《AI 推荐与决策系统中个人数据使用咨询指引》
新加坡个人数据保护委员会（PDPC）
本指引解释企业在开发、部署嵌入机器学习模型的推荐与决策系统时如何合规使用个人数据，分四块：一是开发、测试与监控阶段可依赖的两项同意例外——“业务改进例外”与“研究例外”及其各自条件；二是部署阶段的告知义务，要求就 AI 功能、所用个人数据类型、处理与产品功能的关联、以及影响输出的关键特征向个人说明；三是问责义务，要求把 AI 相关实践与保障写进书面制度并主动对外公开；四是采购环节，列出服务商支持客户合规的最佳实践（数据映射与标注、训练数据来源与变换的血缘记录）。
中国 AI 企业在以下动作上适用：（1）以新加坡子公司或本地实体已合法收集的客户数据训练推荐、风控、匹配或评分模型；（2）与新加坡机构联合开展 AI 研发并互相披露个人数据；（3）向新加坡企业客户交付定制或可配置的 AI 系统并因此以数据中介身份处理其数据；（4）在新加坡上线含个性化推荐或自动化评分的功能，需要对外说明其如何使用个人数据。
重点行业：企业软件 SaaS、金融科技 AI、大模型 / 生成式 AI、医疗 AI、计算机视觉
2024-03-01
指引发布，明确业务改进例外与研究例外在 AI 系统开发中的适用
自发布日起，机构可据此判断能否在无同意情形下将已合法收集的个人数据用于 AI 系统的开发、测试与监控。
2026-07-20
生成式 AI 指引发布，与本指引并行适用
生成式场景须同时参照两份指引；本指引仍是同意例外与 AI 告知透明度的基础口径。
每条都写明触发条件、需要留存的证据与条款出处
业务改进例外允许机构在无同意情形下使用其此前已依 PDPA 合法收集的个人数据，用于：改进或增强现有商品服务、开发新商品服务；改进或开发与其商品服务相关的业务运营方法或流程；了解个人（含按画像分群的群体）的行为与偏好；识别、个性化或定制适合个人的商品服务。适用前须确认业务改进目的无法在不使用可识别形式个人数据的前提下合理达成，并留存该判断记录。
首次达标投入估算：4–10 人日（估算，非承诺）
将个人数据用于尚无直接产品应用的研发时，可依赖研究例外，但须同时满足：研究目的非以可识别形式提供个人数据不可达成；使用该数据具有明确的公共利益；研究结果不用于作出影响该个人的决定；若发表结果，须以不识别个人的形式发表。以研究例外向他方披露（包括与其他公司联合研发新 AI 系统）时，还须评估取得个人同意是否不可行。
首次达标投入估算：4–10 人日（估算，非承诺）
在部署含 AI 推荐或决策功能的产品时，就以下内容在可行范围内作出说明：需要收集并处理个人数据的产品功能；将收集处理的个人数据类型的概括描述；所收集数据的处理与该产品功能之间的关联；以及最可能影响该功能输出的具体数据特征。可采用弹窗或可公开访问的书面政策，由机构自行权衡业务目标与用户体验后选择形式。
首次达标投入估算：5–12 人日（估算，非承诺）
PDPA 第 12 条要求机构制定制度与操作规程以履行义务。使用 AI 系统的机构应在书面制度中载明为实现公平与合理所采取的实践与保障，详略程度与个案风险（对个人的潜在损害、AI 系统的自主程度）相称；第 12(d) 条要求应请求提供，但指引建议机构主动通过网站公开，并考虑提供简明版本。
首次达标投入估算：4–10 人日（估算，非承诺）
为客户开发定制或可完全配置的 AI 系统、从而以数据中介身份处理个人数据的服务商，应在预处理阶段使用数据映射与标注追踪进入训练集的数据，并维护血缘记录，标明训练数据来源及其在数据准备过程中的变换过程。这些记录用于判断训练集是否遭未经授权访问或修改，并为部署方判断是否构成可通报泄露、以及训练集改动对 AI 系统的影响范围提供依据。
首次达标投入估算：6–15 人日（估算，非承诺）
本指引无独立罚则；违反其所解释的 PDPA 同意、告知、问责义务，按 PDPA 第 48I、48J 条处理。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。