Kio estas biometriaj datumoj kaj kiel ili estas regulataj en AI?
Privateco, sekureco kaj identeco
Biometriaj datumoj estas personaj datumoj pri la fizikaj, fiziologiaj aŭ kondutaj karakterizaĵoj de persono - ekzemple vizaĝo, fingrospuro, voĉo aŭ irmaniero - pretraktitaj per teknikaj rimedoj por identigi tiun personon. Ĉar ilin malfacile ŝanĝi kaj facile misuzi, ili havas apartan juran statuson. Laŭ datumprotekta leĝo ili estas sentemaj datumoj kiam uzataj por identigo, kaj laŭ la EU AI Act kelkaj biometriaj uzoj estas tute malpermesitaj, dum aliaj estas severe kontrolataj kiel altriskaj.
Recenzita de Jackie, Estro de Lernado kaj Disvolviĝo, Levellers - Laste recenzita la 8-an de junio 2026
Kion tio signifas
Biometriaj datumoj estas informoj pri la korpo aŭ konduto, kiuj povas distingi unu personon el ĉiuj aliaj. La jura difino havas tri partojn: la datumoj rilatas al fizikaj, fiziologiaj aŭ kondutaj karakterizaĵoj; ili estis submetitaj al specifa teknika pretraktado; kaj la rezulto povas identigi aŭ konfirmi la identecon de persono. Fotaĵo aŭ voĉregistraĵo per si mem ne estas biometriaj datumoj. Ili fariĝas biometriaj datumoj kiam programaro mezuras ilin por krei ŝablonon kapablan kongrui kun persono.
Grava distingo trairas la tutan kampon. Identigo demandas "kiu estas tiu?" komparante unu specimenon kontraŭ multaj konservitaj registroj (unu-al-multaj). Konfirmo aŭ aŭtentikigo demandas "ĉu vi estas tiu, kiu vi asertas esti?" komparante unu specimenon kontraŭ unu konservita registro (unu-al-unu), ekzemple malŝlosante telefonon. Fora identigo iras pli malproksimen: ĝi distingas personojn el distanco, ofte publike, sen ilia aktiva partopreno. Ju pli fora kaj ju pli unu-al-multaj la uzo, des pli severa la jura traktado.
Kondutaj trajtoj ankaŭ gravas. Voĉpadrono, la maniero kiel iu tajpas (klavopremdinamiko), kiel iu marŝas (irmaniero) kaj subskribodinamiko povas ĉiuj esti biometriaj datumoj kiam pretraktitaj por identigi personon. La jura ekigilo estas la celo, ne la korpopartoj implikitaj.
Kial tio gravas
Biometriaj datumoj estas traktataj kiel escepte sentemaj pro tri interligitaj kialoj. Unue, ili estas permanentaj. Vi povas ŝanĝi pasvorton aŭ karton se ĝi likas, sed vi ne povas ŝanĝi vian vizaĝon aŭ fingrosignojn, do rompo kreas daŭran riskon de identeca fraŭdo. Due, ili ebligas gvatadan. Vizaĝojn kaj irmanieron oni povas kapti el distanco, amase, sen ke iu rimarku, kio faras amasan monitoradon de publikaj spacoj teknike ebla laŭ maniero, kiun pli malnovaj identigilo neniam permesis. Trie, ili povas malkaŝi pli ol identecon. Vizaĝo aŭ voĉo povas esti analizitaj por konkludi pri etno, sano, emocia stato aŭ aliaj sentemaj trajtoj, malfermante la pordon al diskriminacio.
Tiuj riskoj klarigas, kial kaj datumprotekta leĝo kaj AI-specifa leĝo apartigas biometriajn datumojn por pli fortaj reguloj ol ordinaraj personaj datumoj, kaj kial regulistoj traktas foran identigon en publiko kiel ruĝan linion.
Kiel ĝi funkcias
La jura difino kaj la ekigilo de "unika identigo"
Laŭ la UK kaj EU GDPR, biometriaj datumoj estas difinitaj kiel personaj datumoj rezultantaj el specifa teknika pretraktado rilata al la fizikaj, fiziologiaj aŭ kondutaj karakterizaĵoj de persono, kiuj permesas aŭ konfirmas ilian unikan identigon, ekzemple vizaĝaj bildoj aŭ fingrospur-datumoj. La decida punkto estas, ke biometriaj datumoj fariĝas specialkategoriaj datumoj - la plej protektita nivelo - nur kiam ili estas pretraktataj por la celo de unika identigo de persono. La ICO uzas la terminon "specialkategoriaj biometriaj datumoj" por tio. Ne ĉiu biometria pretraktado transiras tiun linion: sistemo, kiu taksas aĝon aŭ kalkulas vizaĝojn sen identigi iun ajn, eble ne estas specialkategoriaj datumoj, kvankam ĝi ankoraŭ povas esti altriska kaj ankoraŭ povas malkaŝi aliajn sentemajn informojn.
Identigo kontraŭ konfirmo, kaj fora kontraŭ unu-al-unu
La EU AI Act difinas tiujn konceptojn precize. Biometria identigo estas aŭtomata rekono de homaj trajtoj por establi identecon komparante specimenon kontraŭ datumbazo. Biometria konfirmo estas aŭtomata unu-al-unu kongruigo, kiu certigas, ke persono estas tiu, kiu ĝi asertas esti. Fora biometria identiga sistemo identigas personojn sen ilia aktiva partopreno, kutime el distanco, komparante ilin kontraŭ referencan datumbazon. La EDPB estis klara, ke kaj identigo kaj aŭtentikigo implikas specialkategoriajn biometriajn datumojn, eĉ se la riskoprofiloj diferencas.
Specialkategoria statuso kaj kondiĉoj por pretraktado
GDPR Artikolo 9 malpermesas pretraktadon de specialkategoriaj datumoj defaŭlte. Por pretrakti biometriajn datumojn por identigo laŭleĝe, organizo bezonas kaj laŭleĝan bazon laŭ Artikolo 6 kaj apartan kondiĉon laŭ Artikolo 9, ekzemple eksplicitan konsenton aŭ gravan publikan intereson establitan en leĝo. La du tavoloj estas kumulaj. Praktike, la ICO-gvidado pri biometria rekono deklaras, ke "en la plej multaj cirkonstancoj, eksplicita konsento estos la sola valida kondiĉo laŭ Artikolo 9 aplikebla por pretraktado de specialkategoriaj biometriaj datumoj", kaj konsento ofte ne estas valida kie ekzistas potenco-malekvilibro, ekzemple inter dunganto kaj dungitoj aŭ publika aŭtoritato kaj la publiko. La EDPB tenas la pozicion, ke konsento en dungita rilato ĝenerale estas prezumata kiel ne libere donita pro tiu malekvilibro.
La AI Act: malpermesitaj biometriaj praktikoj
Ekde la 2-a de februaro 2025, la EU AI Act malpermesas plurajn biometriajn praktikojn tute. Tiuj inkluzivas realtempan foran biometrian identigon en publike alireblaj spacoj por leĝ-devigo, kun mallarĝaj kaj elĉerpige listigitaj esceptoj; konstruadon aŭ vastigadon de vizaĝ-rekona datumbazo per sencela kolektado de bildoj el la interreto aŭ CCTV; konkludi pri emocioj en la laborejo kaj en edukado, krom pro medicinaj aŭ sekurecaj kialoj; kaj biometrian kategoriigon, kiu konkludo pri sentemaj atributoj kiel raso, politikaj opinioj, sindikata membreco, religio, seksa vivo aŭ seksa orientiĝo.
La AI Act: altriskaj biometriaj sistemoj
Biometriaj uzoj, kiuj ne estas malpermesitaj, estas plejparte klasifikitaj kiel altriskaj laŭ Anekso III. Tio kovras foran biometrian identigon (ekskludante puran konfirmon, kiu nur certigas, ke persono estas tiu, kiu ĝi asertas esti), biometrian kategoriigon laŭ sentemaj aŭ protektitaj atributoj, kaj emoci-rekonon, tiom kiom ilia uzo estas permesita de leĝo. Altriskaj sistemoj ne estas malpermesitaj, sed alfrontas striktajn devojn pri riskoadministrado, datumregado, homa kontrolo, travidebleco kaj konformec-takso. La plej multaj el tiuj devoj aplikiĝas ekde la 2-a de aŭgusto 2026.
Ekzemploj
Fingrospura ĉeestregistrado en la laborejo
Dunganto enkonduktas fingrospuran skanon por kontroli aliron al konstruaĵo aŭ registri laborhorojn. La gvidado de la ICO traktas tion kiel pretraktadon de specialkategoriaj biometriaj datumoj, kio estas altriska kaj postulas DPIA antaŭ ol ĝi komenciĝas. Ĉar konsento devas esti libere donita, la dunganto devus oferti egale uzeblan alternativon, ekzemple svingokarton, por ke dungitoj povu rifuzi sen malavantaĝo. Kiel la ICO diras, "vi devas oferti taŭgan alternativon, sendepende de tio, ĉu potenco-malekvilibro ekzistas, se vi fidas je konsento", kaj notas, ke tio estas "aparte problemo por publikaj aŭtoritatoj kaj dungantoj". Sen tia alternativo, konsento verŝajne ne estos valida pro la potenco-malekvilibro.
Vizaĝ-rekono por eniro en konstruaĵon
La gvidado de la EDPB pri videaj aparatoj donas la ekzemplon de kontrolisto uzanta vizaĝ-rekonon por eniro. Por resti laŭleĝa, la sistemo devus esti ekigita de la individuo mem, ekzemple per premado de butono, por ke personoj, kiuj ne konsentis, ne estu kaptitaj, kaj alternativa vojo ĉiam devas esti ofertata. Fotilo, kiu skanas ĉiun preterpasanton, inkluzive de ne-konsentintaj spektantoj, ankaŭ pretraktas iliajn biometriajn datumojn.
Kolektado de vizaĝoj el la interreto
Clearview AI konstruis vizaĝ-rekonan datumbazon kolektante bildojn el la reto. Pluraj eŭropaj regulistoj trovis tion kontraŭleĝa laŭ GDPR, inkluzive pro pretraktado de specialkategoriaj biometriaj datumoj sen valida bazo. La franca CNIL (decido de la 17-a de oktobro 2022), la itala Garante (la 10-a de februaro 2022) kaj la greka Hellenic DPA (la 13-a de julio 2022) ĉiu trudis la maksimuman monpunon de 20 milionoj da eŭroj, kaj la nederlanda Autoriteit Persoonsgegevens monpunis Clearview je 30,5 milionoj da eŭroj la 16-an de majo 2024, la plej granda el la aro, citante malobservon de Artikolo 9(1) pro pretraktado de biometriaj datumoj de homoj en Nederlando. La monpuno de la UK ICO je 7 552 800 pundoj (eldonita la 18-an de majo 2022) estis nuligita de la First-tier Tribunal pro jurisdikciaj kialoj en oktobro 2023, sed la Upper Tribunal decidis en oktobro 2025, ke la pretraktado de Clearview ja falas ene de la amplekso de UK GDPR kaj resendis la kazon; Clearview poste ricevis permeson apelacii al la Court of Appeal, do la UK-pozicio ne estas definitive fiksita. Tia sencela kolektado estas nun ankaŭ malpermesita praktiko laŭ la EU AI Act. Ripetanta averto estas, ke tiuj monpunoj restas plejparte nekolektitaj, ĉar Clearview havas neniun EU- aŭ UK-establon aŭ aktivaĵojn.
Oftaj miskomprenoj
"Ĉiu fotaĵo aŭ voĉregistraĵo estas biometriaj datumoj." Ne. Fotaĵo aŭ registraĵo estas ordinaraj personaj datumoj ĝis kiam ĝi estas pretraktita per specifaj teknikaj rimedoj por identigi personon. GDPR Recitalo 51 konfirmas, ke fotaĵoj ne estas aŭtomate specialkategoriaj datumoj.
"Ĉiu vizaĝ-pretraktado estas identigo." Ne. Kalkuli vizaĝojn, taksi aĝon aŭ detekti, ke vizaĝo ĉeestas, ne estas la samo kiel distingi nomitan individuon. La jura ekigilo por specialkategoria statuso estas pretraktado por la celo de unika identigo.
"Konsento ĉiam funkcias kiel jura bazo." Ne. Eksplicita konsento estas ofte la sola disponebla kondiĉo, sed ĝi devas esti libere donita. En dungitaj kaj publik-aŭtoritataj kuntekstoj, la potenco-malekvilibro ofte faras konsenton nevalida, kaj alternativo devas esti ofertata.
"Biometriko signifas nur fingrosignojn kaj vizaĝojn." Ne. Kondutaj trajtoj kiel voĉo, irmaniero kaj klavopremdinamiko estas biometriaj datumoj kiam pretraktataj por identigi iun.
"Konfirmo kaj identigo estas la sama afero." Ne. Konfirmo estas unu-al-unu kongruigo kontraŭ via propra asertita identeco; identigo estas unu-al-multaj kongruigo kontraŭ datumbazo. La AI Act kaj datumprotektaj regulistoj traktas ilin malsame, kun fora unu-al-multaj identigo alfrontanta la plej severajn kontrolojn.
Riskoj kaj limoj
La centraj riskoj estas permanenteco, gvatado kaj konkludo. Ĉar biometriajn identigilo ne eblas restarigi, sekurecaj fiaskoj estas gravaj kaj rompa risko devas esti administrata laŭ dezajno. Fora identigo levas la perspektivon de amasa gvatado kaj malvarmiĝaj efikoj sur libera kunveno, kio klarigas, kial la AI Act kaj la EDPB traktas realtempan foran identigon en publiko kiel preskaŭ absolutan ruĝan linion. Konkluda risko signifas, ke eĉ ne-identiga biometria pretraktado povas produkti sentemajn konkludojn pri sano, etno aŭ kredoj.
La limo de la leĝo estas fiksita de celo kaj kunteksto. Datumprotekta leĝo aplikiĝas kie ajn biometriaj datumoj estas pretraktataj kaj plej forte mordas kiam la celo estas unika identigo. La AI Act aldonas duan tavolon fokusitan sur la sistemo kaj ĝia uzo: kelkaj uzoj estas malpermesitaj, multaj estas altriskaj, kaj kelkaj, kiel pura unu-al-unu konfirmo, sidas ekster la altriska kategorio. La du reĝimoj aplikiĝas samtempe; la AI Act ne anstataŭas datumprotektan leĝon. Ĉi tiu paĝo kovras biometriajn datumojn kaj identigon, ne la apartajn demandojn de sinteza amaskomunikilo-generado.
Kion fari poste
Komencu per mapado de kie via organizo kaptas aŭ pretraktas fizikajn, fiziologiajn aŭ kondutajn karakterizaĵojn, kaj demandu ĉu la celo estas unika identigo. Se jes, vi verŝajne pretraktas specialkategoriajn datumojn kaj AI-regulatan sistemon. Faru DPIA antaŭ deplojo; la ICO konsilas, ke la uzo de biometriaj rekonsistemoj postulos, en preskaŭ ĉiuj cirkonstancoj, devigan DPIA, ĉar tia pretraktado implikas kaj specialkategoriajn datumojn kaj, ofte, grandskalan sisteman monitoradon. Identigu kaj vian laŭleĝan bazon laŭ Artikolo 6 kaj vian kondiĉon laŭ Artikolo 9, kaj ne supozu, ke konsento estas valida, aparte por dungitoj aŭ la publiko. Ofertu genuinan, egale uzeblan alternativon kie ajn vi fidas je konsento. Apliku datumminimumigon kaj fortan sekurecon al ŝablonoj, kaj forigu ilin kiam la celo finiĝas.
Por AI-specifa eksponiĝo, kontrolu ĉu iu uzo povus esti malpermesita praktiko (ekzemple emoci-rekono en la laborejo, sencela kolektado, aŭ sentema-atributa kategoriigo), kaj ĉesigu ĝin se jes. Por ne-malpermesita biometria identigo aŭ kategoriigo, prepariĝu por altriskaj devoj. Referencpunktoj, kiuj devus ŝanĝi vian planon: se regulisto aŭ tribunalo decidas, ke via specifa uzo estas neproporcia, aŭ se vi ne povas oferti realan alternativon al konsento, aŭ se deviga gvidado streĉiĝas, paŭzu kaj re-ampleksigu al malpli entrudema metodo. Traktu rapide moviĝantajn malpermesojn kaj devigon kiel aktualajn kaj kontrolu la plej novan pozicion antaŭ lanĉo.
Ĉu vi havas demandon aŭ sugeston, aŭ volas kompreni kiel ni esploras kaj recenzas tiujn gvidilojn? Legu pri niaj redakciaj normoj kaj kiel kontakti nin.
Oftaj demandoj
Ĉu fotaĵo de mia vizaĝo estas biometriaj datumoj?
Ne per si mem. Fotaĵo fariĝas biometriaj datumoj nur kiam ĝi estas pretraktita per specifaj teknikaj rimedoj, ekzemple vizaĝ-rekona programaro, kiu kreas ŝablonon kapablan identigi vin. GDPR Recitalo 51 diras, ke fotaĵoj ne estas aŭtomate specialkategoriaj datumoj.
Kio estas la diferenco inter identigo kaj konfirmo?
Identigo komparas vian biometrian specimenon kontraŭ multaj registroj por eltrovi, kiu vi estas (unu-al-multaj). Konfirmo komparas ĝin kontraŭ unu sola registro por certigi, ke vi estas tiu, kiu vi asertas esti (unu-al-unu), kiel malŝlosi telefonon. Fora unu-al-multaj identigo alfrontas la plej striktajn regulojn.
Ĉu kondutaj datumoj kiel tajpado aŭ marŝado estas biometriaj datumoj?
Jes, se ili estas pretraktataj por identigi personon. Voĉo, irmaniero, klavopremdinamiko kaj subskribodinamiko estas kondutaj biometrioj kaj povas esti specialkategoriaj datumoj kiam uzataj por unika identigo.
Kiam biometriaj datumoj estas "specialkategoriaj" datumoj?
Nur kiam ili estas pretraktataj por la celo de unika identigo de natura persono. Biometria pretraktado, kiu ne identigas iun ajn, kiel simpla vizaĝ-kalkulo, eble falas ekster specialkategoria statuso, kvankam ĝi ankoraŭ povas esti altriska aŭ malkaŝi aliajn sentemajn datumojn.
Ĉu mi povas simple fidi je konsento por pretrakti biometriajn datumojn?
Ofte vi bezonas eksplicitan konsenton, sed ĝi devas esti libere donita. La ICO diras, ke eksplicita konsento kutime estos la sola valida kondiĉo laŭ Artikolo 9, tamen en laborejoj kaj publikaj servoj la potenco-malekvilibro ofte faras konsenton nevalida, do vi devas oferti egale uzeblan alternativon.
Kion la EU AI Act malpermesas?
Inter biometriaj praktikoj, ĝi malpermesas realtempan foran biometrian identigon en publiko por leĝ-devigo (kun mallarĝaj esceptoj), sencelan kolektadon de vizaĝaj bildoj por konstrui datumbazojn, emoci-rekonon en la laborejo kaj en edukado (krom medicinaj aŭ sekurecaj uzoj), kaj biometrian kategoriigon, kiu konkludo pri sentemaj atributoj. Tiuj malpermesoj aplikiĝas ekde la 2-a de februaro 2025.
Ĉu vizaĝ-rekono por malŝlosi mian telefonon estas altriska laŭ la AI Act?
Ĝenerale ne. Pura unu-al-unu konfirmo, kiu nur certigas, ke vi estas tiu, kiu vi asertas esti, estas ekskludita el la altriska biometria identiga kategorio. Unu-al-multaj identigaj kaj kategoriigaj sistemoj estas tiuj traktataj kiel altriskaj.
Ĉu datumprotekta leĝo kaj la AI Act ambaŭ aplikiĝas?
Jes. Ili funkcias paralele. La AI Act regulatas la sistemon kaj ĝian uzon, dum datumprotekta leĝo regas la pretraktadon de personaj datumoj. Plenumi unu ne liberigas vin de la alia.