Der EU AI Act ist am 1. August 2024 in Kraft getreten und stuft biometrische Echtzeit-Fernidentifizierungssysteme als Hochrisiko-KI ein, deren Einsatz durch Behörden nur unter engen Ausnahmebedingungen zulässig ist. Für Unternehmen und Behörden, die biometrische KI-Systeme einsetzen oder planen, gelten ab sofort gestufte Pflichten: Transparenzanforderungen, Risikobewertungen und ab dem 2. Februar 2025 eine verbindliche KI-Kompetenzpflicht für das eigene Personal. Laut Bitkom-Präsident Dr. Ralf Wintergerst setzen erst 13 Prozent der deutschen Unternehmen KI ein, obwohl 82 Prozent ihr eine hohe Bedeutung für die Wettbewerbsfähigkeit beimessen. Wer biometrische Hochrisiko-Anwendungen ohne die vorgeschriebenen Schutzmaßnahmen betreibt, riskiert erhebliche Sanktionen nach EU-Recht.

EU AI Act: Was Biometrie-Systeme, Hochrisiko-Einstufung und Echtzeit-Überwachung für Unternehmen bedeuten

Der EU AI Act ist am 1. August 2024 in Kraft getreten und gilt unmittelbar in allen EU-Mitgliedsstaaten. Er reguliert KI-Systeme nach einem risikobasierten Ansatz, wobei biometrische Anwendungen und Echtzeit-Überwachungssysteme besonders strenge Anforderungen auslösen.

Hochrisiko-Klassifikation: Biometrie im Fokus des Regelwerks

Der AI Act unterteilt KI-Systeme in mehrere Risikostufen: von minimalem Risiko über begrenztes Risiko bis hin zu inakzeptablem Risiko, das ein vollständiges Verbot nach sich zieht. Biometrische Identifikationssysteme fallen dabei in der Regel in die Kategorie mit hohem Risiko. Das bedeutet für Anbieter und Betreiber erhöhte regulatorische Pflichten, darunter Konformitätsbewertungen, technische Dokumentation und laufendes Monitoring.

Echtzeit-Fernidentifizierung durch biometrische Daten in öffentlich zugänglichen Räumen ist im AI Act grundsätzlich verboten. Das Gesetz sieht jedoch klar definierte Ausnahmen vor, die Behörden unter engen Voraussetzungen in Anspruch nehmen können, etwa zur Abwehr konkreter terroristischer Bedrohungen oder zur Suche nach vermissten Personen. Diese Ausnahmen sind an strenge Genehmigungsverfahren geknüpft.

Transparenzpflichten: Was Betreiber biometrischer Systeme leisten müssen

Für Hochrisiko-KI-Systeme, zu denen biometrische Anwendungen in aller Regel zählen, schreibt der AI Act umfangreiche Transparenz- und Dokumentationspflichten vor. Betreiber müssen nachweisen können, wie ein System trainiert wurde, welche Datenquellen genutzt wurden und wie Risiken bewertet und minimiert werden. Auch Urheberrechtsfragen bei Trainingsdaten sind im Gesetz adressiert.

Hinzu kommt die ab dem 2. Februar 2025 geltende Pflicht zur KI-Kompetenz: Laut Artikel 4 der Verordnung sind Anbieter und Betreiber von KI-Systemen verpflichtet, sicherzustellen, dass ihr Personal und alle Personen, die im Auftrag des Unternehmens mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ausreichende KI-Kenntnisse verfügen. Diese Pflicht gilt für Unternehmen ebenso wie für Behörden.

Wer in Deutschland bereits die Anforderungen des BSI rund um KI-Sicherheit im Blick hat, findet in den BSI-Richtlinien zu sicheren KI-Systemen ergänzende Orientierung zu technischen Mindeststandards.

Vier praktische Implikationen für Entscheider

1. Bestandsaufnahme aller biometrischen KI-Anwendungen: Unternehmen und Behörden müssen prüfen, ob eingesetzte Systeme zur biometrischen Erkennung unter die Hochrisiko-Kategorie fallen. Dies betrifft nicht nur Gesichtserkennung, sondern auch andere biometrische Verfahren wie Stimmanalyse oder Verhaltensbiometrie.

2. Dokumentationsprozesse aufbauen: Hochrisiko-Systeme erfordern lückenlose technische Dokumentation, Risikoabschätzungen und Protokollierung. Wer diese Strukturen noch nicht etabliert hat, sollte dies vor dem vollständigen Inkrafttreten der jeweiligen Fristen tun. Eine Übersicht zu den Compliance-Fristen bietet der Artikel zur EU AI Act Compliance-Roadmap.

3. KI-Kompetenz im Personal verankern: Die Pflicht aus Artikel 4 ist keine abstrakte Anforderung, sondern verlangt nachweisbare Maßnahmen. Schulungsprogramme, interne Richtlinien und klare Zuständigkeiten sind erforderlich. Die Transparenz- und Dokumentationspflichten für KI-Anbieter geben einen konkreten Überblick zu den inhaltlichen Anforderungen.

4. Rechtliche Grundlage für behördliche Ausnahmen prüfen: Behörden, die Echtzeit-Biometriesysteme nutzen oder planen, müssen die engen gesetzlichen Ausnahmetatbestände sorgfältig prüfen und Genehmigungsverfahren einhalten. Eine pauschale Berufung auf Sicherheitsinteressen ist nicht ausreichend. Wer sich mit verbotenen KI-Praktiken und deren Durchsetzung befasst, findet weitere Details in der Analyse zu verbotenen KI-Systemen und Enforcement.

Einordnung: Zwischen Grundrechtsschutz und Innovationsdruck

Der Europaabgeordnete Dragos Tudorache, einer der federführenden Verhandlungsführer des AI Act, kommentierte den Beschluss des Europäischen Parlaments mit den Worten, die EU habe es geschafft, das Konzept der Künstlichen Intelligenz mit den grundlegenden Werten zu verknüpfen, die das Fundament der Gesellschaften bildeten. Demgegenüber mahnte Bitkom-Präsident Dr. Ralf Wintergerst, Deutschland müsse die Chancen der KI stärker in den Mittelpunkt rücken. Er verwies darauf, dass laut Bitkom erst 13 Prozent der deutschen Unternehmen KI einsetzen, obwohl 82 Prozent der Befragten KI eine große Bedeutung für die künftige Wettbewerbsfähigkeit zusprechen.

Dieser Spannungsbogen, zwischen regulatorischer Absicherung und Innovationstempo, prägt die Debatte um biometrische KI-Systeme besonders deutlich. Für Entscheider bedeutet das: Compliance und strategischer KI-Einsatz müssen parallel gedacht werden, nicht nacheinander. Informationen zu den Konformitätsbewertungsverfahren für Hochrisiko-KI bietet der Artikel zur Konformitätszertifizierung und Hochrisiko-KI.

Quellen

• AI Act tritt in Kraft: Was Sie zur KI-Verordnung wissen müssen (heise.de)
• EU AI Act: EU beschließt KI-Etikette (Fraunhofer Safe Intelligence)
• FAQ: AI Act verlangt KI-Kompetenz (heise.de)

Häufige Fragen

Welche Risikoklasse weist der EU AI Act biometrischen KI-Systemen zu?

Der AI Act folgt einem risikobasierten Ansatz und stuft KI-Systeme je nach Gefährdungspotenzial ein. Biometrische Systeme fallen in der Regel in die Kategorie des hohen Risikos, da sie unmittelbar in Grundrechte eingreifen können. Für diese Kategorie gelten besonders strenge Anforderungen an Transparenz, Dokumentation und menschliche Aufsicht.

Sind biometrische Echtzeit-Fernidentifizierungssysteme im öffentlichen Raum generell verboten?

Nicht generell, aber mit engen Ausnahmen. Der AI Act sieht für die biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum grundsätzlich ein Verbot vor. Behörden dürfen solche Systeme nur unter klar definierten Ausnahmebedingungen einsetzen, etwa zur Abwehr schwerer Bedrohungen oder zur Strafverfolgung in spezifisch geregelten Fällen. Diese Ausnahmen sind im Gesetz ausdrücklich benannt und müssen eng ausgelegt werden.

Welche Transparenzpflichten gelten für Betreiber biometrischer KI-Systeme?

Betreiber von KI-Systemen mit begrenztem oder hohem Risiko unterliegen spezifischen Transparenz- und Informationspflichten gegenüber betroffenen Personen und zuständigen Behörden. Hochrisiko-Systeme müssen zudem dokumentiert, registriert und einer Konformitätsbewertung unterzogen werden, bevor sie in Betrieb gehen. Der AI Act ist seit dem 1. August 2024 in Kraft; die relevanten Kapitel für verbotene Praktiken und allgemeine Pflichten greifen ab dem 2. Februar 2025.

Was müssen Behörden beim Einsatz von KI zur biometrischen Überwachung konkret beachten?

Behörden als Betreiber von KI-Systemen sind nach Artikel 4 des AI Acts verpflichtet, sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Diese Pflicht gilt ab dem 2. Februar 2025. Zusätzlich müssen sie bei Hochrisiko-Systemen wie biometrischen Überwachungsanwendungen strenge Auflagen zur menschlichen Aufsicht, zur Risikobewertung und zur Dokumentation erfüllen, bevor ein System betrieben werden darf.

Welche Sanktionen drohen bei Verstößen gegen die Vorgaben des AI Acts im Bereich Biometrie?

Der AI Act sieht ein gestaffeltes Sanktionssystem vor. Verstöße gegen die Verbote besonders risikoreicher KI-Anwendungen, zu denen nicht autorisierte biometrische Echtzeit-Überwachung zählt, können mit den höchsten Bußgeldstufen geahndet werden. Die genaue Durchsetzung obliegt nationalen Marktüberwachungsbehörden, die die Einhaltung kontrollieren und Sanktionen verhängen. Das Gesetz wirkt direkt in allen EU-Mitgliedsstaaten, ohne nationalen Umsetzungsakt.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.