FTC Seção 5: aplicação de IA em privacidade nos EUA
Atualizado para 2026.
A Federal Trade Commission (FTC) aplica a lei federal de privacidade dos EUA por meio da Seção 5 do FTC Act. Essa seção proíbe "práticas desleais ou enganosas." Não existe nos EUA uma lei federal única de privacidade comparável ao RGPD. Ainda assim, a agência bateu um novo recorde de fiscalização em 2024.
2024: Um ano de fiscalização sem precedentes
A comissão abriu 19 ações relacionadas a IA em 2024. Isso supera os três anos anteriores somados. A isso se somam 25 leis estaduais de privacidade ativas. Juntas, criam uma carga de conformidade comparável ao RGPD em complexidade.
Casos principais de 2024:
Amazon Alexa (US$ 25 milhões, 2023/em andamento): A Amazon pagou US$ 25 milhões por violações do COPPA. A empresa havia mantido arquivos de voz de crianças além dos prazos declarados. A agência concluiu que a Amazon usou esses arquivos para treinar modelos de IA sem o consentimento adequado. A Amazon foi obrigada a excluir os arquivos retidos.
Proibição à Meta de publicidade para menores: Os reguladores federais proibiram a Meta de usar registros de usuários menores de 18 anos para publicidade. Isso baseou-se em uma ordem de consentimento existente.
Ações contra corretores de dados IA: A agência atuou contra vários corretores. Esses vendiam perfis pessoais gerados por IA sem a divulgação ou o consentimento adequados. Os casos estabeleceram uma regra essencial: a criação de perfis de IA a partir de registros pessoais é processamento "sensível." Essa classificação ativa obrigações de divulgação reforçadas.
Casos de registros de saúde: A comissão tem competência sobre dados de saúde não cobertos pela HIPAA. Aplicativos de consumo, wearables e certas plataformas de telemedicina se enquadram aqui. Vários casos de 2024 atingiram empresas que compartilharam esses registros sem autorização.
25 leis estaduais: o mosaico de privacidade dos EUA
Nenhuma lei federal única protege todos os residentes dos EUA. Em vez disso, 25 leis estaduais cobrem coletivamente a maior parte da população.
California CPRA (desde 2023): A lei estadual mais abrangente dos EUA. Protege 40 milhões de californianos. Aplica-se a empresas com mais de US$ 25 milhões em receita ou que processem registros de 100 000+ consumidores da Califórnia. Criou a California Privacy Protection Agency (CPPA) como órgão regulador dedicado.
Virginia VCDPA, Colorado CPA, Connecticut CTDPA: Três leis adicionais com direitos semelhantes. Juntas cobrem vários milhões de residentes.
Texas TDPSA, Florida FDBR: Dois grandes estados com leis de privacidade ativas.
Washington My Health MY Data Act: A lei de registros de saúde mais rigorosa dos EUA fora da Califórnia. Estende as proteções além da HIPAA para aplicativos de saúde ao consumidor.
Para empresas que operam em todo o país, as 25 leis compartilham um conjunto básico de obrigações. Direitos do consumidor, avisos de privacidade, contratos com fornecedores e minimização de registros são todos necessários. As regras específicas variam por estado.
Consulte o guia de conformidade legal para ver como essas obrigações se articulam.
O que as ações de 2024 significam tecnicamente
As ações de 2024 oferecem orientação técnica clara.
Transparência nos dados de treinamento: As empresas devem documentar quais registros pessoais treinaram cada modelo de IA. Devem demonstrar que o consentimento cobria esse uso. Devem também confirmar os prazos de retenção aplicados.
Limitação de finalidade: Os perfis gerados por IA não podem ser usados além do que foi comunicado no momento da coleta. Usar análise de comportamento para contratação quando apenas publicidade foi declarada é uma violação da Seção 5.
Obrigações com fornecedores: A agência trata os fornecedores SaaS como responsabilidade da empresa que os implanta. Se uma ferramenta processa registros de usuários, isso deve constar nos avisos de privacidade. A conduta do fornecedor deve corresponder às finalidades declaradas.
Sistemas de conhecimento zero: O cerne dos casos de fornecedores de IA é o uso não divulgado de registros. Um sistema de conhecimento zero mantém apenas arquivos criptografados. O fornecedor não tem a chave para decifrá-los. Não pode usar os registros de formas não declaradas. Esse limite técnico alinha-se diretamente com o que os reguladores federais visam.
Saiba o que o início de sessão de conhecimento zero da anonym.legal abrange em /security-compliance.
Regra proposta sobre vigilância comercial
A regra proposta pela comissão sobre rastreamento comercial está pendente desde 2025. Se aprovada, criará regras federais explícitas.
- Minimização de registros para uso de IA.
- Direito de oposição à elaboração automatizada de perfis.
- Proibição de usar registros coletados para novas finalidades.
- Regras de segurança para registros pessoais armazenados.
Essa regra estabeleceria obrigações de minimização semelhantes ao RGPD para qualquer empresa que atenda consumidores dos EUA. Elevaria significativamente o nível de conformidade em todo o mercado americano.
Leia mais sobre minimização de registros em /docs/faq.
Fontes
- FTC: Federal Trade Commission. ftc.gov.
- FTC: Ações de fiscalização relacionadas a IA em 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Regras propostas sobre vigilância comercial. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.