FTC Sekcija 5: Privatnost AI-a u SAD-u
Azurirano za 2026. godinu.
Federalna komisija za trgovinu (FTC) provodi americko pravo o privatnosti putem Sekcije 5 Zakona o FTC-u. Ta sekcija zabranjuje "nepostene ili obmanjujuce prakse". U SAD-u ne postoji jedinstven savezni zakon o privatnosti poput GDPR-a. Ipak, agencija je postavila novi rekord u 2024. godini.
2024.: Rekordna godina provedbe
Komisija je u 2024. godini pokrenula 19 mjera vezanih uz AI. To je vise od ukupnog broja u prethodne tri godine zajedno. Tome treba dodati 25 aktivnih zakona o privatnosti americkih saveznih drzava. Zajedno, stvaraju slozeno opterecenje za svaku tvrtku u SAD-u.
Kljucni slucajevi iz 2024. godine:
Amazon Alexa (25 milijuna dolara, 2023./u tijeku): Amazon je platio 25 milijuna dolara zbog krsenja COPPA-e. Cuvao je glasovne datoteke djece dulje od navedenih vremenskih ogranicenja. Agencija je navela da je Amazon koristio te datoteke za treniranje AI-a bez odgovarajuceg pristanka. Amazon je dobio nalog za brisanje zadrzanih datoteka.
Zabrana koristenja podataka maloljetnika za oglase tvrtki Meta: Savezni regulatori zabranili su Meti koristenje zapisa korisnika mlajdih od 18 godina za oglasavanje. To je izgradjeno na temelju postojeceg naloga za suglasnost.
Mjere protiv posrednika AI podataka: Agencija je poduzela mjere protiv nekoliko posrednika. Ti su posrednici prodavali osobne profile izgradjene pomoci AI-a bez odgovarajucih obavijesti ili pristanka. Slucajevi su postavili kljucno pravilo: AI profiliranje osobnih podataka je "osjetljiva" obrada. Ta oznaka pokrenuje dodatne obveze obavjestivanja.
Slucajevi zdravstvenih podataka: Komisija ima ovlasti nad zdravstvenim zapisima koji nisu pokriveni HIPAA-om. Tu spadaju potrosacke aplikacije, nosivi uredjaji i neke telehealth tvrtke. Nekoliko slucajeva iz 2024. pogodilo je tvrtke koje su dijelile te zapise bez odgovarajuceg pristanka.
25 drzavnih zakona: Americka zakonska rascjepanost
Nijedan jedinstven savezni zakon ne pokriva sve americke gradane. Umjesto toga, 25 drzavnih zakona zajedno pokriva vecinu stanovnistva.
California CPRA (od 2023.): Najsiri americki drzavni zakon. Pokriva 40 milijuna stanovnika drzave. Primjenjuje se na tvrtke s prihodom vecim od 25 milijuna dolara ili koje posjeduju zapise o 100 000+ potrosaca iz te drzave. Uspostavio je Californijsku agenciju za zastitu privatnosti (CPPA) kao regulatora s punim radnim vremenom.
Virginia, Colorado, Connecticut: Tri su zakona sa slicnim pravima. Zajedno pokrivaju vise od 20 milijuna stanovnika.
Texas i Florida: Dvije velike americke drzave sada takodjer imaju aktivne zakone o privatnosti.
Washington My Health MY Data Act: Najjaci americki zakon o zdravstvenim podacima izvan Kalifornije. Prosiruje prava izvan HIPAA-e na potrosacke zdravstvene aplikacije.
Za tvrtke u svih 50 drzava, tih 25 zakona dijeli zajednicki skup obveza. Prava potrosaca, obavijesti o privatnosti, ugovori s dobavljacima i ogranicenja zapisa — sve je obavezno. Tocna pravila variraju po drzavi.
Pogledajte pravni vodic za uskladjenost za pregled kako se te obveze nadogradnjuju.
Sto slucajevi iz 2024. znace za tehnicke timove
Slucajevi iz 2024. daju jasne tehnicke smjernice.
Zapisi za treniranje: Tvrtke moraju pratiti koji su osobni podaci trenirali koji AI model. Moraju pokazati da je pristanak pokrivao tu upotrebu za treniranje. Moraju takodjer potvrditi koja su se vremenska ogranicenja primjenjivala.
Ogranicenja svrhe: AI profili ne mogu se koristiti za vise od onoga sto je receno korisnicima pri registraciji. Koristenje analize ponasanja za zaposljavnje kada su otkriveni samo oglasi krsi Sekciju 5.
Obveze prema dobavljacima: Agencija tretira SaaS dobavljace kao rizik tvrtke koja ih primjenjuje. Ako alat obradjuje korisnicke podatke, to mora biti u obavijesti o privatnosti. Ponasanje dobavljaca mora odgovarati navedenim svrhama.
Sustavi nultog znanja: Vecina AI slucajeva dobavljaca cilja neotkrivene upotrebe zapisa. Sustav nultog znanja cuva samo kriptirane datoteke. Dobavljac nema kljuc za njihovo otvaranje. Ne moze koristiti zapise na nacine koji nisu bili otkriveni. Ta tehnicka cinjenica uskladjuje se s onim sto agencija cilja.
Saznajte kako anonym.legal koristi sustave nultog znanja na /security-compliance.
Predlozeno pravilo o komercijalnom nadzoru
Predlozeno pravilo komisije o komercijalnom pracenju jos je u tijeku od 2025. Ako bude usvojeno, stvorilo bi eksplicitna savezna pravila.
- Ogranicenja zapisa za upotrebu AI-a.
- Prava na odjavu automatiziranog profiliranja.
- Zabrana koristenja prikupljenih zapisa u nove svrhe.
- Sigurnosna pravila za pohranjene osobne podatke.
Ovo pravilo dodalo bi GDPR-slicne obveze za svaku tvrtku koja posluje s americkim potrosacima. Podiglo bi minimalni standard americkog prava o privatnosti u cijelosti.
Procitajte o ogranicenjima podataka na /docs/faq.
Izvori
- FTC: Federalna komisija za trgovinu. ftc.gov.
- FTC: Mjere provedbe AI-a 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: Kalifornijska agencija za zastitu privatnosti. cppa.ca.gov.
- FTC: Predlozena pravila o komercijalnom nadzoru. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.