AI-verordening biometrie: nalevingsgids

Bijlage III, punt 1, dekt biometrie voor zover het gebruik ervan is toegestaan op grond van het toepasselijke Unierecht of nationale recht. Het woord ‘biometrie’ op deze site komt overeen met de onderstaande aanknopingspunten.

• Punt 1, a): systemen voor biometrische identificatie op afstand

  Een systeem voor biometrische identificatie op afstand identificeert natuurlijke personen zonder hun actieve betrokkenheid, doorgaans op afstand, door de biometrische gegevens van een persoon te vergelijken met de biometrische gegevens in een referentiedatabank (artikel 3, punt 41). Bijlage III noemt deze systemen zonder onderscheid tussen identificatie in real time en achteraf (artikel 3, punt 42, artikel 3, punt 43).

• Verificatie is uitgesloten van punt 1, a)

  Punt 1, a), geldt niet voor AI-systemen die bedoeld zijn om te worden gebruikt voor biometrische verificatie met als enig doel te bevestigen dat een specifieke natuurlijke persoon de persoon is die hij of zij beweert te zijn. Biometrische verificatie is de geautomatiseerde één-op-één-verificatie, met inbegrip van authenticatie, door biometrische gegevens te vergelijken met eerder verstrekte biometrische gegevens (artikel 3, punt 36). Zo’n systeem heeft alleen een hoog risico als een ander punt van bijlage III of bijlage I het dekt.

• Punt 1, b): categorisering op basis van gevoelige of beschermde eigenschappen

  AI-systemen die bedoeld zijn om te worden gebruikt voor biometrische categorisering op basis van gevoelige of beschermde eigenschappen of kenmerken, of op basis van wat uit die eigenschappen of kenmerken wordt afgeleid. Een systeem voor biometrische categorisering wijst natuurlijke personen op basis van hun biometrische gegevens toe aan specifieke categorieën, tenzij het een nevenfunctie is van een andere commerciële dienst en om objectieve technische redenen strikt noodzakelijk is (artikel 3, punt 40). Artikel 5, lid 1, punt g) verbiedt een deel van de categorisering (zie hieronder).

• Punt 1, c): emotieherkenning

  AI-systemen die bedoeld zijn om te worden gebruikt voor emotieherkenning. Een systeem voor emotieherkenning is een AI-systeem dat bedoeld is voor het vaststellen of afleiden van emoties of intenties van natuurlijke personen op basis van hun biometrische gegevens (artikel 3, punt 39). Artikel 5, lid 1, punt f) verbiedt het afleiden van emoties op de werkplek en in het onderwijs, behalve om medische of veiligheidsredenen (zie hieronder).

• Punten 6 en 7: ander gebruik door overheidsinstanties

  Bijlage III, punt 7, d), betreft AI-systemen die worden gebruikt door of namens bevoegde overheidsinstanties of door instellingen, organen en instanties van de Unie, in het kader van migratie-, asiel- of grensbeheer, voor het opsporen, herkennen of identificeren van natuurlijke personen, met uitzondering van de verificatie van reisdocumenten. Punt 6 noemt toepassingen voor rechtshandhaving; zie het overzicht rechtshandhaving. De registratie van systemen onder de punten 1, 6 en 7 in deze gebieden gebeurt in een beveiligd niet-openbaar gedeelte van de EU-databank (artikel 49, lid 4).

• Real time, achteraf en rechtshandhaving

  Een systeem voor biometrische identificatie op afstand in ‘real time’ is een systeem waarbij het vastleggen van biometrische gegevens, de vergelijking en de identificatie plaatsvinden zonder significante vertraging, met inbegrip van beperkte korte vertragingen om omzeiling te voorkomen (artikel 3, punt 42). Een systeem achteraf is elk ander systeem voor biometrische identificatie op afstand (artikel 3, punt 43). ‘Rechtshandhaving’ zijn activiteiten die worden uitgevoerd door of namens rechtshandhavingsinstanties met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van bedreigingen voor de openbare veiligheid (artikel 3, punt 46). Een rechtshandhavingsinstantie is een overheidsinstantie die bevoegd is voor die taken, of een ander orgaan of een andere entiteit waaraan het lidstatelijke recht de uitoefening van openbaar gezag en openbare bevoegdheden voor die doeleinden heeft opgedragen (artikel 3, punt 45). Een ‘openbare ruimte’ is elke fysieke plaats, in publiek of privaat bezit, die toegankelijk is voor een onbepaald aantal natuurlijke personen, ongeacht of bepaalde voorwaarden voor toegang kunnen gelden (artikel 3, punt 44).

De punten e) tot en met h) van artikel 5, lid 1 gelden sinds 2 februari 2025 (artikel 113, punt a)). Boetes kunnen maximaal 35 miljoen EUR of, voor een onderneming, 7 % van de totale wereldwijde jaaromzet bedragen, als dat hoger is (artikel 99, lid 3).

• Ongerichte scraping om gezichtsdatabanken op te bouwen (punt e))

  AI-systemen die databanken voor gezichtsherkenning aanleggen of aanvullen door ongerichte scraping van gezichtsafbeeldingen van internet of CCTV-beelden. Het verbod betreft het in de handel brengen, het voor dit specifieke doel in gebruik stellen en het gebruiken. De tekst noemt geen toestemmingstoets en geen benoemde dataset.

• Het afleiden van emoties op het werk en in het onderwijs (punt f))

  AI-systemen om emoties van een natuurlijke persoon op de werkplek en in het onderwijs af te leiden, behalve wanneer het gebruik van het systeem is bedoeld om uit medische of veiligheidsoverwegingen te worden ingevoerd of in de handel te worden gebracht. Systemen voor emotieherkenning staan in bijlage III, punt 1, c), dat ze niet tot een gebied beperkt.

• Biometrische categorisering van gevoelige kenmerken (punt g))

  Systemen voor biometrische categorisering die natuurlijke personen individueel in categorieën indelen op basis van biometrische gegevens om hun ras, politieke opvattingen, lidmaatschap van een vakbond, religieuze of levensbeschouwelijke overtuigingen, seksleven of seksuele gerichtheid af te leiden. Het verbod geldt niet voor het labelen of filteren van rechtmatig verkregen biometrische datasets, zoals afbeeldingen, op basis van biometrische gegevens of categorisering van biometrische gegevens op het gebied van rechtshandhaving.

• Biometrische identificatie op afstand in real time met het oog op rechtshandhaving (punt h))

  Het gebruik van systemen voor biometrische identificatie op afstand in real time in openbare ruimten met het oog op de rechtshandhaving is verboden, tenzij en voor zover dat strikt noodzakelijk is voor een van drie doelstellingen. De eerste is het gericht zoeken naar specifieke slachtoffers van ontvoering, mensenhandel of seksuele uitbuiting van mensen, alsook naar vermiste personen. De tweede is het voorkomen van een specifieke, aanzienlijke en imminente dreiging voor het leven of de fysieke veiligheid, of een reële en actuele of reële en voorspelbare dreiging van een terroristische aanslag. De derde is de lokalisatie of identificatie van een persoon die ervan wordt verdacht een in bijlage II genoemd strafbaar feit te hebben gepleegd waarop een vrijheidsstraf of een tot vrijheidsbeneming strekkende maatregel staat met een maximumduur van ten minste vier jaar. Het gebruik mag alleen dienen om de identiteit van de specifiek beoogde persoon te bevestigen (artikel 5, lid 2). Elk gebruik vereist een voorafgaande toestemming van een rechterlijke instantie of een onafhankelijke administratieve instantie wier beslissing bindend is. In een naar behoren gemotiveerde spoedsituatie mag het gebruik zonder toestemming beginnen, mits die zonder onnodige vertraging en uiterlijk binnen 24 uur wordt aangevraagd. Wordt zij geweigerd, dan wordt het gebruik onmiddellijk stopgezet en worden de gegevens en resultaten gewist (artikel 5, lid 3). De toestemming vereist ook een voltooide effectbeoordeling op het gebied van de grondrechten en de registratie van het systeem in de EU-databank; in naar behoren gemotiveerde spoedgevallen kan de registratie zonder onnodige vertraging volgen (artikel 5, lid 2). Elk gebruik wordt gemeld aan de markttoezichtautoriteit en de nationale gegevensbeschermingsautoriteit (artikel 5, lid 4). Die autoriteiten dienen jaarlijkse verslagen in bij de Commissie, die jaarlijkse verslagen publiceert (artikel 5, lid 6, artikel 5, lid 7). Een lidstaat kan besluiten of hij in zo’n toestemming voorziet (artikel 5, lid 5). Punt h) betreft gebruik met het oog op de rechtshandhaving; het doet geen afbreuk aan artikel 9 van Verordening (EU) 2016/679 voor andere doeleinden.

• Aanbieders

  Een aanbieder ontwikkelt een systeem, of laat het ontwikkelen, en brengt het onder eigen naam of merk in de handel of stelt het in gebruik (artikel 3, punt 3). Een aanbieder moet ervoor zorgen dat zijn AI-systeem met een hoog risico voldoet aan de eisen van afdeling 2, waartoe de artikelen 9 tot en met 15 behoren, een kwaliteitsbeheersysteem hebben dat voldoet aan artikel 17 en ervoor zorgen dat het systeem de conformiteitsbeoordeling van artikel 43 ondergaat voordat het in de handel wordt gebracht of in gebruik wordt gesteld (artikel 16, punten a), c) en f)).

• Gebruiksverantwoordelijken

  Een gebruiksverantwoordelijke is een natuurlijke persoon of rechtspersoon, overheidsinstantie, agentschap of ander orgaan die of dat een AI-systeem onder eigen verantwoordelijkheid gebruikt (artikel 3, punt 4). Gebruiksverantwoordelijken nemen passende technische en organisatorische maatregelen om het systeem overeenkomstig de gebruiksaanwijzing te gebruiken, wijzen menselijk toezicht toe aan natuurlijke personen met de nodige bekwaamheid, opleiding en bevoegdheid en bewaren de logs die onder hun controle vallen (artikel 26, leden 1, 2 en 6). Gebruiksverantwoordelijken die overheidsinstanties zijn, registreren hun gebruik in de EU-databank (artikel 26, lid 8, artikel 49, lid 3). Gebruiksverantwoordelijken die publiekrechtelijke instellingen zijn of particuliere entiteiten die openbare diensten verlenen, voeren een effectbeoordeling op het gebied van de grondrechten uit voordat zij een in artikel 6, lid 2 bedoeld systeem in gebruik nemen (artikel 27, lid 1).

• Gebruiksverantwoordelijken van biometrische identificatie op afstand achteraf

  In het kader van een onderzoek naar de gerichte opsporing van een persoon die ervan wordt verdacht een strafbaar feit te hebben gepleegd of daarvoor is veroordeeld, vraagt de gebruiksverantwoordelijke van een systeem voor biometrische identificatie op afstand achteraf vooraf of zonder onnodige vertraging en uiterlijk binnen 48 uur toestemming voor het gebruik van het systeem aan een rechterlijke instantie of een administratieve instantie wier beslissing bindend is en aan rechterlijke toetsing onderworpen. De uitzondering is het gebruik voor de eerste identificatie van een potentiële verdachte op basis van objectieve en verifieerbare feiten die rechtstreeks verband houden met het strafbare feit. Rechtshandhavingsinstanties mogen geen beslissing met nadelige rechtsgevolgen voor een persoon nemen die uitsluitend is gebaseerd op de output van zo’n systeem. Ongeacht het doel of de gebruiksverantwoordelijke wordt elk gebruik van dergelijke systemen gedocumenteerd in het relevante politiedossier en op verzoek ter beschikking gesteld van de markttoezichtautoriteit en de nationale gegevensbeschermingsautoriteit, met uitzondering van gevoelige operationele gegevens met betrekking tot rechtshandhaving. Gebruiksverantwoordelijken dienen bij die autoriteiten jaarlijks verslagen in over hun gebruik van systemen voor biometrische identificatie op afstand achteraf; de verslagen mogen worden samengevoegd (artikel 26, lid 10).

Overtredingen van de verboden van artikel 5 kunnen worden beboet met maximaal 35 miljoen EUR of, voor een onderneming, maximaal 7 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, als dat hoger is (artikel 99, lid 3). Overtredingen van de verplichtingen van aanbieders uit artikel 16 en van gebruiksverantwoordelijken uit artikel 26 kunnen worden beboet met maximaal 15 miljoen EUR of, voor een onderneming, maximaal 3 %, als dat hoger is; dezelfde categorie dekt de transparantieverplichtingen van artikel 50 (artikel 99, lid 4, punten a), e) en g)). Voor mkb-bedrijven, met inbegrip van start-ups, geldt per boete het laagste van de twee bedragen als maximum (artikel 99, lid 6). Voor kleine midcaponderneming (artikel 3, punt 14b) geldt hetzelfde voor de boetes van artikel 99, lid 4 en artikel 99, lid 5, maar niet voor die van artikel 99, lid 3 (artikel 99, lid 6a). Elke lidstaat stelt regels vast over de mate waarin administratieve boetes kunnen worden opgelegd aan overheidsinstanties en publieke organen die in die lidstaat zijn gevestigd (artikel 99, lid 8). Artikel 99, leden 3 tot en met 5, noemt geen categorie voor artikel 27 of artikel 49.

• art. 5(1)(e)–(h)
  Verboden: eerst controleren

  Controleer of het systeem onder de punten e) tot en met h) van artikel 5, lid 1 valt voordat u de regels voor hoog risico toepast. Zie de verboden hierboven.

• art. 9
  Systeem voor risicobeheer

  Een verplichting van de aanbieder. Daartoe behoort de afweging voor personen onder de 18 jaar en andere kwetsbare groepen (artikel 9, lid 9). De verordening noemt geen biometrische risicowaarde of -methode.

• art. 10, 4a
  Datagovernance en bijzondere categorieën gegevens

  Kwaliteitscriteria voor trainings-, validatie- en testdata (artikel 10). Aanbieders mogen bij wijze van uitzondering bijzondere categorieën persoonsgegevens verwerken voor het opsporen en corrigeren van vooringenomenheid, onder zes voorwaarden (artikel 4 bis, lid 1).

• art. 12(3)
  Registratie: minimale loginhoud

  Bij systemen onder punt 1, a), registreren de logs de duur van elk gebruik, de referentiedatabank, de inputdata met een match en de personen die het resultaat hebben geverifieerd (artikel 12, lid 3).

• art. 13
  Transparantie en gebruiksaanwijzing

  De aanbieder verstrekt een gebruiksaanwijzing met ten minste de gegevens van artikel 13, lid 3. Artikel 13 bevat geen regel over borden of mededelingen voor personen die door een systeem worden vastgelegd.

• art. 14(5)
  Menselijk toezicht: controle door twee personen

  Bij systemen onder punt 1, a), geen maatregelen of beslissingen op basis van een identificatie vóór afzonderlijke verificatie en bevestiging door ten minste twee natuurlijke personen met de nodige bekwaamheid, opleiding en bevoegdheid (artikel 14, lid 5). Uitzondering voor rechtshandhaving, migratie, grenstoezicht en asiel wanneer het recht het vereiste onevenredig acht.

• art. 15, 17
  Nauwkeurigheid, robuustheid, cyberbeveiliging en kwaliteitsbeheer

  Verplichtingen van de aanbieder (artikel 15, artikel 17). De verordening noemt voor biometrie geen nauwkeurigheidswaarde, foutpercentagemetriek of testmethode. De aanbieder vermeldt de nauwkeurigheidsniveaus en -metrieken in de gebruiksaanwijzing (artikel 15, lid 3).

• art. 26–27
  Verplichtingen van gebruiksverantwoordelijken en effectbeoordeling op het gebied van de grondrechten

  Gebruik overeenkomstig de gebruiksaanwijzing, menselijk toezicht, logs (artikel 26). Gebruiksverantwoordelijken van AI-systemen met een hoog risico onder bijlage III die besluiten nemen of helpen nemen met betrekking tot natuurlijke personen, informeren die personen (artikel 26, lid 11). Identificatie op afstand achteraf bij strafrechtelijke onderzoeken: toestemming en verslagen (artikel 26, lid 10). Effectbeoordeling op het gebied van de grondrechten voor de in artikel 27, lid 1 genoemde gebruiksverantwoordelijken.

• art. 43(1)
  Conformiteitsbeoordelingsprocedure voor punt 1

  Wanneer de aanbieder geharmoniseerde normen (artikel 40) of, in voorkomend geval, gemeenschappelijke specificaties (artikel 41) heeft toegepast, kiest hij tussen interne controle volgens bijlage VI en een beoordeling met een aangemelde instantie volgens bijlage VII. Bijlage VII geldt wanneer dergelijke normen niet bestaan en gemeenschappelijke specificaties niet beschikbaar zijn, wanneer de aanbieder de norm niet of slechts gedeeltelijk heeft toegepast, wanneer hij bestaande gemeenschappelijke specificaties niet heeft toegepast of wanneer een norm met een beperking is bekendgemaakt. Voor systemen die in gebruik worden gesteld door rechtshandhavings-, immigratie- of asielautoriteiten of door instellingen van de Unie, treedt de markttoezichtautoriteit op als aangemelde instantie (artikel 43, lid 1).

• art. 49
  Registratie in de EU-databank

  Aanbieders registreren zichzelf en hun systeem voordat het in de handel wordt gebracht of in gebruik wordt gesteld (artikel 49, lid 1). Gebruiksverantwoordelijken die overheidsinstanties zijn, registreren hun gebruik (artikel 49, lid 3). Voor systemen onder de punten 1, 6 en 7 op het gebied van rechtshandhaving, migratie, asiel en grensbeheer vindt de registratie plaats in een beveiligd niet-openbaar gedeelte, met beperkte informatie (artikel 49, lid 4).

• art. 50(3)
  Informatieplicht bij emotieherkenning en biometrische categorisering

  Gebruiksverantwoordelijken van een systeem voor emotieherkenning of biometrische categorisering informeren de daaraan blootgestelde natuurlijke personen over de werking van het systeem en verwerken de persoonsgegevens overeenkomstig het gegevensbeschermingsrecht. De verplichting geldt niet voor systemen die bij wet zijn toegestaan voor het opsporen, voorkomen of onderzoeken van strafbare feiten, met passende waarborgen en in overeenstemming met het Unierecht (artikel 50, lid 3). Biometrische identificatie op afstand wordt in dit lid niet genoemd.

• Artikel 9 voor biometrische AI: risicobeheer

  Risicobeheer voor biometrische AI: wat artikel 9 van de aanbieder vereist.

• Artikel 14 voor biometrische AI: menselijk toezicht

  Menselijk toezicht voor biometrische AI, met inbegrip van de controle door twee personen bij identificatie op afstand.

• Verboden AI-praktijken volgens artikel 5 AI-verordening

  Alle verboden AI-praktijken van artikel 5, waaronder de biometrische.

• AI-verordening rechtshandhaving: naleving

  Het overzicht rechtshandhaving: bijlage III, punt 6, en de regels voor rechtshandhavingsinstanties.