Artykuł 13: przejrzystość w AI biometrycznej — EU AI Act
Jak wymogi przejrzystości z artykułu 13 EU AI Act stosują się do AI biometrycznej — obowiązki oznakowania, informacje o prywatności, powiadamianie o rozpoznawaniu emocji.
Artykuł 13 EU AI Act wymaga, aby systemy AI wysokiego ryzyka były wystarczająco przejrzyste, aby podmioty stosujące mogły interpretować wyniki i wykorzystywać je w odpowiedni sposób. W przypadku biometrycznych systemów AI przejrzystość jest nierozerwalnie związana z prawami podstawowymi — osoby muszą wiedzieć, kiedy ich dane biometryczne są zbierane, przetwarzane i wykorzystywane do identyfikacji lub kategoryzacji. Na mocy Załącznika III, sekcja 1, systemy AI przeznaczone do zdalnej identyfikacji biometrycznej w czasie rzeczywistym i późniejszej, a także systemy kategoryzacji biometrycznej, są klasyfikowane jako wysokiego ryzyka i podlegają najbardziej rygorystycznym obowiązkom w zakresie przejrzystości.
Ta strona wyjaśnia, jak wymogi przejrzystości z artykułu 13 mają zastosowanie w szczególności do AI biometrycznej — od rozpoznawania twarzy po wykrywanie emocji — w tym obowiązki dotyczące oznakowania, wymogi dotyczące informacji o prywatności, ujawnianie w interfejsie użytkownika oraz naruszenia na poziomie kodu, które Scanara wykrywa w systemach biometrycznych.
Które biometryczne systemy AI muszą być przejrzyste?
Rozpoznawanie i identyfikacja twarzy
Systemy porównujące twarze z referencyjnymi bazami danych w celu weryfikacji lub identyfikacji tożsamości muszą ujawniać swoje działanie osobom, których dotyczą. Systemy kontroli dostępu do budynków, bramki lotniskowe i zabezpieczenia imprez wykorzystujące rozpoznawanie twarzy wymagają jasnego powiadomienia, zanim dojdzie do przetwarzania biometrycznego.
Systemy kategoryzacji biometrycznej
Systemy AI kategoryzujące osoby na podstawie danych biometrycznych w grupy według płci, wieku, pochodzenia etnicznego lub innych cech muszą ujawniać, że kategoryzacja ma miejsce. Należy zauważyć, że kategoryzacja oparta na rasie lub orientacji seksualnej jest zakazana na mocy artykułu 5(1)(g).
Systemy rozpoznawania emocji
Systemy AI wnioskujące o emocjach na podstawie wyrazu twarzy, głosu lub sygnałów fizjologicznych muszą informować analizowane osoby. Artykuł 50(3) wymaga w szczególności powiadomienia w przypadku systemów rozpoznawania emocji. Należy zauważyć, że rozpoznawanie emocji w miejscu pracy i w instytucjach edukacyjnych jest zakazane na mocy artykułu 5(1)(f).
Weryfikacja biometryczna (dopasowanie 1:1)
Skanery linii papilarnych, rozpoznawanie tęczówki i systemy biometrii głosowej weryfikujące deklarowaną tożsamość muszą zapewniać jasne elementy interfejsu użytkownika wyjaśniające, jakie dane są zbierane, w jaki sposób są przetwarzane oraz jaki jest okres przechowywania. Nawet dopasowanie jeden do jednego wymaga przejrzystości na mocy artykułu 13.
Analiza chodu i biometria behawioralna
Systemy analizujące wzorce chodu, rytmy pisania na klawiaturze lub inne cechy behawioralne w celach identyfikacyjnych lub bezpieczeństwa muszą ujawniać swoje działanie. Systemy te często działają biernie, co sprawia, że proaktywna przejrzystość jest jeszcze bardziej istotna.
Kluczowe obowiązki w zakresie przejrzystości dla biometrii
AI biometryczna podlega jednym z najwyższych wymogów przejrzystości w AI Act. Poza ogólnymi wymogami artykułu 13 artykuł 50 nakłada dodatkowe obowiązki powiadamiania specyficzne dla systemów biometrycznych, a artykuł 9 GDPR wymaga wyraźnej podstawy prawnej do przetwarzania danych biometrycznych szczególnej kategorii.
Oznakowanie i powiadamianie w przestrzeni publicznej
Gdy nadzór biometryczny działa w przestrzeni publicznej lub półpublicznej (wejścia do budynków, miejsca pracy, środowiska handlu detalicznego), wyraźne oznakowanie musi informować osoby, zanim wejdą do monitorowanego obszaru. Powiadomienie musi wyjaśniać, jakie dane biometryczne są zbierane, cel zbierania oraz podstawę prawną przetwarzania.
Informacje o prywatności muszą w szczególności dotyczyć biometrii
Ogólne informacje o prywatności są niewystarczające. Informacje o prywatności muszą w szczególności wymieniać przetwarzanie biometryczne, kategorie zbieranych danych biometrycznych, podstawę prawną na mocy artykułu 9 GDPR, okresy przechowywania oraz prawo do sprzeciwu. Artykuł 13 dodaje wymóg ujawnienia charakterystyki i wydajności systemu AI.
Jasny interfejs użytkownika dla systemów weryfikacji
Systemy weryfikacji biometrycznej (odcisk palca, tęczówka, twarz) muszą zapewniać jasny interfejs użytkownika wyjaśniający, jakie dane są zbierane, w jaki sposób są wykorzystywane oraz jak długo są przechowywane. Artykuł 13(3) wymaga, aby te informacje były dostarczane w odpowiednim formacie cyfrowym — krótkie wyjaśnienie na ekranie przed rejestracją stanowi minimalny standard.
Rozpoznawanie emocji wymaga wyraźnego powiadomienia
Artykuł 50(3) wymaga w szczególności, aby osoby narażone na systemy rozpoznawania emocji były informowane o działaniu systemu. Ma to zastosowanie nawet wtedy, gdy rozpoznawanie emocji jest elementem większego systemu. Powiadomienie musi zostać przekazane przed rozpoczęciem przetwarzania, z wyjątkiem wąskich wyjątków dotyczących organów ścigania.
Nakładanie się regulacji
Przejrzystość AI biometrycznej znajduje się na przecięciu ochrony danych, praw podstawowych i regulacji sektorowych. Nakładające się wymogi tworzą jedno z najbardziej złożonych środowisk przejrzystości w AI Act.
Artykuł 9 GDPR — dane biometryczne szczególnej kategorii
Dane biometryczne wykorzystywane do identyfikacji są danymi szczególnej kategorii na mocy artykułu 9 GDPR i wymagają wyraźnej zgody lub innej podstawy prawnej na mocy artykułu 9(2). Obowiązki informacyjne GDPR (artykuły 13/14) wymagają ujawnienia podstawy prawnej, celu i odbiorców. Artykuł 13 AI Act dodaje przejrzystość na poziomie systemu dotyczącą charakterystyki i wydajności AI, oprócz tych wymogów GDPR na poziomie indywidualnym.
Artykuły 13/14 GDPR — prawa do informacji
GDPR wymaga, aby administratorzy danych informowali osoby o przetwarzaniu danych w momencie zbierania. W przypadku systemów biometrycznych obejmuje to tożsamość administratora, cel przetwarzania, podstawę prawną, okres przechowywania oraz prawa. Artykuł 13 AI Act rozszerza to o wymogi ujawniania wydajności systemu, dokumentowania ograniczeń oraz instrukcji dla podmiotów stosujących.
Krajowe przepisy dotyczące biometrii
Kilka państw członkowskich UE posiada dodatkowe przepisy specyficzne dla biometrii. Wytyczne francuskiej CNIL dotyczące biometrycznej kontroli dostępu, przepisy niemieckiej BDSG dotyczące przetwarzania biometrycznego oraz ograniczenia włoskiego Garante dotyczące rozpoznawania twarzy w przestrzeni publicznej — wszystkie nakładają wymogi przejrzystości, które uzupełniają obowiązki z artykułu 13.
Karta praw podstawowych — artykuły 7 i 8
Karta UE chroni prawo do prywatności (artykuł 7) i ochrony danych osobowych (artykuł 8). Nadzór biometryczny bezpośrednio angażuje oba te prawa. Przejrzystość jest warunkiem wstępnym korzystania przez osoby z ich praw wynikających z Karty — bez wiedzy, że dochodzi do przetwarzania biometrycznego, osoby nie mogą wnieść sprzeciwu ani dochodzić roszczeń.
Typowe naruszenia wykrywane przez Scanara
Rejestracja biometryczna bez uprzedniego powiadomienia
Kod inicjalizacji kamery lub czujnika, który rozpoczyna rejestrację danych biometrycznych bez wywołania powiadomienia użytkownika ani wyświetlenia oznakowania. Artykuł 13(3) i artykuł 50 wymagają powiadomienia przed przetwarzaniem — Scanara oznacza potoki rejestracji biometrycznej, w których brakuje kroku powiadomienia przed pozyskaniem danych.
Brak okresu przechowywania w ujawnieniu biometrycznym
Ekrany ujawnień skierowane do użytkownika lub informacje o prywatności dla systemów biometrycznych, które nie zawierają informacji o okresie przechowywania danych. Zarówno artykuł 13(2)(a) GDPR, jak i wymogi przejrzystości AI Act nakazują, aby osoby wiedziały, jak długo ich dane biometryczne będą przechowywane.
Rozpoznawanie emocji bez powiadomienia na mocy artykułu 50(3)
Komponenty analizy emocji, które przetwarzają wyraz twarzy lub wzorce głosu bez wdrożenia wyraźnego powiadomienia wymaganego przez artykuł 50(3). Scanara wykrywa wywołania modeli rozpoznawania emocji, które nie są poprzedzone mechanizmem powiadomienia użytkownika.
Lista kontrolna zgodności z artykułem 13 dla biometrii
Zapewnić instrukcje obsługi specyficzne dla biometrii
Udokumentuj charakterystykę, możliwości i wskaźniki dokładności systemu biometrycznego (w tym wskaźniki fałszywej akceptacji/odrzucenia), znane ograniczenia w poszczególnych grupach demograficznych oraz praktyki przetwarzania danych. Instrukcje muszą być wystarczające, aby podmioty stosujące mogły skonfigurować i eksploatować system w sposób zgodny z przepisami.
Powiadamiać osoby przed przetwarzaniem biometrycznym
Wdróż oznakowanie, powiadomienia ekranowe lub inne mechanizmy ujawniania przed rozpoczęciem rejestracji danych biometrycznych. Powiadomienie musi wyjaśniać, jakie dane biometryczne są zbierane, ich cel oraz podstawę prawną przetwarzania.
Wdrożyć powiadomienie o rozpoznawaniu emocji
W przypadku systemów rozpoznawania emocji zapewnij wyraźne powiadomienie osobom, których dotyczy, przed rozpoczęciem analizy. Zweryfikuj, że system nie jest wdrażany w zakazanych kontekstach (miejsce pracy, edukacja) na mocy artykułu 5(1)(f).
Udokumentować podstawę prawną przetwarzania biometrycznego
Zapewnij, aby informacje o prywatności wyraźnie wskazywały podstawę prawną na mocy artykułu 9(2) GDPR dla przetwarzania biometrycznego. Uwzględnij okresy przechowywania, prawa osób, których dane dotyczą, oraz tożsamość administratora. Skoordynuj z wymogami ujawniania z artykułu 13 AI Act.
Ujawnić dokładność w poszczególnych grupach demograficznych
Raportuj wskaźniki fałszywej akceptacji, wskaźniki fałszywego odrzucenia oraz metryki dokładności w podziale na grupy demograficzne, w tym wiek, płeć, odcień skóry i pochodzenie etniczne. Udokumentuj znane warunki pogorszenia wydajności (oświetlenie, kąt, przesłonięcie).
Najczęściej zadawane pytania
Powiązane zasoby
Artykuł 13: przejrzystość
Pełne wymogi artykułu 13 we wszystkich branżach.
AI biometryczna — Centrum branżowe
Kompletny przewodnik po zgodności z EU AI Act dla biometrycznych systemów AI.
Artykuł 12: prowadzenie rejestrów dla biometrii
Wymogi rejestrowania i prowadzenia rejestrów dla AI biometrycznej.
Artykuł 13: przejrzystość dla organów ścigania
Wymogi przejrzystości dla biometrycznej AI w organach ścigania.
Jak pomaga Scanara
Scanara automatyzuje zgodność z EU AI Act od kodu do dossier. Połącz swoje repozytoria GitHub i otrzymaj raporty zgodności w kilka minut.