FTC Section 5 : application des règles IA aux États-Unis
Mis à jour pour 2026.
La Federal Trade Commission (FTC) applique le droit fédéral américain à la vie privée via la Section 5 du FTC Act. Cette section interdit les « pratiques déloyales ou trompeuses ». Il n'existe pas aux États-Unis de loi fédérale unique sur la vie privée comparable au RGPD. Pourtant, l'agence a battu un nouveau record d'application en 2024.
2024 : une année record
La commission a ouvert 19 procédures liées à l'IA en 2024. C'est plus que les trois années précédentes réunies. À cela s'ajoutent 25 lois étatiques actives sur la vie privée. Ensemble, elles créent une charge de conformité comparable au RGPD en complexité.
Affaires clés de 2024 :
Amazon Alexa (25 M USD, 2023/en cours) : Amazon a payé 25 M USD pour des violations du COPPA. L'entreprise avait conservé des fichiers vocaux d'enfants au-delà des délais déclarés. L'agence a établi qu'Amazon utilisait ces fichiers pour entraîner des modèles IA sans consentement adéquat. Amazon a été contraint de supprimer les fichiers conservés.
Interdiction Meta sur la publicité ciblant les mineurs : Les régulateurs fédéraux ont interdit à Meta d'utiliser les données des utilisateurs de moins de 18 ans à des fins publicitaires. Cette décision s'appuyait sur une ordonnance de consentement existante.
Procédures contre les courtiers en données IA : L'agence a agi contre plusieurs courtiers. Ces derniers vendaient des profils personnels générés par IA sans divulgation ni consentement adéquats. Les affaires ont établi une règle clé : le profilage IA des données personnelles est un traitement « sensible ». Cette qualification déclenche des obligations de divulgation renforcées.
Affaires sur les données de santé : La commission a compétence sur les données de santé hors champ d'application de la HIPAA. Les applications grand public, les objets connectés et certaines plateformes de télémédecine en relèvent. Plusieurs affaires de 2024 ont visé des entreprises partageant ces données sans autorisation.
25 lois étatiques : le patchwork américain
Aucune loi fédérale unique ne protège tous les résidents américains. À la place, 25 lois étatiques couvrent ensemble la majeure partie de la population.
California CPRA (depuis 2023) : La loi étatique américaine la plus complète. Elle protège 40 millions de Californiens. Elle s'applique aux entreprises avec un chiffre d'affaires supérieur à 25 M USD ou traitant des données de 100 000+ consommateurs californiens. Elle a créé la California Privacy Protection Agency (CPPA) comme autorité de contrôle dédiée.
Virginia VCDPA, Colorado CPA, Connecticut CTDPA : Trois lois supplémentaires avec des droits similaires. Elles couvrent ensemble plusieurs millions de résidents.
Texas TDPSA, Florida FDBR : Deux grands États dotés de lois sur la vie privée actives.
Washington My Health MY Data Act : La loi américaine sur les données de santé la plus stricte hors Californie. Elle étend la protection au-delà de la HIPAA aux applications de santé grand public.
Pour les entreprises actives dans tous les États, les 25 lois partagent un socle commun d'obligations. Droits des consommateurs, avis de confidentialité, contrats avec les sous-traitants et minimisation des données sont tous requis. Les règles précises varient selon l'État.
Consultez le guide de conformité juridique pour voir comment ces obligations s'articulent.
Ce que les affaires de 2024 signifient techniquement
Les affaires de 2024 fournissent des orientations techniques claires.
Traçabilité des données d'entraînement : Les entreprises doivent documenter quelles données personnelles ont entraîné chaque modèle IA. Elles doivent démontrer que le consentement couvrait cet usage. Elles doivent aussi confirmer les délais de conservation appliqués.
Limitation des finalités : Les profils générés par IA ne peuvent pas être utilisés au-delà de ce qui a été communiqué lors de la collecte. Utiliser l'analyse comportementale pour des décisions d'embauche quand seule la publicité était déclarée constitue une violation de la Section 5.
Obligations envers les prestataires : L'agence considère les éditeurs SaaS comme une responsabilité de l'entreprise utilisatrice. Si un outil traite des données d'utilisateurs, cela doit figurer dans les avis de confidentialité. Le comportement du prestataire doit correspondre aux finalités déclarées.
Systèmes à connaissance nulle : Au cœur des affaires de prestataires IA se trouve l'utilisation non divulguée des données. Un système à connaissance nulle ne détient que des fichiers chiffrés. Le prestataire ne possède pas la clé pour les déchiffrer. Il ne peut pas utiliser les données de manière non déclarée. Ce fait technique correspond exactement à ce que les régulateurs fédéraux ciblent.
Découvrez comment anonym.legal utilise des systèmes à connaissance nulle sur /security-compliance.
Règlement proposé sur la surveillance commerciale
La règle proposée par la commission sur le suivi commercial est en attente depuis 2025. Si elle est adoptée, elle créera des règles fédérales explicites.
- Minimisation des données pour les usages IA.
- Droit d'opposition au profilage automatisé.
- Interdiction d'utiliser les données collectées à de nouvelles fins.
- Règles de sécurité pour les données personnelles stockées.
Cette règle introduirait des obligations de minimisation semblables au RGPD pour toute entreprise servant des consommateurs américains. Elle relèverait significativement le niveau de conformité à l'échelle du marché américain.
En savoir plus sur la minimisation des données sur /docs/faq.
Sources
- FTC : Federal Trade Commission. ftc.gov.
- FTC : Actions d'application liées à l'IA en 2024. ftc.gov/news-events/news/press-releases/.
- CPPA : California Privacy Protection Agency. cppa.ca.gov.
- FTC : Règles proposées sur la surveillance commerciale. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.