新加坡 AI 私隱指引：企業何時必須通知你資料會用於訓練模型？

銀行：用財務及客服資料開發 AI 助手

銀行若使用客戶資料開發或改善 AI 助手，而法律依據是客戶同意，就必須發出 AI 專屬通知。通知應把模型開發用途，與提供銀行服務或客服功能的日常資料使用清楚區分。

在符合相關法定條件及適用範圍的前提下，銀行或可依靠 PDPA 的同意例外，例如「業務改善例外」。若有效例外適用，銀行可能毋須取得同意，因此也未必需要提供以同意為基礎的退出選項。

保險公司：用醫療及理賠資料訓練模型

保險公司面對的基本問題相同：如果使用醫療或理賠資料開發生成式 AI 模型需要取得同意，通知就必須具體說明這項 AI 用途。企業不應把以往「改善服務」的籠統聲明，自動視為已足以涵蓋模型訓練。

保險公司需要證明有適用的 PDPA 例外，或透過針對 AI 的通知取得有效同意。現有資料並沒有確立一項一概而論的規則，說所有醫療或理賠資料都自動獲豁免。

電商平台：把購買及瀏覽紀錄用於開發商業 AI 產品

如果電商平台把購買紀錄或瀏覽活動，用於開發一項獨立的商業生成式 AI 產品，這是明顯超出即時購物體驗的資料改作用途。只要法律上需要取得同意，平台就應直接解釋 AI 用途，而不能只依賴一般的「產品開發」條款。

「業務改善例外」在某些情況下可能相關，但並不是任何新商業用途的通行證。企業仍須符合例外條文的法律要求，並確保實際使用不超出適用範圍。

社交平台：用個人檔案及內容改善創作工具

社交媒體平台若使用個人檔案、相片、影片、貼文或互動資料，改善生成式 AI 內容創作工具，而同意是其法律依據，就必須發出 AI 專屬通知。

真正公開可取得的個人資料，可能適用 PDPA 的「公開可取得資料例外」，因此未必需要取得同意。不過，資料是否公開是關鍵：所有人都能查看的內容，與只分享給特定用戶、或受存取權限控制的內容，不能混為一談。

哪些情況可能毋須通知，或不必提供退出選項？

資料已真正匿名化

如果資料經真正匿名化處理，已不再屬於個人資料，PDPA 下針對個人資料的通知及同意義務便不適用。假名化或遮蔽資料則不會自動等同匿名化；關鍵在於個人是否仍有可能被識別。

企業可依靠有效的 PDPA 法定例外

若企業能適當依靠適用的 PDPA 例外，例如公開可取得資料例外，或在符合條件時依靠業務改善例外，便可能毋須取得同意。由於 AI 專屬通知要求，是針對「需要取得同意」的情況而設，因此它不會為所有合法的 AI 訓練用途自動創造一項全面退出權。

所採用的同意機制本身不要求退出選項

PDPC 的一般指引指出，若採用「通知後視為同意」的方式，通常涉及事前通知、合理期限，以及讓個人拒絕的合理途徑。但這不代表每一項 AI 相關資料處理都必須設有退出選項，尤其是企業依靠的是同意例外而非同意。

如果用戶曾經給予同意，或在 PDPA 框架下被視為已給予同意，仍可能享有撤回同意的權利；實際權利及限制要視乎適用於該項資料處理的法律框架。

企業可以把 AI 訓練同意設為使用服務的條件嗎？

一般而言，如果 AI 訓練並非提供用戶所要求產品或服務的合理必要條件，企業不應僅因用戶拒絕 AI 訓練同意，就拒絕提供該產品或服務。換句話說，銀行一般不應把開立普通銀行戶口，與同意訓練一個通用 AI 助手綁在一起；電商或社交平台也不應把與核心服務無關的商業模型開發同意，打包成使用基本服務的前提。

關鍵在於「合理必要性」。如果收集、使用或披露資料，是完成用戶所要求的服務或交易所合理必需，企業才可能把相關同意設為條件。是否達到這個門檻，須按具體服務、資料用途及實際情況判斷；指引並沒有為所有企業或 AI 系統提供一個一刀切的答案。

消費者應該在通知中尋找甚麼？

用戶查看 AI 相關私隱通知時，可留意以下四項內容：

• 是否明確說明個人資料會被用於開發、訓練或改善生成式 AI 模型；
• 涉及哪些類別的資料；
• 資料使用的目的及方式；以及
• 是否可以拒絕或撤回同意，以及具體做法。

企業則應先釐清資料是否仍屬個人資料、是否有法定例外適用，以及有關 AI 用途是否是提供所要求服務的合理必要條件，然後才判斷是否需要 AI 專屬同意通知和退出機制。

這正是新加坡 2026 年 7 月框架的界線：它提高了以同意為基礎的 AI 訓練透明度，但沒有讓用戶自動享有拒絕所有合法資料使用的權利。