新加坡 AI 私隱指引：公司幾時要通知你用個人資料訓練模型？

新加坡個人資料保護委員會（PDPC）於 2026 年 7 月 20 日發布生成式 AI 個人資料使用指引，說明現有《個人資料保護法》（PDPA）如何適用於企業使用個人資料開發及運作生成式 AI 系統。

最實際的重點是：如果企業需要靠取得你的同意，才可以用你的個人資料開發、訓練或微調生成式 AI 模型，通知就必須清楚講明涉及生成式 AI。

這份文件屬於解讀現有 PDPA 責任的諮詢指引，而不是另立一條獨立新法。

核心規則：不能再用含糊的「產品開發」一筆帶過

企業只在一般私隱聲明中寫「資料可能用於產品開發」，並不足以讓消費者對大規模生成式 AI 模型訓練或微調作出有意義的同意。通知應該直接指出生成式 AI 的用途，並交代：

• 會使用哪類個人資料；
• 資料會用作甚麼目的；以及
• 資料會以甚麼方式使用。

這項要求特別關乎「二次使用」：例如銀行、保險、購物或社交平台原本為提供一般服務而收集資料，之後再將資料轉作新的 AI 開發用途。只要這種用途超出消費者合理預期，企業就不應假定早前一段籠統聲明自動涵蓋有關使用。

四個常見情況點樣處理？

銀行：用財務及客戶服務資料開發 AI 助手

銀行如果用客戶資料開發或改善 AI 助手，而法律基礎是取得同意，就要向客戶發出 AI 專屬通知。通知亦應將「開發模型」和日常提供銀行或客戶服務清楚分開。

不過，銀行在符合相關法定條件及適用範圍的情況下，或可依賴 PDPA 的同意例外，例如業務改善例外。若有效例外適用，銀行可能無須取得同意，亦不一定需要提供以同意為基礎的退出安排。

保險公司：用醫療及索償資料訓練模型

保險公司面對的基本問題一樣：如果使用醫療或索償資料開發生成式 AI 模型需要取得同意，通知就必須具體說明 AI 用途。單靠一段關於「改善服務」的舊有聲明，不應自動視為足以涵蓋模型訓練。

保險公司要麼證明有適用的 PDPA 例外，要麼透過 AI 專屬通知取得有效同意。現有資料並沒有確立一項「所有醫療或索償資料一律獲豁免」的規則。

電商平台：將購買及瀏覽紀錄轉作商業 AI 產品

如果電商平台把購買紀錄或瀏覽活動，用來開發一個獨立的商業生成式 AI 產品，這是典型的資料用途轉變，已經超出即時購物體驗的範圍。

凡是需要取得同意的情況，平台都應直接交代 AI 用途，而不是依靠私隱聲明內一條籠統的「產品開發」條款。業務改善例外在部分情況下或有關，但並非所有新商業用途的通行證；企業仍要符合例外的法律要求，並留在其適用範圍內。

社交平台：用個人檔案、相片及帖文改善創作工具

社交平台如果使用用戶的個人檔案、相片、影片、帖文或互動紀錄，改善生成式 AI 內容創作工具，而法律基礎是取得同意，就必須發出 AI 專屬通知。

至於真正公開可見的個人資料，可能符合 PDPA 的「公開可得資料」例外，因而毋須取得同意。但「公開」與否是關鍵：所有人都可以查閱的內容，和只向指定用戶分享、或受存取權限限制的內容，並不是同一回事。

甚麼情況下可能毋須通知，或者毋須提供退出選項？

資料已真正匿名化

如果資料經真正匿名化處理，令其不再屬於個人資料，PDPA 的個人資料通知及同意責任便不適用。假名化或遮蔽資料不代表必然已匿名化；真正要問的是，仍然能否從資料識別出個別人士。

有有效的 PDPA 法定例外

如果企業可以適當依賴適用的法定例外，例如公開可得資料例外，或在符合條件時依賴業務改善例外，便可能毋須取得同意。

AI 專屬通知要求，是針對「需要取得同意」的情況，並不會自動創造一項讓所有人都可以退出每一種合法 AI 訓練用途的普遍權利。

所採用的同意方式本身不要求退出機制

PDPC 一般指引所描述的退出模式，通常涉及通知、給予合理期限，以及提供合理可行的拒絕方式。但這不等於每一項 AI 相關資料處理都必須設有退出選項，尤其是企業依賴的是同意例外，而不是以同意作為法律基礎的時候。

如果消費者已經作出同意，或按照 PDPA 被視為已作出同意，仍可能享有撤回同意的權利，但要視乎適用於有關處理活動的法律框架。

公司可唔可以將同意 AI 訓練設為使用服務的條件？

一般而言，如果 AI 訓練並非提供消費者所要求產品或服務的合理必要條件，企業不應僅因為消費者拒絕 AI 訓練同意，就拒絕提供該項產品或服務。

換句話說，銀行一般不應要求客戶同意訓練一個通用 AI 助手，才可以開設普通銀行戶口；電商或社交平台亦不應將與核心服務無關的商業模型開發同意，捆綁在使用基本服務之內。

但關鍵字是「合理必要」。如果收集、使用或披露資料，對消費者所要求的服務或交易確實屬於合理必要，企業便可能將同意設為條件。是否達到這個門檻，要按具體服務、資料用途及實際情況判斷；指引沒有為所有企業或 AI 系統提供一刀切答案。

消費者睇 AI 通知時，應該留意甚麼？

一份清楚的 AI 通知，至少應交代以下四點：

• 個人資料會否用於開發、訓練或改善生成式 AI 模型；
• 涉及哪些資料類別；
• 使用目的及使用方式；以及
• 消費者能否拒絕或撤回同意，以及應如何處理。

企業則應先判斷資料是否仍屬於個人資料、有沒有法定例外，以及有關 AI 用途是否對提供所要求的服務屬合理必要，之後才決定是否需要 AI 專屬同意通知及退出機制。

這正是新加坡 2026 年 7 月框架的界線：對需要取得同意的 AI 訓練，用更清晰的透明度要求約束企業；但並沒有為每一種合法使用個人資料的 AI 活動，設立自動退出權。