Secțiunea 5 FTC: Confidențialitatea IA în SUA
Actualizat pentru 2026.
Comisia Federală pentru Comerț (FTC) aplică legea privind confidențialitatea în SUA prin Secțiunea 5 a Legii FTC. Această secțiune interzice „practicile neloiale sau înșelătoare”. Nu există o lege federală unică privind confidențialitatea, similară GDPR, în SUA. Cu toate acestea, agenția a stabilit un record în 2024.
2024: Un an de aplicare record
Comisia a emis 19 acțiuni legate de IA în 2024. Aceasta depășește totalul celor trei ani anteriori combinați. Se adaugă 25 de legi statale active privind confidențialitatea. Împreună, creează o sarcină complexă pentru orice companie care operează în SUA.
Cazuri cheie din 2024:
Amazon Alexa (25 milioane de dolari, 2023/în curs): Amazon a plătit 25 de milioane de dolari pentru încălcări COPPA. Compania păstrase fișiere vocale ale copiilor după termenele declarate. Agenția a constatat că Amazon a folosit acele fișiere pentru a antrena IA fără consimțământul corespunzător. Amazon a primit ordin să șteargă fișierele reținute.
Interdicție Meta privind publicitatea pentru adolescenți: Autoritățile federale au interzis Meta să utilizeze înregistrările utilizatorilor sub 18 ani pentru publicitate. Aceasta a extins un ordin de consimțământ existent.
Acțiuni împotriva brokerilor de date IA: Agenția a luat măsuri împotriva mai multor brokeri care vindeau profiluri personale construite prin IA fără notificare sau consimțământ corespunzător. Cazurile au stabilit o regulă fundamentală: profilarea IA a datelor cu caracter personal constituie prelucrare „sensibilă”, care declanșează obligații suplimentare de notificare.
Cazuri privind dosarele medicale: Comisia are competență asupra dosarelor medicale care nu intră sub incidența HIPAA. Aplicațiile pentru consumatori, dispozitivele wearable și unele firme de telesănătate se încadrează aici. Mai multe cazuri din 2024 au vizat firme care împărtășeau aceste dosare fără consimțământul corespunzător.
25 de legi statale: mozaicul american
Nicio lege federală nu acoperă toți rezidenții din SUA. În schimb, 25 de legi statale acoperă împreună cea mai mare parte a țării.
California CPRA (din 2023): Cea mai amplă lege statală privind confidențialitatea din SUA. Acoperă 40 de milioane de rezidenți. Se aplică firmelor cu venituri peste 25 de milioane de dolari sau care dețin înregistrări despre peste 100.000 de consumatori din stat. A înființat California Privacy Protection Agency (CPPA) ca autoritate de reglementare dedicată.
Virginia, Colorado, Connecticut: Alte trei legi cu drepturi similare. Acoperă peste 20 de milioane de rezidenți combinat.
Texas și Florida: Două state mari au acum legi active privind confidențialitatea.
Washington My Health MY Data Act: Cea mai puternică lege americană privind datele medicale, în afara Californiei. Extinde drepturile dincolo de HIPAA la aplicațiile de sănătate pentru consumatori.
Pentru firmele din toate cele 50 de state, cele 25 de legi au un set comun de obligații: drepturile consumatorilor, notificările privind confidențialitatea, contractele cu furnizorii și limitele de retenție a datelor sunt toate obligatorii. Regulile exacte variază de la stat la stat.
Consultați ghidul de conformitate legală pentru modul în care aceste obligații se suprapun.
Ce înseamnă acțiunile din 2024 pentru echipele tehnice
Cazurile din 2024 oferă îndrumări tehnice clare.
Înregistrările de antrenare: Firmele trebuie să urmărească ce înregistrări cu caracter personal au antrenat fiecare model IA. Trebuie să demonstreze că consimțământul a acoperit acel scop de antrenare și să confirme ce limite de timp s-au aplicat.
Limitele de scop: Profilurile IA nu pot fi utilizate dincolo de ce s-a comunicat utilizatorilor la înregistrare. Utilizarea analizei comportamentale pentru angajare, când s-a declarat doar publicitate, constituie o încălcare a Secțiunii 5.
Obligațiile față de furnizori: Agenția tratează furnizorii SaaS ca risc al firmei care îi utilizează. Dacă un instrument prelucrează înregistrările utilizatorilor, aceasta trebuie menționată în notificarea privind confidențialitatea. Conduita furnizorului trebuie să corespundă scopurilor declarate.
Sisteme zero-knowledge: Majoritatea cazurilor FTC împotriva furnizorilor IA vizează utilizarea nedeclarată a înregistrărilor. Un sistem zero-knowledge stochează doar fișiere criptate. Furnizorul nu deține cheia de decriptare și nu poate utiliza înregistrările în moduri care nu au fost declarate. Acest fapt tehnic se aliniază exact cu ce vizează agenția.
Aflați cum anonym.legal utilizează sisteme zero-knowledge la /security-compliance.
Regula propusă privind supravegherea comercială
Regula propusă de comisie privind urmărirea comercială era în așteptare în 2025. Dacă ar fi adoptată, ar crea reguli federale explicite:
- Limite de retenție pentru utilizarea IA.
- Drepturi de retragere pentru profilarea automatizată.
- Interdicții privind utilizarea datelor colectate în scopuri noi.
- Reguli de securitate pentru înregistrările cu caracter personal stocate.
Această regulă ar adăuga obligații similare GDPR pentru orice firmă care deservește consumatori din SUA și ar ridica standardul minim al legislației americane privind confidențialitatea.
Citiți despre limitele de retenție a datelor la /docs/faq.
Surse
- FTC: Federal Trade Commission. ftc.gov.
- FTC: Acțiuni de aplicare IA 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Reguli propuse privind supravegherea comercială. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.