PDPC 生成式 AI 個人資料使用指南

2026 年 7 月 20 日，個人資料保護委員會 (PDPC) 在新加坡資料節 (Singapore Data Festival) 釋出《生成式 AI 個人資料使用諮詢指南》。這份指南不新增法律義務——它解釋 PDPA 裡早已存在的"須向資料主體取得同意"要求，在生成式 AI 場景下具體怎麼落地。

核心要求：告知要具體，不能含糊。 部長楊莉明在釋出現場舉的例子最能說明問題：一個客服團隊想用通話錄音改進生成式 AI 模型，好讓回答更快更準。我們都接過這種電話，被告知"通話可能被錄音以作質量檢查與改進"——但錄音裡含姓名、地址、賬單資訊這些個人資料。那麼在拿這些資料做模型訓練之前，客服團隊對客戶有什麼義務？

指南的答案是：明說。組織應當在隱私政策裡寫清楚"已同意客戶的通話錄音將用於訓練和改進 AI 模型"，並同步更新員工徵求同意時使用的話術，讓客戶理解用途後再做知情選擇。不能依賴使用者根本不會注意、也讀不懂的寬泛描述。

超出通知義務的兩塊。 PDPC 明確"許多組織今天已經在提供 AI 專項通知，所以指南要走得更遠"：(1) AI 價值鏈各方的角色與責任劃分——模型開發者、微調方、應用部署方各自承擔什麼；(2) 依賴公開可得資料時的盡職調查義務——不是"公開的就能隨便用"。

與 2024 年那份的關係。 PDPC 2024 年 3 月已釋出《AI 推薦與決策系統個人資料使用諮詢指南》，覆蓋的是判別式 AI（推薦、評分、決策）。這份 2026 年的新指南針對生成式 AI 的訓練與改進場景，兩份並行，不是替代關係。

同日 IMDA 還發布了《生成式 AI 聊天機器人透明度指南》，要求"聊天機器人資訊卡"（Chatbot Information Card）——像藥品包裝上的標籤一樣，把用途、侷限、資料處理方式與使用者申訴渠道集中披露，而不是散落在服務條款和隱私聲明裡。兩份檔案一起構成新加坡在生成式 AI 上"資料層 + 應用層"的雙層問責設計。