FTC, раздел 5: конфиденциальность ИИ в США
Обновлено в 2026 году.
Федеральная торговая комиссия (FTC) обеспечивает соблюдение законодательства США о конфиденциальности на основании раздела 5 Закона о FTC. Этот раздел запрещает «несправедливые или вводящие в заблуждение практики». Единого федерального закона о конфиденциальности, аналогичного GDPR, в США нет. Тем не менее в 2024 году агентство установило новый рекорд.
2024 год: рекордный год правоприменения
Комиссия возбудила 19 дел, связанных с ИИ, в 2024 году. Это больше, чем за предыдущие три года вместе взятые. Вдобавок к этому действуют 25 активных законов о конфиденциальности в штатах США. В совокупности они создают сложное бремя для любой компании, работающей в США.
Ключевые дела 2024 года:
Amazon Alexa ($25 млн, 2023 год / продолжается): Amazon выплатила $25 млн штрафа за нарушения COPPA. Компания хранила голосовые файлы детей дольше установленных сроков. Агентство установило, что Amazon использовала эти файлы для обучения ИИ без надлежащего согласия. Amazon получила предписание удалить сохранённые файлы.
Запрет Meta на использование данных подростков в рекламе: федеральные регуляторы запретили Meta использовать данные пользователей до 18 лет для рекламы. Это решение стало продолжением существующего предписания о согласии.
Дела против брокеров данных в сфере ИИ: агентство предприняло меры против нескольких брокеров, которые продавали персональные профили, созданные с помощью ИИ, без надлежащего уведомления или согласия. Дела закрепили важный принцип: профилирование с помощью ИИ на основе персональных данных является «чувствительной» обработкой, что влечёт дополнительные обязанности по уведомлению.
Дела о медицинских данных: комиссия контролирует медицинские данные, не охваченные HIPAA. Потребительские приложения, носимые устройства и некоторые телемедицинские компании попадают под её надзор. Несколько дел 2024 года затронули компании, передававшие такие данные без надлежащего согласия.
25 законов штатов: лоскутное одеяло США
Единого федерального закона, распространяющегося на всех жителей США, не существует. Вместо него 25 законов штатов совокупно охватывают большую часть страны.
CPRA Калифорнии (с 2023 года): наиболее широкий закон о конфиденциальности в США на уровне штата. Распространяется на 40 миллионов жителей штата. Применяется к компаниям с годовой выручкой свыше $25 млн или обрабатывающим данные более 100 000 потребителей штата. Учредил Калифорнийское агентство по защите конфиденциальности (CPPA) в качестве полноценного регулятора.
Вирджиния, Колорадо, Коннектикут: три дополнительных закона со схожим набором прав. Совокупно охватывают более 20 миллионов жителей.
Техас и Флорида: два крупных штата также приняли активные законы о конфиденциальности.
Закон Вашингтона «Мои данные о здоровье — мои данные»: сильнейший закон о медицинских данных в США за пределами Калифорнии. Расширяет права потребительских медицинских приложений за рамки HIPAA.
Для компаний, работающих во всех 50 штатах, 25 законов разделяют общий набор обязательств: права потребителей, уведомления о конфиденциальности, договоры с поставщиками и ограничения на хранение данных — всё это обязательно. Конкретные правила варьируются по штатам.
См. руководство по юридическому соответствию о том, как эти обязательства сочетаются.
Что означают дела 2024 года для технических команд
Дела 2024 года дают чёткие технические ориентиры.
Данные для обучения: компании должны отслеживать, какие персональные данные обучали каждую модель ИИ. Они должны подтвердить, что согласие распространялось на это использование в целях обучения, и зафиксировать применявшиеся сроки хранения.
Ограничения целей: профили ИИ нельзя использовать иначе, чем было сообщено пользователям при регистрации. Применение поведенческого анализа для найма, когда было заявлено только использование в рекламных целях, — это нарушение раздела 5.
Обязательства в отношении поставщиков: агентство рассматривает действия SaaS-поставщиков как риск развёртывающей компании. Если инструмент обрабатывает данные пользователей, это должно быть отражено в уведомлении о конфиденциальности. Действия поставщика должны соответствовать заявленным целям.
Системы с нулевым разглашением: большинство дел с участием ИИ-поставщиков связаны с нераскрытым использованием данных. Система с нулевым разглашением хранит только зашифрованные файлы. У поставщика нет ключа для их расшифровки. Он не может использовать данные способами, которые не были раскрыты. Этот технический факт соответствует тому, на что направлена деятельность агентства.
Узнайте, как anonym.legal использует системы с нулевым разглашением, на странице /security-compliance.
Предложенное правило о коммерческом слежении
Предложенное комиссией правило о коммерческом отслеживании находилось на рассмотрении по состоянию на 2025 год. В случае принятия оно создаст явные федеральные правила.
- Ограничения данных для использования в целях ИИ.
- Право на отказ от автоматизированного профилирования.
- Запрет на использование собранных данных в новых целях.
- Требования безопасности для хранения персональных данных.
Это правило создаст обязательства, схожие с GDPR, для любой компании, обслуживающей потребителей в США, и поднимет общий стандарт американского законодательства о конфиденциальности.
Читайте об ограничениях данных на странице /docs/faq.
Источники
- FTC: Федеральная торговая комиссия. ftc.gov.
- FTC: Правоприменительные действия в области ИИ, 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: Калифорнийское агентство по защите конфиденциальности. cppa.ca.gov.
- FTC: Предложенные правила коммерческого слежения. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.