新加坡 2026 GenAI 指引：企業與消費者需要知道什麼？

PDPC 指引涵蓋哪些資料使用情境？

PDPC 的指引涵蓋生成式 AI 生命週期中的個人資料使用，包括網路擷取資料、使用者為取得一般服務而提供的資料，以及之後被重新用於模型開發或改進的資料；範圍也涉及模型部署、安全、保存期限，以及使用者提出查閱或更正要求時的處理方式。

核心隱私問題在於「用途改變」。一個人原本為了完成交易、使用帳戶、取得客服支援或使用其他服務而提供的資料，可能在事後被大規模重新利用於模型訓練或微調。當資料進入大型訓練流程後，使用者可能更難理解資料如何被重用、控制相關用途，或行使查閱與更正權利。

指引也區分 AI 供應鏈中不同參與者的責任：模型提供者須承擔開發及部署模型時涉及的 PDPA 義務；系統提供者應考慮安全性並傳達相關防護措施；系統部署者則須界定資料處理目的、了解資料流向，並檢視實際投入運作的系統是否具備適當控制措施。

什麼情況需要 AI 專屬通知？

當企業希望使用「使用者資料」開發生成式 AI 模型，而《個人資料保護法》下沒有適用的同意例外時，便須透過 AI 專屬通知取得同意。通知內容必須明確指出生成式 AI 的用途，不能只用「服務提升」、「個人化」或「產品改進」等寬泛說法帶過。

這項要求尤其適用於以下情境：資料原本是使用者直接透過既有產品或服務提供，收集時並非為了生成式 AI，企業後來卻打算把資料改用於模型開發。企業應先檢視原始收集情境、新用途，以及是否存在適用的法定例外，再決定如何處理。

公開可取得資料是另一種情況

PDPA 對公開可取得的個人資料設有例外，企業在模型開發時可能可以不經同意收集這類資料。但並不是所有能在網路上找到的內容都必然符合條件。位於付費牆、登入頁面、註冊程序或其他類似數位門檻之後的資料，是否仍屬於此處所稱的「公開可取得」，必須個別審慎評估。

經適當匿名化的資料

若資料已適當匿名化，且無法識別特定個人，就不屬於 PDPA 所稱的個人資料。PDPC 也鼓勵企業在可行時，優先使用匿名化資料進行分析與研究。

不過，刪除姓名並不代表資料一定已匿名化。如果利用剩餘資訊，或結合其他合理可取得的資訊，仍有可能辨識出某人，企業就需要重新評估匿名化是否真正有效。

客服中心錄音是否有特別例外？

現有資料並未確立客服中心錄音的獨立、概括性例外。只要錄音能直接或合理地識別來電者，企業在評估是否將其用於生成式 AI 時，應將其視為個人資料。若要用於模型開發，仍須具備適用的 PDPA 依據，例如有效同意、適當通知或其他法定例外。

目前資料不足以宣稱客服錄音另有一套特殊規則。實際做法仍取決於錄音內容、資料收集方式、預定的生成式 AI 用途，以及是否存在適用的 PDPA 例外。

AI 專屬通知應包含什麼？

通知應提供具體且足以讓使用者作出有意義選擇的資訊。根據現有指引，至少應包括：

• AI 使用目的： 明確說明個人資料將用於開發或改進生成式 AI 模型。
• 使用理由： 解釋模型開發或改進的目的。
• 涉及的資料： 說明會使用哪些類別的個人資料。
• 使用方式： 交代資料如何被使用，例如在適用時說明訓練或微調用途。
• 使用者選擇： 說明個人如何拒絕或撤回同意，以及在適用情況下如何退出。

一般隱私政策仍可提供背景資訊，但如果其中沒有清楚揭露生成式 AI 訓練用途，就不應成為唯一的告知方式。實際判斷標準是：一般使用者能否合理理解，其個人資料可能會被用於開發或改進生成式 AI 模型。

通知可以放在哪裡？

現有資料沒有規定所有企業都必須採用同一格式或固定位置。較實際的做法，是在收集相關資料或使用服務的當下呈現資訊，例如註冊或開戶流程、產品內即時提示、帳戶隱私控制項，或清楚連結的隱私通知頁面。

這些位置屬於實作上的合理推論，並非 PDPC 資料表列出的完整固定清單。無論採用何種形式，通知都應清楚可見、內容具體，而不是埋在冗長難找的通用條款中。

同意、撤回與查閱權利

即使個人資料已被用於生成式 AI 開發，使用者仍可能提出查閱或更正個人資料的要求。企業應做好上游資料管理，按個案評估要求，並採取適當技術措施；但在大型訓練資料集中追蹤特定資訊，實務上可能相當困難。

如果企業以同意作為法律依據，就必須告知使用者如何拒絕或撤回同意。不過，撤回同意並不代表使用者必然可以在完全不變的條件下繼續使用服務所有功能。退出後能否繼續使用核心服務，取決於生成式 AI 訓練對該服務是否必要，以及企業如何設計同意機制。現有資料並未確立「退出後仍可保留所有服務且條件完全不變」的概括權利。

IMDA 的自願性「Chatbot Info Card」

IMDA 的《生成式 AI 聊天機器人透明度指引》採取以消費者為中心的方向，適用於部署外部生成式 AI 聊天機器人的企業。其目標是協助使用者作出更明智的使用決定、讓資訊揭露更一致，並要求企業對自身公開說明的安全與可靠性措施負起更清楚的責任。

指引的核心是「Chatbot Info Card」，概念類似食品營養標籤或藥品說明標籤。它可以是獨立資訊頁面，也可以是揭露文件，重點是為使用者提供一個集中、易找且易理解的資訊入口。

資訊卡應遵循三項原則：

• 相關（Relevant）： 提供使用者判斷是否應依賴聊天機器人，以及應如何依賴所需的資訊。
• 易取（Accessible）： 使用清楚易懂的語言，讓資訊容易找到、閱讀及瀏覽。
• 及時（Timely）： 聊天機器人推出時便提供資訊；若功能、風險或安全政策出現重大變化，也應更新內容。

資訊卡應說明哪些內容？

一張實用的資訊卡應涵蓋：

• 聊天機器人的預定用途、功能與能力；
• 重要限制，包括哪些情況需要核實答案，或不適合使用聊天機器人；
• 可靠性與安全措施；
• 使用者輸入、對話內容及其他資料如何被處理；
• 投訴、意見回饋及事件回報管道。

資訊卡並不是聊天機器人準確或安全的保證。它的作用，是讓使用者更容易判斷何時可以參考工具、應避免分享哪些資訊，以及發生問題時應向誰求助。

IMDA 初步聚焦公共聊天機器人，是因為這類服務接觸廣泛消費者，並涉及隱私、兒童安全，以及可能影響心理較脆弱使用者的風險。未來，這套框架也可能成為其他生成式 AI 應用及特定產業指引的參考。

企業與公共機構會如何落實？

Google、Meta、星展銀行（DBS）、華僑銀行（OCBC）、新加坡航空及 Synapxe 均表示，會把這套自願性指引作為改善公開聊天機器人透明度措施的參考。這代表企業計畫逐步對齊並持續改進，並不表示每家公司目前已經推出完全相同的資訊卡。

對銀行而言，重點可能包括說明面向客戶的功能、限制與防護措施，並把聊天機器人揭露內容納入既有的 AI 治理與風險管理流程。DBS 提到其面向客戶的 AI 計畫；OCBC 則將指引與既有 AI 治理及風險管理工作連結。

新加坡航空表示，隨著 AI 支援的客戶體驗逐步擴展，會持續檢視並強化 AI 治理與防護措施。Google 與 Meta 也支持以更清楚、更容易取得的方式，說明其 AI 產品如何運作，以及使用者如何與產品互動。

公共機構也預計將這套框架作為參考。國家圖書館管理局與健康促進局計畫在設計面向公眾的聊天機器人時納入相關考量。

對企業與使用者的實際意義

新加坡的做法，是把特定生成式 AI 資料用途的隱私揭露要求，與聊天機器人的自願性透明度標準結合起來。兩項措施互為補充，但不能混為一談。企業可按以下方向準備：

1. 盤點資料： 找出哪些個人資料會進入模型開發或聊天機器人流程，以及使用原因。
2. 確認法律依據： 判斷是否需要同意，或是否有 PDPA 例外可適用。
3. 明確揭露 GenAI 重用： 在需要時使用 AI 專屬通知，不要只依賴「產品改進」等籠統措辭。
4. 準備處理權利要求： 保留足夠的上游資料與紀錄，以便評估查閱、更正及撤回同意的要求。
5. 公開聊天機器人資訊： 為面向公眾的生成式 AI 聊天機器人提供相關、易取且及時的資訊卡，涵蓋能力、限制、安全、可靠性、資料處理及問題回報管道。

整體而言，這些措施並不是向使用者保證可以阻止所有 AI 相關的資料使用，而是推動企業更清楚揭露資料用途、更審慎治理資料，並讓公開 AI 服務對其能力與風險負起更明確的責任。