吴 雪，中央民族大学国家安全研究院
人工智能快速发展推动数据与算法深度交织，使数据主权的内涵和外延不断拓展，更使各国数据主权战略面临新的考验和挑战。开放经济体在深度参与数字全球化的同时，需要在安全防护、数据流动与技术创新之间寻求平衡。新加坡作为亚太地区的重要数字枢纽，形成了适配自身国情的数据主权战略，并主导了多边数字协定等实践，不仅提供了国家维护数据主权的现实样本，也为观察全球数字规则博弈提供了重要窗口。
一、人工智能时代数据主权的内涵与特征
传统主权理论的核心在于国家对特定领土、人口及资源的排他性管辖权。随着信息技术的快速发展，数据主权指国家对本国数据的生成、存储、处理及流动全生命周期的控制权。人工智能时代，数据主权进一步向包含数据分级治理、跨境传输监管、算法全生命周期管控等领域延伸。随着政府和大型企业对算法技术的深度运用，算法已成为社会信息流动的基础底座之一，围绕算法的竞争成为新一轮大国博弈的焦点。
数据与算法高度耦合重塑国家主权边界。人工智能算法模型的开发和应用与数据的数量和质量高度相关，算法模型直接决定了数据的价值转化效率，训练数据则决定了算法模型的泛用性。恶意算法和有毒数据均可对另一方产生颠覆性的影响，如关键算法和数据遭遇恶意利用和攻击，便可引发系统性安全风险。这意味着数据主权不限于对静态数据的占有，更包含对动态算法模型的控制权。
随着互联网经济的快速发展、大型跨国平台企业的崛起，数据与算法向少数主体集中。这种集中化趋势要求主权国家必须将算法安全纳入国家安全范畴，通过立法与监管手段，确保算法在国防、经济、社会民生等领域的公共性与安全性。
二、新加坡数据主权战略的演进趋势
新加坡作为区域数字枢纽，其境内生成与流转的数据大量涉及跨境商业与服务活动，境外主体的获取与处理行为时刻考验政府对数据全生命周期的实际控制能力。刘箫锋、刘杨钺的文章《东盟跨境数据流动治理的机制构建》指出，“新加坡数据中心市场规模位列亚太地区首位，其数据基础设施建设水平也位于全球前列。”
数据主权风险持续对新加坡构成现实压力，推动其数据主权战略从早期的数字基础设施构建，逐步转向系统化、风险导向的治理框架完善。1998年，新加坡颁布《电子交易法》，确立电子记录与签名的法律效力，搭建数字经济基础框架，初步涉及数据合规与交易安全，为后续数据主权战略奠定制度基础。2012年，新加坡颁布《个人数据保护法》，明确个人数据管控核心规则，设立个人数据保护委员会作为专门监管机构，构建数据采集、使用、披露的基础监管框架。进入人工智能时代，新加坡先后于2021年和2024年通过修订《个人数据保护法》和《网络安全法》，持续更新人工智能治理框架、国家人工智能战略等措施，适配新技术场景，推动数据主权战略与数字经济发展深度融合。
新加坡数据主权战略的演进始终置于全球信息技术快速发展与人工智能深度渗透的时代背景。作为全球首份聚焦数字经济规则的多边协定《数字经济伙伴关系协定》（DEPA）发起与主导方，新加坡接纳亚太经济合作组织（APEC）跨境隐私规则（CBPR）等国际合规认证，对接东盟跨境数据流动合规体系，并与日本等经济体构建跨境隐私合作与标准互认机制，有效降低跨境合规成本，维系统一的数据保护标准。
整体而言，新加坡的数据主权战略理念可概括为平衡开放与维护主权实质、引导负责任创新、通过风险分层实现治理弹性、加强国际协作提升话语权等。新加坡政府并不追求绝对控制，而是通过保护标准、人类问责与动态迭代，在高度互联的数字环境实质维护国家与公民的数据权益。
三、新加坡数据主权战略的政策支撑
新加坡构建了以《个人数据保护法》为基础、以人工智能原则性框架为延伸、以网络安全立法与国家战略为支撑的政策体系，通过保护标准等效性、风险分层与动态迭代，应对数据与算法深度耦合带来的数据主权挑战。
（一）数据跨境流动安全监管框架
新加坡《个人数据保护法》自2012年实施以来，经多次修订，仍以规范个人数据的收集、使用与披露为核心目标。该法第二十六条确立了跨境传输限制义务，原则上禁止组织擅自将个人数据向境外转移；确需跨境传输的，数据处理主体必须事前履行审慎核查义务，采取合理措施确保境外接收方受可依法强制执行的规则约束，对所接收个人数据提供不低于《个人数据保护法》项下的保护水平。2021年，新加坡资讯通信媒体发展局（IMDA）发布《2021年个人数据保护条例》，进一步细化了这一义务的实现路径，明确规定可通过合同条款、企业集团内部约束规则、APECCBPR或隐私认可处理者（PRP）认证，以及个人知情同意等路径实现合规。
新加坡个人数据保护委员会（PDPC）于2026年4月发布的《跨境数据传输指南》则提供了操作层面的依据，强调组织需进行尽职调查并保留证明材料。这一政策的侧重点在于以保护等效性替代强制本地存储，既维护了数据主权所要求的保护底线，又支持了新加坡作为区域数字枢纽对数据自由流动的现实需求。新加坡《个人数据保护法》不强制一般个人数据在境内存储，非个人数据除特定行业及网络安全规则外，原则上不设跨境转移限制。该制度安排令其数据主权实践侧重保护效果而非数据存储位置限定。
（二）人工智能治理框架
为应对人工智能带来的技术滥用、算法偏差、虚假内容生成等新型治理风险，新加坡采取自愿性、原则性且动态迭代的人工智能治理路径，出台了一系列人工智能治理相关战略和框架。
新加坡个人数据保护委员会等机构于2019年1月发布首版《模型人工智能治理框架》，并于2020年1月发布第二版。该框架确立了“人工智能决策应可解释、透明与公平”与“人工智能系统应以人为中心”两大核心原则，从内部治理结构与措施、人类介入人工智能辅助决策的程度、运营管理以及利益相关方互动与沟通四个维度，为企业提供可操作指导。该框架的重点在于将抽象伦理原则转化为企业内部可落地流程与责任分配机制，而非直接设定强制禁止性规则。
新加坡通讯与新闻部于2023年12月发布《国家人工智能战略2.0》，确立“人工智能服务公共福祉，服务新加坡与全球发展”的愿景，聚焦追求卓越与全面赋能两大目标，并依托十项赋能支柱构建完整的落地实施体系。
新加坡资讯通信媒体发展局联合人工智能验证基金会（AI Verify Foundation）于2024年5月共同发布了《生成式人工智能模型治理框架》，从问责机制、数据治理、可信开发与部署、风险事件报告、测试与合规保障、系统安全防护、生成内容溯源、模型安全与对齐研发、人工智能造福公共福祉九大治理支柱搭建全链条管控体系，尤其将训练数据合规性审查、人工智能输出内容溯源存证与算法偏见缓释作为核心治理抓手。
新加坡资讯通信媒体发展局联合人工智能验证基金会个人数据保护委员会于2026年1月在达沃斯世界经济论坛上发布《自主智能体人工智能模型治理框架》，并于2026年5月将该框架更新至1.5版本，重点补充了多智能体系统运行风险及其引发的人工智能系统性级联风险的专项治理内容。作为全球首个专门针对具备自主规划、推理与行动能力的自主智能体的治理指引，该框架围绕前置风险评估与边界设定、实现人类实质性、有意义的问责、全生命周期技术与流程控制以及终端用户责任四个维度展开。该框架虽为政府出台的自愿性质指引文件，但新加坡金融管理局（MAS）、卫生部（MOH）等监管部门已将其纳入人工智能产品政府采购评审标准与行业合规指导文件，由此形成具备实际约束力的数字治理软法体系，与《个人数据保护法》在数据使用环节形成衔接。
新加坡国家人工智能理事会（NAIC）于2026年5月更新战略实施优先级，强调在严守隐私安全、商业合法权益边界的同时，有序开放可用数据集，致力于先进制造、金融、互联互通与医疗等行业智能化转型。该战略把数据治理纳入顶层赋能框架，将可信数字环境搭建作为释放数据要素价值的先决条件，从国家战略层面完成了数据主权规制与人工智能产业发展的深度绑定。
（三）监管与指引并重的风险管控模式
受地域体量制约，新加坡算力供给、数字产业发展高度依赖跨国企业及跨境数据流动，单一强监管模式会抬高市场合规成本，宽松放任则会带来敏感数据泄露与算法失控风险。因此，新加坡确立了立法强制监管与非约束性指引并行的风险治理路径，按照产业成熟度和数据敏感度执行分级分类管控。
新加坡国会于2024年5月修订了《网络安全法》，将关键信息基础设施运营方安全责任拓展至供应链体系与云虚拟环境，对全域数字化基础设施实施穿透式监管。
新加坡网络安全局（CSA）于2024年10月发布《人工智能系统安全指南》，将数据安全与算法安全统一纳入人工智能风险管控体系，并于2025年10月再次出台自主智能体（AgenticAI）安全专题讨论文件，补齐高阶人工智能治理规则。
新加坡个人数据保护委员会于2026年7月发布《生成式人工智能个人数据使用咨询指南》，厘清了生成式人工智能全生命周期个人数据处理规则、告知同意要求与机构责任划分。
在政府持有公民数据管理层面，新加坡坚持风险导向原则，对高敏感度数据实施强制本地驻留，辅以最小权限访问、加密、合同管控与长效监督机制，实现数据主权安全与有序利用的平衡。
四、新加坡数据主权战略的鲜明特点
新加坡形成了战略顶层清晰、规则弹性适配、软硬治理结合、安全创新平衡、内外规则互通的数据主权与人工智能协同治理范式。其核心优势是将伦理原则转化为可操作的测试框架和治理指南，依托国家战略统筹推进，实现数据主权规制与人工智能创新发展的深度适配，整体呈现以下五大鲜明特征。
第一，以保护等效性为核心，摒弃“一刀切”式数据本地化强制规则。新加坡的人工智能模型训练、技术迭代高度依赖跨境数据流通，全域强制本地化将割裂其全球数字价值链、抑制产业创新。新加坡不以数据物理存储属地为判定标准，而是以等效保护水平为核心底线。该模式既守住了数据主权安全底线，又最大程度提高了数据要素跨境流通效率。
第二，构建软法指引为主、硬法兜底为辅的弹性算法治理体系。不同于传统国家通过刚性立法约束人工智能发展，新加坡优先采用原则性、动态更新的自愿性治理指引，强调人类最终问责与风险前置评估。软法治理有效避免了因过早立法带来的制度僵化与创新抑制问题，尤其在人工智能技术迭代加速阶段，原则性框架既可为企业提供清晰方向，也可降低合规不确定性。
第三，推行风险分层、场景精准的差异化治理逻辑。新加坡依据数据敏感等级、算法应用领域与潜在安全风险等级卡在梯度治理，对金融等高风险场景强化审查监管，对通用办公等低风险场景适度放宽合规约束。在数据层面，对政府敏感数据设置本地驻留要求，对一般个人数据坚持保护等效。在人工智能应用层面，则按照危害程度设置差异化人类参与强度。该模式优化监管资源投放，有效实现数据主权管控精度与治理效能协同提升。
第四，数据主权战略与数字化转型目标深度融合。新加坡数据主权战略将可信数据环境建设作为释放数据要素、支撑人工智能产业升级的前置条件，从而摆脱“安全与创新二元对立”的治理困境，为国家整体数字化转型提供制度支撑。
第五，坚持开放共治，积极推进跨境规则互认与区域治理话语权建设。新加坡通过多边规则对接与双边机制共建，可以有效降低跨境数据与人工智能产业的合规壁垒，输出本土化弹性治理范式，从而提升其规则塑造能力与国际话语权。
总体来看，在人工智能技术迭代重塑全球数字竞争格局的背景下，国际人工智能治理规则与数据跨境流动标准直接决定数字价值链分配与国家核心利益。作为城市型经济体，新加坡内部市场空间有限，算力供给、数字产业体系高度嵌入全球产业链与跨境贸易网络。因此，新加坡依靠数据自由流转维系国际枢纽竞争力和亚太地区数字枢纽地位，构建了数据主权与人工智能协同治理体系。
（本文刊登于《中国信息安全》杂志2026年第8期）
声明：本文来自中国信息安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
