FTC Afsnit 5: AI-Privacy i USA
Opdateret for 2026.
Federal Trade Commission (FTC) håndhæver amerikansk privatlivsret via Afsnit 5 i FTC Act. Det afsnit forbyder "urimelige eller vildledende praksisser." Ingen enkelt føderal privatlivslov som GDPR eksisterer i USA. Alligevel satte agenturet rekord i 2024.
2024: Et Rekordår for Håndhævelse
Kommissionen udstedte 19 AI-relaterede aktioner i 2024. Det slår de foregående tre år tilsammen. Læg dertil 25 aktive statslige privatlivslove. Tilsammen skaber de en kompleks byrde for enhver virksomhed i USA.
Vigtige sager fra 2024:
Amazon Alexa (25 mio. USD, 2023/igangværende): Amazon betalte 25 mio. USD for COPPA-overtrædelser. Selskabet havde opbevaret stemmefiler fra børn ud over de fastsatte tidsgrænser. Agenturet fastslog, at Amazon brugte disse filer til AI-træning uden korrekt samtykke. Amazon fik ordre til at slette de opbevarede filer.
Meta-forbud mod brug af teenageannoncer: Føderale regulatorer forbød Meta at bruge journaler fra brugere under 18 til reklamer. Dette byggede videre på en eksisterende samtykkekendelse.
AI-datamægler-sager: Agenturet greb ind over for flere mæglere. Disse mæglere solgte AI-opbyggede personlige profiler uden korrekt varsel eller samtykke. Sagerne fastsatte en vigtig regel: AI-profilering af personlige journaler er "følsom" behandling. Denne betegnelse udløser ekstra varslingspligter.
Helbredsjournal-sager: Kommissionen har beføjelse over helbredsjournaler, der ikke er dækket af HIPAA. Forbruger-apps, wearables og visse telehealth-firmaer falder herunder. Flere 2024-sager ramte firmaer, der delte disse journaler uden korrekt samtykke.
25 Statslove: Den Amerikanske Lappetæppemodel
Ingen enkelt føderal lov dækker alle amerikanske borgere. I stedet dækker 25 statslove tilsammen størstedelen af landet.
California CPRA (fra 2023): Den bredeste amerikanske statslov. Den dækker 40 millioner statslige borgere. Den gælder for firmaer med over 25 mio. USD i omsætning eller som besidder journaler om 100.000+ statslige forbrugere. Den oprettede California Privacy Protection Agency (CPPA) som fuldtidsregulator.
Virginia, Colorado, Connecticut: Tre love til med lignende rettigheder. De dækker over 20 millioner borgere tilsammen.
Texas og Florida: To store stater har nu også aktive privatlivslove.
Washington My Health MY Data Act: Den stærkeste amerikanske helbredsjournal-lov uden for Californien. Den udvider rettigheder ud over HIPAA til forbruger-sundhedsapps.
For firmaer i alle 50 stater deler de 25 love et kernesæt af pligter. Forbrugerrettigheder, privatlivsmeddelelser, leverandørkontrakter og journalgrænser er alle påkrævede. De præcise regler varierer fra stat til stat.
Se juridisk compliance-guide for, hvordan disse pligter hænger sammen.
Hvad 2024-Sagerne Betyder for Teknologiteams
2024-sagerne giver klar teknisk vejledning.
Træningsjournaler: Firmaer skal spore, hvilke personlige journaler der trænede hver AI-model. De skal vise, at samtykket dækkede den pågældende træningsbrug. De skal også bekræfte, hvilke tidsgrænser der gjaldt.
Formålsgrænser: AI-profiler må ikke bruges ud over, hvad der blev oplyst til brugerne ved tilmelding. Brug af adfærdsanalyse til ansættelse, når kun reklamer var oplyst, er en overtrædelse af Afsnit 5.
Leverandørpligter: Agenturet behandler SaaS-leverandørers risiko som den deployerende virksomheds risiko. Hvis et værktøj behandler brugerjournaler, skal det fremgå af privatlivsmeddelelsen. Leverandørens adfærd skal svare til de angivne formål.
Zero-knowledge-systemer: De fleste AI-leverandørsager er rettet mod ikke-oplyst brug af journaler. Et zero-knowledge-system opbevarer kun krypterede filer. Leverandøren har ingen nøgle til at åbne dem. Det kan ikke bruge journaler på måder, der ikke var oplyst. Dette tekniske faktum stemmer overens med, hvad agenturet efterforsker.
Lær, hvordan anonym.legal bruger zero-knowledge-systemer på /security-compliance.
Foreslået Kommerciel Overvågningsregel
Kommissionens foreslåede regel om kommerciel sporing er under behandling pr. 2025. Hvis den vedtages, vil den skabe eksplicitte føderale regler.
- Journalgrænser for AI-brug.
- Fravalgsrettigheder for automatiseret profilering.
- Forbud mod brug af indsamlede journaler til nye formål.
- Sikkerhedsregler for opbevarede personlige journaler.
Denne regel ville tilføje GDPR-lignende pligter for ethvert firma, der betjener amerikanske forbrugere. Den ville hæve niveauet for amerikansk privatlivslovgivning generelt.
Læs om journalgrænser på /docs/faq.
Kilder
- FTC: Federal Trade Commission. ftc.gov.
- FTC: AI-håndhævelsessager 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Foreslåede regler for kommerciel overvågning. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.