o Comissão Federal de Comunicações dos EUA A FCC impôs hoje multas totalizando quase US$ 200 milhões às quatro principais operadoras – incluindo AT&T, Corrida, T móvel E Verizon – Compartilhar ilegalmente o acesso às informações de localização dos clientes sem consentimento.

As multas representam o culminar de uma investigação de mais de quatro anos sobre as ações das principais transportadoras. Em Fevereiro de 2020, a FCC notificou todos os quatro fornecedores sem fios de que as suas práticas de partilha de acesso aos dados de localização dos clientes provavelmente violavam a lei.

A FCC disse ter descoberto que cada uma das operadoras vendia o acesso às informações de localização de seus clientes para “agregadores”, que então revendiam o acesso às informações a provedores de serviços terceirizados baseados em localização.

“Ao fazer isso, cada operadora tentou transferir suas obrigações de obter o consentimento do cliente para os destinatários das informações de localização, o que em muitos casos significou que o consentimento válido do cliente não foi obtido.” Declaração da FCC Em lê o trabalho. “Esta falha inicial foi exacerbada quando as transportadoras, percebendo que as suas salvaguardas eram ineficazes, continuaram a vender acesso a informações de localização sem tomar medidas razoáveis ​​para protegê-las contra acesso não autorizado.”

Comissão Federal de Comunicações (FCC). Resultados contra a AT&TPor exemplo, mostra que a AT&T vendeu dados de localização de clientes direta ou indiretamente a pelo menos 88 entidades terceirizadas. Comissão Federal de Comunicações seja encontrado A Verizon vendeu acesso aos dados de localização do cliente (direta ou indiretamente) a 67 entidades terceirizadas. Os dados de localização dos clientes da Sprint chegaram a 86 terceiros e a 75 terceiros no caso dos clientes da T-Mobile.

O comitê disse que tomou medidas depois disso Senador Ron Wyden (empate.) Envie uma carta para a FCC. Detalhes de como a empresa foi chamada Tecnologias Seguras Ele venderia os dados de localização de clientes de quase todos os principais provedores de serviços de telefonia móvel para autoridades policiais.

No mesmo mês, KrebsOnSecurity publicou a notícia de que O site é inteligente – um agregador de dados que trabalha com as principais operadoras de telefonia móvel – tinha uma demonstração gratuita e insegura de seu serviço on-line, que qualquer pessoa poderia usar para encontrar a localização exata de quase qualquer telefone celular na América do Norte.

As operadoras prometeram encerrar acordos de compartilhamento de dados de localização com empresas terceirizadas. Mas em 2019, foi relatado Mostrar Vice.com Little Has Changed, detalhando como os repórteres conseguiram localizar um telefone de teste depois de pagar US$ 300 a um caçador de recompensas que simplesmente comprou os dados por meio de um serviço terceirizado desconhecido.

O senador Wyden disse que ninguém que se inscreveu em um plano de celular acreditava que estava dando permissão para sua companhia telefônica vender um registro detalhado de seus movimentos para qualquer pessoa com cartão de crédito.

“Aplaudo a FCC por prosseguir minha investigação e responsabilizar essas empresas por colocarem em risco a vida e a privacidade dos clientes”, disse Wyden em comunicado hoje.

A FCC multou a Sprint e a T-Mobile em US$ 12 milhões e US$ 80 milhões, respectivamente. A AT&T foi multada em mais de US$ 57 milhões, enquanto a Verizon recebeu uma multa de US$ 47 milhões. No entanto, estas multas representam uma pequena parcela da receita anual de cada companhia aérea. Por exemplo, os US$ 47 milhões representam menos de um por cento da receita total de serviços sem fio da Verizon em 2023, que foi de cerca de US$ 77 bilhões.

Os valores das multas variaram porque foram calculados em parte com base no número de dias em que as operadoras continuaram a compartilhar os dados de localização de um cliente após serem notificadas de que isso era ilegal (a agência também levou em consideração o número de acordos ativos de compartilhamento de dados de localização de terceiros ). A FCC observa que a AT&T e a Verizon levaram mais de 320 dias após a publicação da história do Times para rescindir seus acordos de compartilhamento de dados; A T-Mobile demorou 275 dias; A Sprint continuou a compartilhar dados de localização de clientes por 386 dias.

Atualizado às 18h25 horário do leste dos EUA: Ela explicou que a FCC iniciou sua investigação a pedido do senador Wyden.

Créditos da imagem: Olivier Daulieri/AFP/Getty Images

OpenAI enfrenta outra reclamação de privacidade na União Europeia. Este caso, que foi movido por uma organização sem fins lucrativos preocupada com os direitos de privacidade noyb Em nome de um reclamante individual, ele aponta a incapacidade do chatbot ChatGPT com tecnologia de IA de corrigir a desinformação que gera sobre os indivíduos.

A tendência das ferramentas GenAI de produzir informações falsas está bem documentada. Mas também coloca a tecnologia em rota de colisão com o Regulamento Geral de Proteção de Dados (RGPD) do bloco – que rege a forma como os dados pessoais dos utilizadores regionais são processados.

As penalidades pelo não cumprimento do GDPR podem chegar a até 4% do total das vendas anuais globais. Mais importante ainda para um gigante rico em recursos como a OpenAI: os reguladores da proteção de dados poderiam ordenar alterações na forma como a informação é processada, de modo que a introdução do GDPR poderia remodelar a forma como as ferramentas generativas de IA funcionam na UE.

A OpenAI já foi forçada a fazer algumas mudanças após a intervenção precoce da Autoridade Italiana de Proteção de Dados, que forçou brevemente o ChatGPT a encerrar localmente em 2023.

Agora, a noyb apresentou sua última reclamação GDPR contra ChatGPT junto à Autoridade Austríaca de Proteção de Dados em nome de um reclamante não identificado (descrito como uma “figura pública”) que descobriu que seu chatbot alimentado por IA havia produzido uma data de nascimento incorreta para eles.

Ao abrigo do Regulamento Geral sobre a Proteção de Dados, as pessoas na UE têm uma série de direitos associados às informações sobre elas, incluindo o direito à correção de dados imprecisos. noyb afirma que a OpenAI não cumpre esta obrigação no que diz respeito à saída do seu chatbot. Ela disse que a empresa rejeitou o pedido do reclamante para corrigir a data de nascimento incorreta, por considerar tecnicamente impossível corrigi-la.

Em vez disso, ofereceu-se para filtrar ou bloquear dados com base em determinadas solicitações, como o nome do reclamante.

OpenAI política de Privacidade Afirma que os usuários que perceberem que seu chatbot de IA gerou “informações imprecisas sobre você” podem enviar uma “solicitação de correção” por meio de Privacidade.openai.com Ou via e-mail para [email protected]. No entanto, ele ressalva esta linha com a ressalva: “Devido à complexidade técnica de como nossos modelos funcionam, talvez não consigamos corrigir imprecisões em todos os casos”.

Nesse caso, a OpenAI sugere que os usuários solicitem que suas informações pessoais sejam totalmente removidas da saída do ChatGPT – preenchendo um formulário Formulário web.

O problema para o gigante da IA ​​é que seus direitos GDPR não são seletivos. As pessoas na Europa têm o direito de pedir correcção. Eles também têm o direito de solicitar a exclusão dos seus dados. Mas, como aponta Noib, a OpenAI não tem o direito de escolher nenhum desses direitos disponíveis.

Outros elementos da reclamação centram-se nas preocupações de transparência do GDPR, com Noib alegando que a OpenAI não consegue identificar a fonte dos dados que gera sobre os indivíduos, nem os dados que o chatbot armazena sobre as pessoas.

Isto é importante porque o Regulamento, mais uma vez, confere aos indivíduos o direito de solicitar essas informações através da apresentação de um chamado Pedido de Acesso ao Assunto (SAR). No entanto, a OpenAI não respondeu adequadamente ao SAR do reclamante e não divulgou qualquer informação sobre os dados processados, as suas fontes ou os seus destinatários.

Comentando a reclamação em comunicado, Maartje de Graaf, advogado de proteção de dados da noyb, disse: “Inventar informações falsas é um grande problema em si, mas quando se trata de informações falsas sobre indivíduos, pode haver consequências graves. claro que as empresas não são atualmente capazes de fazer com que chatbots como o ChatGPT cumpram a legislação da UE. Ao processar dados sobre indivíduos, se um sistema não puder produzir resultados precisos e transparentes, ele não poderá ser usado para gerar dados sobre indivíduos. o contrário.

A empresa disse que está pedindo à DPA austríaca que investigue a reclamação relativa ao processamento de dados da OpenAI, bem como que imponha uma multa para garantir o cumprimento futuro. Mas acrescentou que era “provável” que a questão fosse tratada através da cooperação com a União Europeia.

A OpenAI enfrenta uma reclamação muito semelhante na Polónia. Em setembro passado, a autoridade local de proteção de dados abriu uma investigação sobre o ChatGPT após uma reclamação de um pesquisador de privacidade e segurança que também foi considerado incapaz de corrigir informações incorretas sobre o assunto pela OpenAI. Esta denúncia também acusa a gigante da IA ​​de não cumprir os requisitos de transparência estabelecidos no regulamento.

Enquanto isso, a Autoridade Italiana de Proteção de Dados ainda está conduzindo uma investigação aberta sobre o ChatGPT. Em janeiro, emitiu um projeto de decisão, dizendo na época que acreditava que a OpenAI havia violado o GDPR de diversas maneiras, inclusive em relação à tendência do chatbot de produzir informações enganosas sobre as pessoas. As conclusões também dizem respeito a outras questões substantivas, como a legalidade do tratamento.

As autoridades italianas deram à OpenAI um mês para responder às suas conclusões. A decisão final ainda está pendente.

Agora, com outra reclamação do GDPR lançada em seu chatbot, aumentou o risco de a OpenAI enfrentar uma série de ações de aplicação do GDPR em diferentes estados membros.

No outono passado, a empresa abriu um escritório regional em Dublin – numa medida que parece ter como objetivo reduzir os riscos regulatórios através do desvio de reclamações de privacidade pela Comissão Irlandesa de Proteção de Dados, graças a um mecanismo no GDPR que visa simplificar a supervisão transfronteiriça de reclamações. Encaminhando-os para uma única autoridade de um Estado-Membro onde a empresa é uma “empresa principal”.