FTC 5. kafli: AI-friðhelgi í Bandaríkjunum
Uppfært fyrir 2026.
Federal Trade Commission (FTC) framfylgir bandarísku friðhelgislögum í gegnum 5. kafla FTC-laganna. Sá kafli bannar "óréttmætar eða villandi viðskiptahætti." Eitt samræmt alríkislög eins og GDPR er til í Bandaríkjunum. Þó setti stofnunin nýtt met árið 2024.
2024: Met í framkvæmd
Commission gaf út 19 AI-tengdar aðgerðir árið 2024. Það slær met þriggja undanfarinna ára samanlagt. Auk þess eru 25 virk ríkjalög um friðhelgi. Saman skapar þetta flókna byrði fyrir hvert fyrirtæki í Bandaríkjunum.
Lykil mál 2024:
Amazon Alexa ($25M, 2023/í gangi): Amazon greiddi $25M vegna COPPA-brota. Þeir höfðu geymt raddarskrár barna lengur en kveðið var á um. Stofnunin sagðist Amazon hafa notað þær skrár til að þjálfa AI án viðeigandi samþykkis. Amazon var beðinn um að eyða varðveittum skrám.
Bann Meta á auglýsinganotkun unglinga: Alríkiseftirlitsmenn bönnuðu Meta að nota upplýsingar um notendur undir 18 ára aldri til auglýsinga. Þetta byggðist á fyrirliggjandi samþykktarskipun.
Aðgerðir gegn AI-gagnamiðlurum: Stofnunin gripu til aðgerða gegn nokkrum miðlurum. Þeir miðlarar seldu AI-smíðaðar persónlegar snið án viðeigandi tilkynningar eða samþykkis. Málin setja lykilreglu: AI-sniðmyndun á persónuupplýsingum er "viðkvæm" vinnsla. Sú merking kveikir á auknum tilkynningarskyldum.
Heilsugagnmál: Commission hefur vald yfir heilsugögnum sem HIPAA nær ekki til. Neytendaforrit, wearables og sumar fjargreindaþjónustur falla hér undir. Nokkur 2024-mál beindust að fyrirtækjum sem deildu þessum gögnum án viðeigandi samþykkis.
25 ríkjalög: Flekkjótt mynstur Bandaríkjanna
Ekkert eitt alríkislög nær til allra bandaríkjabúa. Þess í stað þekja 25 ríkjalög saman mestalla landsmenn.
California CPRA (frá 2023): Víðtækasta ríkjalöggjöfin í Bandaríkjunum. Hún nær til 40 milljóna íbúa ríkisins. Hún gildir um fyrirtæki með yfir $25M í tekjur eða sem halda gögnum um 100.000+ neytendur ríkisins. Hún stofnsetti California Privacy Protection Agency (CPPA) sem fullgiltan eftirlitsaðila.
Virginia, Colorado, Connecticut: Þrír fleiri lagar með svipuðum réttindum. Þeir ná samanlagt til yfir 20 milljóna íbúa.
Texas og Florida: Tvö stór ríki hafa nú einnig virk friðhelgislög.
Washington My Health MY Data Act: Sterkasta heilsugagnalög Bandaríkjanna utan Kaliforníu. Þau víkka réttindi umfram HIPAA til neytendaheilsuforrita.
Fyrir fyrirtæki í öllum 50 ríkjum deila 25 lögin grundvallarskyldur. Neytendaréttindi, friðhelgistilkynningar, birgðasamningar og gagnamörk eru öll nauðsynleg. Nákvæmar reglur eru mismunandi milli ríkja.
Sjá lögfræðileg samræmishandbók til að fá upplýsingar um hvernig þessar skyldur safnast saman.
Hvað 2024-aðgerðirnar þýða fyrir tækniteymi
2024-málin veita skýrar tæknilegar leiðbeiningar.
Þjálfunargögn: Fyrirtæki verða að rekja hvaða persónuupplýsingar þjálfuðu hvert AI-líkan. Þau verða að sýna fram á að samþykki hafi náð til þeirrar þjálfunarnotkunar. Þau verða einnig að staðfesta hvaða tímamörk giltu.
Tilgangsmörk: Ekki er hægt að nota AI-snið umfram það sem var tilkynnt notendum við skráningu. Að nota hegðunargreiningu við ráðningu þegar aðeins auglýsingar voru uppgefnar er brot gegn 5. kafla.
Birgðaskyldur: Stofnunin lítur á SaaS-birgja sem áhættu þess fyrirtækis sem notar þjónustuna. Ef tæki vinnur notendagögn verður það að vera í friðhelgistilkynningunni. Birgðahegðun verður að samræmast tilgreindum tilgangi.
Núllþekkingakerfi: Flest AI-birgðamál beinast að leynilegri notkun á gögnum. Núllþekkingakerfi geymir aðeins dulkóðaðar skrár. Birginn hefur engan lykil til að opna þær. Hann getur ekki notað gögn á þann hátt sem ekki var uppgefinn. Sú tæknilega staðreynd samræmist því sem stofnunin beinir marki sínu að.
Lærðu hvernig anonym.legal notar núllþekkingakerfi á /security-compliance.
Tillögur um eftirlit með auglýsingum á netinu
Tillaga Commission um eftirlit með rekja-viðskiptum er óafgreidd frá 2025. Ef hún fer í gegn myndi hún skapa skýrar alríkisreglur.
- Gagnamörk fyrir AI-notkun.
- Réttur til að afþakka sjálfvirka sniðmyndun.
- Bann við notkun safnaðra gagna í nýjan tilgang.
- Öryggisreglur um geymdar persónuupplýsingar.
Þessi regla myndi bæta við GDPR-líkar skyldur fyrir öll fyrirtæki sem þjóna bandarískum neytendum. Hún myndi hækka gólf bandarísks friðhelgislaga á breiðum grundvelli.
Les um gagnamörk á /docs/faq.
Heimildir
- FTC: Federal Trade Commission. ftc.gov.
- FTC: AI-framkvæmdaraðgerðir 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Tillögur um reglur um auglýsingaeftirlit. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.