PDPC 生成 AI 個人データ利用ガイドライン

2026 年 7 月 20 日、個人データ保護委員会 (PDPC) はシンガポールデータフェスティバル (Singapore Data Festival) で《生成 AI 個人データ利用に関する諮問ガイドライン》を発表した。このガイドラインは新たな法的義務を追加しない——PDPA にすでに存在する「データ主体から同意を得なければならない」という要件が、生成 AI の文脈で具体的にどう適用されるかを説明するものである。

中核的要求：告知は具体的でなければならず、曖昧であってはならない。 ジョセフィン・テオ大臣が発表の場で挙げた例が問題をよく示している。あるカスタマーサービスチームが通話録音を使って生成 AI モデルを改善し、より速く正確に回答したいと考えている。私たちは皆こうした電話を受け、「通話は品質チェックと改善のために録音される場合があります」と告げられた経験がある——しかし録音には氏名、住所、請求情報といった個人データが含まれる。ではこのデータをモデル訓練に使う前に、カスタマーサービスチームは顧客に対しどのような義務を負うのか。

ガイドラインの答えは明言せよである。組織はプライバシーポリシーに「同意した顧客の通話録音は AI モデルの訓練と改善に使用される」と明記し、スタッフが同意を求める際に用いるスクリプトも併せて更新し、顧客が目的を理解した上で情報に基づく選択ができるようにすべきである。利用者が気づきもせず、理解もできない広範な記述に依拠してはならない。

告知義務を超える 2 点。 PDPC は「多くの組織はすでに AI 専用の通知を提供しているため、ガイドラインはさらに踏み込む」と明示する：(1) AI バリューチェーン各当事者の役割と責任の切り分け——モデル開発者、ファインチューニング実施者、アプリケーション展開者がそれぞれ何を負うのか；(2) 公開されているデータに依拠する際のデューデリジェンス義務——「公開されているものは自由に使ってよい」ではない。

2024 年版との関係。 PDPC は 2024 年 3 月に《AI 推薦・意思決定システムにおける個人データ利用に関する諮問ガイドライン》を発表しており、これは識別型 AI（推薦、スコアリング、意思決定）を対象とする。2026 年のこの新ガイドラインは生成 AI の訓練・改善の場面を対象とし、両者は並行するものであって置き換えではない。

同日 IMDA は《生成 AI チャットボット透明性ガイドライン》も発表し、「チャットボット情報カード」(Chatbot Information Card) を求めた——医薬品パッケージのラベルのように、用途、限界、データの取り扱い、利用者の救済経路を一箇所に開示し、利用規約やプライバシー通知に散在させない。この 2 つの文書が合わさって、シンガポールの生成 AI に対する「データ層 + アプリケーション層」の二層的アカウンタビリティ設計を構成する。