FTC Sezione 5: Privacy e AI negli USA
Aggiornato per il 2026.
La Federal Trade Commission (FTC) applica la legge sulla privacy statunitense attraverso la Sezione 5 del FTC Act. Questa sezione vieta le "pratiche sleali o ingannevoli". Negli USA non esiste una legge federale sulla privacy analoga al GDPR. Eppure nel 2024 l'agenzia ha stabilito un nuovo record.
2024: Un anno di enforcement record
La Commissione ha avviato 19 azioni sanzionatorie legate all'AI nel 2024. Superano il totale dei tre anni precedenti messi insieme. A queste si aggiungono 25 leggi statali attive sulla privacy negli USA. Insieme creano un onere regolatorio complesso per qualsiasi azienda operante nel paese.
Principali casi del 2024:
Amazon Alexa (25 milioni di dollari, 2023/in corso): Amazon ha pagato 25 milioni di dollari per violazioni COPPA. Aveva conservato file vocali di minori oltre i limiti dichiarati. L'agenzia ha accertato che Amazon usava quei file per addestrare AI senza consenso adeguato. Amazon è stata obbligata a eliminare i file conservati.
Divieto di Meta di usare dati di minori per la pubblicità: I regolatori federali hanno vietato a Meta di utilizzare i dati degli utenti under 18 per la pubblicità. La misura si fondava su un precedente ordine di consenso.
Azioni contro i data broker AI: L'agenzia ha agito contro diversi broker. Questi vendevano profili personali costruiti dall'AI senza adeguata comunicazione o consenso. I casi hanno stabilito una regola chiave: la profilazione AI di dati personali è un trattamento "sensibile". Questa qualificazione impone obblighi aggiuntivi di informativa.
Casi relativi a dati sanitari: La Commissione ha competenza sui dati sanitari non coperti dall'HIPAA. App per consumatori, dispositivi indossabili e alcune aziende di telemedicina rientrano in questa categoria. Diversi casi del 2024 hanno riguardato aziende che condividevano tali dati senza il dovuto consenso.
25 leggi statali: Il mosaico normativo USA
Nessuna legge federale copre tutti i residenti negli USA. Al contrario, 25 leggi statali coprono insieme la maggior parte del paese.
California CPRA (dal 2023): La legge statale più ampia. Copre 40 milioni di residenti californiani. Si applica alle aziende con ricavi superiori a 25 milioni di dollari o che detengono dati di oltre 100.000 consumatori statali. Ha istituito la California Privacy Protection Agency (CPPA) come organo regolatore permanente.
Virginia, Colorado, Connecticut: Altre tre leggi con diritti analoghi. Coprono complessivamente oltre 20 milioni di residenti.
Texas e Florida: Due grandi stati dispongono ora di leggi sulla privacy in vigore.
Washington My Health MY Data Act: La legge statale più rigorosa sui dati sanitari al di fuori della California. Estende i diritti oltre l'HIPAA alle app per la salute dei consumatori.
Per le aziende presenti in tutti i 50 stati, le 25 leggi condividono un nucleo comune di obblighi. Diritti dei consumatori, informative sulla privacy, contratti con i fornitori e limiti di conservazione sono tutti richiesti. Le regole specifiche variano da stato a stato.
Consulta la guida alla conformità legale per capire come si sommano questi obblighi.
Cosa significano le azioni del 2024 per i team tecnici
I casi del 2024 forniscono indicazioni tecniche precise.
Dati di addestramento: Le aziende devono tracciare quali dati personali hanno addestrato ciascun modello AI. Devono dimostrare che il consenso copriva quell'uso in fase di addestramento. Devono anche confermare quali limiti temporali si applicavano.
Limitazione delle finalità: I profili AI non possono essere usati al di là di quanto comunicato agli utenti al momento della registrazione. Usare l'analisi comportamentale per assunzioni quando erano stati dichiarati solo fini pubblicitari costituisce una violazione della Sezione 5.
Obblighi verso i fornitori: L'agenzia considera il rischio del fornitore SaaS come rischio della società che lo impiega. Se uno strumento tratta dati degli utenti, questo deve essere indicato nell'informativa sulla privacy. Il comportamento del fornitore deve essere coerente con le finalità dichiarate.
Sistemi zero-knowledge: La maggior parte dei casi contro i fornitori AI riguarda l'uso non dichiarato di dati. Un sistema zero-knowledge conserva solo file crittografati. Il fornitore non possiede la chiave per decifrarli. Non può usare i dati in modi non dichiarati. Questo fatto tecnico si allinea perfettamente con ciò che l'agenzia mette nel mirino.
Scopri come anonym.legal utilizza i sistemi zero-knowledge su /security-compliance.
Proposta di regola sulla sorveglianza commerciale
La proposta di regola della Commissione sul tracciamento commerciale è in attesa di approvazione nel 2025. Se adottata, introdurrebbe regole federali esplicite.
- Limitazioni dei dati per l'uso AI.
- Diritti di opt-out per la profilazione automatizzata.
- Divieto di utilizzare dati raccolti per nuove finalità.
- Regole di sicurezza per i dati personali conservati.
Questa regola imporrebbe obblighi simili al GDPR per qualsiasi azienda che serve consumatori statunitensi. Innalzerebbe il livello minimo della legge sulla privacy negli USA in modo generalizzato.
Leggi delle limitazioni sui dati su /docs/faq.
Fonti
- FTC: Federal Trade Commission. ftc.gov.
- FTC: Azioni di enforcement sull'AI 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Proposta di regole sulla sorveglianza commerciale. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.