亚太简评 | AI训练时，企业如何合规使用个人数据？新加坡个人数据保护委员会发布在人工智能系统中使用个人数据的指南

文/ 王捷律师团队 

团队介绍：

W&W国际法律团队，国内外一站式法律合规顾问

W&W 国际法律团队已为超过50+头部与知名互联网公司、500强企业、大中型外资企业、独角兽企业提供专业的法律合规服务和落地解决方案。为多个产品及业务线落地互联网综合合规、国内外数据合规及出海合规法律项目。特殊行业覆盖前沿科技领域，如AIGC、区块链、GPT、云计算等新兴领域、智能网联汽车与车机系统、智能制造业与物联网。涉及业务地区为国内、欧洲、北美、亚太、中东等地区。

（如有项目需求或了解代表案例，欢迎联系。）

联系方式：

邮箱：[e-mail]

TEL：[phone]

引言

鉴于当前世界各国在科技与网络领域的监管呈现复合型趋势，W&W地区观察专题将触及个人信息保护、数据合规、网络安全、人工智能、数字经济等板块，跟踪并解读全球主流出海目标国在上述领域中的立法、监管动向，提示企业合规要点，为企业开展出海业务、部署国内合规工作提供参考。

01

背景

01

2024 年 3 月 1 日，新加坡个人数据保护委员会（PDPC）发布了《关于在人工智能推荐和决策系统中使用个人数据的咨询指南》（Advisory   Guidelines on use of Personal Data in AI Recommendation and Decision Systems）。

02

指南的内容有哪些？

02

• 适用范围

指南特别强调了其适用于涉及在《个人数据保护法》（PDPA）约束下使用个人数据设计和/或部署人工智能系统的场景。

该指南：

• 释明了当组织使用个人数据开发和训练人工智能系统时，PDPA如何适用；

• 为各组织提供了有关如何透明地说明其AI系统在推荐、预测或决策过程中使用个人数据的指导和最佳实践。

该指南考虑了处于三个不同阶段的人工智能系统：

• 开发、测试和监控阶段 —— 涉及同意、研究豁免（research exception）、数据保护的实施和匿名化；

• 部署阶段 —— 涉及企业对消费者的场景中，人工智能系统的通知、同意和问责；以及

• 采购阶段 —— 涉及企业对企业的场景中，人工智能系统的通知、同意和问责。

• 豁免（Exception）
  

值得注意的是，指南规定了业务改进和研究提供了豁免条款。

业务改进豁免（business improvement exception）适用于组织已开发出产品或现有产品得到改进的情况，也适用于人工智能系统计划通过支持决策提高运营效率或提供更多或新的个性化产品和/或服务的情况。这适用于与公司集团内的关联公司（related companies）共享，以及部门间共享。

研究豁免适用于组织在没有产品开发路线图的情况下为推进科学和工程而进行的商业研究。研究也可用于共同开展商业研究以开发新的人工智能系统的非关联公司（unrelated companies）之间的共享。

• 数据保护方面的考量

指南详细说明了数据保护的注意事项，包括数据最小化、适当的技术和/或法律控制，以及个人数据的假名化和无法做到时采取的安全措施。

此外，指南还指出各组织在人工智能系统的内部构建、外部构建或两者结合使用时，均应采取隐私设计方法（privacy-by-design   approach）和隐私风险评估（assess risks to   privacy）。

具体到数据匿名化，指南指出，各组织应尽可能对数据集进行匿名化处理，而不是使用个人数据。虽然匿名数据不受PDPA的约束，但建议各组织牢记重新识别和披露的风险，并参考《个人数据保护委员会基本匿名化指南》（PDPC's Guide to   Basic Anonymization）。

在同意和通知方面，指南强调，PDPA和《PDPA关键概念咨询指南》（Advisory Guidelines on Key Concepts on the   PDPA）已明确了有关同意的规定。不过，指引释明了同意的一般概念，即同意应是有意义的（meaningful），并提供了请求同意和通知的实际例子。

03

企业应该注意什么？

03

该指南的发布为企业开发和部署人工智能时使用个人数据提供了明确指引。其中重点涵盖了三个阶段：开发、测试和监控；部署；以及采购。每个阶段指南都详细提供了适用的规定和最佳实践示例，关涉企业对企业、企业对消费者的多个场景下个人数据在人工智能系统中的采集和使用。开发或涉及部署人工智能的企业，在出海新加坡的时候，需要特别关注该指南，并依据该指南的最佳实践示例进行合规工作。

除关注《PDPA关键概念咨询指南》涉及同意的规定外，企业还可参考《PDPA选定主题咨询指南》（Advisory Guidelines on the Personal Data Protection Act for Selected Topics）。

主编介绍

王 捷 律师

垦丁律师事务所合伙人、广州联合创始人、执行主任

W&W国际法律团队创始人

荣登律商联讯（LexisNexis）2023「40位40岁以下的法律精英」榜单

业务领域：

个人信息保护与全球数据合规、数据合规、互联网与网络法实务合规、企业出海合规、网络安全

王律师持有CIPP/E（国际信息隐私专家认证/欧盟）、区块链应用操作员资格证书、数据安全师、数据合规官资格证书，是联合国世界丝绸之路委员会专家，中国国际贸易促进委员会深圳调解中心专家调解员，广东省法学会信息通讯法学研究会理事，荷兰RuG国际经济法与商法硕士。

王律师曾在阿里巴巴大文娱集团、国际律所与海外仲裁委员会工作积累了12年+科技型公司实务经验，具备中外律所从业背景。专业能力模块包括产品风险管控、业务流程搭建、竞对攻防布局、政府监管合规、海外公司治理等。王律师已为多家头部与一线的知名互联网公司、大中型外资企业及大型国企提供专业法律服务，行业覆盖物联网、智能终端制造、IOT、云计算与服务、社交网络平台、电子商务及平台、智能汽车与车机系统、芯片制造业、网络游戏、Web 3.0、NFT、AI、以及GPT等新兴领域。

王律师擅长解决由互联网、数据及智能技术引发的数据安全风险与合规解决方案落地，包括数据保护与合规、产品风险管控、业务流程搭建、风险分析评估、政府监管合规、竞对攻防布局，已为各类涉互联网企业拓展全球市场提供法律支持，尤其擅长为企业出海欧美、东南亚、印度、日韩、中东、中国港澳台地区等新兴及重要市场提供有效的合规解决方案与落地支持。

同时，王律师独著《Comparison of Various Compliance Points of Data Protection Laws in Ten Countries/Regions》，在全球最高分的六篇论文中，荣获国际知名隐私组织FPF第 12 届政策制定者年度隐私论文奖，该文章同时被评为年度隐私政策制定者“必读”文章。其耕笔的多篇互联网与数据合规文章收录于国际知名专业数据库。

联系方式：[e-mail]

[phone] 

推荐阅读：