A seguirPróximo guia
Casos de privacidade de Clearview AI e reconhecimento facial
Sociedade
GUIA DA SOCIEDADE
Illinois BIPA, privacidade biométrica e IA
A Lei de Privacidade de Informações Biométricas de Illinois (BIPA), aprovada em 2008, exige que as empresas privadas notifiquem por escrito e obtenham uma autorização por escrito antes de coletarem identificadores biométricos, como geometria facial, impressões digitais ou impressões de voz.
Nesta página4 minutos de leitura
Visão geral
Também permite que indivíduos processem diretamente por violações. Esse direito privado de ação, com danos fixos por violação, tornou a BIPA a lei de privacidade biométrica mais litigada nos Estados Unidos e um limite real sobre como a IA facial e de voz pode ser implementada.
Mergulho profundo
O BIPA abrange "identificadores biométricos", que lista como varreduras de retina ou íris, impressões digitais, impressões de voz e varreduras de geometria de mãos ou rosto, além de "informações biométricas" derivadas deles. Uma entidade privada tem cinco funções principais. Deve informar por escrito à pessoa que os dados biométricos estão sendo coletados, por que e por quanto tempo. Deve obter uma liberação por escrito. Deve publicar uma política de retenção e destruição e destruir os dados assim que a finalidade for satisfeita ou no prazo de três anos após a última interação da pessoa, o que ocorrer primeiro. Não deve vender, alugar, comercializar ou lucrar de outra forma com os dados. E deve limitar a divulgação e armazenar os dados com cuidado razoável. O que diferencia o BIPA é o seu direito privado de ação. Qualquer pessoa "lesada" pode processar por danos liquidados de US$ 1.000 por violação negligente ou US$ 5.000 por violação intencional ou imprudente (ou danos reais, se superior), mais honorários advocatícios. No caso Rosenbach v. Six Flags (2019), a Suprema Corte de Illinois considerou que o reclamante não precisa demonstrar danos além da violação em si. No caso Cothron v. White Castle (2023), considerou que uma nova reclamação surge a cada varredura, apontando para danos potencialmente enormes. A legislatura respondeu em 2024 limitando a recuperação a uma violação por pessoa para cada método de recolha. Tims v. Black Horse Carriers (2023) estabeleceu um período de prescrição de cinco anos. As principais resoluções incluem o acordo de US$ 650 milhões de Facebook, o acordo de US$ 100 milhões de Google sobre fotos Google e o acordo de US$ 92 milhões de TikTok. ACLU v. Clearview AI foi resolvido em 2022, com Clearview concordando com uma proibição nacional de vender seu banco de dados de impressões faciais para a maioria das empresas privadas. O estatuto exclui fotografias, mas os tribunais trataram a geometria facial extraída das fotos como um identificador biométrico. Texas e Washington também têm leis biométricas, mas apenas os seus procuradores-gerais podem aplicá-las. O Texas usou sua lei para chegar a um acordo de US$ 1,4 bilhão com Meta em 2024.
Impacto Estratégico
Risco e segurança
Os danos catastróficos e diários da IA dependem de quem entende os riscos e de quem pode agir.
Decisões mais claras
A literacia pública e profissional determina se uma política de segurança forte é politicamente possível.
Cortando o hype
Explicações claras reduzem a captura por exageros, relações públicas de laboratório e teatro de ética vaga.
O futuro de Illinois BIPA, privacidade biométrica e IA
A alteração de 2024 reduziu a exposição a danos por varredura que gerou algumas das maiores reclamações, mas os danos por pessoa ainda são substanciais, portanto, o litígio provavelmente continuará. Outros estados propuseram projetos de lei no estilo BIPA com direitos de ação privados, e a maioria não foi aprovada. As novas leis estaduais abrangentes de privacidade geralmente classificam a biometria como dados confidenciais, mas deixam a aplicação para os reguladores. Os tribunais ainda estão trabalhando em questões em aberto, como se o treinamento de IA em imagens de rostos raspados ou a detecção de rostos sem identificar ninguém aciona o estatuto. As empresas que implantam IA facial e de voz nos EUA provavelmente continuarão tratando Illinois como a linha de base mais rigorosa.
Implementação no mundo real
Uma rede de varejo que testasse câmeras de reconhecimento facial para sinalizar suspeitos de roubo precisaria de notificação por escrito e de uma autorização por escrito de cada comprador escaneado em suas lojas em Illinois. Isso é tão impraticável que muitas empresas simplesmente desativam esses recursos em Illinois.
Um empregador que utilize impressões digitais ou relógios de ponto manuais deve publicar um cronograma de retenção e obter o consentimento por escrito dos trabalhadores. A falta dessas etapas tem sido a base de muitas ações coletivas no local de trabalho, incluindo Cothron v. White Castle.
Um serviço de fotos que agrupa automaticamente as fotos por rosto cria modelos de rostos. O recurso de sugestões de tags de Facebook, que funcionou dessa forma, levou a um acordo de classe de US$ 650 milhões aprovado em 2021.
Uma empresa que adiciona verificação de alto-falante ou clonagem de voz para usuários de Illinois precisa tratar as impressões de voz como identificadores biométricos, obter consentimento antes da inscrição e excluir os dados de voz de acordo com uma programação publicada.
Riscos e guarda-corpos
Tratar o risco existencial como ficção científica enquanto aumenta a capacidade.
Confundir segurança do produto de superfície com alinhamento sob alta autonomia.
Deixando o público não-inglês e não especializado com apenas fontes de baixa qualidade.
Roteiro de implementação
Separe os riscos de danos ao produto, uso indevido e perda de controle/desalinhamento.
Pergunte quais evidências mudariam sua visão sobre prazos e gravidade.
Prefira fontes primárias e avaliações concretas em vez de afirmações de marketing.
Identifique um caminho de ação: carreira, política, financiamento ou habilidades – não apenas conscientização.
Continue explorando
Free newsletter
Get the daily AI briefing
Three verified AI stories every weekday morning, written in plain English. Free forever, no ads.
One email each weekday. Unsubscribe in one click. We never sell or share your address.
Test yourself
Take the Illinois BIPA, Biometric Privacy and AI quiz
Instant feedback on every answer, and a shareable certificate with a verifiable ID once you pass a course.
Support free AI education. AI Understanding is a 501(c)(3) nonprofit — no ads, no paywall, ever. Make a donation
Perguntas frequentes
O que é Illinois BIPA, privacidade biométrica e IA?
A Lei de Privacidade de Informações Biométricas de Illinois (BIPA), aprovada em 2008, exige que as empresas privadas notifiquem por escrito e obtenham uma autorização por escrito antes de coletarem identificadores biométricos, como geometria facial, impressões digitais ou impressões de voz. Também permite que indivíduos processem diretamente por violações. Esse direito privado de ação, com danos fixos por violação, tornou a BIPA a lei de privacidade biométrica mais litigada nos Estados Unidos e um limite real sobre como a IA facial e de voz pode ser implementada.
Que danos liquidados um requerente pode recuperar por cada violação intencional ou imprudente do BIPA?
O BIPA oferece US$ 1.000 por violação negligente e US$ 5.000 por violação intencional ou imprudente, ou danos reais se estes forem maiores, mais honorários advocatícios.
O que a Suprema Corte de Illinois decidiu no caso Rosenbach v. Six Flags (2019)?
Rosenbach sustentou que uma pessoa cujos direitos BIPA foram violados conta como lesada sem demonstrar lesão adicional. Isso tornou as ações coletivas muito mais fáceis de serem propostas.
A alteração de 2024 que limita a recuperação a uma violação por pessoa e por método de recolha foi uma resposta a que decisão?
Cothron sustentou que surge uma reclamação a cada varredura, o que aponta para danos potencialmente enormes. A legislatura alterou o BIPA em 2024 para limitar a recuperação a uma violação por pessoa para cada método de recolha.
No âmbito do BIPA, quando os dados biométricos devem ser destruídos?
A política de retenção deve prever a destruição quando a finalidade original for satisfeita ou no prazo de três anos após a última interação do indivíduo com a entidade, o que ocorrer primeiro.
Como as leis biométricas do Texas e de Washington diferem mais do BIPA?
Texas e Washington não permitem que indivíduos processem de acordo com suas leis biométricas. A execução pertence ao procurador-geral, como no acordo de US$ 1,4 bilhão do Texas com Meta em 2024.
Continue aprendendo
Guias relacionados
Mais guias escolhidos para este tópico