Acordo da FTC com a Rite Aid – Lições para a Implantação Segura de Ferramentas de IA

Em um desenvolvimento crucial em 19 de dezembro de 2023, a Comissão Federal de Comércio (FTC) resolveu uma ação de aplicação da lei contra o gigante do varejo Rite Aid, trazendo à tona insights críticos para empresas que navegam no complexo reino da biometria e de ferramentas de inteligência artificial (IA). O acordo, desencadeado por alegadas violações da Seção 5 ligadas ao uso de biometria facial pela Rite Aid, enfatiza os riscos elevados e o escrutínio em torno da implantação comercial de tecnologias avançadas.

A intervenção da FTC destaca a necessidade urgente de as empresas reavaliarem suas estratégias ao utilizar biometria e ferramentas de IA. O desfecho do acordo da Rite Aid oferece um manual para gerenciar o cenário em evolução da supervisão regulatória, particularmente em relação aos riscos associados a falsos positivos e potencial dano aos consumidores, especialmente clientes minoritários.

Perspectiva histórica

A Rite Aid, uma proeminente rede de farmácias de varejo, viu-se envolvida em processos judiciais quando a FTC levantou preocupações sobre seu uso de biometria facial para identificar e dissuadir indivíduos com suposta intenção criminosa. A FTC alegou que a abordagem da Rite Aid, baseada em alertas acionados pelo sistema biométrico, carecia de salvaguardas razoáveis, levando a falsos positivos e representando um risco elevado para clientes minoritários.

A Comissão também invocou uma reivindicação separada da Seção 5, apontando para o fracasso da Rite Aid em cumprir uma ordem de 2010, que exigia diligência na seleção de provedores de serviços, obtenção de garantias contratuais e manutenção de um programa de segurança da informação por escrito.

Especificações do Acordo

Para resolver a questão, a Rite Aid concordou com uma Ordem Estipulada que impõe requisitos e restrições rigorosos:

Proibição de Biometria Facial – A Rite Aid enfrenta uma proibição de cinco anos de uso de qualquer biometria facial.

Programa de Monitoramento de Sistemas Biométricos – A empresa deve estabelecer um programa abrangente, cobrindo avaliações de risco antes da implantação, avaliações contínuas e salvaguardas contra riscos identificados aos consumidores.

Desapropriação de Dados e Algoritmos – A Rite Aid deve excluir todos os dados derivados do uso inadequado de biometria facial e notificar terceiros para fazer o mesmo.

Programa de Segurança da Informação – Além do programa de monitoramento de sistemas biométricos, a Rite Aid deve implementar um programa mais amplo de segurança da informação, validado por avaliações independentes de terceiros.

Avaliação e principais implicações

O caso Rite Aid serve como um alerta para empresas envolvidas ou planejando usar biometria ou ferramentas de IA. Ele fornece insights valiosos sobre as áreas de foco da FTC, estabelecendo as bases para uma abordagem proativa para mitigar riscos legais. O acordo enfatiza o compromisso da Comissão em escrutinar a biometria e a IA, sinalizando a necessidade de as organizações dedicarem recursos a medidas de conformidade e programas de governança.

As principais conclusões da ação de aplicação da lei da Rite Aid incluem a importância de realizar avaliações de risco detalhadas, implementar programas de monitoramento robustos e abordar as preocupações específicas levantadas pela FTC. Ao identificar e abordar esses problemas proativamente, as empresas podem navegar no cenário legal em evolução em torno das tecnologias de biometria e IA.

Próximos passos – Conselhos práticos de conformidade para implantação de ferramentas de IA

O caso Rite Aid não apenas destaca armadilhas a evitar, mas também fornece um roteiro para empresas que buscam aprimorar seus programas de conformidade. Dicas práticas incluem:

Programa de Monitoramento de Sistemas Biométricos – Siga o plano da FTC, incorporando avaliações de risco, avaliações contínuas e controles adaptados para riscos identificados.

Mecanismos de Notificação: Implemente mecanismos de notificação claros e transparentes, tanto individualizados quanto gerais, para informar os titulares dos dados sobre sistemas biométricos e ações adversas potenciais.

Retenção/Destruição de Dados – Estabeleça e cumpra um cronograma de retenção de dados biométricos, garantindo a exclusão permanente de informações sensíveis.

Mecanismo de Reclamação do Consumidor – Crie canais para que os consumidores apresentem reclamações relacionadas às saídas dos sistemas biométricos, promovendo um processo responsivo para investigação e resolução.

Programa de Segurança da Informação – Além da biometria, implemente um programa abrangente de segurança da informação, validado regularmente por avaliações de terceiros.

À medida que as empresas lidam com o cenário em evolução da biometria e da regulamentação de IA, o acordo da Rite Aid oferece um modelo para conformidade proativa. A pergunta agora é: como as empresas se adaptarão a essas lições e quais medidas adicionais tomarão para garantir a implantação responsável de tecnologias avançadas diante de um escrutínio regulatório crescente?