FTC 5. szakasz: Mesterséges intelligencia és adatvédelem az USA-ban
Frissítve 2026-ra.
A Szövetségi Kereskedelmi Bizottság (FTC) az FTC-törvény 5. szakasza alapján érvényesíti az amerikai adatvédelmi jogot. Ez a szakasz tiltja a „tisztességtelen vagy megtévesztő gyakorlatokat”. Az USA-ban nincs egységes szövetségi adatvédelmi törvény, mint a GDPR. Mégis a szervezet 2024-ben új rekordot állított fel.
2024: Rekordév a végrehajtásban
A bizottság 2024-ben 19 mesterséges intelligenciával kapcsolatos intézkedést hozott. Ez több, mint az azt megelőző három év összesített száma. Ezenfelül 25 aktív állami adatvédelmi törvény is érvényben van az USA-ban. Ezek együttesen összetett terhet rónak az ott működő vállalatokra.
A 2024-es legfontosabb ügyek:
Amazon Alexa (25 millió dollár, 2023/folyamatban): Az Amazon 25 millió dolláros bírságot fizetett a COPPA megsértése miatt. A megállapított tény szerint gyermekek hangfájljait a megadott határidőn túl tárolták. A hatóság szerint az Amazon ezeket a fájlokat megfelelő hozzájárulás nélkül használta mesterséges intelligencia betanítására. Az Amazon-t kötelezték a tárolt fájlok törlésére.
A Meta tiltása a tinédzser-adatok hirdetési célú felhasználásától: A szövetségi szabályozó megtiltotta a Metának, hogy a 18 év alatti felhasználók adatait hirdetésekhez használja fel. Ez egy korábbi beleegyezési határozaton alapult.
Mesterséges intelligencia adatbrókerek elleni intézkedések: A hatóság számos adatbróker ellen lépett fel, amelyek megfelelő értesítés vagy hozzájárulás nélkül adtak el mesterséges intelligenciával összeállított személyes profilokat. Az ügyek egy kulcsfontosságú szabályt rögzítettek: a személyes adatok mesterséges intelligencia alapú profilozása „érzékeny” adatkezelésnek minősül, amihez fokozott értesítési kötelezettség kapcsolódik.
Egészségügyi adatokkal kapcsolatos ügyek: A bizottság hatásköre kiterjed a HIPAA hatálya alá nem tartozó egészségügyi adatokra is. A fogyasztói alkalmazások, viselhető eszközök és egyes teleorvoslási vállalatok ide tartoznak. Több 2024-es ügyben olyan vállalatok kaptak szankciót, amelyek megfelelő hozzájárulás nélkül osztottak meg ilyen adatokat.
25 állami törvény: Az amerikai törvénymozaik
Egyetlen szövetségi törvény sem fedi le az összes amerikai lakost. Ehelyett 25 állami törvény együttesen fedi le az ország nagy részét.
Kaliforniai CPRA (2023-tól): A legszélesebb körű amerikai állami törvény. 40 millió állam lakost fed le. Azokra a vállalatokra vonatkozik, amelyek éves bevétele meghaladja a 25 millió dollárt, vagy több mint 100 000 állam lakos adatát kezelik. Létrehozta a Kaliforniai Adatvédelmi Ügynökséget (CPPA) teljes munkaidős szabályozóként.
Virginia, Colorado, Connecticut: Még három hasonló jogokkal rendelkező törvény. Ezek összesen több mint 20 millió lakost fednek le.
Texas és Florida: Két nagy állam szintén rendelkezik már aktív adatvédelmi törvénnyel.
Washington My Health MY Data Act: A legerősebb egészségügyi adatvédelmi törvény Kalifornián kívül. Kiterjeszti a jogokat a HIPAA hatálya alá nem tartozó fogyasztói egészségalkalmazásokra is.
Az összes 50 állam vállalatai számára a 25 törvény közös kötelezettségekből áll. Fogyasztói jogok, adatvédelmi értesítések, alvállalkozói szerződések és adatmegőrzési korlátok – mind előírás. A részletes szabályok államonként eltérnek.
A jogi megfelelési útmutatóban részletesen olvashat arról, hogyan épülnek egymásra ezek a kötelezettségek.
Mit jelentenek a 2024-es intézkedések a technológiai csapatoknak
A 2024-es ügyek egyértelmű technikai iránymutatást adnak.
Betanítási adatok: A vállalatoknak nyomon kell követniük, hogy mely személyes adatokat használták az egyes mesterséges intelligencia modellek betanítására. Igazolniuk kell, hogy a hozzájárulás kiterjedt erre a felhasználási célra, és meg kell erősíteniük az érvényes megőrzési határidőket.
Célhoz kötöttség: A mesterséges intelligencia profilok nem használhatók fel olyan célokra, amelyekről a felhasználókat regisztrációkor nem tájékoztatták. Viselkedéselemzés alkalmazása felvétel során, ha csak hirdetési célú felhasználást hoztak nyilvánosságra, az 5. szakasz megsértésének minősül.
Alvállalkozói kötelezettségek: A hatóság az SaaS-szállítók által felhasznált adatokat a megbízó vállalat kockázataként kezeli. Ha egy eszköz felhasználói adatokat dolgoz fel, ezt fel kell tüntetni az adatvédelmi tájékoztatóban. Az alvállalkozó magatartásának meg kell felelnie a megjelölt céloknak.
Nullaismeret-alapú rendszerek: Az mesterséges intelligencia-szállítókkal kapcsolatos legtöbb ügyben a nyilvánosságra nem hozott adatfelhasználás a célpont. A nullaismeret-alapú rendszer csak titkosított fájlokat tárol. A szállítónak nincs kulcsa azok megnyitásához. Nem tudja az adatokat olyan módon felhasználni, amely nem volt nyilvánosságra hozva. Ez a technikai tény összhangban van azzal, amit a hatóság célba vesz.
Megtudhatja, hogyan alkalmazza az anonym.legal a nullaismeret-alapú rendszereket a /security-compliance oldalon.
Javasolt kereskedelmi megfigyelési szabály
A bizottság kereskedelmi nyomon követésre vonatkozó javasolt szabálya 2025-től függőben van. Ha elfogadják, explicit szövetségi szabályokat vezet be.
- Az mesterséges intelligencia felhasználási céljához kötött adatmegőrzési korlátok.
- Az automatizált profilozásból való kilépés joga.
- Tiltás az összegyűjtött adatok új célokra történő felhasználásával szemben.
- Biztonsági szabályok a tárolt személyes adatokhoz.
Ez a szabály GDPR-szerű kötelezettségeket hozna létre minden, az USA-ban fogyasztókat kiszolgáló vállalat számára. Az egész területre vonatkozóan megemelné az amerikai adatvédelmi jog szintjét.
Az adatmegőrzési korlátokról bővebben olvashat a /docs/faq oldalon.
Források
- FTC: Federal Trade Commission. ftc.gov.
- FTC: Mesterséges intelligencia végrehajtási intézkedések 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Javasolt kereskedelmi megfigyelési szabályok. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.