FTC Section 5: Ochrana súkromia pri AI v USA
Aktualizované pre rok 2026.
Federálna obchodná komisia (FTC) presadzuje americké právo na ochranu súkromia prostredníctvom Section 5 zákona FTC Act. Toto ustanovenie zakazuje "nekalé alebo zavádzajúce praktiky." V USA neexistuje jednotný federálny zákon o ochrane súkromia podobný GDPR. Napriek tomu agentúra v roku 2024 dosiahla nový rekord.
2024: Rekordný rok v presadzovaní
Komisia vydala v roku 2024 celkovo 19 opatrení súvisiacich s AI. To prekonáva súhrnný počet z predchádzajúcich troch rokov. K tomu pristupuje 25 aktívnych štátnych zákonov o ochrane súkromia v USA. Spolu vytvárajú komplexnú záťaž pre každú firmu pôsobiacu v USA.
Kľúcové prípady z roku 2024:
Amazon Alexa (25 mil. USD, 2023/prebiehajúci): Amazon zaplatil 25 miliónov dolárov za porušenie COPPA. Uchoval hlasové záznamy detí dlhšie, ako bolo uvedené. Agentúra uviedla, že Amazon použil tieto záznamy na tréning AI bez riadneho súhlasu. Amazon dostal príkaz vymazať uchované záznamy.
Zákaz používania záznamov tínedžerov v reklamách Meta: Federálni regulátori zakázali Meta používať záznamy používateľov mladších ako 18 rokov na reklamy. Toto nadväzuje na existujúci súhlas.
Opatrenia voči sprostredkovateľom AI údajov: Agentúra prijala opatrenia voči viacerým sprostredkovateľom, ktorí predávali osobné profily vytvorené umelou inteligenciou bez riadneho oznámenia alebo súhlasu. Prípady stanovili kľúcové pravidlo: profilovanie osobných záznamov pomocou AI je "citlivé" spracovanie, čo spúšťa ďalšie povinnosti oznamovania.
Prípady zdravotných záznamov: Komisia má právomoc nad zdravotnými záznamami, na ktoré sa nevzťahuje HIPAA. Patria sem spotrebiteľské aplikácie, nositeľné zariadenia a niektoré firmy poskytujúce telehealth. Niekoľko prípadov z roku 2024 sa týkalo firiem, ktoré zdieľali tieto záznamy bez riadneho súhlasu.
25 štátnych zákonov: americká mozaika
Žiadny jednotný federálny zákon sa nevzťahuje na všetkých obyvateľov USA. Namiesto toho 25 štátnych zákonov spoločne pokrýva väčšinu krajiny.
Kalifornia CPRA (od roku 2023): Najširší americký štátny zákon. Vzťahuje sa na 40 miliónov obyvateľov štátu. Platí pre firmy s príjmami nad 25 miliónov dolárov alebo pre tie, ktoré uchovávajú záznamy o viac ako 100 000 spotrebiteľoch štátu. Zriadil Kalifornský úrad na ochranu súkromia (CPPA) ako plnohodnotného regulátora.
Virginia, Colorado, Connecticut: Tri ďalšie zákony s podobnými právami. Spolu pokrývajú viac ako 20 miliónov obyvateľov.
Texas a Florida: Dva veľké štáty majú teraz tiež aktívne zákony o ochrane súkromia.
Washington My Health MY Data Act: Najsilnejší americký zákon o zdravotných záznamoch mimo Kalifornie. Rozširuje práva nad rámec HIPAA na spotrebiteľské zdravotné aplikácie.
Pre firmy vo všetkých 50 štátoch zdieľa 25 zákonov základnú sadu povinností. Vyžadujú sa práva spotrebiteľov, oznámenia o ochrane súkromia, zmluvy s dodávateľmi a limity uchovávania záznamov. Presné pravidlá sa líšia podľa štátu.
Pozrite si sprievodcu právnym súladom pre prehľad, ako sa tieto povinnosti kumulujú.
Čo opatrenia z roku 2024 znamenajú pre technické tímy
Prípady z roku 2024 poskytujú jasnú technickú orientáciu.
Tréningové záznamy: Firmy musia sledovať, ktoré osobné záznamy trénovali každý model AI. Musia preukázať, že súhlas pokrýval toto tréningové použitie. Musia tiež potvrdiť, aké časové limity platili.
Obmedzenia účelu: Profily AI nemožno použiť nad rámec toho, čo bolo používateľom pri registrácii oznámené. Použitie analýzy správania pri nábore zamestnancov, keď boli zverejnené iba reklamy, je porušením Section 5.
Povinnosti voči dodávateľom: Agentúra považuje dodávateľov SaaS za riziko spoločnosti, ktorá ich nasadzuje. Ak nástroj spracúva záznamy používateľov, musí to byť uvedené v oznámení o ochrane súkromia. Správanie dodávateľa musí zodpovedať uvedeným účelom.
Systémy s nulovými znalosťami: Väčšina prípadov dodávateľov AI sa týka nezverejneného používania záznamov. Systém s nulovými znalosťami uchováva iba šifrované súbory. Dodávateľ nemá kľúč na ich otvorenie. Nemôže používať záznamy spôsobmi, ktoré neboli zverejnené. Tento technický fakt je v súlade s tým, čo agentúra sleduje.
Zistite, ako anonym.legal používa systémy s nulovými znalosťami na /security-compliance.
Navrhované pravidlo o komerčnom sledovaní
Navrhované pravidlo komisie o komerčnom sledovaní je k roku 2025 v procese schvaľovania. Ak bude prijaté, vytvorí explicitné federálne pravidlá.
- Limity záznamov pre používanie AI.
- Právo na odhlásenie z automatizovaného profilovania.
- Zákazy používania zozbieraných záznamov na nové účely.
- Bezpecnostné pravidlá pre uchované osobné záznamy.
Toto pravidlo by pre akúkoľvek firmu obsluhujúcu amerických spotrebiteľov pridalo povinnosti podobné GDPR. Celoplošne by zvýšilo úroveň amerického práva na ochranu súkromia.
Prečítajte si o limitoch záznamov na /docs/faq.
Zdroje
- FTC: Federal Trade Commission. ftc.gov.
- FTC: AI Enforcement Actions 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Proposed Commercial Surveillance Rules. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.