FTC Pykälä 5: Tekoälytietosuoja Yhdysvalloissa
Päivitetty vuodelle 2026.
Federal Trade Commission (FTC) valvoo Yhdysvaltojen tietosuojalakia FTC-lain pykälän 5 kautta. Kyseinen pykälä kieltää "epärehelliset tai harhaanjohtavat käytännöt". Yhdysvalloissa ei ole yhtä liittovaltion tietosuojalakia, kuten GDPR. Silti virasto saavutti uuden ennätyksen vuonna 2024.
2024: Ennätyksellinen Täytäntöönpanovuosi
Komissio antoi 19 tekoälyyn liittyvää toimea vuonna 2024. Se ylittää kolmen edellisen vuoden yhteismäärän. Lisäksi 25 aktiivista Yhdysvaltojen osavaltion tietosuojalakia. Yhdessä ne luovat monimutkaisen taakan kaikille Yhdysvalloissa toimiville yrityksille.
Vuoden 2024 keskeisiä tapauksia:
Amazon Alexa (25 miljoonaa dollaria, 2023/käynnissä): Amazon maksoi 25 miljoonaa dollaria COPPA-rikkomuksista. Se oli säilyttänyt lasten äänitiedostoja ilmoitettujen aikarajojen yli. Virasto totesi Amazonin käyttäneen kyseisiä tiedostoja tekoälyn kouluttamiseen ilman asianmukaista suostumusta. Amazon velvoitettiin poistamaan säilytetyt tiedostot.
Meta-kielto teini-ikäisten mainostamisessa: Liittovaltion sääntelyviranomaiset kielsivät Metaa käyttämästä alle 18-vuotiaiden käyttäjien tietoja mainontaan. Tämä perustui olemassa olevaan suostumusmääräykseen.
Tekoäly-välittäjätoimet: Virasto otti toimia useita välittäjiä vastaan. Nämä välittäjät myivät tekoälyllä rakennettuja henkilöprofiileja ilman asianmukaista ilmoitusta tai suostumusta. Tapaukset asettivat keskeisen säännön: henkilötietojen tekoälyprofilointi on "arkaluonteista" käsittelyä. Tämä luokittelu laukaisee lisäilmoitusvelvollisuuksia.
Terveystietueisiin liittyvät tapaukset: Komissiolla on toimivalta HIPAA:n ulkopuolisiin terveystietueisiin. Kuluttajasovellukset, puettava teknologia ja jotkin etäterveydenhuoltoyritykset kuuluvat tähän. Useat vuoden 2024 tapaukset kohdistuivat yrityksiin, jotka jakoivat näitä tietueita ilman asianmukaista suostumusta.
25 Osavaltion Lakia: Yhdysvaltojen Pirstaleinen Järjestelmä
Yksi liittovaltion laki ei kata kaikkia Yhdysvaltojen asukkaita. Sen sijaan 25 osavaltion lakia kattaa yhdessä suurimman osan maasta.
Kalifornian CPRA (vuodesta 2023): Laajin Yhdysvaltojen osavaltion laki. Se kattaa 40 miljoonaa osavaltion asukasta. Se koskee yrityksiä, joiden liikevaihto ylittää 25 miljoonaa dollaria tai jotka hallitsevat yli 100 000 osavaltion kuluttajan tietueita. Se perusti California Privacy Protection Agencyn (CPPA) päätoimiseksi valvojaksi.
Virginia, Colorado, Connecticut: Kolme lisälakia, joissa on samanlaisia oikeuksia. Ne kattavat yhteensä yli 20 miljoonaa asukasta.
Texas ja Florida: Kahdella suurella osavaltiolla on nyt myös aktiiviset tietosuojalait.
Washingtonin My Health MY Data -laki: Vahvin Yhdysvaltojen terveydenhuollon tietuelaki Kalifornian ulkopuolella. Se laajentaa oikeuksia HIPAA:n ulkopuolelle kuluttajien terveydenhuoltosovelluksiin.
Kaikissa 50 osavaltiossa toimiville yrityksille 25 lakia jakavat yhteisen joukon velvollisuuksia. Kuluttajan oikeudet, tietosuojailmoitukset, toimittajasopimukset ja tietueiden rajoitukset ovat kaikki pakollisia. Tarkat säännöt vaihtelevat osavaltion mukaan.
Katso oikeudellinen vaatimustenmukaisuusopas, miten nämä velvollisuudet kasaantuvat.
Mitä Vuoden 2024 Toimet Tarkoittavat Teknisille Tiimeille
Vuoden 2024 tapaukset antavat selkeää teknistä ohjausta.
Koulutustietueet: Yritysten on seurattava, mitkä henkilötietueet kouluttivat kutakin tekoälymallia. Niiden on osoitettava, että suostumus kattoi kyseisen käyttötarkoituksen. Niiden on myös vahvistettava, mitkä aikarajoitukset olivat voimassa.
Käyttötarkoitusrajoitukset: Tekoälyprofiileja ei voi käyttää muuhun kuin mitä käyttäjille rekisteröitymishetkellä kerrottiin. Käyttäytymisanalyysin käyttäminen rekrytointiin, kun on ilmoitettu vain mainonnasta, on pykälän 5 rikkomus.
Toimittajavelvollisuudet: Virasto pitää SaaS-toimittajia käyttöönottavan yrityksen riskeinä. Jos työkalu käsittelee käyttäjätietueita, se on mainittava tietosuojailmoituksessa. Toimittajan toiminnan on vastattava ilmoitettuja tarkoituksia.
Nollatietoa-järjestelmät: Useimmat tekoälytoimittajatapaukset kohdistuvat ilmoittamattomaan tietueiden käyttöön. Nollatietoa-järjestelmä säilyttää vain salattuja tiedostoja. Toimittajalla ei ole avainta niiden avaamiseen. Se ei voi käyttää tietueita tavoin, joita ei ole ilmoitettu. Tämä tekninen tosiasia vastaa sitä, mitä virasto pyrkii tavoittamaan.
Lue, miten anonym.legal käyttää nollatietoa-järjestelmiä osoitteessa /security-compliance.
Ehdotettu Kaupallinen Valvontasääntö
Komission ehdotettu sääntö kaupallisesta seurannasta on vireillä vuodesta 2025. Jos se hyväksytään, se luo nimenomaisia liittovaltion sääntöjä.
- Tietueiden rajoitukset tekoälyn käyttöä varten.
- Oikeus kieltäytyä automaattisesta profiloinnista.
- Kielto käyttää kerättyjä tietueita uusiin tarkoituksiin.
- Tietoturvaa koskevat säännöt tallennettuja henkilötietueita varten.
Tämä sääntö lisäisi GDPR:n kaltaisia velvollisuuksia kaikille Yhdysvaltojen kuluttajia palveleville yrityksille. Se nostaisi Yhdysvaltojen tietosuojalain minimivaatimuksia kokonaisuudessaan.
Lue tietueiden rajoituksista osoitteessa /docs/faq.
Lähteet
- FTC: Federal Trade Commission. ftc.gov.
- FTC: Tekoälyn täytäntöönpanotoimet 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Ehdotetut kaupallisen valvonnan säännöt. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.