FTC Seksyen 5: Privasi AI di AS
Dikemas kini untuk 2026.
Suruhanjaya Perdagangan Persekutuan (FTC) menguatkuasakan undang-undang privasi AS melalui Seksyen 5 Akta FTC. Seksyen itu melarang "amalan tidak adil atau menipu." Tiada undang-undang privasi persekutuan tunggal seperti GDPR wujud di AS. Namun demikian, agensi ini menetapkan rekod baharu pada 2024.
2024: Tahun Penguatkuasaan Rekod
Suruhanjaya mengeluarkan 19 tindakan berkaitan AI pada 2024. Jumlah itu mengatasi tiga tahun sebelumnya digabungkan. Tambah 25 undang-undang privasi negeri AS yang aktif di atasnya. Bersama-sama, ia mewujudkan beban yang rumit bagi mana-mana syarikat di AS.
Kes-kes utama 2024:
Amazon Alexa ($25 juta, 2023/berterusan): Amazon membayar $25 juta atas pelanggaran COPPA. Syarikat itu telah menyimpan fail suara kanak-kanak melebihi had masa yang dinyatakan. Agensi menyatakan Amazon menggunakan fail tersebut untuk melatih AI tanpa persetujuan yang sewajarnya. Amazon diperintahkan untuk memadam fail yang disimpan.
Meta dilarang guna rekod remaja untuk iklan: Pengawal selia persekutuan melarang Meta menggunakan rekod pengguna bawah 18 tahun untuk iklan. Ini dibina atas perintah persetujuan yang sedia ada.
Tindakan terhadap broker data AI: Agensi mengambil tindakan terhadap beberapa broker. Broker-broker itu menjual profil peribadi binaan AI tanpa notis atau persetujuan yang sewajarnya. Kes-kes tersebut menetapkan peraturan utama: pemprofilan AI terhadap rekod peribadi adalah pemprosesan "sensitif." Label itu mencetuskan kewajipan notis tambahan.
Kes rekod kesihatan: Suruhanjaya mempunyai kuasa ke atas rekod kesihatan yang tidak dilindungi HIPAA. Aplikasi pengguna, peranti boleh pakai, dan beberapa firma telehealth termasuk di sini. Beberapa kes 2024 mengenai firma yang berkongsi rekod tersebut tanpa persetujuan yang sewajarnya.
25 Undang-undang Negeri: Kepingan Tambal AS
Tiada undang-undang persekutuan tunggal yang merangkumi semua penduduk AS. Sebaliknya, 25 undang-undang negeri bersama-sama merangkumi kebanyakan negara.
California CPRA (dari 2023): Undang-undang negeri AS yang paling luas. Ia merangkumi 40 juta penduduk negeri. Ia terpakai kepada firma dengan pendapatan melebihi $25 juta atau yang menyimpan rekod lebih daripada 100,000 pengguna negeri. Ia menubuhkan Agensi Perlindungan Privasi California (CPPA) sebagai pengawal selia sepenuh masa.
Virginia, Colorado, Connecticut: Tiga undang-undang lagi dengan hak yang serupa. Bersama-sama ia merangkumi lebih 20 juta penduduk.
Texas dan Florida: Dua negeri besar kini juga mempunyai undang-undang privasi yang aktif.
Washington My Health MY Data Act: Undang-undang rekod kesihatan AS yang paling kukuh di luar California. Ia meluaskan hak melebihi HIPAA kepada aplikasi kesihatan pengguna.
Bagi firma di semua 50 negeri, 25 undang-undang itu berkongsi satu set kewajipan teras. Hak pengguna, notis privasi, kontrak vendor, dan had rekod semuanya diperlukan. Peraturan tepatnya berbeza mengikut negeri.
Lihat panduan pematuhan undang-undang untuk cara kewajipan ini bertindan.
Maksud Tindakan 2024 bagi Pasukan Teknikal
Kes-kes 2024 memberikan panduan teknikal yang jelas.
Rekod latihan: Firma mesti mengesan rekod peribadi mana yang melatih setiap model AI. Mereka mesti menunjukkan persetujuan meliputi penggunaan latihan tersebut. Mereka juga mesti mengesahkan had masa yang terpakai.
Had tujuan: Profil AI tidak boleh digunakan melebihi apa yang diberitahu kepada pengguna semasa pendaftaran. Menggunakan analisis tingkah laku untuk pengambilan kerja apabila hanya iklan yang didedahkan adalah pelanggaran Seksyen 5.
Kewajipan vendor: Agensi menganggap vendor SaaS sebagai risiko firma yang menggunakan mereka. Jika sesuatu alat memproses rekod pengguna, ia mesti ada dalam notis privasi. Tindakan vendor mesti sepadan dengan tujuan yang dinyatakan.
Sistem zero-knowledge: Kebanyakan kes vendor AI menyasarkan penggunaan rekod yang tidak didedahkan. Sistem zero-knowledge hanya menyimpan fail yang disulitkan. Vendor tidak mempunyai kunci untuk membukanya. Ia tidak boleh menggunakan rekod dengan cara yang tidak didedahkan. Fakta teknikal itu selari dengan apa yang disasarkan agensi.
Ketahui cara anonym.legal menggunakan sistem zero-knowledge di /security-compliance.
Peraturan Pengawasan Komersial yang Dicadangkan
Peraturan yang dicadangkan suruhanjaya mengenai penjejakan komersial masih dalam proses setakat 2025. Jika diluluskan, ia akan mewujudkan peraturan persekutuan eksplisit.
- Had rekod untuk penggunaan AI.
- Hak opt-out untuk pemprofilan automatik.
- Larangan menggunakan rekod yang dikumpul untuk tujuan baharu.
- Peraturan keselamatan untuk rekod peribadi yang disimpan.
Peraturan ini akan menambah kewajipan seperti GDPR bagi mana-mana firma yang melayan pengguna AS. Ia akan menaikkan tahap minimum undang-undang privasi AS secara keseluruhan.
Baca tentang had rekod di /docs/faq.
Sumber
- FTC: Federal Trade Commission. ftc.gov.
- FTC: Tindakan Penguatkuasaan AI 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Peraturan Pengawasan Komersial yang Dicadangkan. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.