California tar skritt fremover for å regulere AI og cybersikkerhet

California tar skritt fremover for å regulere AI og cybersikkerhet

Tidsstempel: 6. januar 2024 5:30

Penka Hristovska Penka Hristovska
Publisert på: Januar 6, 2024

Staten California gjør en seriøs innsats for å øke cybersikkerheten, forbedre risikovurderingen og regulere bruken av AI (Artificial Intelligence)-teknologi.

Californias personverntilsynsmyndighet for forbrukere, California Privacy Protection Agency (CPPA), ga ut et utkast til foreslåtte endringer og revisjoner med sikte på å innføre bedre personverntiltak.

CPPA søker å regulere automatisert beslutningsteknologi (ADT), som ifølge utkastet er ethvert system eller programvare som analyserer personlige data ved hjelp av avanserte dataalgoritmer for enten å ta avgjørelser eller hjelpe til med beslutningstaking.

De foreslåtte forskriftene introduserer spesifikke kriterier for når virksomheter må varsle forbrukere, tilby dem et fravalgsvalg og gi tilgang til dataene deres, i forbindelse med ADT. Disse kriteriene inkluderer situasjoner der ADT i betydelig grad påvirker forbrukere juridisk – for eksempel når de brukes i profileringsaktiviteter for sysselsetting, offentlige rom, målrettet annonsering og når forbrukerprofilen er yngre enn 16 år.

CPPA er også ute etter å avgrense kriteriene for obligatoriske cybersikkerhetsrevisjoner for virksomheter som vil evaluere potensielle skader forårsaket av datainnbrudd, inkludert økonomiske, psykologiske, fysiske og omdømmeskader til forbrukere. Personvernregulatoren foreslår en dobbel terskel: bedrifter med minst 25 millioner dollar i årlig inntekt og bedrifter som behandler en betydelig mengde personopplysninger.

Spesifikt for den sistnevnte gruppen av virksomheter trer revisjonskravet inn når en virksomhet i det foregående året behandlet data om 50,000 16 eller flere forbrukere under 50,000 år, sensitive data på 250,000 XNUMX eller flere forbrukere eller personopplysninger om XNUMX XNUMX eller flere forbrukere .

Til slutt, under Californias foreslåtte regelverk, vil bedrifter også måtte utføre risikovurderinger når de behandler personopplysninger på en måte som utgjør en betydelig personverntrussel for forbrukere. Dette inkluderer aktiviteter som behandling av sensitiv informasjon,  salg eller deling av personopplysninger og bruk av ADT for å ta effektive beslutninger, for å profilere forbrukere i ulike roller.

Regulatoren ønsker å redusere 24-månedersperioden som bedrifter for tiden må sende inn og oppdatere sin første risikovurdering. I tillegg foreslår CPPA-styret at de har lov til å be om risikovurderinger med en 5-dagers responstid, og involvere riksadvokaten i disse forespørslene. Bedrifter vil også bli pålagt å varsle CPPA om eventuelle endringer i deres databehandlingsteknikker eller -strategier.

Underutvalget vil nå avgrense de foreslåtte endringene og returnere dem til styret for en endelig gjennomgang før de åpnes for offentlig kommentar.

Tidstempel:

Mer fra Sikkerhetsdetektiver