Rozporządzenie AI dla biometrycznych systemów AI
Dla biometrycznej AI: załącznik III pkt 1 obejmuje identyfikację, kategoryzację i rozpoznawanie emocji; niektóre zastosowania są zakazane.
Najpierw sprawdź art. 5, potem załącznik III pkt 1
Załącznik III pkt 1 obejmuje zdalną identyfikację biometryczną (lit. a)), kategoryzację według cech wrażliwych (lit. b)) i rozpoznawanie emocji (lit. c)). Lit. a) wyłącza weryfikację jeden do jednego. Art. 5 zakazuje niektórych praktyk biometrycznych od 2 lutego 2025. Przepisy dla systemów wysokiego ryzyka obowiązują od 2 grudnia 2027. Następny krok: przypisz każdy system do lit. a), b) lub c).
Co spoczywa na dostawcach i podmiotach wdrażających biometryczną AI
Niektóre praktyki biometryczne są zakazane
Art. 5 ust. 1 zakazuje nieukierunkowanego pozyskiwania wizerunków twarzy do tworzenia baz danych (lit. e)) oraz wnioskowania o emocjach w pracy i w edukacji (f)). Zakazuje też kategoryzowania osób według cech wrażliwych (g)) i zdalnej identyfikacji biometrycznej w czasie rzeczywistym do celów ścigania (h)). Każda litera ma warunki lub wyjątki.
Biometryczne systemy wysokiego ryzyka
Dostawcy spełniają wymogi art. 8–15 od 2 grudnia 2027. W systemach z pkt 1 lit. a) logi rejestrują każde użycie, referencyjną bazę danych i dane wejściowe, które doprowadziły do dopasowania (art. 12 ust. 3). Dwie osoby weryfikują identyfikację, zanim ktokolwiek na jej podstawie zadziała, z wyjątkami (art. 14 ust. 5).
Weryfikacja nie należy do pkt 1 lit. a)
Weryfikacja jeden do jednego, np. odblokowanie urządzenia, nie należy do pkt 1 lit. a) (definiuje ją art. 3 pkt 36). Taki system jest wysokiego ryzyka tylko wtedy, gdy obejmuje go inny punkt załącznika III lub załącznik I.
Co Scanara wspiera w biometrycznej AI
Weryfikacja zakazanych praktyk
Dla każdego zarejestrowanego systemu przeprowadzana jest weryfikacja art. 5 z przewodnikiem, a reguły dla kodu wskazują wykrywalne wzorce. Kod nie pokazuje celu ani kontekstu, więc decyduje Twój zespół, w trudnych przypadkach z pomocą prawnika.
Inwentarz z zapisaną klasyfikacją
Rejestrujesz każdy system AI. Scanara zapisuje klasyfikację ryzyka i Twoje uzasadnienie dla pkt 1 lit. a), b) lub c). Decyzję podejmujesz Ty.
Kontrole kodu i dokumentów
Reguły dla kodu obejmują art. 9, 10, 12, 14 i 15. Skany dokumentów sprawdzają treść wymaganą przez art. 11 i 13. Scanara skanuje kod i dokumenty; nie testuje dokładności modelu ani nie mierzy uprzedzeń na Twoich danych.
Szkic dokumentacji i deklaracji
Scanara generuje szkice dokumentacji technicznej z załącznika IV i deklaracji zgodności UE na podstawie Twoich danych. Przygotowuje dowody; nie jest jednostką notyfikowaną i nie certyfikuje.
Dwie górne granice kar
35 mln EUR lub 7 %
Górna granica kar za naruszenie art. 5: do 35 mln EUR lub, dla przedsiębiorstwa, do 7 % światowego obrotu rocznego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 3).
15 mln EUR lub 3 %
Górna granica kar za naruszenie obowiązków dostawców i podmiotów wdrażających: do 15 mln EUR lub, dla przedsiębiorstwa, do 3 % światowego obrotu rocznego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Dla MŚP i małych przedsiębiorstw o średniej kapitalizacji granicą jest niższa kwota (art. 99 ust. 6 i 6a).
Pytania zespołów biometrycznej AI
Czy rozpoznawanie twarzy jest zakazane?
Nie jako taki. Art. 5 ust. 1 lit. h) zakazuje zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej do celów ścigania, chyba że jest to bezwzględnie konieczne dla jednego z trzech celów. Art. 5 ust. 1 lit. e) zakazuje nieukierunkowanego pozyskiwania wizerunków twarzy do tworzenia baz danych. Pozostała zdalna identyfikacja jest w załączniku III pkt 1 lit. a), a do danych biometrycznych stosuje się art. 9 RODO.
Czy weryfikacja jeden do jednego jest wysokiego ryzyka?
Nie na podstawie załącznika III pkt 1 lit. a), który wyłącza systemy, których jedynym celem jest potwierdzenie, że określona osoba jest tym, za kogo się podaje. Taki system jest wysokiego ryzyka tylko wtedy, gdy obejmuje go inny punkt załącznika III lub załącznik I (art. 6).
Czy zakaz kategoryzacji biometrycznej dotyczy przedsiębiorstw?
Tak. Art. 5 ust. 1 lit. g) zakazuje kategoryzowania osób na podstawie danych biometrycznych w celu wywnioskowania rasy, poglądów politycznych, przynależności do związków zawodowych, przekonań religijnych lub światopoglądowych, życia seksualnego lub orientacji seksualnej. Zakaz nie obejmuje etykietowania ani filtrowania zgodnie z prawem pozyskanych zbiorów danych biometrycznych ani kategoryzacji w ściganiu przestępstw.
Jakie terminy obowiązują?
Art. 5 obowiązuje od 2 lutego 2025. Wymogi dla systemów wysokiego ryzyka z załącznika III obowiązują od 2 grudnia 2027 (art. 113 lit. c ppkt (i)). System wprowadzony do obrotu lub oddany do użytku wcześniej podlega im dopiero po istotnych zmianach projektu (art. 111 ust. 2).
Czy Scanara powie mi, czy mój system biometryczny jest zakazany?
Nie. Scanara przeprowadza weryfikację art. 5 z przewodnikiem i wskazuje wykrywalne wzorce w kodzie. Decyduje Twój zespół, w trudnych przypadkach z pomocą prawnika, bo sam kod nie pokazuje celu ani kontekstu.
Czytaj dalej
Zobacz przykładowy raport ze skanu
Demo pokazuje prawdziwy, zanonimizowany raport zgodności oraz prezentację produktu.
Scanara przygotowuje dowody na podstawie Państwa repozytoriów
Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.