FTC Sección 5: aplicación de la IA en privacidad en EE. UU.
Actualizado para 2026.
La Comisión Federal de Comercio (FTC) aplica el derecho federal de privacidad de EE. UU. a través de la Sección 5 del FTC Act. Esa sección prohíbe las "prácticas injustas o engañosas." No existe en EE. UU. una ley federal de privacidad única comparable al RGPD. Sin embargo, la agencia batió un nuevo récord de aplicación en 2024.
2024: Un año de aplicación sin precedentes
La comisión abrió 19 acciones relacionadas con IA en 2024. Eso supera los tres años anteriores juntos. A esto se suman 25 leyes estatales de privacidad activas. Juntas, crean una carga de cumplimiento comparable al RGPD en complejidad.
Casos clave de 2024:
Amazon Alexa (25 M USD, 2023/en curso): Amazon pagó 25 M USD por infracciones del COPPA. La empresa había conservado archivos de voz de niños más allá de los plazos declarados. La agencia determinó que Amazon usó esos archivos para entrenar IA sin el consentimiento adecuado. Amazon fue obligado a eliminar los archivos retenidos.
Prohibición de Meta sobre publicidad a menores: Los reguladores federales prohibieron a Meta usar registros de usuarios menores de 18 años para publicidad. Esto se basó en una orden de consentimiento existente.
Acciones contra intermediarios de datos IA: La agencia actuó contra varios intermediarios. Estos vendían perfiles personales generados por IA sin la divulgación o el consentimiento adecuados. Los casos establecieron una regla clave: el perfil IA de registros personales es tratamiento "sensible." Esa categoría activa obligaciones de divulgación reforzadas.
Casos de registros de salud: La comisión tiene competencia sobre datos de salud no cubiertos por la HIPAA. Las aplicaciones de consumo, los wearables y ciertas plataformas de telemedicina caen aquí. Varios casos de 2024 afectaron a empresas que compartieron esos registros sin autorización.
25 leyes estatales: el mosaico de privacidad de EE. UU.
Ninguna ley federal única protege a todos los residentes de EE. UU. En cambio, 25 leyes estatales cubren conjuntamente a la mayor parte de la población.
California CPRA (desde 2023): La ley estatal más completa de EE. UU. Protege a 40 millones de californianos. Se aplica a empresas con más de 25 M USD de ingresos o que procesen registros de 100 000+ consumidores de California. Creó la California Privacy Protection Agency (CPPA) como organismo regulador dedicado.
Virginia VCDPA, Colorado CPA, Connecticut CTDPA: Tres leyes adicionales con derechos similares. Entre ellas cubren a varios millones de residentes.
Texas TDPSA, Florida FDBR: Dos grandes estados con leyes de privacidad activas.
Washington My Health MY Data Act: La ley de registros de salud más estricta de EE. UU. fuera de California. Extiende los derechos más allá de la HIPAA a las aplicaciones de salud de consumo.
Para empresas que operan en todo el país, las 25 leyes comparten un conjunto de requisitos básicos. Derechos del consumidor, avisos de privacidad, contratos con proveedores y minimización de registros son necesarios. Las reglas específicas varían por estado.
Consulte la guía de cumplimiento legal para ver cómo se articulan estas obligaciones.
Lo que las acciones de 2024 significan técnicamente
Las acciones de 2024 ofrecen orientación técnica clara.
Transparencia en los datos de entrenamiento: Las empresas deben documentar qué registros personales entrenaron cada modelo IA. Deben demostrar que el consentimiento cubría ese uso. También deben confirmar los plazos de retención aplicados.
Limitación de finalidad: Los perfiles generados por IA no pueden usarse más allá de lo comunicado en la recogida. Usar análisis de comportamiento para la contratación cuando solo se declaró publicidad es una infracción de la Sección 5.
Obligaciones con los proveedores: La agencia trata a los proveedores SaaS como responsabilidad de la empresa que los despliega. Si una herramienta procesa registros de usuarios, debe figurar en los avisos de privacidad. La conducta del proveedor debe coincidir con las finalidades declaradas.
Sistemas de conocimiento cero: El núcleo de los casos de proveedores IA es el uso no divulgado de registros. Un sistema de conocimiento cero solo contiene archivos cifrados. El proveedor no tiene la clave para descifrarlos. No puede usar los registros de formas no declaradas. Ese límite técnico se alinea directamente con lo que los reguladores federales persiguen.
Descubra cómo anonym.legal usa sistemas de conocimiento cero en /security-compliance.
Norma propuesta sobre vigilancia comercial
La norma propuesta por la comisión sobre el seguimiento comercial está pendiente de aprobación desde 2025. Si se aprueba, creará reglas federales explícitas.
- Minimización de registros para uso de IA.
- Derecho de oposición a la elaboración automatizada de perfiles.
- Prohibición de usar registros recopilados para nuevas finalidades.
- Normas de seguridad para los registros personales almacenados.
Esta norma establecería obligaciones de minimización similares al RGPD para cualquier empresa que atienda a consumidores de EE. UU. Elevaría significativamente el nivel de cumplimiento en todo el mercado estadounidense.
Más información sobre minimización de registros en /docs/faq.
Fuentes
- FTC: Federal Trade Commission. ftc.gov.
- FTC: Acciones de aplicación relacionadas con IA en 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Normas propuestas sobre vigilancia comercial. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.