Hochrisiko: Biometrie (Anhang III Nr. 1)

Nummer 1 des Anhangs III erfasst drei Anwendungen im Bereich Biometrie — jeweils nur, soweit ihr Einsatz nach einschlägigem Unionsrecht oder nationalem Recht zugelassen ist.

Was erfasst ist

Biometrische Fernidentifizierungssysteme (Buchstabe a).

Biometrische Kategorisierung nach sensiblen oder geschützten Attributen oder Merkmalen auf der Grundlage von Rückschlüssen auf diese Attribute oder Merkmale (Buchstabe b).

Emotionserkennung (Buchstabe c).

Die entscheidende Ausnahme

Nicht erfasst sind Systeme, die bestimmungsgemäß für die biometrische Verifizierung verwendet werden sollen — also Systeme, deren einziger Zweck darin besteht zu bestätigen, dass eine bestimmte natürliche Person die Person ist, für die sie sich ausgibt.

Maßgeblich ist nach dem Wortlaut, dass der einzige Zweck in dieser Bestätigung liegt.

Verhältnis zu den Verboten

Art. 5 der KI-Verordnung untersagt bestimmte biometrische Anwendungen vollständig. Das Verhältnis beider Vorschriften zueinander ist hier nicht dargestellt; siehe den Eintrag zu den verbotenen Praktiken.

Geltungsbeginn

Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III gelten ab dem 2. Dezember 2027. Ursprünglich war der 2. August 2026 vorgesehen; die Digital-Omnibus-Verordnung hat den Termin verschoben.

Was daraus folgt

Für Systeme dieser Gruppe gelten die Anforderungen aus Kapitel III Abschnitt 2 der KI-Verordnung — unter anderem Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht und Konformitätsbewertung. Die Pflichten der Anbieter regelt Art. 16, die der Betreiber Art. 26.

Verstöße gegen die Anbieterpflichten nach Art. 16 und die Betreiberpflichten nach Art. 26 sind nach Art. 99 Abs. 4 mit Geldbußen bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes belegt, je nachdem, welcher Betrag höher ist.

Ob im Einzelfall zusätzlich eine Grundrechte-Folgenabschätzung nach Art. 27 durchzuführen ist, richtet sich nach dem Betreiber und dem Anwendungsbereich.