paal-driftStartGnist
Vi vurderer biometrisk innlogging (Face ID / fingeravtrykk) i kundeportalen vår. Så leste jeg at biometri regnes som høyrisiko i AI-forordningen, og da begynte alarmen å ule hos compliance.
Stemmer det at vanlig biometrisk innlogging blir høyrisiko? I så fall dropper vi hele greia.
Godkjent svar
Marte KGrunnleggerStartGlo
Kort svar: nei, vanlig biometrisk innlogging er ikke høyrisiko. Dette er en veldig vanlig misforståelse.
Litt lengre: det som står i vedlegg III til AI-forordningen er fjernbiometrisk identifisering, altså en-til-mange-gjenkjenning (typisk kamera som skanner folkemengder). Biometrisk verifisering, der eneste formål er å bekrefte at en person er den vedkommende utgir seg for å være, er uttrykkelig unntatt fra høyrisikolisten. Face ID-innlogging er nettopp verifisering, en-til-en. Se også fortalepunkt 54.
To ting til:
1. GDPR gjelder uansett. Biometriske opplysninger brukt til entydig identifisering er en særlig kategori etter artikkel 9, så dere må ha behandlingsgrunnlag og gjøre en skikkelig vurdering. Men: med Face ID på mobil skjer selve biometrimatchingen lokalt på brukerens enhet, dere mottar normalt aldri biometriske data i det hele tatt.
2. Selv for det som faktisk ER høyrisiko begynner ikke pliktene å gjelde i EU før i slutten av 2027 (fristene ble skjøvet av Omnibus-endringen).
Så: ikke dropp innloggingen på grunn av AI-forordningen. Gjør heller GDPR-vurderingen ordentlig. (Vanlig forbehold: dette er forumsvar, ikke juridisk rådgivning for akkurat deres løsning.)
Logg inn for å svare i tråden. Innlogging er gratis.
runeflowGrunnleggerStart
+1 på det med lokal matching. Med FIDO2/passkeys får serveren deres bare en kryptografisk signatur, aldri noe biometrisk. Det er sånn dere bør bygge det uansett.
paal-driftStart
Tusen takk, dette roet ned compliance betraktelig 😄 Oppfølgingsspørsmål: en av lederne våre nevnte ansiktsgjenkjenning for oppmøteregistrering på anlegg. Er DET samme sak?
Marte KGrunnleggerStart
Nei, det er en helt annen skål. Oppmøteregistrering med ansikt er identifisering av ansatte, og der har Datatilsynet vært svært strenge lenge, uavhengig av AI-forordningen. Hovedregelen i praksis: finnes det et mindre inngripende alternativ (adgangskort, kode), så skal dere bruke det. Jeg ville ikke rørt det uten grundig utredning.
bjornar86Start
Ansiktet mitt før første kaffe er definitivt høyrisiko, så jeg skjønner EU godt her