KI-Governance in APAC: Singapurs PDPA und die Erwartungen der MAS

Das Fundament: PDPA und die PDPC

Der Personal Data Protection Act 2012 (PDPA) ist Singapurs zentrales Datenschutzgesetz und wird von der Personal Data Protection Commission (PDPC) durchgesetzt. Seit dem 1. Oktober 2022 kann die PDPC Geldbußen von bis zu 1 Mio. SGD oder 10 % des jährlichen Umsatzes in Singapur verhängen, je nachdem, welcher Betrag höher ist (§ 48J PDPA). Das PDPA gilt über den gesamten KI-Lebenszyklus hinweg, von der Datenerhebung über das Training bis zum Betrieb.

Um die Anwendung auf KI zu konkretisieren, veröffentlichte die PDPC im März 2024 die Advisory Guidelines on the Use of Personal Data in AI Recommendation and Decision Systems. Sie sind Auslegungshilfe zum bestehenden Gesetz und keine neue Verpflichtung, präzisieren aber Erwartungen an Einwilligung, Zweckbindung und Rechenschaft beim Einsatz personenbezogener Daten in KI-Systemen.

Freiwillige Rahmenwerke: Model AI Governance Framework und AI Verify

Über dem gesetzlichen Fundament liegt eine Ebene freiwilliger, aber weithin referenzierter Governance-Leitlinien. Die IMDA und die PDPC veröffentlichten das Model AI Governance Framework erstmals 2019 und in zweiter Auflage 2020. Im Mai 2024 folgte das Model AI Governance Framework for Generative AI, gemeinsam von der IMDA und der AI Verify Foundation entwickelt. Es adressiert generative Risiken wie Halluzinationen, Urheberrecht, Content-Provenance und systemische Risiken und verteilt Verantwortung entlang der Wertschöpfungskette – Modellentwickler, Deployer und Cloud-Anbieter.

Ergänzend bietet AI Verify – ein von der IMDA und der AI Verify Foundation getragenes Testrahmenwerk mit Toolkit – eine strukturierte Selbstbewertung, mit der Organisationen die Übereinstimmung ihrer Systeme mit anerkannten Governance-Prinzipien technisch und prozessual belegen können.

Der Finanzsektor: MAS FEAT und das Information Paper zum KI-Modellrisiko

Für Finanzinstitute setzt die Monetary Authority of Singapore (MAS) eigene Erwartungen. Die 2018 veröffentlichten FEAT-Prinzipien – Fairness, Ethics, Accountability und Transparency – sind übergeordnete, nicht bindende Leitlinien für den Einsatz von KI und Datenanalytik im Finanzsektor. Sie wurden über das Veritas-Konsortium in messbare Bewertungsmethoden übersetzt.

Am 5. Dezember 2024 veröffentlichte die MAS das Information Paper "Artificial Intelligence Model Risk Management" mit beobachteten Good Practices aus einer thematischen Prüfung von Banken. Es strukturiert sich um drei Bereiche: Governance und Aufsicht, Risikomanagement-Systeme und -Prozesse sowie Entwicklung, Validierung und Deployment von KI. Das Papier ist keine bindende Vorschrift, doch die MAS hat weitergehende aufsichtliche Leitlinien angekündigt – regulierte Institute sollten es als klaren Erwartungshorizont behandeln.

Was das für regulierte APAC-Teams bedeutet

Singapurs Ansatz kombiniert ein hartes gesetzliches Fundament (PDPA) mit weichen, aber einflussreichen Governance-Rahmenwerken und sektoralen Erwartungen. Für regulierte Organisationen – etwa im ersten APAC-Pilotumfeld von softScheck Singapore – bedeutet das: Datenschutzpflichten sind durchsetzbar, während die freiwilligen Rahmenwerke den nachweisbaren Reifegrad definieren, den Aufsichtsbehörden, Kunden und Auditoren zunehmend voraussetzen.

• Ein aktuelles Inventar aller KI-Anwendungsfälle mit Datenherkunft und Zweck führen (PDPA-Grundlage).
• Menschliche Aufsicht und Modellvalidierung dokumentieren – besonders für generative KI (MAS-Erwartung).
• Governance an FEAT und den Model-Frameworks ausrichten und Konformität prüfbar belegen (z. B. via AI Verify).