FTC Điều 5: Quyền Riêng Tư AI Tại Mỹ
Cập nhật cho năm 2026.
Ủy ban Thương mại Liên bang (FTC) thực thi luật bảo mật liên bang Mỹ chủ yếu thông qua Điều 5 của Đạo luật FTC. Điều khoản này cấm "các hành vi không công bằng hoặc lừa dối". Mỹ không có một luật bảo mật liên bang toàn diện tương đương GDPR. Tuy nhiên, cơ quan này đã lập kỷ lục mới trong năm 2024.
2024: Năm Thực Thi Kỷ Lục
Ủy ban ban hành 19 hành động thực thi liên quan đến AI trong năm 2024. Con số này vượt qua tổng số ba năm trước cộng lại. Cộng thêm 25 luật bảo mật tiểu bang Mỹ đang có hiệu lực. Cùng nhau, chúng tạo ra gánh nặng tuân thủ phức tạp cho bất kỳ công ty nào hoạt động tại Mỹ.
Các vụ điển hình năm 2024:
Amazon Alexa (25 triệu USD, 2023/đang tiếp diễn): Amazon phải nộp phạt 25 triệu USD vì vi phạm COPPA. Công ty đã lưu giữ các tệp giọng nói của trẻ em vượt quá thời hạn quy định. Cơ quan xác định Amazon đã dùng các tệp này để huấn luyện AI mà không có sự đồng ý phù hợp. Amazon bị lệnh xóa các tệp đã lưu.
Lệnh cấm quảng cáo nhắm mục tiêu trẻ vị thành niên của Meta: Cơ quan quản lý liên bang cấm Meta sử dụng dữ liệu người dùng dưới 18 tuổi cho mục đích quảng cáo. Quyết định này được xây dựng trên lệnh đồng thuận hiện có.
Hành động đối với môi giới dữ liệu AI: Cơ quan thực hiện hành động chống lại nhiều môi giới đã bán hồ sơ cá nhân được phân tích bởi AI mà không có thông báo hay sự đồng ý phù hợp. Các vụ việc thiết lập một quy tắc quan trọng: việc AI xây dựng hồ sơ từ dữ liệu cá nhân được coi là xử lý "nhạy cảm", kéo theo nghĩa vụ công bố thông tin bổ sung.
Vụ hồ sơ sức khỏe: Ủy ban có thẩm quyền đối với dữ liệu sức khỏe không thuộc phạm vi HIPAA — bao gồm ứng dụng tiêu dùng, thiết bị đeo và một số nền tảng telehealth. Một số vụ năm 2024 nhắm vào các công ty chia sẻ dữ liệu này mà không có sự đồng ý phù hợp.
25 Luật Tiểu Bang: Bức Tranh Chắp Vá Của Mỹ
Mỹ không có một luật liên bang duy nhất bao phủ toàn bộ dân cư. Thay vào đó, 25 luật tiểu bang cùng nhau phủ sóng đại bộ phận đất nước.
California CPRA (có hiệu lực từ 2023): Luật tiểu bang toàn diện nhất của Mỹ. Bao phủ 40 triệu dân California. Áp dụng với công ty có doanh thu trên 25 triệu USD hoặc lưu trữ dữ liệu của hơn 100.000 người tiêu dùng tiểu bang. Thành lập Cơ quan Bảo vệ Quyền Riêng Tư California (CPPA) là cơ quan thực thi chuyên trách.
Virginia, Colorado, Connecticut: Ba luật khác với các quyền tương tự. Cùng bao phủ hơn 20 triệu dân.
Texas và Florida: Hai tiểu bang lớn này hiện cũng có luật bảo mật đang hoạt động.
Washington My Health MY Data Act: Luật bảo vệ dữ liệu sức khỏe mạnh nhất của Mỹ bên ngoài California. Mở rộng quyền bảo vệ vượt ra ngoài HIPAA đến các ứng dụng sức khỏe dành cho người tiêu dùng.
Với các công ty hoạt động trên tất cả 50 tiểu bang, 25 luật này chia sẻ một tập nghĩa vụ cốt lõi. Quyền người tiêu dùng, thông báo bảo mật, hợp đồng nhà cung cấp và giới hạn dữ liệu — tất cả đều bắt buộc. Quy tắc cụ thể khác nhau theo từng tiểu bang.
Xem hướng dẫn tuân thủ pháp lý để biết cách các nghĩa vụ này chồng chéo nhau.
Ý Nghĩa Của Các Hành Động 2024 Đối Với Đội Ngũ Kỹ Thuật
Các vụ việc năm 2024 cung cấp hướng dẫn kỹ thuật rõ ràng.
Dữ liệu đào tạo: Công ty phải theo dõi dữ liệu cá nhân nào được dùng để đào tạo từng mô hình AI. Họ phải chứng minh sự đồng ý bao gồm mục đích đào tạo đó. Họ cũng phải xác nhận thời hạn lưu giữ áp dụng.
Giới hạn mục đích: Hồ sơ được tạo bởi AI không thể dùng cho mục đích vượt quá những gì đã thông báo cho người dùng khi đăng ký. Dùng phân tích hành vi cho tuyển dụng trong khi chỉ công bố mục đích quảng cáo là vi phạm Điều 5.
Nghĩa vụ nhà cung cấp: Cơ quan coi nhà cung cấp SaaS truy cập và lưu giữ dữ liệu người dùng là rủi ro tuân thủ của công ty triển khai. Nếu một công cụ xử lý dữ liệu người dùng, điều này phải được nêu trong thông báo bảo mật. Hành vi của nhà cung cấp phải phù hợp với mục đích đã công bố.
Kiến trúc zero-knowledge và tuân thủ FTC: Mối lo ngại cốt lõi của FTC trong các vụ nhà cung cấp AI là việc nhà cung cấp thu thập, lưu giữ và sử dụng dữ liệu người dùng ngoài phạm vi đã công bố. Kiến trúc zero-knowledge — nơi hệ thống của nhà cung cấp chỉ lưu trữ dữ liệu đã mã hóa mà không có khả năng giải mã — đồng nghĩa với việc nhà cung cấp không thể sử dụng dữ liệu theo cách không được tiết lộ. Giới hạn kỹ thuật này trực tiếp phù hợp với ưu tiên thực thi của FTC.
Tìm hiểu cách anonym.legal sử dụng hệ thống zero-knowledge tại /security-compliance.
Quy Tắc Giám Sát Thương Mại Được Đề Xuất
Quy tắc được FTC đề xuất về các hành vi giám sát thương mại vẫn đang chờ xử lý tính đến năm 2025. Nếu được thông qua, quy tắc này sẽ tạo ra các yêu cầu liên bang rõ ràng về:
- Tối thiểu hóa dữ liệu cho xử lý AI.
- Quyền từ chối (opt-out) đối với việc xây dựng hồ sơ tự động.
- Giới hạn sử dụng thứ cấp dữ liệu được thu thập cho một mục đích.
- Yêu cầu bảo mật cho dữ liệu cá nhân được lưu giữ.
Nếu được ban hành, quy tắc này sẽ tạo ra nghĩa vụ tối thiểu hóa dữ liệu tương tự GDPR cho bất kỳ tổ chức nào phục vụ người tiêu dùng Mỹ.
Đọc về giới hạn dữ liệu tại /docs/faq.
Nguồn Tham Khảo
- FTC: Ủy ban Thương mại Liên bang. ftc.gov.
- FTC: Hành động Thực thi AI 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: Cơ quan Bảo vệ Quyền Riêng Tư California. cppa.ca.gov.
- FTC: Dự thảo Quy tắc Giám sát Thương mại. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.