EU verschärft Vorschriften für biometrische Daten und KI-Profiling

Historische Datenschutzvorschriften in Kraft

Die Europäische Union hat strenge neue Datenschutzvorschriften für die Erfassung biometrischer Daten und KI-Profiling-Praktiken umgesetzt. Diese mit sofortiger Wirkung geltenden Regeln erweitern den Rahmen der 2018 eingeführten Datenschutz-Grundverordnung (DSGVO) erheblich.

Kernbeschränkungen für biometrische Daten

Gemäß der aktualisierten Vorschriften müssen Unternehmen vor der Erfassung von Gesichtserkennungsdaten, Fingerabdrücken oder anderen biometrischen Identifikatoren eine ausdrückliche Einwilligung einholen. Die Regeln verbieten ausdrücklich:

• Ungezieltes Scraping von Gesichtsbildern aus Überwachungskameras oder öffentlichen Quellen
• Die Erstellung biometrischer Datenbanken ohne klare Zweckbeschränkungen
• Emotionserkennungstechnologie an Arbeitsplätzen und Bildungseinrichtungen

Der Europäische Datenschutzausschuss stellte klar, dass "biometrische Kategorisierungssysteme, die sensible Attribute wie politische Ansichten oder sexuelle Orientierung ableiten" nun vollständig verboten sind.

Einschränkungen beim KI-Profiling

Die Vorschriften setzen strenge Grenzen für KI-Systeme, die Personen profilieren. Zu den verbotenen Praktiken gehören:

• Social-Scoring-Systeme, die Verhalten über die Zeit bewerten
• KI, die Kriminalverhalten allein auf Basis von Profiling vorhersagt
• Ausbeuterische Techniken, die sich auf gefährdete Gruppen richten

Ausnahmen für Strafverfolgungsbehörden bleiben streng kontrolliert und erfordern eine richterliche Genehmigung für die Echtzeit-Biometrie-Identifikation in öffentlichen Räumen. Selbst dann ist die Nutzung auf ernsthafte Bedrohungen wie Terroranschläge oder die Suche nach vermissten Personen beschränkt.

Erweiterte Rechenschaftsmaßnahmen

Organisationen müssen nun umfassende KI-Kompetenzprogramme für Mitarbeiter implementieren, die mit diesen Technologien umgehen. Die Europäische Kommission erklärt, dies stelle eine "informierte Nutzung von KI-Systemen und Risikobewusstsein" sicher.

Nichtbeachtung zieht schwerwiegende Sanktionen nach sich - bis zu 35 Millionen Euro oder 7% des globalen Jahresumsatzes, je nachdem, was höher ist. Diese Sanktionen treten am 2. August 2025 vollständig in Kraft.

Globale Auswirkungen

Technologieanalysten prognostizieren, dass diese Vorschriften ähnlich wie die globale Wirkung der DSGVO weltweit Auswirkungen haben werden. Große Technologieunternehmen passen bereits ihre Datenpraktiken an, wobei einige die Einführung von Funktionen in der EU verzögern, bis die Konformität überprüft ist.

Die Vorschriften stehen im Einklang mit den Bestimmungen des EU-KI-Gesetzes, das im Februar 2025 in Kraft trat, und schaffen einen umfassenden Rahmen für den Einsatz künstlicher Intelligenz im gesamten Block.