Acuerdo de la FTC con Rite Aid: lecciones para el despliegue seguro de herramientas de IA

En un desarrollo pivotal el 19 de diciembre de 2023, la Comisión Federal de Comercio (FTC) resolvió una acción de aplicación contra el gigante minorista Rite Aid, revelando conocimientos críticos para las empresas que navegan por el complejo reino de los biométricos y las herramientas de inteligencia artificial (IA). El acuerdo, desencadenado por supuestas violaciones de la Sección 5 vinculadas al uso de biométricos faciales por parte de Rite Aid, enfatiza los riesgos y el escrutinio aumentados que rodean el despliegue comercial de tecnologías avanzadas.

La intervención de la FTC subraya la necesidad urgente de que las empresas reevalúen sus estrategias en el uso de biométricos y herramientas de IA. Las consecuencias del acuerdo de Rite Aid ofrecen un manual para gestionar el panorama en evolución de la supervisión regulatoria, particularmente en lo que respecta a los riesgos asociados con coincidencias falsas positivas y el daño potencial a los consumidores, especialmente a los clientes de minorías.

Perspectiva histórica

Rite Aid, una prominente cadena de farmacias minoristas, se vio envuelta en procedimientos legales cuando la FTC planteó preocupaciones sobre su uso de biométricos faciales para identificar y disuadir a individuos con supuesta intención criminal. La FTC alegó que el enfoque de Rite Aid, dependiendo de alertas activadas por el sistema biométrico, carecía de salvaguardas razonables, lo que llevó a coincidencias falsas positivas y planteaba un riesgo aumentado para los clientes de minorías.

La Comisión también invocó una reclamación separada bajo la Sección 5, señalando el incumplimiento de Rite Aid de una orden de 2010, que exigía diligencia en la selección de proveedores de servicios, la obtención de garantías contractuales y el mantenimiento de un programa escrito de seguridad de la información.

Especificaciones del acuerdo

Para resolver el asunto, Rite Aid consintió en una Orden Estipulada que impone requisitos y restricciones estrictos:

Prohibición de biométricos faciales – Rite Aid enfrenta una prohibición de cinco años para usar cualquier biométrico facial.

Programa de monitoreo de sistemas biométricos – La empresa debe establecer un programa integral, que cubra evaluaciones de riesgo previas al despliegue, evaluaciones continuas y salvaguardas contra los riesgos identificados para los consumidores.

Desagüe de datos y algoritmos – Rite Aid debe eliminar todos los datos derivados del uso indebido de biométricos faciales y notificar a terceros que hagan lo mismo.

Programa de seguridad de la información – Además del programa de monitoreo de sistemas biométricos, Rite Aid debe implementar un programa más amplio de seguridad de la información, validado por evaluaciones independientes de terceros.

Evaluación e implicaciones clave

El caso de Rite Aid sirve como una llamada de atención para las empresas que participan o planean utilizar biométricos o herramientas de IA. Proporciona información valiosa sobre las áreas de enfoque de la FTC, sentando las bases para un enfoque proactivo que mitigue los riesgos legales. El acuerdo enfatiza el compromiso de la Comisión de examinar rigurosamente la biométrica y la IA, lo que señala la necesidad de que las organizaciones dediquen recursos a las medidas de cumplimiento y los programas de gobernanza.

Las conclusiones clave de la acción de cumplimiento de Rite Aid incluyen la importancia de realizar evaluaciones de riesgos exhaustivas, implementar programas de monitoreo robustos y abordar las preocupaciones específicas planteadas por la FTC. Al identificar y abordar estos problemas de manera proactiva, las empresas pueden navegar el panorama legal en evolución relacionado con las tecnologías de biométrica e IA.

Próximos pasos – Consejos prácticos de cumplimiento para el despliegue de herramientas de IA

El asunto de Rite Aid no solo destaca las trampas a evitar, sino que también proporciona una hoja de ruta para las empresas que buscan mejorar sus programas de cumplimiento. Los consejos prácticos incluyen:

Programa de monitoreo de sistemas biométricos – Siga el plan de la FTC, incorporando evaluaciones de riesgo, evaluaciones continuas y controles adaptados para los riesgos identificados.

Mecanismos de notificación: Implemente mecanismos de notificación claros y transparentes, tanto individualizados como generales, para informar a los sujetos de datos sobre los sistemas biométricos y las posibles acciones adversas.

Retención/destrucción de datos – Establezca y cumpla un cronograma de retención de datos biométricos, asegurando la eliminación permanente de la información sensible.

Mecanismo de quejas de los consumidores – Cree vías para que los consumidores presenten quejas relacionadas con los resultados de los sistemas biométricos, fomentando un proceso receptivo para la investigación y resolución.

Programa de seguridad de la información – Más allá de los biométricos, implemente un programa integral de seguridad de la información, validado regularmente a través de evaluaciones de terceros.

A medida que las empresas lidian con el panorama en evolución de los biométricos y la regulación de la IA, el acuerdo de Rite Aid ofrece un modelo para el cumplimiento proactivo. La pregunta ahora es, ¿cómo se adaptarán las empresas a estas lecciones, y qué medidas adicionales tomarán para garantizar el despliegue responsable de tecnologías avanzadas frente a un mayor escrutinio regulatorio?