FTC Section 5: AI-integritet i USA
Uppdaterat för 2026.
Federal Trade Commission (FTC) tillämpar amerikansk integritetslag via Section 5 i FTC Act. Den paragrafen förbjuder "orättvisa eller vilseledande affärsmetoder". Ingen enskild federal integritetslag liknande GDPR finns i USA. Ändå satte myndigheten nytt rekord 2024.
2024: Ett rekordår för tillsyn
Kommissionen genomförde 19 AI-relaterade åtgärder 2024. Det överträffar de tre föregående åren sammantaget. Därtill kommer 25 aktiva delstatliga integritetslagar. Tillsammans skapar de en komplex börda för alla företag verksamma i USA.
Viktiga ärenden 2024:
Amazon Alexa (25 miljoner dollar, 2023/pågående): Amazon betalade 25 miljoner dollar för COPPA-överträdelser. Företaget hade sparat barns röstfiler längre än angivet. Myndigheten konstaterade att Amazon använde dessa filer för AI-träning utan korrekt samtycke. Amazon beordrades att radera de sparade filerna.
Meta-förbud mot annonsanvändning för tonåringar: Federala tillsynsmyndigheter förbjöd Meta att använda uppgifter om användare under 18 år för reklam. Detta byggde vidare på ett befintligt samtyckesavtal.
AI-datamäklare: Myndigheten vidtog åtgärder mot flera datamäklare. Dessa mäklare sålde AI-byggda personprofiler utan korrekt information eller samtycke. Ärendena fastställde en viktig regel: AI-profilering av personuppgifter är "känslig" behandling. Den beteckningen utlöser utökade informationsskyldigheter.
Hälsojournalärenden: Kommissionen har befogenhet över hälsojournaler som inte täcks av HIPAA. Konsumentappar, bärbara enheter och vissa telehealth-företag omfattas här. Flera ärenden 2024 drabbade företag som delade dessa uppgifter utan korrekt samtycke.
25 delstatslagar: USA:s lapptäcke
Ingen enskild federal lag täcker alla amerikanska medborgare. I stället täcker 25 delstatslagar tillsammans merparten av landet.
California CPRA (från 2023): Den bredaste delstatliga lagen i USA. Den täcker 40 miljoner delstatsbor. Den gäller för företag med en omsättning över 25 miljoner dollar eller som innehar uppgifter om 100 000 eller fler delstatsbor. Den inrättade California Privacy Protection Agency (CPPA) som en heltidsreglerare.
Virginia, Colorado, Connecticut: Tre ytterligare lagar med liknande rättigheter. De täcker sammantaget över 20 miljoner invånare.
Texas och Florida: Två stora delstater har nu också aktiva integritetslagar.
Washington My Health MY Data Act: Den starkaste hälsodatalagen i USA utanför Kalifornien. Den utvidgar rättigheterna bortom HIPAA till konsumenthälsoappar.
För företag verksamma i alla 50 delstater delar de 25 lagarna en gemensam kärna av skyldigheter. Konsumenträttigheter, integritetspolicyer, leverantörsavtal och datalagringsgränser är alla obligatoriska. De exakta reglerna varierar per delstat.
Se juridisk efterlevnadsguide för hur dessa skyldigheter staplas.
Vad 2024 års åtgärder innebär för teknikteam
2024 års ärenden ger tydlig teknisk vägledning.
Träningsuppgifter: Företag måste spåra vilka personuppgifter som tränade varje AI-modell. De måste visa att samtycket täckte den träningsanvändningen. De måste också bekräfta vilka tidsbegränsningar som gällde.
Ändamålsbegränsning: AI-profiler får inte användas utöver vad som kommunicerades till användarna vid registrering. Att använda beteendeanalys för rekrytering när bara reklam uppgavs är en Section 5-överträdelse.
Leverantörsskyldigheter: Myndigheten betraktar SaaS-leverantörer som det driftsättande företagets risk. Om ett verktyg behandlar användaruppgifter måste det framgå av integritetspolicyn. Leverantörens agerande måste stämma överens med angivna ändamål.
Nollkunskapssystem: De flesta AI-leverantörsärenden riktar sig mot icke-redovisad användning av uppgifter. Ett nollkunskapssystem sparar bara krypterade filer. Leverantören saknar nyckel för att öppna dem. Det kan inte använda uppgifter på sätt som inte redovisats. Detta tekniska faktum sammanfaller med vad myndigheten riktar in sig på.
Läs om hur anonym.legal använder nollkunskapssystem på /security-compliance.
Föreslagen regel om kommersiell övervakning
Kommissionens föreslagna regel om kommersiell spårning är under behandling per 2025. Om den antas skulle den skapa explicita federala regler.
- Databegränsningar för AI-användning.
- Rätt att avsäga sig automatiserad profilering.
- Förbud mot att använda insamlade uppgifter för nya ändamål.
- Säkerhetskrav för lagrade personuppgifter.
Denna regel skulle lägga till GDPR-liknande skyldigheter för alla företag som betjänar amerikanska konsumenter. Den skulle höja golvet för amerikansk integritetslag i stort.
Läs om databegränsning på /docs/faq.
Källor
- FTC: Federal Trade Commission. ftc.gov.
- FTC: AI-tillsynsåtgärder 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Förslag till regler för kommersiell övervakning. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.