FTC סעיף 5: פרטיות AI בארה"ב
עודכן לשנת 2026.
הנציבות הפדרלית לסחר (FTC) אוכפת את חוק הפרטיות האמריקאי באמצעות סעיף 5 לחוק ה-FTC. סעיף זה אוסר על "פרקטיקות בלתי הוגנות או מטעות." אין חוק פדרלי יחיד לפרטיות בארה"ב בדומה ל-GDPR. אולם הסוכנות שברה שיא חדש ב-2024.
2024: שנת אכיפה שיא
הנציבות הוציאה 19 פעולות הקשורות ל-AI ב-2024. זה עולה על שלוש השנים הקודמות גם יחד. הוסיפו לכך 25 חוקי פרטיות מדינתיים פעילים בארה"ב. יחד, הם יוצרים נטל מורכב לכל חברה הפועלת בארה"ב.
מקרי מפתח ב-2024:
Amazon Alexa ($25 מיליון, 2023/פעיל): Amazon שילמה $25 מיליון בגין הפרות COPPA. החברה שמרה קבצי קול של ילדים מעבר למגבלות הזמן המוצהרות. הסוכנות טענה כי Amazon השתמשה בקבצים אלה לאימון AI ללא הסכמה נאותה. הוצא צו לאמזון למחוק את הקבצים השמורים.
איסור Meta על שימוש בפרסום לבני נוער: רגולטורים פדרליים אסרו על Meta להשתמש ברשומות משתמשים מתחת לגיל 18 לצורכי פרסום. זה נוסף לצו הסכמה קיים.
פעולות נגד מתווכי נתוני AI: הסוכנות פעלה נגד מספר מתווכים. אותם מתווכים מכרו פרופילים אישיים שנבנו על ידי AI ללא הודעה או הסכמה נאותה. המקרים קבעו כלל מפתח: פרופיילינג AI של רשומות אישיות הוא עיבוד "רגיש". תווית זו מפעילה חובות הודעה נוספות.
מקרי רשומות רפואיות: לנציבות יש סמכות על רשומות רפואיות שאינן מכוסות על ידי HIPAA. אפליקציות צרכניות, ציוד לביש וחלק מחברות טלה-בריאות נמצאים כאן. מספר מקרים ב-2024 פגעו בחברות שחלקו רשומות אלה ללא הסכמה נאותה.
25 חוקי מדינה: הטלאים האמריקאיים
אין חוק פדרלי יחיד המכסה את כל תושבי ארה"ב. במקום זאת, 25 חוקי מדינה יחד מכסים את רוב המדינה.
California CPRA (מ-2023): החוק המדינתי הרחב ביותר בארה"ב. הוא מכסה 40 מיליון תושבי המדינה. הוא חל על חברות עם הכנסה מעל $25 מיליון או המחזיקות ברשומות על 100,000+ צרכנים מהמדינה. הוא הקים את סוכנות הגנת הפרטיות של קליפורניה (CPPA) כרגולטור בזמן מלא.
וירג'יניה, קולורדו, קונטיקט: שלושה חוקים נוספים עם זכויות דומות. הם מכסים מעל 20 מיליון תושבים יחד.
טקסס ופלורידה: שתי מדינות גדולות שיש להן כעת גם חוקי פרטיות פעילים.
חוק "הבריאות שלי - הנתונים שלי" של וושינגטון: החוק החזק ביותר בארה"ב לרשומות רפואיות מחוץ לקליפורניה. הוא מרחיב את הזכויות מעבר ל-HIPAA לאפליקציות בריאות צרכניות.
עבור חברות בכל 50 המדינות, 25 החוקים חולקים מערכת ליבה של חובות. זכויות צרכנים, הודעות פרטיות, חוזי ספקים ומגבלות רשומות — כולם נדרשים. הכללים המדויקים משתנים לפי מדינה.
ראו את מדריך ציות חוקי לגבי אופן ערימת חובות אלה.
משמעות פעולות 2024 לצוותי טכנולוגיה
מקרי 2024 מספקים הנחיה טכנית ברורה.
רשומות אימון: חברות חייבות לעקוב אחר אילו רשומות אישיות אימנו כל מודל AI. הן חייבות להראות שההסכמה כיסתה את השימוש באימון. הן גם חייבות לאשר אילו מגבלות זמן חלו.
מגבלות מטרה: פרופילי AI אינם יכולים לשמש מעבר למה שנמסר למשתמשים בהרשמה. שימוש בניתוח התנהגות לגיוס כשרק פרסומות נחשפו הוא הפרת סעיף 5.
חובות ספקים: הסוכנות מתייחסת לספקי SaaS כסיכון של החברה הפורסת. אם כלי מעבד רשומות משתמשים, זה חייב להופיע בהודעת הפרטיות. התנהגות הספק חייבת להתאים למטרות המוצהרות.
מערכות אפס-ידע: רוב מקרי ספקי AI מכוונות לשימוש לא מגולה ברשומות. מערכת אפס-ידע מחזיקה רק קבצים מוצפנים. לספק אין מפתח לפתוח אותם. היא אינה יכולה להשתמש ברשומות בדרכים שלא נחשפו. עובדה טכנית זו מתואמת עם מה שהסוכנות מכוונת אליו.
למדו כיצד anonym.legal משתמשת במערכות אפס-ידע ב-/security-compliance.
כלל המעקב המסחרי המוצע
הכלל המוצע של הנציבות על מעקב מסחרי ממתין נכון ל-2025. אם יאושר, הוא ייצור כללים פדרליים מפורשים.
- מגבלות רשומות לשימוש AI.
- זכויות ביטול הסכמה לפרופיילינג אוטומטי.
- איסורים על שימוש ברשומות שנאספו למטרות חדשות.
- כללי אבטחה לרשומות אישיות מאוחסנות.
כלל זה יוסיף חובות דמויות GDPR לכל חברה המשרתת צרכנים אמריקאים. הוא יעלה את הרף לחוק הפרטיות האמריקאי בכלל.
קראו על מגבלות רשומות ב-/docs/faq.
מקורות
- FTC: נציבות הסחר הפדרלית. ftc.gov.
- FTC: פעולות אכיפה AI 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: סוכנות הגנת הפרטיות של קליפורניה. cppa.ca.gov.
- FTC: כללי מעקב מסחרי מוצעים. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.