《生成式人工智能中个人数据使用咨询指引》
新加坡个人数据保护委员会（PDPC）
本指引澄清 PDPA 在生成式 AI 全生命周期的适用。开发阶段：网络抓取数据若确属“公开可得”，可依《第一附表》第二部分第 1 段的“公开可得例外”免于取得同意，但数字屏障（付费墙、注册、鉴权、地域/年龄限制、反爬机制）后的数据须逐案评估并留痕；使用自有用户数据训练模型时，泛泛的“产品改进”表述不足以构成有效同意，必须提供“AI 专项告知”。部署阶段：把参与方划为模型提供者、系统提供者与系统部署者，分别对应机构或数据中介身份及相应义务。部署后：查阅与更正义务同样适用于用于模型开发与部署的个人数据。指引本身不具法律约束力，与 PDPA 冲突时以 PDPA 为准。
中国 AI 企业在以下动作上直接受本指引约束：（1）抓取含新加坡个人信息的网页数据用于预训练或微调；（2）把新加坡用户在你方产品中产生的对话、上传内容、行为日志用于训练或微调模型；（3）向新加坡企业客户提供模型 API 或 SaaS，从而在推理过程中处理其终端用户的提示词与输出；（4）在新加坡部署带 agent 能力的系统，使其可跨系统取用企业内部个人数据。
重点行业：大模型 / 生成式 AI、AI 智能体、企业软件 SaaS、计算机视觉
2024-03-01
PDPC 先行发布 AI 推荐与决策系统指引，确立基础口径
确立业务改进例外、研究例外与 AI 告知透明度的基础解释，生成式 AI 指引在其之上叠加。
2026-07-20
《生成式人工智能中个人数据使用咨询指引》发布
自发布日起，PDPC 以本指引口径解释 PDPA 在生成式 AI 模型训练、系统部署与个人请求处理三阶段的适用。
每条都写明触发条件、需要留存的证据与条款出处
对每一批用于预训练或微调的抓取数据，判断其中个人数据是否属于“公开可得”。数据位于数字屏障之后并不当然排除公开可得性，但必须结合屏障目的、屏障效果、获取步骤的数量与复杂度、以及该数据能否从其他来源无限制获取逐案评估。当“该数据不属于公开可得”在合理范围内可争辩而机构仍依赖该例外时，必须以数据保护影响评估或其他书面记录说明评估与理由，并能在 PDPC 要求时提交。
首次达标投入估算：10–25 人日（估算，非承诺）
若将用户数据用于生成式 AI 模型的大规模训练或微调，泛泛的“新产品开发”表述不足以构成有效同意（第 4.4 段：“Organisations must provide AI-Specific Notifications for this purpose”）。告知的形式与措辞由机构自行决定，但个人必须能理解所涉个人数据类型、其将如何用于训练或微调、以及相关模型功能。第 4.6 段进一步“鼓励”（encouraged）机构在可行范围内载明四项内容：需要使用个人数据的模型功能、将使用的个人数据类型、这些数据将如何用于训练或微调、以及个人如何拒绝或撤回同意——该四项为最佳实践而非强制清单，但实务上应视为 PDPC 的审查基线。可采用分层告知，亦可就多个模型作单一告知；不得以同意超出提供产品合理所需范围的处理作为供给条件。
首次达标投入估算：8–20 人日（估算，非承诺）
判定本企业在每一项业务中属于模型提供者、系统提供者还是系统部署者，以及在该情形下是“机构”还是“数据中介”，并据此配置义务集。模型提供者以自身目的处理个人数据（含从下游系统回收提示词与输入用于模型开发）时为机构，须履行 PDPA 全部义务；为下游客户运行推理或托管数据时为数据中介，至少须履行保护与保留限制义务。同一主体可能在不同场景切换角色，须逐场景说明并落到制度中。
首次达标投入估算：5–12 人日（估算，非承诺）
系统部署者须识别并登记系统带来的新数据源——终端用户提示词与输入、生成输出、agent 或工具活动数据、被接入的企业内部数据——指定责任部门，实施相应防护，并教育内外部用户可输入哪些类型的个人数据、收集后将如何处理。具备 agent 能力的系统须定期复核防护是否充分，并就隐私与效用的取舍保持透明。模型/系统提供者应向下游披露已实施的安全与保护措施、测试与性能指标（如数据泄漏可能性）以及事件响应与泄露通报流程。
首次达标投入估算：10–25 人日（估算，非承诺）
查阅与更正义务适用于为模型或系统开发、部署而收集、使用或披露的个人数据；机构必须响应，除非可援引 PDPA 的法定例外（例如提供查阅的负担或成本对机构不合理、或与个人利益不成比例；或有合理理由认为不应作出更正）。传输给数据中介的数据仍属机构“控制”范围，必须纳入答复。指引承认嵌入向量、上下文窗口等技术特性带来的识别与更正难度，但这不构成自动豁免。
首次达标投入估算：8–20 人日（估算，非承诺）
本指引自身无罚则；违反其所解释的 PDPA 义务，按 PDPA 第 48I、48J 条处以整改指令与财务罚款（上限见 sg-pdpa 条目）。指引明确要求：在依赖“公开可得例外”处理数字屏障后数据时，若 PDPC 要求说明理由，机构必须提交数据保护影响评估或其他书面记录。
指引为咨询性质、不具法律约束力，且明确不修改 PDPA 的法律效力；PDPC 可能就 agent 场景与内容溯源另行发布细化指引。指引多处援引 IMDA 的《生成式 AI 聊天机器人透明度指引》与《Agentic AI 示范治理框架》，本轮未逐一核实该两份文件文本。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。