In dit artikel bespreken we de laatste twee verboden uit de AI-verordening. De andere verboden vindt u in deel 1 en deel 2.

Deze laatste twee verboden gaan beide over biometrische gegevens. De AI-verordening definieert biometrische gegevens als volgt:

biometrische gegevens: persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijk persoon, zoals gezichtsafbeeldingen of vingerafdrukgegevens;

Met “specifieke technische verwerking” wordt onder andere bedoeld dat normale camerabeelden van personen geen biometrische gegevens zijn (al zijn hierin natuurlijk ook fysieke eigenschappen van mensen zichtbaar). Pas wanneer er specifieke middelen, zoals AI, worden ingezet voor bijvoorbeeld het herkennen van gezichten of het analyseren van de loopstijl, gaat het om biometrische gegevens.

Verbod biometrische categorisatie op basis van bepaalde gevoelige kenmerken

De AI-verordening definieert een systeem voor biometrische categorisatie als volgt:

systeem voor biometrische categorisering: een AI-systeem dat is bedoeld voor het indelen van natuurlijke personen in specifieke categorieën op basis van hun biometrische gegevens, tenzij dit een aanvulling vormt op een andere commerciële dienst en om objectieve technische redenen strikt noodzakelijk is;

Dit is dus een AI-systeem dat mensen op basis van bepaalde biometrische kenmerken in “hokjes” indeelt. Sommige van dergelijke systemen zijn verboden, andere zijn hoog-risico en weer andere zijn zonder verdere regulering vanuit de AI-verordening toegestaan. Overigens is het gebruik van biometrische gegevens in beginsel niet toegestaan op grond van de AVG, tenzij er sprake is van een zogenaamde doorbrekingsgrond. Hier kom ik in latere artikelen over de AVG nog op terug. Dat iets niet verboden is volgens de AI-verordening, betekent nog niet dat het automatisch is toegestaan volgens de AVG.

Biometrische categorisatie is verboden wanneer het wordt gebruikt om ras, politieke opvattingen, lidmaatschap van een vakbond, religieuze of levensbeschouwelijke overtuigingen, seksleven of seksuele gerichtheid af te leiden. Het verbod geldt niet voor het labelen of filteren van rechtmatig verkregen biometrische datasets, zoals bijvoorbeeld het zoeken naar verdachten voor rechtshandhavingsdoelen. Als biometrische categorisatie wordt toegepast om andere gevoelige of beschermde eigenschappen of kenmerken af te leiden, dan is een dergelijk systeem niet verboden, maar een hoog risico-systeem.

Verbod op real-time biometrie op afstand in de publieke ruimte ten behoeve van rechtshandhaving

Soms wordt dit ‘het verbod op gezichtsherkenning’ genoemd, maar dat is te kort door de bocht. Er zijn namelijk veel situaties waarin gezichtsherkenning wel is toegestaan. Allereerst is er een onderscheid tussen biometrische identificatie en biometrische verificatie. Deze begrippen zijn als volgt gedefinieerd:

biometrische identificatie: de geautomatiseerde herkenning van fysieke, fysiologische, gedragsgerelateerde of psychologische menselijke kenmerken om de identiteit van een natuurlijk persoon vast te stellen door biometrische gegevens van die persoon te vergelijken met in een databank opgeslagen biometrische gegevens van personen;
biometrische verificatie: de geautomatiseerde één-op-éénverificatie, met inbegrip van de authenticatie, van de identiteit van natuurlijke personen door hun biometrische gegevens te vergelijken met eerder verstrekte biometrische gegevens;

Biometrische verificatie, zoals het ontgrendelen van je telefoon met gezichtsherkenning of een irisscan voor toegangscontrole, valt niet onder dit verbod.

Vervolgens geldt dit verbod alleen voor rechtshandhaving, bijvoorbeeld bij het opsporen van verdachte personen of slachtoffers. Biometrische identificatie voor andere doeleinden valt niet onder dit verbod, maar wordt wel aangemerkt als hoog risico-systeem.

Daarnaast heeft het verbod alleen betrekking op de publieke ruimte. Het begrip ‘publieke ruimte’ moet hierbij wel ruim worden uitgelegd. Als een particulier terrein voor iedereen toegankelijk is, valt dit bijvoorbeeld ook onder ‘publieke ruimte’.

Vervolgens gaat het om real-time biometrische identificatie, niet om identificatie achteraf, zoals het doorzoeken van camerabeelden van enkele weken geleden. De wetgever benadrukt hierbij dat het bewust inbouwen van een vertraging van bijvoorbeeld één seconde niet betekent dat de gegevens niet meer realtime zijn (mocht je techneut zijn, dan had je dit natuurlijk zelf al als mogelijke oplossing bedacht :-)).

Ten slotte hebben lidstaten de mogelijkheid om voor zeer specifieke situaties realtime biometrie op afstand in de publieke ruimte voor rechtshandhavingsdoeleinden toe te staan. Daarvoor moet de lidstaat wel nationale wetgeving opstellen die deze uitzonderingen regelt. Deze uitzonderingen mogen niet verder gaan dan wat de Europese wetgever toestaat. Onder deze toegestane uitzonderingen vallen onder andere het gericht zoeken naar slachtoffers van ontvoering, het voorkomen van een specifieke, aanzienlijke en imminente dreiging voor het leven van een natuurlijk persoon of de lokalisatie van een verdachte van bepaalde zeer zware delicten. Nederland kent (nog) geen nationale wetgeving voor deze uitzonderingsgronden.

Volgende artikelen

Mocht u specifieke onderwerpen aan bod willen laten komen op het gebied van de AI-verordening, privacy of intellectueel eigendom, dan hoor ik het graag. Schroom niet om hierover (via een reply op deze e-mail) contact op te nemen.

Mijn eigen planning is om de volgende keren in te gaan op hoog risico-systemen in de AI-verordening, maar wellicht volgen er ook nog artikelen over privacy. Inbreng over uw voorkeur is natuurlijk welkom!