新加坡生成式 AI 私隱新規：企業要清楚講明點樣用你嘅個人資料

新加坡嘅生成式人工智能（GenAI）個人資料規管，已經唔再只係諮詢文件。個人資料保障委員會（PDPC）喺 2026 年 7 月 20 日發布《使用個人資料於生成式 AI 的諮詢指引》最終版本。

核心訊息好直接：如果企業要取得用戶同意，將個人資料大規模用於訓練或者微調生成式 AI 模型，就唔應該再靠含糊嘅私隱字眼蒙混過關。單單話資料可能用作「新產品開發」，並不足以清楚交代 AI 訓練用途。

一句講晒

當企業需要同意，先可以用個人資料去開發或者改良生成式 AI 模型，通知內容就應該直接講明呢個 AI 專屬用途，而唔係收埋喺一大段「改善服務」或者「產品研發」條款入面。

不過，呢套指引係建議性質，唔係一刀切禁止企業用個人資料訓練 AI。佢係建基於新加坡《個人資料保障法》（PDPA）運作，而 PDPA 本身亦設有部分例外情況，容許某啲用途毋須事先取得同意。其中一個重要例子，就係某些公開可取得嘅個人資料，可以喺符合條件下用於 AI 開發。

AI 專屬通知要講清楚乜嘢？

一份有用嘅通知，應該畀人足夠資料去明白產品做乜、自己嘅資料會點樣進入整個 AI 流程。PDPC 所倡議嘅內容包括：

• 模型有咩功能，以及點解要開發佢；
• 會使用邊類個人資料，例如聯絡資料、交易紀錄、位置資料、影片或者聲音錄音；
• 資料會點樣幫助模型運作，而唔係只係籠統話「會處理資料」；
• 用戶可以點樣退出或者撤回同意，而且步驟要實際、合理方便。

PDPC 關注嘅唔係企業有冇喺私隱政策入面寫過一句，而係用戶作出決定嗰刻，係咪真係睇得明、搵得到、做得到。建議形式可以包括產品內較顯眼嘅通知，或者專門網頁。

例子：用聲音錄音訓練文字轉語音

假設一間公司開發文字轉語音功能，佢可以清楚寫明：公司會使用客戶嘅聲音錄音訓練模型，而錄音係用嚟幫助系統識別語音模式。

呢種講法，明顯比單純話「用作改善產品」清楚得多。

通知唔等於同意

最重要嘅合規分別，就係「話畀人知會發生咩事」，同「取得合法使用資料嘅依據」係兩回事。

按 PDPA 一般框架，企業通常要先通知個人資料會用作乜嘢，再取得對方同意；除非相關用途符合某項法定例外。

最終指引釐清嘅，主要係喺需要同意時，通知入面要寫到幾具體：企業必須明確提到預定嘅 AI 模型開發用途。 但呢個唔代表所有用個人資料訓練 AI 嘅情況，都自動需要用戶作出明確、主動嘅同意。最終答案要視乎適用嘅 PDPA 例外，包括關於公開可取得資料嘅規定。

對企業嚟講，實際做法係：每一個訓練資料集都要分開記錄使用依據。清楚通知唔可以取代法律上必需嘅同意；同樣，如果條款含糊到未能描述實際 AI 用途，企業亦唔應該當用戶已經同意。

草案階段留下嘅幾個疑問

諮詢期間，外界之所以關注呢套提議，係因為通知要求以外，仲有幾個實際操作問題未必一望就明。

係咪一定要明確同意？

草案冇清楚講明，所有 GenAI 訓練情況都必須取得用戶主動、明確嘅同意。相反，佢引發咗一系列問題：乜嘢情況可以採用退出制？乜嘢情況可以依賴 PDPA 既有例外？

最終指引對同意及例外嘅處理，反而令「法律依據」更加重要。企業唔應該將 AI 專屬通知當成任何情況下都可以取代同意嘅萬能答案。

匿名化之後，仲有冇 AI 專屬通知問題？

另一個未完全明朗嘅地方，係如果資料喺訓練前已經匿名化，特殊嘅 AI 通知要求係咪仍然適用。

呢個問題之所以重要，係因為私隱分析會視乎資料仲可唔可以連繫到某位可識別人士，以及企業實際採用咩匿名化方法同點樣記錄有關程序。

現有報道並不足以支持將「匿名化」視為所有資料集嘅自動解答。企業應該按資料本身同處理方法逐項評估，而唔係見到資料集標示為「匿名化」就以為分析到此為止。

用戶拒絕，企業可唔可以唔畀服務？

草案亦引起另一個現實問題：如果客戶拒絕公司將資料用於 AI 訓練，銀行、保險公司、平台或者其他服務供應商，係咪可以拒絕提供服務，或者令服務變得不可用？

呢度就出現一個常見矛盾：紙面上有退出選項，但如果拒絕會帶嚟重大代價，所謂選擇可能未必真正有意義。

通知要求可以提升透明度，但唔會單獨解決公平性、服務可及性，或者個人同大型服務供應商之間議價能力懸殊等問題。

點解智能裝置都成為私隱討論一部分？

PDPC 對生成式 AI 嘅關注，其實放喺一個更廣泛嘅背景之下：有啲產品收集資料嘅方式，可能連使用者身邊嘅人都未必察覺。關於 PDPC 主席 Denise Wong 工作重點嘅報道，亦提到智能眼鏡、智能手錶，以及掌紋掃描支付系統等裝置。

呢類產品可能涉及面部特徵、指紋、聲音資料同掌脈模式等敏感資訊。報道提及嘅風險包括秘密錄影、生物識別資料外泄或者被濫用，以及有人利用智能眼鏡偷拍考試材料或者其他資料協助作弊。

新加坡數碼發展及資訊部亦曾回應有關智能眼鏡視覺提示燈，以及裝置會否收集附近非使用者人士嘅生物識別或環境資料等問題。

背後最根本嘅問題，係人有冇真正意識到發生緊乜嘢。一盞細到幾乎睇唔到嘅錄影指示燈，或者一份收埋喺文件深處嘅裝置政策，未必足以令旁人明白自己可能被收音、錄影或者分析，更未必畀到佢哋作出選擇嘅實際機會。

企業而家應該做乜？

喺新加坡開發或者部署 GenAI 系統嘅團隊，可以將呢套指引當成一份資料管治清單：

1. 將每個資料集對應到具體 AI 用途。 分清楚資料係用於訓練、微調、測試、監察，定係其他用途。
2. 揀定並記錄 PDPA 法律依據。 寫低係需要同意，定係依賴某項法定例外。
3. 改寫籠統通知。 如果個人資料係用嚟開發或者改良生成式 AI 模型，就要白紙黑字講明。
4. 交代資料類別同模型功能。 用戶應該可以明白企業用緊乜嘢資料，以及資料幫模型做到乜嘢。
5. 令選擇真正可行。 清楚解釋退出或者撤回同意嘅方法，並記錄公司點樣處理相關要求。
6. 分開檢視連接裝置。 智能眼鏡、穿戴式裝置、鏡頭同生物識別系統，可能涉及附近非直接用戶人士嘅通知及同意問題。

所以，新加坡今次轉向，重點唔係禁止企業使用個人資料發展生成式 AI，而係要求呢種使用方式變得可見、具體，而且有清楚可識別嘅法律依據。最終指引收窄咗傳統私隱通知同現代 AI 開發之間嘅落差；至於點樣畀人作出真正有意義嘅選擇，以及點樣處理敏感資料或者裝置間接收集到嘅資料，仍然會係企業同監管機構要繼續面對嘅治理難題。