PDPC 生成式 AI 个人数据使用指南

2026 年 7 月 20 日，个人数据保护委员会 (PDPC) 在新加坡数据节 (Singapore Data Festival) 发布《生成式 AI 个人数据使用咨询指南》。这份指南不新增法律义务——它解释 PDPA 里早已存在的"须向数据主体取得同意"要求，在生成式 AI 场景下具体怎么落地。

核心要求：告知要具体，不能含糊。 部长杨莉明在发布现场举的例子最能说明问题：一个客服团队想用通话录音改进生成式 AI 模型，好让回答更快更准。我们都接过这种电话，被告知"通话可能被录音以作质量检查与改进"——但录音里含姓名、地址、账单信息这些个人数据。那么在拿这些数据做模型训练之前，客服团队对客户有什么义务？

指南的答案是：明说。组织应当在隐私政策里写清楚"已同意客户的通话录音将用于训练和改进 AI 模型"，并同步更新员工征求同意时使用的话术，让客户理解用途后再做知情选择。不能依赖用户根本不会注意、也读不懂的宽泛描述。

超出通知义务的两块。 PDPC 明确"许多组织今天已经在提供 AI 专项通知，所以指南要走得更远"：(1) AI 价值链各方的角色与责任划分——模型开发者、微调方、应用部署方各自承担什么；(2) 依赖公开可得数据时的尽职调查义务——不是"公开的就能随便用"。

与 2024 年那份的关系。 PDPC 2024 年 3 月已发布《AI 推荐与决策系统个人数据使用咨询指南》，覆盖的是判别式 AI（推荐、评分、决策）。这份 2026 年的新指南针对生成式 AI 的训练与改进场景，两份并行，不是替代关系。

同日 IMDA 还发布了《生成式 AI 聊天机器人透明度指南》，要求"聊天机器人信息卡"（Chatbot Information Card）——像药品包装上的标签一样，把用途、局限、数据处理方式与用户申诉渠道集中披露，而不是散落在服务条款和隐私声明里。两份文件一起构成新加坡在生成式 AI 上"数据层 + 应用层"的双层问责设计。