FTC Sekcja 5: Prywatność AI w USA
Aktualizacja: 2026 rok.
Federalna Komisja Handlu (FTC) egzekwuje prawo prywatności w USA na podstawie Sekcji 5 Ustawy o FTC. Sekcja ta zakazuje „nieuczciwych lub wprowadzających w błąd praktyk”. W USA nie istnieje jednolita federalna ustawa o prywatności porównywalna z RODO. Mimo to agencja ustanowiła nowy rekord w 2024 roku.
2024: Rekordowy Rok Egzekucji
Komisja wydała 19 działań egzekucyjnych związanych z AI w 2024 roku. To więcej niż przez trzy poprzednie lata łącznie. Do tego dochodzi 25 aktywnych stanowych ustaw o prywatności. Razem tworzą złożone obciążenie regulacyjne dla każdej firmy działającej w USA.
Kluczowe sprawy z 2024 roku:
Amazon Alexa (25 mln USD, 2023/w toku): Amazon zapłacił 25 mln USD za naruszenie ustawy COPPA. Firma przechowywała nagrania głosowe dzieci po upływie zadeklarowanych terminów. Agencja stwierdziła, że Amazon używał tych nagrań do trenowania AI bez odpowiedniej zgody. Amazon otrzymał nakaz usunięcia zachowanych plików.
Zakaz używania danych nastolatków przez Meta do reklam: Federalni regulatorzy zakazali Meta korzystania z danych użytkowników poniżej 18 roku życia do celów reklamowych. Decyzja ta opierała się na istniejącym nakazie zgody.
Działania wobec brokerów danych AI: Agencja podjęła działania wobec kilku brokerów. Sprzedawali oni profile osobowe tworzone przez AI bez odpowiedniego powiadomienia lub zgody. Sprawy te ustanowiły kluczową zasadę: profilowanie AI na podstawie danych osobowych stanowi przetwarzanie „wrażliwe”. Taka klasyfikacja uruchamia dodatkowe obowiązki informacyjne.
Sprawy dotyczące dokumentacji zdrowotnej: Komisja ma uprawnienia w zakresie dokumentacji zdrowotnej nieobjętej HIPAA. Obejmuje to aplikacje konsumenckie, urządzenia ubieralne i część firm telemedycznych. Kilka spraw z 2024 roku dotyczyło firm, które udostępniały te dane bez odpowiedniej zgody.
25 Stanowych Ustaw: Mozaika Prawa USA
W USA nie istnieje jednolita federalna ustawa obejmująca wszystkich mieszkańców. Zamiast tego 25 stanowych ustaw łącznie obejmuje większość kraju.
Kalifornijska CPRA (od 2023 roku): Najszersza stanowa ustawa o prywatności w USA. Obejmuje 40 milionów mieszkańców stanu. Ma zastosowanie do firm z przychodami powyżej 25 mln USD lub przetwarzających dane 100 000 lub więcej konsumentów stanowych. Powołała Kalifornijską Agencję Ochrony Prywatności (CPPA) jako stały organ regulacyjny.
Wirginia, Kolorado, Connecticut: Trzy kolejne ustawy o podobnym zakresie praw. Łącznie obejmują ponad 20 milionów mieszkańców.
Teksas i Floryda: Dwa duże stany posiadają teraz aktywne przepisy o prywatności.
Waszyngton — My Health MY Data Act: Najsilniejsza ustawa USA dotycząca danych zdrowotnych spoza Kalifornii. Rozszerza prawa poza HIPAA na konsumenckie aplikacje zdrowotne.
Dla firm działających we wszystkich 50 stanach, 25 ustaw dzieli wspólny zestaw obowiązków. Wymagane są: prawa konsumenckie, informacje o prywatności, umowy z dostawcami i ograniczenia przechowywania danych. Szczegółowe zasady różnią się w zależności od stanu.
Zapoznaj się z przewodnikiem po zgodności prawnej, aby zobaczyć, jak te obowiązki się kumulują.
Co Oznaczają Działania z 2024 Roku dla Zespołów Technicznych
Szrawy z 2024 roku dają jasne wskazówki techniczne.
Dane treningowe: Firmy muszą śledzić, jakie dane osobowe były używane do trenowania każdego modelu AI. Muszą wykazać, że zgoda obejmowała ten cel treningowy. Muszą też potwierdzić, jakie terminy przechowywania były stosowane.
Ograniczenia celu: Profile AI nie mogą być używane do celów innych niż te, które zostały zakomunikowane użytkownikom przy rejestracji. Stosowanie analizy zachowań do rekrutacji, gdy ujawniono tylko cele reklamowe, stanowi naruszenie Sekcji 5.
Obowiązki wobec dostawców: Agencja traktuje dostawców SaaS jako ryzyko firmy wdrażającej. Jeżeli narzędzie przetwarza dane użytkowników, musi to znaleźć się w informacji o prywatności. Działania dostawcy muszą odpowiadać zadeklarowanym celom.
Systemy zero-knowledge: Większość spraw dotyczących dostawców AI dotyczy nieujawnionego wykorzystania danych. System zero-knowledge przechowuje wyłącznie zaszyfrowane pliki. Dostawca nie posiada klucza do ich otwarcia. Nie może korzystać z danych w sposób, który nie był ujawniony. Ten fakt techniczny pokrywa się z tym, co agencja kwestionuje.
Dowiedz się, jak anonym.legal stosuje systemy zero-knowledge, odwiedzając stronę /security-compliance.
Proponowana Reguła Nadzoru Komercyjnego
Proponowana przez komisję reguła dotycząca śledzenia komercyjnego pozostaje w fazie oczekiwania na decyzję w 2025 roku. W przypadku uchwalenia stworzyłaby ona wyraźne przepisy federalne:
- Ograniczenia przechowywania danych do celów AI.
- Prawo do rezygnacji z automatycznego profilowania.
- Zakaz wykorzystywania zebranych danych do nowych celów.
- Zasady bezpieczeństwa dla przechowywanych danych osobowych.
Reguła ta wprowadzi obowiązki podobne do RODO dla każdej firmy obsługującej konsumentów w USA. Podniesie standardy prawa prywatności USA na szeroką skalę.
Przeczytaj o ograniczeniach przechowywania danych na stronie /docs/faq.
Źródła
- FTC: Federal Trade Commission. ftc.gov.
- FTC: Działania Egzekucyjne dotyczące AI 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Proponowane Zasady Nadzoru Komercyjnego. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.