シンガポール、AI時代に合わせ個人情報保護を調整
- •シンガポールの個人情報保護委員会、任意指針や産業界の意見、機関間の連携でAIガバナンスを調整
- •1月に始めたエージェンティックAIのガバナンス枠組みを、事例と産業界の意見を受けて6カ月以内に改定
- •ASEAN域内のデータ移転ツールと、東南アジア言語向けに開発したSEA-LIONを活用
シンガポール個人情報保護委員会（PDPC）は、柔軟で協働的な方法でAIガバナンスと個人情報保護に取り組んでいると、デニース・ウォン委員長がGovInsiderに語りました。情報通信メディア開発庁（IMDA）でデータ保護とAIガバナンス、安全政策も率いるウォン氏は、消費者の信頼を築きながら企業の革新を支援するのがシンガポールの目標だと述べています。AIのライフサイクルはデータから始まるため、データ保護とAIガバナンスは一体で考える必要があり、IMDAの各チームや他の公的機関、海外の関係者との専門知識の共有が欠かせないとしています。
シンガポールは1月、エージェンティックAI（自律型AI）に関する初のモデル・ガバナンス枠組みを導入し、6カ月以内に産業界の意見と事例を反映した改定版を公表しました。ウォン氏は、変化の速い分野に政策を適応させる例だと説明しました。PDPCは国内の状況を評価し、既存の法律や原則で明確でない点を整理したうえで、任意の指針を通じて助言や産業界の反応を集め、継続的に調整します。規制当局は知識の限界を率直に認め、適切な介入策を選ぶ必要があるとウォン氏は述べています。
PDPCは生成AIで個人データを使う際の助言指針を発表する前に、企業と一般市民に意見を求めました。意見募集を通じて規制上の優先事項を把握し、企業にとっての明確さも高めました。人員や資源が限られるデータ保護チームを支援するため、委員会は実務者コミュニティを運営し、データ保護担当者にオンライン学習教材、情報漏えい情報、規制上の見解を共有しています。こうした場では、ランサムウェアに関連するデータ侵害やサイバー攻撃などの脅威についても情報交換します。
ウォン氏によると、データ保護には規制、知識共有、実務ツールをめぐる国境を越えた協力が必要です。シンガポールの越境移転制限義務では、個人データを国外に送る場合も保護を維持するよう組織に求めており、規制当局は移転元と移転先の双方に適用されるルールを話し合っています。ASEANのツールには、企業の社内データガバナンスとコンプライアンス体制づくりを支援する任意のデータ管理枠組みと、ASEAN域内の個人データ移転を伴う契約に使えるモデル契約条項があります。これらのツールにより、企業はデータ移転にかかる手間と費用を抑えられるとウォン氏は述べています。シンガポールはASEANや国際的なプライバシー団体に参加しており、ウォン氏は来年のASEAN議長国就任が協力を深める機会になると語りました。
ウォン氏はデジタル主権を、シンガポールの人々の暮らし方、行動、取引を守る形で、利用者の個人データとAIシステムを統治することと定義しています。東南アジアの言語向けに構築された大規模言語モデルSEA-LIONを、地域の言語や社会的背景を技術に反映する例として挙げました。技術、ビジネスモデル、地政学的状況が変化しても企業がデータ保護を適用できるよう、原則とツールを残したいとしています。個人情報保護法の原則は普遍的であり続ける一方、現代の課題に合わせた解釈が必要で、データとAIは国境を越えるため国際協議を続けるべきだと述べました。