FTC Section 5: AI og personvern i USA
Oppdatert for 2026.
Federal Trade Commission (FTC) håndhever amerikansk personvernlovgivning gjennom Section 5 i FTC Act. Den paragrafen forbyr "urettferdig eller villedende praksis." Det finnes ingen enkelt føderal personvernlov som GDPR i USA. Likevel satte byrået ny rekord i 2024.
2024: Et rekordår for håndhevelse
Kommisjonen gjennomførte 19 AI-relaterte tiltak i 2024. Det slår de tre foregående årene samlet. Legg til 25 aktive delstatslover om personvern i USA på toppen. Til sammen skaper de en kompleks byrde for ethvert selskap i USA.
Viktige saker fra 2024:
Amazon Alexa (25 millioner dollar, 2023/pågående): Amazon betalte 25 millioner dollar for brudd på COPPA. Selskapet hadde beholdt stemmeopptak av barn utover oppgitte tidsgrenser. Byrået hevdet at Amazon brukte disse opptakene til AI-opplæring uten korrekt samtykke. Amazon ble pålagt å slette de lagrede opptakene.
Forbud mot Meta mot bruk av tenåringsdata i reklame: Føderale regulatorer forbød Meta å bruke opplysninger om brukere under 18 år til reklame. Dette bygget på en eksisterende samtykkeavgjørelse.
Tiltak mot AI-dataformidlere: Byrået tok affære mot flere formidlere. Disse formidlerne solgte AI-genererte personprofiler uten korrekt varsel eller samtykke. Sakene fastsatte en viktig regel: AI-profilering av personopplysninger regnes som "sensitiv" behandling. Den klassifiseringen utløser ekstra varslingsplikter.
Saker om helseregistre: Kommisjonen har myndighet over helseregistre som ikke er dekket av HIPAA. Forbrukerapper, wearables og enkelte telehelseselskaper faller inn her. Flere 2024-saker rammet selskaper som delte slike registre uten korrekt samtykke.
25 delstatslover: Det amerikanske lappeteppet
Ingen enkelt føderal lov dekker alle amerikanske innbyggere. I stedet dekker 25 delstatslover til sammen det meste av landet.
California CPRA (fra 2023): Den bredeste delstatsbaserte loven i USA. Den dekker 40 millioner innbyggere i delstaten. Den gjelder for selskaper med over 25 millioner dollar i omsetning eller som har opplysninger om 100 000 eller flere forbrukere i delstaten. Den opprettet California Privacy Protection Agency (CPPA) som en fulltidsregulator.
Virginia, Colorado, Connecticut: Tre andre lover med lignende rettigheter. De dekker til sammen over 20 millioner innbyggere.
Texas og Florida: To store delstater har nå også aktive personvernlover.
Washington My Health MY Data Act: Den sterkeste amerikanske loven om helseregistre utenfor California. Den utvider rettighetene utover HIPAA til forbrukerhelseapper.
For selskaper i alle 50 delstater deler de 25 lovene et kjernesett av plikter. Forbrukerrettigheter, personvernvarsler, leverandørkontrakter og datagrenser er alle påkrevd. De eksakte reglene varierer etter delstat.
Se veiledningen for juridisk samsvar for hvordan disse pliktene henger sammen.
Hva 2024-tiltakene betyr for tekniske team
2024-sakene gir tydelig teknisk veiledning.
Opplæringsdata: Selskaper må spore hvilke personopplysninger som trente hver AI-modell. De må vise at samtykket dekket den opplæringsbruken. De må også bekrefte hvilke tidsgrenser som gjaldt.
Formålsgrenser: AI-profiler kan ikke brukes utover det som ble kommunisert til brukerne ved registrering. Å bruke atferdsanalyse til ansettelse når bare reklame ble opplyst om, er et brudd på Section 5.
Leverandørplikter: Byrået behandler SaaS-leverandører som den distribuerende virksomhetens risiko. Dersom et verktøy behandler brukerdata, må det stå i personvernvarselet. Leverandørens opptreden må samsvare med oppgitte formål.
Zero-knowledge-systemer: De fleste AI-leverandørsaker retter seg mot ikke opplyst bruk av data. Et zero-knowledge-system lagrer bare krypterte filer. Leverandøren har ingen nøkkel til å åpne dem. Det kan ikke bruke opplysninger på måter som ikke er opplyst om. Det tekniske faktum stemmer overens med det byrået retter seg mot.
Lær hvordan anonym.legal bruker zero-knowledge-systemer på /security-compliance.
Foreslått regelverk for kommersiell overvåkning
Kommisjonens foreslåtte regelverk for kommersiell sporing er under behandling per 2025. Dersom det vedtas, vil det skape eksplisitte føderale regler.
- Datamengdebegrensninger for AI-bruk.
- Rett til å reservere seg mot automatisert profilering.
- Forbud mot å bruke innsamlede opplysninger til nye formål.
- Sikkerhetskrav for lagrede personopplysninger.
Dette regelverket vil innføre GDPR-lignende plikter for ethvert selskap som betjener amerikanske forbrukere. Det vil heve minimumsstandarden for amerikansk personvernlovgivning over hele linjen.
Les om datamengdebegrensninger på /docs/faq.
Kilder
- FTC: Federal Trade Commission. ftc.gov.
- FTC: AI Enforcement Actions 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Proposed Commercial Surveillance Rules. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.