FTC Pasal 5: Privasi AI di AS
Diperbarui untuk 2026.
Federal Trade Commission (FTC) menegakkan hukum privasi AS melalui Pasal 5 UU FTC. Pasal tersebut melarang "praktik tidak adil atau menipu." Tidak ada satu undang-undang privasi federal seperti GDPR di AS. Namun lembaga tersebut mencetak rekor baru pada 2024.
2024: Tahun Penegakan Hukum Rekor
Komisi menerbitkan 19 tindakan terkait AI pada 2024. Angka itu melampaui tiga tahun sebelumnya digabungkan. Tambahkan 25 undang-undang privasi negara bagian AS yang aktif di atasnya. Bersama-sama, keduanya menciptakan beban yang kompleks bagi perusahaan mana pun di AS.
Kasus-kasus utama 2024:
Amazon Alexa ($25 juta, 2023/berlanjut): Amazon membayar $25 juta atas pelanggaran COPPA. Mereka telah menyimpan file suara anak-anak melampaui batas waktu yang dinyatakan. Lembaga tersebut mengatakan Amazon menggunakan file-file tersebut untuk melatih AI tanpa persetujuan yang tepat. Amazon diperintahkan untuk menghapus file-file yang disimpan.
Larangan penggunaan iklan untuk remaja Meta: Regulator federal melarang Meta menggunakan catatan pengguna di bawah 18 tahun untuk iklan. Hal ini dibangun berdasarkan perintah persetujuan yang ada.
Tindakan terhadap broker data AI: Lembaga tersebut mengambil tindakan terhadap beberapa broker. Broker-broker tersebut menjual profil pribadi yang dibangun oleh AI tanpa pemberitahuan atau persetujuan yang tepat. Kasus-kasus tersebut menetapkan aturan utama: pembuatan profil AI dari catatan pribadi adalah pemrosesan "sensitif." Label tersebut memicu kewajiban pemberitahuan tambahan.
Kasus catatan kesehatan: Komisi memiliki wewenang atas catatan kesehatan yang tidak dicakup oleh HIPAA. Aplikasi konsumen, perangkat wearable, dan beberapa perusahaan telehealth termasuk di sini. Beberapa kasus 2024 menimpa perusahaan yang membagikan catatan tersebut tanpa persetujuan yang tepat.
25 Undang-Undang Negara Bagian: Patchwork AS
Tidak ada satu undang-undang federal yang mencakup semua penduduk AS. Sebaliknya, 25 undang-undang negara bagian bersama-sama mencakup sebagian besar negara.
California CPRA (sejak 2023): Undang-undang negara bagian AS yang paling luas. Mencakup 40 juta penduduk negara bagian. Berlaku bagi perusahaan dengan pendapatan lebih dari $25 juta atau yang menyimpan catatan 100.000+ konsumen negara bagian. Mendirikan California Privacy Protection Agency (CPPA) sebagai regulator penuh waktu.
Virginia, Colorado, Connecticut: Tiga undang-undang lagi dengan hak serupa. Mencakup lebih dari 20 juta penduduk gabungan.
Texas dan Florida: Dua negara bagian besar kini juga memiliki undang-undang privasi aktif.
Washington My Health MY Data Act: Undang-undang catatan kesehatan AS terkuat di luar California. Memperluas hak melampaui HIPAA ke aplikasi kesehatan konsumen.
Bagi perusahaan di semua 50 negara bagian, 25 undang-undang tersebut berbagi serangkaian kewajiban inti. Hak konsumen, pemberitahuan privasi, kontrak vendor, dan batas catatan semuanya diperlukan. Aturan pastinya bervariasi menurut negara bagian.
Lihat panduan kepatuhan hukum tentang bagaimana kewajiban-kewajiban ini bertumpuk.
Apa Arti Tindakan 2024 bagi Tim Teknologi
Kasus-kasus 2024 memberikan panduan teknis yang jelas.
Catatan pelatihan: Perusahaan harus melacak catatan pribadi mana yang melatih setiap model AI. Mereka harus menunjukkan persetujuan mencakup penggunaan pelatihan tersebut. Mereka juga harus mengonfirmasi batas waktu apa yang berlaku.
Batas tujuan: Profil AI tidak dapat digunakan melampaui apa yang disampaikan kepada pengguna saat pendaftaran. Menggunakan analisis perilaku untuk perekrutan ketika hanya iklan yang diungkapkan adalah pelanggaran Pasal 5.
Kewajiban vendor: Lembaga tersebut memperlakukan vendor SaaS sebagai risiko perusahaan yang mendeploy. Jika suatu alat memproses catatan pengguna, hal itu harus ada dalam pemberitahuan privasi. Perilaku vendor harus sesuai dengan tujuan yang dinyatakan.
Sistem zero-knowledge: Sebagian besar kasus vendor AI menargetkan penggunaan catatan yang tidak diungkapkan. Sistem zero-knowledge hanya menyimpan file terenkripsi. Vendor tidak memiliki kunci untuk membukanya. Vendor tidak dapat menggunakan catatan dengan cara yang tidak diungkapkan. Fakta teknis tersebut selaras dengan target lembaga.
Pelajari cara anonym.legal menggunakan sistem zero-knowledge di /security-compliance.
Aturan Pengawasan Komersial yang Diusulkan
Aturan yang diusulkan komisi tentang pelacakan komersial masih tertunda per 2025. Jika disahkan, ini akan membuat aturan federal eksplisit.
- Batas catatan untuk penggunaan AI.
- Hak opt-out untuk pembuatan profil otomatis.
- Larangan penggunaan catatan yang dikumpulkan untuk tujuan baru.
- Aturan keamanan untuk catatan pribadi yang disimpan.
Aturan ini akan menambahkan kewajiban mirip GDPR bagi perusahaan mana pun yang melayani konsumen AS. Ini akan meningkatkan standar minimum hukum privasi AS secara keseluruhan.
Baca tentang batas catatan di /docs/faq.
Sumber
- FTC: Federal Trade Commission. ftc.gov.
- FTC: AI Enforcement Actions 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Proposed Commercial Surveillance Rules. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.