数据是否仍属于个人数据？是否存在可适用的PDPA例外？相关AI用途是否是提供用户所要求服务的合理必要条件？

只有在此基础上，企业才能判断是否需要发出AI专项同意通知，以及是否需要设置退出机制。新加坡这套2026年7月框架的边界也正在这里：它提高了基于同意开展AI训练时的透明度要求，却没有创造一个可以拒绝所有合法数据使用的自动退出权。

这项要求尤其针对“二次利用”场景：消费者最初为了办理银行业务、购买商品、获得保险服务或使用社交平台而提交数据，企业之后却把这些数据用于新的AI开发目的。企业不能想当然地认为，早先一段宽泛的隐私声明必然涵盖超出消费者合理预期的用途。

四类常见场景如何适用

银行：用金融和客服数据开发AI助手

如果银行依靠用户同意，使用账户资料、交易相关信息或客户服务数据开发或改进AI助手，就应向客户发出AI专项通知，并将模型开发与日常提供银行服务区分开来。

在某些情况下，银行可能可以依靠PDPA中的同意例外，例如“业务改进例外”。但前提是满足法律规定的条件，且实际用途没有超出该例外的适用范围。如果例外成立，银行可能无需取得同意，因而也不一定需要提供以同意为基础的退出选项。

保险公司：用医疗和理赔资料训练模型

保险公司面对的是同一个基本问题：如果使用医疗资料或理赔信息开发生成式AI模型需要征得同意，通知就必须具体说明这项AI用途。

一段笼统的“改善服务”声明，不应自动被视为足以覆盖模型训练。保险公司需要证明适用相关PDPA例外，或者通过AI专项通知取得有效同意。现有资料并未确立“所有医疗或理赔数据一律自动豁免”的规则。

电商平台：把购物数据用于开发商业AI产品

将购买记录、浏览行为等原本服务于购物体验的数据，改用于开发独立的商业生成式AI产品，是较为典型的用途转换。

如果此类使用需要征得同意，平台应直接说明AI开发目的，而不能只依赖“产品开发”之类的通用条款。业务改进例外在某些情况下可能适用，但并不是所有新商业用途的“通行证”；企业仍须满足法定条件，并确保使用范围没有越界。

社交平台：用个人资料和内容改进创作工具

如果社交平台使用用户资料、照片、视频、帖子或互动记录，改进生成式AI内容创作工具，那么在以同意为法律依据时，就必须提供AI专项通知。

对于真正公开可获得的个人数据，PDPA中的“公开可获得数据例外”可能允许企业在无需同意的情况下收集和使用。但“发布在平台上”不等于“对所有人公开”：仅限好友可见、受权限控制或设置了访问限制的内容，不能仅因存在于社交平台，就自动被视为公开数据。

哪些情况下可能无需通知，或不必提供退出选项？

数据已被真正匿名化

如果数据经过真正匿名化处理，个人已经无法被识别，且数据不再属于个人数据，那么PDPA关于个人数据通知和同意的义务就不适用。仅仅做了假名化、遮蔽或部分脱敏，并不代表数据已经匿名；关键在于个人是否仍有可能被识别。

企业能够适用有效的PDPA法定例外

如果企业可以合法依靠适用的PDPA例外，例如公开可获得数据例外，或在满足条件时适用业务改进例外，就可能无需取得同意。

AI专项通知要求本身，是针对“企业需要征得同意”的情形，并不会自动赋予消费者拒绝所有合法AI训练用途的普遍权利。

所采用的同意路径本身不要求退出机制

PDPC的一般指引提到，如果企业采用基于通知的退出路径，通常应提供明确通知、合理的退出期限，以及合理可行的拒绝方式。

但这不代表每一项AI相关数据处理都必须提供退出选项，特别是企业依靠的是法定同意例外，而不是用户同意。消费者在已经给予同意，或依据PDPA被视为已经同意的情况下，仍可能拥有撤回同意的权利，但具体要受适用法律框架限制。

企业能否把“同意AI训练”设为使用服务的条件？

一般而言，如果AI训练并非提供消费者所要求的产品或服务所合理必需，企业不应仅因为消费者拒绝AI训练同意，就拒绝提供该产品或服务。

换句话说，银行通常不应把“允许训练通用AI助手”作为开立普通银行账户的前提；电商或社交平台也不应把与核心服务无关的商业模型开发同意，捆绑在购物、浏览或使用平台的基本权限中。

但这里的关键词是“合理必需”。如果收集、使用或披露数据确实是完成用户所要求的服务或交易所合理必要的，企业可能可以将相关同意设为条件。是否达到这一门槛，要结合具体服务、数据用途和实际情况判断；2026年7月的指引没有为所有企业或所有AI系统给出一刀切的答案。

消费者和企业应重点查看什么？

消费者看到AI相关隐私通知时，可以重点确认四件事：

1. 是否明确写明个人数据会被用于开发、训练或改进生成式AI模型；
2. 使用的是哪些类别的数据；
3. 数据将用于什么目的、以什么方式使用；以及
4. 是否可以拒绝或撤回同意，操作路径是什么。

企业则应先厘清三个问题：数据是否仍属于个人数据？是否存在可适用的PDPA例外？相关AI用途是否是提供用户所要求服务的合理必要条件？

只有在此基础上，企业才能判断是否需要发出AI专项同意通知，以及是否需要设置退出机制。新加坡这套2026年7月框架的边界也正在这里：它提高了基于同意开展AI训练时的透明度要求，却没有创造一个可以拒绝所有合法数据使用的自动退出权。