新加坡2026年生成式AI指引：企業同用戶要知道啲咩？

PDPC指引涵蓋邊啲個人資料使用情況？

PDPC指引針對生成式AI整個生命周期內的個人資料，包括網上抓取的資料、用戶為使用一般服務而提交、之後再被重新用於模型開發或改善的資料，以及模型部署、安全、保存期限、查閱和更正要求等。

核心風險係「用途轉變」。一個人可能為咗交易、開戶、客戶服務或其他原本目的而提供資料，但企業之後將呢啲資料大規模重新用於模型訓練或微調。當資料進入大型訓練流程，用戶可能更加難了解資料點樣被再用、控制相關用途，或者日後行使查閱及更正權利。

指引亦將AI供應鏈中不同角色的責任分開：

• 模型提供者：就開發及部署模型涉及的個人資料，履行《個人資料保障法》（PDPA）下的責任。
• 系統提供者：考慮系統安全，並向相關人士交代適用的保障措施。
• 系統部署者：界定處理目的、掌握資料流向，並檢視實際投入運作的系統有冇足夠控制措施。

乜嘢情況要發出AI專屬通知？

當企業想使用「User Data」開發生成式AI模型，而又唔適用於PDPA下任何同意例外，就要透過AI專屬通知取得同意。通知必須清楚指出係用於生成式AI模型開發，而唔可以只用「服務提升」、「個人化」或「產品改善」等寬泛描述代替。

呢點對以下情況尤其重要：用戶原本透過某項產品或服務直接提供資料，目的並唔係生成式AI，企業之後先想將資料轉作模型開發用途。企業要先檢視最初收集資料的背景、新用途，以及有冇適用的同意例外，再決定應該點做。

公開資料唔代表網上見到就一定可以用

PDPA關於公開可取得資料的例外，喺某些情況下容許企業毋須取得同意，收集公開可取得的個人資料作模型開發。不過，並唔係所有網上搵到的資料都自動符合條件。被付費牆、登入、登記要求或類似數碼屏障擋住的資料，是否仍然屬於「公開可取得」，需要仔細評估。

經妥善匿名化的資料

如果資料已經妥善匿名化，無法識別任何特定人士，喺PDPA下就唔屬於個人資料。PDPC亦鼓勵企業喺可行時，優先使用匿名化資料進行分析及研究。

但要留意，刪走姓名並唔代表一定已經匿名化。如果剩低的資料，或者配合其他合理可取得的資料，仍然有機會重新識別某個人，企業就要重新評估匿名化是否真正有效。

客戶服務中心錄音又點？

現有資料未有確立一項專門針對客戶服務中心錄音的概括例外。實際上，如果錄音可以識別，或者合理地可以識別來電者，就應該當作個人資料，評估其後用於生成式AI時有冇合適的PDPA依據，例如有效同意、適當通知或其他法定例外。

至於錄音是否有額外、專門的規則，現有來源資料不足以作出肯定結論。企業需要按錄音內容、收集方式、擬議的生成式AI用途，以及適用的PDPA例外逐案判斷。

AI專屬通知應該寫啲乜？

通知應該具體到一般人睇得明白，至少包括以下內容：

• AI用途：清楚講明個人資料會用於開發或改善生成式AI模型。
• 使用原因：解釋點解要進行模型開發或改善。
• 涉及資料：說明會使用邊幾類個人資料。
• 使用方法：交代資料會點樣使用，例如用於訓練或微調（如適用）。
• 用戶選擇：講明用戶如何拒絕、撤回同意，或者喺適用情況下選擇退出。

一般私隱政策仍然可以提供背景資料，但如果當中完全睇唔出個人資料會用於生成式AI訓練，就唔應該成為唯一披露方式。最基本的判斷係：一個合理用戶睇完之後，是否明白自己的個人資料可能會被用來開發或改善生成式AI模型。

通知應該放喺邊度？

現有資料冇有規定所有企業必須採用同一種格式，或者將通知放喺唯一指定位置。較實際的做法，可以係收集相關資料或使用相關服務時提供，例如：

• 開戶或首次使用服務時；
• 產品內即時彈出的提示；
• 帳戶私隱設定；或
• 清晰連結到的私隱通知頁面。

以上屬於實施上的合理推論，並唔係PDPC資料表列出的完整位置清單。無論採用咩形式，重點都係通知要容易睇到、內容要具體，唔好埋喺一大段難搵的標準條款入面。

同意、退出，以及仲可唔可以繼續用服務？

即使個人資料已經用於生成式AI開發，用戶仍然可以提出查閱或更正個人資料的要求。企業應該做好上游資料管理，逐案評估要求，並採取合適的技術措施；不過，要喺大型訓練資料集內追蹤某項資料，實際上可能相當困難。

如果企業以同意作為法律依據，就必須告訴用戶點樣拒絕或撤回同意。但用戶選擇退出之後，唔代表一定可以喺完全不變的條件下繼續使用服務所有功能。能否繼續使用核心服務，要視乎生成式AI訓練對服務是否必要，以及企業設計同意機制的方式。現有來源並冇確立一項「退出後仍然必須保留全部服務」的普遍權利。

IMDA的自願性「Chatbot Info Card」係乜？

IMDA的透明度指引從消費者角度出發，主要針對部署外部、面向公眾的生成式AI聊天機械人的企業。目的包括幫助用戶作出更有根據的決定、令披露方式更一致，以及令企業就自己公開承諾的安全和可靠性措施負起更清晰的責任。

指引的核心係「Chatbot Info Card」，概念上類似食品營養標籤或者藥物標籤。它可以係一個專門資訊頁面，亦可以係披露文件；形式可以有彈性，但應該畀用戶一個集中、容易進入的地方，睇晒重要資料。

資訊卡應該符合三個原則：

• 相關（Relevant）：提供用戶判斷應否、以及點樣依賴聊天機械人所需的資料。
• 易用（Accessible）：用清晰易明的語言，並且容易搵到、容易瀏覽。
• 適時（Timely）：聊天機械人推出時就應該提供；當功能、風險或安全政策出現重大變化，亦應該更新。

資訊卡應該交代邊幾方面？

一張實用的資訊卡可以包括：

• 聊天機械人的預定用途、功能及能力；
• 重要限制，例如邊類答案需要自行核實，或者邊啲情況唔適合使用；
• 可靠性及安全措施；
• 用戶輸入、對話內容及其他資料會點樣處理；以及
• 投訴、意見回饋及事故舉報渠道。

資訊卡唔係保證聊天機械人一定準確或者安全。它的價值在於，畀用戶有更清楚的基礎去判斷幾時可以依賴工具、應該避免分享咩資料，以及出現問題時可以向邊度求助。

IMDA初步聚焦公開聊天機械人，原因係呢類工具接觸面廣，同時涉及私隱、兒童安全，以及對精神上較脆弱人士可能造成的風險。日後，呢套框架亦可能成為其他生成式AI應用及特定行業指引的參考。

Google、Meta、銀行及公共機構會點樣跟進？

Google、Meta、DBS、OCBC、新加坡航空及Synapxe都表示，會將自願性指引作為參考，改善面向公眾聊天機械人的透明度措施。呢個訊息代表佢哋計劃逐步對齊及持續改善，並唔等於每間機構已經推出完全相同的資訊卡。

對銀行而言，重點可能包括清楚解釋客戶可以用聊天機械人做啲咩、系統有咩限制，以及有咩安全保障，並將披露內容同現有AI管治及風險管理流程接軌。DBS提到其面向客戶的AI項目；OCBC則將指引同現有AI管治及風險管理工作連繫起來。

新加坡航空表示，隨着擴大AI支援的客戶服務體驗，會繼續檢視及加強AI管治和保障措施。Google及Meta亦支持以更清晰、易明的方式，向用戶解釋AI產品如何運作，以及用戶點樣同產品互動。

公共機構亦預計會參考相關框架。國家圖書館管理局及健康促進局計劃將指引納入其面向公眾聊天機械人的考慮之中。

企業實際上可以點做？

新加坡今次採取的是「更具體的AI私隱披露」加上「自願性的聊天機械人透明度標準」。兩套措施互相配合，但唔可以混為一談：

1. 先畫出資料流：確認邊啲個人資料會進入模型開發或聊天機械人流程，以及使用原因。
2. 檢查法律依據：判斷是否需要取得同意，或者是否適用PDPA的某項例外。
3. 清楚披露AI再用：需要時使用AI專屬通知，唔好只靠「產品改善」等籠統字眼。
4. 預先準備權利要求：保留足夠的上游資料，方便處理查閱、更正及撤回同意的要求。
5. 為公開聊天機械人提供資訊卡：用清晰、易搵及適時更新的方式，交代功能、限制、安全、可靠性、資料處理及舉報渠道。

總括而言，今次措施唔係向所有用戶保證可以制止每一種AI相關資料用途，而係推動企業更加清楚披露資料會點樣被再用，建立更審慎的資料管治，並令面向公眾的AI服務更容易被問責。