Artikel 13: Transparenz für biometrische KI — EU AI Act
Wie die Transparenzanforderungen aus Artikel 13 des EU AI Act für biometrische KI gelten — Beschilderungspflichten, Datenschutzhinweise, Information zur Emotionserkennung.
Artikel 13 der EU AI Act verlangt, dass Hochrisiko-KI-Systeme so transparent sind, dass Betreiber die Ergebnisse interpretieren und angemessen nutzen können. Bei biometrischen KI-Systemen ist Transparenz untrennbar mit den Grundrechten verbunden — die betroffenen Personen müssen wissen, wann ihre biometrischen Daten erhoben, verarbeitet und zur Identifizierung oder Kategorisierung verwendet werden. Gemäß Anhang III, Abschnitt 1 werden KI-Systeme zur biometrischen Echtzeit- und nachträglichen Fernidentifizierung sowie Systeme zur biometrischen Kategorisierung als hochriskant eingestuft und unterliegen den strengsten Transparenzpflichten.
Diese Seite erläutert, wie die Transparenzanforderungen von Artikel 13 speziell auf biometrische KI anzuwenden sind — von der Gesichtserkennung bis zur Emotionserkennung —, einschließlich Beschilderungspflichten, Anforderungen an Datenschutzhinweise, Offenlegung in der Benutzeroberfläche und der Verstöße auf Code-Ebene, die Scanara in biometrischen Systemen erkennt.
Welche biometrischen KI-Systeme müssen transparent sein?
Gesichtserkennung und Identifizierung
Systeme, die Gesichter zur Identitätsprüfung oder Identifizierung mit Referenzdatenbanken abgleichen, müssen ihren Betrieb gegenüber den betroffenen Personen offenlegen. Gebäudezugangssysteme, Flughafen-Gates und Veranstaltungssicherheit, die Gesichtserkennung nutzen, erfordern eine klare Information, bevor eine biometrische Verarbeitung erfolgt.
Systeme zur biometrischen Kategorisierung
KI-Systeme, die Personen anhand biometrischer Daten in Gruppen nach Geschlecht, Alter, ethnischer Herkunft oder anderen Merkmalen einteilen, müssen offenlegen, dass eine Kategorisierung erfolgt. Beachten Sie, dass eine Kategorisierung anhand von Rasse oder sexueller Orientierung gemäß Artikel 5(1)(g) verboten ist.
Systeme zur Emotionserkennung
KI-Systeme, die Emotionen aus Gesichtsausdrücken, Stimme oder physiologischen Signalen ableiten, müssen die analysierten Personen informieren. Artikel 50(3) verlangt speziell eine Information bei Systemen zur Emotionserkennung. Beachten Sie, dass die Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen gemäß Artikel 5(1)(f) verboten ist.
Biometrische Verifizierung (1:1-Abgleich)
Fingerabdruckscanner, Iriserkennung und stimmbiometrische Systeme, die eine behauptete Identität überprüfen, müssen klare Elemente in der Benutzeroberfläche bereitstellen, die erläutern, welche Daten erhoben, wie sie verarbeitet werden und wie lange die Aufbewahrungsdauer ist. Selbst ein Eins-zu-eins-Abgleich erfordert gemäß Artikel 13 Transparenz.
Ganganalyse und Verhaltensbiometrie
Systeme, die Gangmuster, Tipprhythmen oder andere Verhaltensmerkmale zu Identifizierungs- oder Sicherheitszwecken analysieren, müssen ihren Betrieb offenlegen. Diese Systeme arbeiten häufig passiv, wodurch eine proaktive Transparenz umso wichtiger wird.
Wesentliche Transparenzpflichten für Biometrie
Biometrische KI unterliegt einigen der höchsten Transparenzanforderungen der AI Act. Über die allgemeinen Anforderungen von Artikel 13 hinaus stellt Artikel 50 speziell für biometrische Systeme zusätzliche Informationspflichten, und Artikel 9 der GDPR verlangt eine ausdrückliche Rechtsgrundlage für die Verarbeitung biometrischer Daten besonderer Kategorien.
Beschilderung und Information in öffentlichen Räumen
Wenn biometrische Überwachung in öffentlichen oder halböffentlichen Räumen (Gebäudeeingänge, Arbeitsplätze, Einzelhandelsumgebungen) erfolgt, muss eine klare Beschilderung die Personen informieren, bevor sie den überwachten Bereich betreten. Die Information muss erläutern, welche biometrischen Daten erhoben werden, den Zweck der Erhebung und die Rechtsgrundlage der Verarbeitung.
Datenschutzhinweise müssen speziell auf Biometrie eingehen
Allgemeine Datenschutzhinweise sind unzureichend. Datenschutzhinweise müssen die biometrische Verarbeitung, die Kategorien der erhobenen biometrischen Daten, die Rechtsgrundlage gemäß Artikel 9 der GDPR, die Aufbewahrungsfristen und das Widerspruchsrecht ausdrücklich nennen. Artikel 13 fügt die Anforderung hinzu, die Merkmale und die Leistung des KI-Systems offenzulegen.
Klare Benutzeroberfläche für Verifizierungssysteme
Biometrische Verifizierungssysteme (Fingerabdruck, Iris, Gesicht) müssen eine klare Benutzeroberfläche bereitstellen, die erläutert, welche Daten erhoben werden, wie sie verwendet werden und wie lange sie aufbewahrt werden. Artikel 13(3) verlangt, dass diese Informationen in einem geeigneten digitalen Format bereitgestellt werden — eine kurze Erläuterung auf dem Bildschirm vor der Erfassung ist der Mindeststandard.
Emotionserkennung erfordert eine ausdrückliche Information
Artikel 50(3) verlangt speziell, dass Personen, die Systemen zur Emotionserkennung ausgesetzt sind, über den Betrieb des Systems informiert werden. Dies gilt auch dann, wenn die Emotionserkennung Bestandteil eines größeren Systems ist. Die Information muss vor Beginn der Verarbeitung erfolgen, mit Ausnahme enger Ausnahmen für die Strafverfolgung.
Regulatorische Überschneidungen
Die Transparenz biometrischer KI liegt an der Schnittstelle von Datenschutz, Grundrechten und sektorspezifischen Vorschriften. Die überlappenden Anforderungen schaffen eines der komplexesten Transparenzumfelder der AI Act.
Artikel 9 der GDPR — biometrische Daten besonderer Kategorien
Biometrische Daten, die zur Identifizierung verwendet werden, sind Daten besonderer Kategorien gemäß Artikel 9 der GDPR und erfordern eine ausdrückliche Einwilligung oder eine andere Rechtsgrundlage gemäß Artikel 9(2). Die Informationspflichten der GDPR (Artikel 13/14) verlangen die Offenlegung der Rechtsgrundlage, des Zwecks und der Empfänger. Artikel 13 der AI Act ergänzt diese Anforderungen auf individueller Ebene um systemweite Transparenz über die Merkmale und die Leistung der KI.
Artikel 13/14 der GDPR — Informationsrechte
Die GDPR verlangt von den Verantwortlichen, die betroffenen Personen zum Zeitpunkt der Erhebung über die Datenverarbeitung zu informieren. Bei biometrischen Systemen umfasst dies die Identität des Verantwortlichen, den Zweck der Verarbeitung, die Rechtsgrundlage, die Aufbewahrungsfrist und die Rechte. Artikel 13 der AI Act erweitert dies um Anforderungen an die Offenlegung der Systemleistung, die Dokumentation von Grenzen und die Anweisungen für Betreiber.
Nationale Rechtsvorschriften zur Biometrie
Mehrere EU-Mitgliedstaaten verfügen über zusätzliche biometriespezifische Rechtsvorschriften. Die Leitlinien der französischen CNIL zur biometrischen Zugangskontrolle, die Bestimmungen des deutschen BDSG zur biometrischen Verarbeitung und die Beschränkungen der italienischen Garante für Gesichtserkennung in öffentlichen Räumen stellen jeweils Transparenzanforderungen, die die Pflichten aus Artikel 13 ergänzen.
Charta der Grundrechte — Artikel 7 und 8
Die EU-Charta schützt das Recht auf Privatleben (Artikel 7) und den Schutz personenbezogener Daten (Artikel 8). Die biometrische Überwachung berührt beide Rechte unmittelbar. Transparenz ist eine Voraussetzung dafür, dass die betroffenen Personen ihre Charta-Rechte ausüben können — ohne Kenntnis davon, dass eine biometrische Verarbeitung erfolgt, können die Betroffenen weder Widerspruch einlegen noch Rechtsschutz suchen.
Häufige Verstöße, die Scanara erkennt
Biometrische Erfassung ohne vorherige Information
Kamera- oder Sensor-Initialisierungscode, der die Erfassung biometrischer Daten beginnt, ohne eine Benutzerinformation oder eine Beschilderungsanzeige auszulösen. Artikel 13(3) und Artikel 50 verlangen eine Information vor der Verarbeitung — Scanara kennzeichnet biometrische Erfassungspipelines, denen vor der Datenerfassung ein Informationsschritt fehlt.
Fehlende Aufbewahrungsfrist in der biometrischen Offenlegung
An Nutzer gerichtete Offenlegungsbildschirme oder Datenschutzhinweise für biometrische Systeme, die keine Angaben zur Aufbewahrungsfrist der Daten enthalten. Sowohl Artikel 13(2)(a) der GDPR als auch die Transparenzanforderungen der AI Act schreiben vor, dass die betroffenen Personen wissen, wie lange ihre biometrischen Daten gespeichert werden.
Emotionserkennung ohne Information nach Artikel 50(3)
Komponenten zur Emotionsanalyse, die Gesichtsausdrücke oder Stimmmuster verarbeiten, ohne die nach Artikel 50(3) erforderliche ausdrückliche Information umzusetzen. Scanara erkennt Aufrufe von Modellen zur Emotionserkennung, denen kein Mechanismus zur Benutzerinformation vorausgeht.
Compliance-Checkliste zu Artikel 13 für Biometrie
Biometriespezifische Betriebsanleitung bereitstellen
Dokumentieren Sie die Merkmale, Fähigkeiten und Genauigkeitsraten des biometrischen Systems (einschließlich Falschakzeptanz-/Falschrückweisungsraten), bekannte Grenzen über demografische Gruppen hinweg sowie die Praktiken der Datenverarbeitung. Die Anleitung muss ausreichen, damit Betreiber das System konform konfigurieren und betreiben können.
Personen vor der biometrischen Verarbeitung informieren
Setzen Sie Beschilderung, Bildschirminformationen oder andere Offenlegungsmechanismen um, bevor die Erfassung biometrischer Daten beginnt. Die Information muss erläutern, welche biometrischen Daten erhoben werden, deren Zweck und die Rechtsgrundlage der Verarbeitung.
Information zur Emotionserkennung umsetzen
Stellen Sie bei Systemen zur Emotionserkennung eine ausdrückliche Information der betroffenen Personen bereit, bevor die Analyse beginnt. Überprüfen Sie, dass das System nicht in verbotenen Kontexten (Arbeitsplatz, Bildung) gemäß Artikel 5(1)(f) eingesetzt wird.
Rechtsgrundlage für die biometrische Verarbeitung dokumentieren
Stellen Sie sicher, dass die Datenschutzhinweise die Rechtsgrundlage gemäß Artikel 9(2) der GDPR für die biometrische Verarbeitung ausdrücklich angeben. Nehmen Sie Aufbewahrungsfristen, Rechte der betroffenen Personen und die Identität des Verantwortlichen auf. Stimmen Sie dies mit den Offenlegungsanforderungen von Artikel 13 der AI Act ab.
Genauigkeit über demografische Gruppen hinweg offenlegen
Berichten Sie Falschakzeptanzraten, Falschrückweisungsraten und Genauigkeitskennzahlen aufgeschlüsselt nach demografischen Gruppen, einschließlich Alter, Geschlecht, Hautton und ethnischer Herkunft. Dokumentieren Sie bekannte Bedingungen der Leistungsverschlechterung (Beleuchtung, Winkel, Verdeckung).
Häufig gestellte Fragen
Verwandte Ressourcen
Artikel 13: Transparenz
Vollständige Anforderungen von Artikel 13 in allen Branchen.
Biometrie-KI — Branchen-Hub
Vollständiger Leitfaden zur Einhaltung der EU AI Act für biometrische KI-Systeme.
Artikel 12: Aufzeichnungspflichten für Biometrie
Protokollierungs- und Aufzeichnungsanforderungen für biometrische KI.
Artikel 13: Transparenz für die Strafverfolgung
Transparenzanforderungen für biometrische KI in der Strafverfolgung.
So hilft Scanara
Scanara automatisiert die EU AI Act Compliance vom Code bis zum Dossier. Verbinden Sie Ihre GitHub-Repos und erhalten Sie Compliance-Berichte in Minuten.