Sammenfallende statlige personvernlover og den nye AI-utfordringen

Sammenfallende statlige personvernlover og den nye AI-utfordringen

Tidsstempel: 28. februar 2024 10:00
Sammenfallende statlige personvernlover og den nye AI-utfordringen PlatoBlockchain Data Intelligence. Vertikalt søk. Ai.

Åtte amerikanske stater vedtok personvernlovgivning i 2023, og i 2024 vil lover tre i kraft i fire, inkludert Oregon, Montana og Texas, hver med omfattende statlige personvernlover, og Florida, med sin langt mer begrensede Digital Bill of Rights-lov . Spesielt deler disse lovene likheter og understreker en nasjonal trend mot enhetlige databeskyttelsesstandarder i det lappeteppede amerikanske personvernlandskapet.

Selv om disse lovene stemmer overens i mange henseender - for eksempel å unnta arbeidsgiverinformasjon og mangler en privat rett til å handle - viser de også statsspesifikke nyanser. For eksempel illustrerer Montanas nedre terskel for å definere personlig informasjon, Texas' unike tilnærming til definisjon av småbedrifter og Oregons detaljerte kategorisering av personopplysninger dette mangfoldet.

På grunn av den lille befolkningen på rundt en million mennesker, satte Montana terskelen mye lavere enn de andre delstatene. På grunn av den reduserte terskelen kan flere mennesker være underlagt den enn ellers. Montanas personvernlov pålegger selskaper å gjennomføre databeskyttelsesvurderinger for å identifisere høyrisikoområder der sensitive data blir fanget opp og lagret. Denne loven tvinger virksomheter til å ha databeskyttelsesvurderinger og prosesser for å sikre at organisasjoner holdes ansvarlige.

Personvernloven i Texas skiller seg ut som en av de første i USA som unngår økonomiske terskler for overholdelse, og baserer kriteriene på Small Business Administrations definisjoner. Denne innovative tilnærmingen utvider lovens anvendelighet, og sikrer at et bredere spekter av virksomheter holdes ansvarlige for personvern.

Oregons lov utvider definisjonen av personlig informasjon til å inkludere koblede enheter, noe som illustrerer statens forpliktelse til omfattende databeskyttelse. Den dekker ulike digitale fotavtrykk, fra treningsklokker til helsejournaler på nett. Oregon inkluderer også spesifikke referanser til kjønn og transpersoner i sin definisjon av sensitiv informasjon, og viser en nyansert tilnærming til personvern.

Lovene viser et tvingende behov for selskaper å evaluere og sikre databeskyttelsestillegg i sine prosesser. Ansvarlighet er et kritisk aspekt ved disse lovene, og gjenspeiler de økte rettighetene og bevisstheten til registrerte personer. Organisasjoner må etablere prosedyrer for å gjøre det mulig for enkeltpersoner å utøve sine personvernrettigheter effektivt, noe som innebærer å investere i administrasjonsplattformer og overvåke behandlingsaktiviteter for å sikre overholdelse.

Generativ AI og dens bruksområder får betydelig oppmerksomhet og gransking

Fremveksten av generativ kunstig intelligens (GenAI) byr på unike utfordringer i personvernsektoren. Ettersom AI-teknologier blir en integrert del av virksomheter, er behovet for strukturerte retningslinjer og prosesser for å administrere AI-distribusjon avgjørende. National Institute of Standards and Technology (NIST) har utviklet et rammeverk for å håndtere AI-risikoer, med fokus på design og distribusjonsstrategier.

Når det gjelder styring, ser vi ofte AI overlevert til personvern i stedet for sikkerhet fordi det er mye overlapping, men når det gjelder taktiske påvirkninger, er det ganske mange. Store språkmodeller (LLMs) og andre AI-teknologier bruker ofte omfattende ustrukturerte data, noe som vekker kritiske bekymringer om datakategorisering, merking og sikkerhet. Potensialet for at AI utilsiktet kan lekke sensitiv informasjon er et presserende problem, som krever årvåken overvåking og robust styring.

Det er også viktig å huske at disse AI-systemene trenger opplæring, og det de bruker for å trene AI-systemer er din personlige informasjon. Den nylige kontroversen rundt Zooms plan om å bruke personopplysninger til AI-trening fremhever den fine linjen mellom lovoverholdelse og offentlig oppfatning.

Dette året er også sentralt for personvernlovgivningen når de krysser det spirende domenet til GenAI. Den raske bruken av AI-teknologier gir nye utfordringer for personvernet, spesielt i fravær av spesifikk lovgivning eller standardiserte rammeverk. AIs personvernimplikasjoner varierer, fra skjevhet i beslutningsalgoritmer til bruk av personlig informasjon i AI-trening. Ettersom AI omformer landskapet, må bedrifter være årvåkne, sikre overholdelse av nye AI-retningslinjer og utviklende statlige personvernlover.

Bedrifter bør forvente å se mange nye trender for personvern i år, inkludert:

  • Hvis du har sett på noen av kartene over USA spesielt, lyser Nordøst opp som et juletre fra personvernregninger som blir introdusert. En av trendene er en fortsettelse av at stater vedtar omfattende personvernlover. Vi vet ikke hvor mange som passerer i år, men det blir sikkert mye aktiv diskusjon.

  • AI vil være en betydelig trend, ettersom bedrifter vil se utilsiktede konsekvenser av bruken, noe som resulterer i brudd og bøter på grunn av rask innføring av AI uten faktisk lovgivning eller standardiserte rammer. På den amerikanske delstatens personvernlovsfront vil det være et økt område for håndhevelse fra Federal Trade Commission (FTC), som har vært tydelig på at den har til hensikt å være svært aggressiv når det gjelder å følge dette opp.

  • 2024 er et presidentvalgår i USA, som vil øke bevisstheten og øke oppmerksomheten på personvern. Folk er fortsatt noe løst fra forrige valgsyklus når det gjelder personvernhensyn til e-post og stemmegivning på nett, noe som kan sive ned til forretningspraksis. Barns personvern blir også mer fremtredende, med stater som Connecticut som innfører ytterligere krav.

  • Bedrifter bør også forvente å se datasuverenitet i trend i 2024. Selv om det alltid har vært den diskusjonen om datalokalisering, er den fortsatt delt inn i datasuverenitet, altså hvem som kontrollerer dataene, innbyggerne og hvor de bor. Multinasjonale selskaper må bruke mer tid på å forstå hvor dataene deres bor og kravene under disse internasjonale forpliktelsene for å oppfylle kravene til dataopphold og suverenitet for å overholde internasjonale lover.

Totalt sett er dette en tid for selskaper å lene seg tilbake og se dypt på hva de behandler, hvilke typer risiko de har, hvordan de skal håndtere denne risikoen og planene deres for å redusere risikoen de har identifisert. Dette første trinnet er å identifisere risikoen og deretter sikre at, med risikoen som er identifisert, bedrifter legger ut en strategi for å overholde alle disse nye forskriftene som er der ute når AI tar over. Organisasjoner bør vurdere om de bruker AI internt, om ansatte bruker AI, og hvordan de kan sikre at de er klar over og sporer denne informasjonen.

Tidstempel:

Mer fra Mørk lesning