The Pulse
Entrano in vigore le norme del Connecticut su IA e privacy, mentre 14 aziende fanno causa
Le modifiche alle norme sulla privacy del Connecticut entrate in vigore il 1° ottobre comprendono limiti alla vendita di dati di geolocalizzazione precisi, un ampliamento del diritto alla cancellazione dei dati e nuovi obblighi relativi al
AI.info Team · Scritto con l’IA ·
«L’entrata in vigore di queste leggi rappresenta un passo significativo per proteggere i nostri ragazzi dalle chatbot pericolose, tutelare la nostra privacy e prevenire pratiche tariffarie sleali».
Procuratore generale William Tong, Ufficio del procuratore generale del Connecticut
Le più recenti norme del Connecticut in materia di IA e privacy sono entrate in vigore il 1° ottobre, introducendo nuove restrizioni alla vendita di dati personali e nuovi obblighi per alcuni fornitori di IA. Il pacchetto comprende parti del Connecticut Artificial Intelligence Responsibility and Transparency Act, o CART Act, e modifiche al Connecticut Data Privacy Act. Altre disposizioni, riguardanti chatbot, social media e decisioni in ambito lavorativo, hanno scadenze successive.
Nuovi limiti ai dati di localizzazione e alla profilazione
Il Public Act 26-64 vieta la vendita dei dati di geolocalizzazione precisi dei consumatori. Amplia inoltre i diritti di cancellazione relativi ai profili dei consumatori generati a partire da informazioni pubblicamente disponibili e introduce obblighi per le aziende che utilizzano tecnologie di riconoscimento facciale. Queste aziende devono esporre avvisi chiaramente leggibili e fornire un link o un codice QR alla propria informativa.
La legge introduce tutele per i dati genetici raccolti dalle aziende che offrono test direttamente ai consumatori, compreso il controllo da parte dei consumatori su come vengono raccolti, utilizzati, conservati, comunicati e distrutti campioni e risultati. Istituisce inoltre un registro degli intermediari di dati gestito dal Department of Consumer Protection; gli intermediari devono iscriversi entro il 1° gennaio 2027. La legge sulla privacy già in vigore nello Stato non si applica a tutte le aziende: stabilisce soglie ed esenta alcuni settori soggetti ad altri quadri normativi sulla privacy.
La legge limita inoltre la determinazione dei prezzi basata sulla sorveglianza e impone di fornire informazioni in determinate circostanze quando le aziende utilizzano dati personali per fissare i prezzi. Le sue disposizioni riguardano il riconoscimento facciale e le informazioni generate da registri pubblicamente disponibili, estendendo i nuovi obblighi oltre gli sviluppatori di IA.
Il CART Act stabilisce obblighi per i fornitori di IA
Il Public Act 26-15 stabilisce obblighi e tutele per i consumatori relativi all’intelligenza artificiale. Le disposizioni entrate in vigore il 1° ottobre comprendono obblighi di informazione sugli abbonamenti ai servizi di IA e tutele per chi segnala illeciti ed è coinvolto nello sviluppo e nell’impiego di grandi modelli di IA di frontiera. La legge riguarda anche le decisioni automatizzate in ambito lavorativo: il loro utilizzo non mette le aziende al riparo da azioni legali per discriminazione.
Alcuni obblighi in ambito lavorativo hanno una scadenza successiva. Entro il 1° ottobre 2027, le aziende che utilizzano sistemi decisionali automatizzati in ambito lavorativo soggetti alla legge devono predisporre un sistema per informare candidati e dipendenti. Le norme della legge sulle chatbot di IA da compagnia, compresi gli obblighi di informazione e le tutele per la salute mentale, entrano in vigore il 1° gennaio 2027. Distinte tutele per i giovani sui social media entrano in vigore il 1° gennaio 2028.
Quattordici aziende contestano una disposizione sulla privacy
Le nuove norme sono entrate in vigore mentre 14 aziende che pubblicano informazioni per la ricerca di persone contestavano una parte del Public Act 26-64 davanti a un tribunale federale. Spokeo Inc. e altre 13 aziende hanno intentato una causa contro il procuratore generale William Tong il 17 settembre, chiedendo di bloccare l’applicazione della disposizione. Il ricorso prende di mira l’ampliamento della possibilità per i residenti di chiedere la cancellazione di informazioni personali, comprese quelle tratte da registri pubblici; le aziende sostengono che la disposizione violi il Primo emendamento.
Al 1° ottobre, il tribunale non si era ancora pronunciato sul ricorso. L’ufficio di Tong ha dichiarato a Bloomberg Law che «difenderà con determinazione la legge, la privacy e la sicurezza dei dati dei residenti del Connecticut». La causa contesta una parte del nuovo quadro normativo; non significa che le altre disposizioni dello Stato siano state sospese.
Le scadenze per adeguarsi si estendono fino al 2028
Il calendario scaglionato prevede scadenze distinte che le aziende devono tenere presenti. La scadenza per l’iscrizione al registro degli intermediari di dati cade nel gennaio 2027, mentre le norme sulle chatbot entrano in vigore nello stesso mese. Il sistema per informare candidati e dipendenti deve essere predisposto entro ottobre 2027 e le tutele per i giovani sui social media entrano in vigore nel gennaio 2028.
Il senatore James Maroney, tra i principali artefici delle misure, ha descritto le leggi come un punto di partenza: «Questo è un inizio. Non è la conclusione; non è il limite massimo. È il livello minimo».