FTC Розділ 5: конфіденційність ШІ у США
Оновлено для 2026 року.
Федеральна торгова комісія (FTC) забезпечує дотримання законодавства США про конфіденційність через Розділ 5 Закону про FTC. Цей розділ забороняє «несправедливі або оманливі практики». В США немає єдиного федерального закону про конфіденційність на кшталт GDPR. Проте у 2024 році агентство встановило новий рекорд.
2024: рекордний рік правозастосування
У 2024 році комісія ініціювала 19 справ, пов'язаних зі штучним інтелектом. Це більше, ніж за попередні три роки разом. Додайте до цього 25 діючих законів штатів про конфіденційність. Разом вони створюють складне навантаження для будь-якої компанії в США.
Ключові справи 2024 року:
Amazon Alexa ($25 млн, 2023/триваюча): Amazon сплатила $25 млн за порушення закону COPPA. Компанія зберігала голосові файли дітей понад заявлені терміни. Агентство встановило, що Amazon використовувала ці файли для навчання ШІ без належної згоди. Amazon зобов'язали видалити збережені файли.
Заборона Meta на рекламу для підлітків: Федеральні регулятори заборонили Meta використовувати записи про користувачів до 18 років для реклами. Це стало продовженням раніше укладеного наказу про згоду.
Дії проти брокерів даних на основі ШІ: Агентство вжило заходів проти кількох брокерів. Ці брокери продавали персональні профілі, побудовані за допомогою ШІ, без належного повідомлення чи згоди. Справи встановили ключове правило: профілювання персональних даних за допомогою ШІ є «чутливою» обробкою. Це визначення тягне за собою додаткові обов'язки щодо сповіщення.
Справи про медичні записи: Комісія має повноваження щодо медичних записів, які не охоплює HIPAA. Сюди відносяться споживчі додатки, носимі пристрої та деякі телемедичні компанії. Кілька справ 2024 року стосувалися компаній, що передавали ці записи без належної згоди.
25 законів штатів: американська клаптева ковдра
Єдиного федерального закону, що охоплює всіх мешканців США, не існує. Натомість 25 законів штатів разом охоплюють більшість населення країни.
Каліфорнійський CPRA (з 2023 року): Найширший закон штату в США. Він охоплює 40 мільйонів мешканців штату. Поширюється на компанії з річним доходом понад $25 млн або що мають записи про 100 000+ споживачів штату. Закон створив Каліфорнійське агентство з захисту конфіденційності (CPPA) як постійний регуляторний орган.
Вірджинія, Колорадо, Коннектикут: Ще три закони зі схожими правами. Разом вони охоплюють понад 20 мільйонів мешканців.
Техас і Флорида: Два великі штати також мають діючі закони про конфіденційність.
Закон Вашингтону «Мої дані про здоров'я — мої»: Найсуворіший закон США про медичні записи за межами Каліфорнії. Він поширює права за межі HIPAA на споживчі медичні додатки.
Для компаній, що працюють у всіх 50 штатах, 25 законів мають спільний набір обов'язків. Права споживачів, повідомлення про конфіденційність, договори з постачальниками та обмеження на зберігання записів — все це обов'язково. Конкретні правила різняться залежно від штату.
Дивіться посібник із дотримання законодавства, щоб зрозуміти, як ці обов'язки накладаються одне на одного.
Що дії 2024 року означають для технічних команд
Справи 2024 року дають чіткі технічні орієнтири.
Записи для навчання: Компанії повинні відстежувати, які персональні записи навчили кожну модель ШІ. Вони повинні підтвердити, що згода охоплювала це навчальне використання. Їм також слід підтвердити, які часові обмеження були встановлені.
Обмеження цілі: Профілі ШІ не можна використовувати поза тим, про що було повідомлено користувачам під час реєстрації. Використання аналізу поведінки для найму персоналу, якщо розкрито лише рекламні цілі — це порушення Розділу 5.
Обов'язки щодо постачальників: Агентство розглядає SaaS-постачальників як ризик компанії, що розгортає рішення. Якщо інструмент обробляє записи користувачів, це має бути зазначено в повідомленні про конфіденційність. Дії постачальника мають відповідати заявленим цілям.
Системи з нульовим знанням: Більшість справ проти постачальників ШІ стосуються нерозкритого використання записів. Система з нульовим знанням зберігає лише зашифровані файли. Постачальник не має ключа для їх відкриття. Він не може використовувати записи способами, які не були розкриті. Цей технічний факт відповідає тому, що агентство переслідує.
Дізнайтеся, як anonym.legal використовує системи з нульовим знанням, на сторінці /security-compliance.
Запропоноване правило про комерційне стеження
Запропоноване комісією правило щодо комерційного відстеження перебуває на розгляді станом на 2025 рік. У разі ухвалення воно створить чіткі федеральні правила.
- Обмеження на записи для використання в ШІ.
- Право на відмову від автоматизованого профілювання.
- Заборони на використання зібраних записів для нових цілей.
- Правила безпеки для збережених персональних записів.
Це правило запровадить обов'язки на кшталт GDPR для будь-якої компанії, що обслуговує американських споживачів. Воно підніме мінімальну планку законодавства США про конфіденційність у цілому.
Читайте про обмеження на записи у /docs/faq.
Джерела
- FTC: Federal Trade Commission. ftc.gov.
- FTC: Дії щодо ШІ у 2024 році. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Запропоновані правила щодо комерційного стеження. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.