FTC 5. Bölüm: ABD'de Yapay Zeka Gizliliği
2026 için güncellendi.
Federal Ticaret Komisyonu (FTC), ABD gizlilik hukukunu FTC Yasası'nın 5. Bölümü aracılığıyla uygular. Bu bölüm "haksız veya yanıltıcı uygulamaları" yasaklar. ABD'de GDPR benzeri tek bir federal gizlilik yasası bulunmuyor. Bununla birlikte kurum 2024 yılında yeni bir rekor kırdı.
2024: Rekor Bir Uygulama Yılı
Komisyon, 2024'te 19 yapay zeka bağlantılı eylem gerçekleştirdi. Bu sayı, önceki üç yılın toplamını geride bırakıyor. Bunun üzerine 25 aktif ABD eyalet gizlilik yasası da ekleniyor. Bunlar bir arada ABD'deki her şirket için karmaşık bir yük oluşturuyor.
2024'ün öne çıkan davaları:
Amazon Alexa (25 milyon dolar, 2023/devam ediyor): Amazon, COPPA ihlalleri nedeniyle 25 milyon dolar ödedi. Şirket, çocuklara ait ses dosyalarını belirtilen süreler geçtikten sonra da tutmaya devam etmişti. Kurum, Amazon'un bu dosyaları uygun izin alınmadan yapay zeka eğitiminde kullandığını belirtti. Amazon'a sakladığı dosyaları silmesi emredildi.
Meta'ya gençlere yönelik reklam yasağı: Federal düzenleyiciler, Meta'nın 18 yaş altı kullanıcılara ait kayıtları reklam amaçlı kullanmasını yasakladı. Bu karar mevcut bir rıza emri üzerine inşa edildi.
Yapay zeka veri aracısı eylemleri: Kurum, çeşitli aracılara karşı harekete geçti. Bu aracılar, uygun bildirim veya rıza olmadan yapay zekayla oluşturulmuş kişisel profiller satmıştı. Davalar temel bir kural belirledi: kişisel kayıtların yapay zekayla profilenmesi "hassas" işlem sayılıyor. Bu etiket ek bildirim yükümlülükleri doğuruyor.
Sağlık kaydı davaları: Komisyonun HIPAA kapsamına girmeyen sağlık kayıtları üzerinde de yetkisi var. Tüketici uygulamaları, giyilebilir cihazlar ve bazı teletıp firmaları buraya giriyor. 2024'teki çeşitli davalar, bu kayıtları uygun rıza olmadan paylaşan firmaları hedef aldı.
25 Eyalet Yasası: ABD'nin Yamalı Örtüsü
Tüm ABD sakinlerini kapsayan tek bir federal yasa yok. Bunun yerine 25 eyalet yasası birlikte ülkenin büyük çoğunluğunu kapsıyor.
Kaliforniya CPRA (2023'ten itibaren): En kapsamlı ABD eyalet yasası. 40 milyon eyalet sakinini kapsıyor. 25 milyon doların üzerinde geliri olan veya 100.000'den fazla eyalet tüketicisine ait kayıt tutan firmalara uygulanıyor. Tam zamanlı düzenleyici olarak California Gizlilik Koruma Ajansı'nı (CPPA) kurdu.
Virginia, Colorado, Connecticut: Benzer haklara sahip üç yasa daha. Birlikte 20 milyondan fazla sakini kapsıyor.
Teksas ve Florida: Bu iki büyük eyaletin de artık aktif gizlilik yasaları var.
Washington My Health MY Data Act: Kaliforniya dışındaki en güçlü ABD sağlık kaydı yasası. HIPAA'nın ötesinde tüketici sağlık uygulamalarına haklar tanıyor.
Tüm 50 eyaletteki firmalar için 25 yasa ortak bir çekirdek yükümlülükler seti paylaşıyor. Tüketici hakları, gizlilik bildirimleri, tedarikçi sözleşmeleri ve kayıt sınırları gerekli. Kesin kurallar eyaletten eyalete değişiyor.
Bu yükümlülüklerin nasıl üst üste geldiğini görmek için hukuki uyum kılavuzuna bakın.
2024 Eylemlerinin Teknik Ekipler İçin Anlamı
2024 davaları net teknik rehberlik sunuyor.
Eğitim kayıtları: Firmalar, hangi kişisel kayıtların hangi yapay zeka modelini eğittiğini takip etmek zorunda. Rızanın o eğitim kullanımını kapsadığını kanıtlamaları gerekiyor. Ayrıca hangi zaman sınırlarının geçerli olduğunu da doğrulamaları şart.
Amaç sınırları: Yapay zeka profilleri, kullanıcılara kayıt sırasında bildirilen kapsamın ötesinde kullanılamaz. Yalnızca reklam amacı açıklanmışken işe alım için davranış analizi yapmak 5. Bölüm ihlali sayılıyor.
Tedarikçi yükümlülükleri: Kurum, SaaS tedarikçilerini dağıtan firmanın riski olarak değerlendiriyor. Bir araç kullanıcı kayıtlarını işliyorsa bu bilgi gizlilik bildiriminde yer almalı. Tedarikçi davranışı belirtilen amaçlarla örtüşmeli.
Sıfır bilgi sistemleri: Yapay zeka tedarikçisi davalarının büyük çoğunluğu kayıtların açıklanmamış kullanımını hedef alıyor. Sıfır bilgi sistemi yalnızca şifrelenmiş dosyalar tutuyor. Tedarikçinin bunları açacak anahtarı yok. Kayıtları açıklanmayan biçimlerde kullanamıyor. Bu teknik gerçeklik, kurumun hedef aldığı durumlarla örtüşüyor.
anonym.legal'in sıfır bilgi sistemlerini nasıl kullandığını öğrenmek için /security-compliance sayfasına bakın.
Önerilen Ticari Gözetim Kuralı
Komisyonun ticari takiple ilgili önerilen kuralı 2025 itibarıyla beklemede. Kabul edilirse açık federal kurallar oluşacak.
- Yapay zeka kullanımı için kayıt sınırları.
- Otomatik profilleme için çıkış hakkı.
- Toplanan kayıtların yeni amaçlarla kullanım yasağı.
- Saklanan kişisel kayıtlar için güvenlik kuralları.
Bu kural, ABD tüketicilerine hizmet eden her firma için GDPR benzeri yükümlülükler getirecek. ABD gizlilik hukukunun tabanını geneli kaldıracak.
Kayıt sınırları hakkında bilgi için /docs/faq sayfasına bakın.
Kaynaklar
- FTC: Federal Ticaret Komisyonu. ftc.gov.
- FTC: 2024 Yapay Zeka Uygulama Eylemleri. ftc.gov/news-events/news/press-releases/.
- CPPA: California Gizlilik Koruma Ajansı. cppa.ca.gov.
- FTC: Önerilen Ticari Gözetim Kuralları. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.