FTC Section 5: Ochrana soukromí v oblasti AI v USA
Aktualizováno pro rok 2026.
Federální obchodní komise (FTC) prosazuje americké právo na ochranu soukromí prostřednictvím Section 5 zákona FTC Act. Toto ustanovení zakazuje „nekalé nebo klamavé praktiky”. V USA neexistuje jednotný federální zákon o ochraně soukromí podobný GDPR. Přesto agentura v roce 2024 překonala vlastní rekord.
2024: Rekordní rok vymáhání
Komise vydala v roce 2024 celkem 19 opatření týkajících se AI. To překonává součet za předchozí tři roky dohromady. Navíc je aktivních 25 státních zákonů USA o ochraně soukromí. Dohromady vytvářejí pro každou firmu působící v USA komplikovanou zátěž.
Klíčové případy z roku 2024:
Amazon Alexa (25 milionů dolarů, 2023/probíhá): Amazon zaplatil 25 milionů dolarů za porušení zákona COPPA. Uchovával hlasové nahrávky dětí po uplynutí stanovených lhůt. Agentura konstatovala, že Amazon tyto nahrávky bez řádného souhlasu využíval k trénování AI. Amazonu bylo nařízeno uchovávané záznamy smazat.
Zákaz reklamy zaměřené na dospívající uživatele Meta: Federální regulátoři zakázali Metě využívat záznamy uživatelů mladších 18 let k reklamě. Toto opatření navázalo na stávající příkaz k souhlasu.
Opatření proti datovým brokerům využívajícím AI: Agentura přijala opatření proti několika brokerům. Tito brokeři prodávali osobní profily vytvořené pomocí AI bez řádného oznámení nebo souhlasu. Případy stanovily klíčové pravidlo: profilování fyzických osob pomocí AI je „citlivé” zpracování. Toto označení vyvolává další oznamovací povinnosti.
Případy týkající se zdravotních záznamů: Komise má pravomoc nad zdravotními záznamy, na něž se nevztahuje HIPAA. Spotřebitelské aplikace, nositelná elektronika a některé telehealth firmy sem patří. Několik případů z roku 2024 se týkalo firem, které tyto záznamy sdílely bez řádného souhlasu.
25 státních zákonů: Americká mozaika
Žádný jednotný federální zákon nepokrývá všechny obyvatele USA. Naopak 25 státních zákonů dohromady pokrývá většinu země.
California CPRA (od roku 2023): Nejrozsáhlejší státní zákon USA. Pokrývá 40 milionů obyvatel státu. Vztahuje se na firmy s obratem nad 25 milionů dolarů nebo takové, které uchovávají záznamy o 100 000 nebo více spotřebitelích státu. Založil Agenturu na ochranu soukromí Kalifornie (CPPA) jako stálý regulační orgán.
Virginie, Colorado, Connecticut: Další tři zákony s podobnými právy. Dohromady pokrývají přes 20 milionů obyvatel.
Texas a Florida: Dva velké státy mají nyní také aktivní zákony o ochraně soukromí.
Washington My Health MY Data Act: Nejpřísnější americký zákon o zdravotních záznamech mimo Kalifornii. Rozšiřuje práva nad rámec HIPAA na spotřebitelské zdravotní aplikace.
Pro firmy ve všech 50 státech sdílí 25 zákonů společný soubor povinností. Práva spotřebitelů, oznámení o ochraně soukromí, smlouvy s dodavateli a omezení záznamů jsou povinné všude. Přesná pravidla se liší stát od státu.
Přehled toho, jak se tyto povinnosti kumulují, naleznete v průvodci právním souladem.
Co opatření z roku 2024 znamenají pro technické týmy
Případy z roku 2024 poskytují jasné technické pokyny.
Trénovací záznamy: Firmy musí sledovat, které osobní záznamy trénovaly každý model AI. Musí prokázat, že souhlas pokrýval toto využití k trénování. Musí také potvrdit, jaké časové limity platily.
Omezení účelu: Profily AI nelze využívat nad rámec toho, co bylo uživatelům sděleno při registraci. Použití analýzy chování pro personální rozhodnutí, kdy byla původně oznámena pouze reklama, je porušením Section 5.
Povinnosti vůči dodavatelům: Agentura považuje poskytovatele SaaS za riziko nasazující firmy. Pokud nástroj zpracovává záznamy uživatelů, musí to být uvedeno v oznámení o ochraně soukromí. Chování dodavatele musí odpovídat deklarovaným účelům.
Zero-knowledge systémy: Většina případů týkajících se AI dodavatelů cílí na nezveřejněné využití záznamů. Zero-knowledge systém uchovává pouze šifrované soubory. Dodavatel nemá klíč k jejich otevření. Nemůže záznamy využívat způsoby, které nebyly oznámeny. Tato technická skutečnost je v souladu s tím, na co agentura cílí.
Přečtěte si, jak anonym.legal využívá zero-knowledge systémy na stránce /security-compliance.
Navrhované pravidlo pro komerční dohled
Navrhované pravidlo komise o komerčním sledování je od roku 2025 v projednávání. Pokud bude schváleno, vytvoří explicitní federální pravidla.
- Omezení záznamů pro využití AI.
- Práva na odhlášení automatizovaného profilování.
- Zákazy využívání shromážděných záznamů pro nové účely.
- Bezpečnostní pravidla pro uložené osobní záznamy.
Toto pravidlo by zavedlo povinnosti podobné GDPR pro každou firmu obsluhující americké spotřebitele. Zvedlo by laťku amerického práva na ochranu soukromí plošně.
O omezeních záznamů si přečtěte na stránce /docs/faq.
Zdroje
- FTC: Federal Trade Commission. ftc.gov.
- FTC: Opatření v oblasti AI 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Navrhovaná pravidla pro komerční dohled. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.