O firmă din România a primit avertisment înainte să pornească sistemul
La începutul acestui an, autoritatea română de protecție a datelor (ANSPDCP) a dat un avertisment firmei ARRISE LIVE SRL pentru că plănuia să folosească recunoașterea facială la controlul accesului angajaților. Nu pentru folosirea greșită a sistemului. Nu pentru o breșă de date. Pentru că plănuia să-l pună în funcțiune.
Firma avea deja acces pe bază de card. ANSPDCP a decis că adăugarea scanării biometrice nu trece testele de necesitate și proporționalitate din GDPR. Sistemul nu a procesat nicio față. Avertismentul a venit oricum.
Așa arată acum în UE conformitatea pentru AI biometric. Nu ești prins după ce ceva merge prost. Ești prins înainte să începi.
Trei legi, o singură cameră
Dacă pui în funcțiune la locul de muncă orice sistem AI care procesează date biometrice, nu ai de-a face cu o singură reglementare. Ai de-a face cu trei, iar ele se suprapun în feluri care fac conformitatea cu adevărat complicată.
Articolul 9 din GDPR: datele biometrice sunt categorie specială
Conform articolului 9 din GDPR, datele biometrice folosite pentru identificarea unei persoane sunt date din categorii speciale. Procesarea lor e interzisă implicit, cu excepții înguste. La locul de muncă, consimțământul e aproape imposibil de folosit ca temei, pentru că autoritățile din toată UE decid constant că dezechilibrul de putere dintre angajator și angajat face consimțământul nevoluntar.
Îți rămân „interesul public substanțial" sau o autorizare legală explicită, și niciunul nu acoperă „vrem să scanăm ecusoanele mai repede". Cazul ARRISE LIVE e un exemplu de manual: accesul cu card funcționa deja, așa că accesul biometric a picat testul de necesitate înainte să se ajungă la proporționalitate.
Mercadona, lanțul spaniol de supermarketuri, a învățat asta pe bani mulți. A folosit recunoaștere facială în 48 de magazine ca să identifice persoanele cu interdicție și a primit o amendă de 2,52 milioane EUR de la AEPD, autoritatea spaniolă. Sistemul scana fiecare client care intra pe ușă, inclusiv copii și angajați. Fără un temei legal valabil conform articolului 9.
Articolul 5 din EU AI Act: o parte din AI-ul biometric e interzis de-a dreptul
Din 2 februarie 2025, practicile interzise din EU AI Act se aplică. Două dintre ele lovesc direct AI-ul biometric de la locul de muncă:
Recunoașterea emoțiilor la locul de muncă (articolul 5(1)(f)): sistemele AI care deduc emoții din semnale biometrice la locul de muncă sau în educație sunt interzise de-a dreptul. Singurele excepții sunt contextele medicale și de siguranță, cum ar fi detectarea oboselii șoferului. „Măsurarea implicării angajaților" sau „monitorizarea nivelului de stres" cu camere de analiză facială? Interzise. Amenzi: până la 35 de milioane EUR sau 7% din cifra de afaceri anuală globală.
Categorizarea biometrică după atribute protejate (articolul 5(1)(g)): AI-ul care folosește date biometrice ca să deducă rasa, opiniile politice, apartenența la un sindicat, convingerile religioase sau orientarea sexuală e și el interzis. Asta prinde mai multe sisteme decât își imaginează lumea. Dacă algoritmul furnizorului tău de control al accesului are orice funcție de categorizare dincolo de simpla verificare a identității, ai o problemă.
Anexa III: restul e risc ridicat
AI-ul biometric de la locul de muncă care nu e interzis de-a dreptul e aproape sigur clasificat drept risc ridicat conform Anexei III. Se aplică două categorii:
Categoria 1 (Biometrie): sistemele de identificare biometrică la distanță și sistemele de categorizare biometrică sunt listate explicit. Verificarea pură (confirmarea că cineva e cine spune că e) are o excepție, dar orice trece dincolo de potrivirea unu-la-unu intră.
Categoria 4 (Ocuparea forței de muncă): AI-ul folosit pentru filtrarea la recrutare, evaluarea performanței, alocarea sarcinilor, deciziile de promovare și monitorizarea la locul de muncă pe baza căreia conducerea ia măsuri e risc ridicat, indiferent dacă folosește biometrie sau nu.
Dacă sistemul tău de recunoaștere facială controlează accesul în clădire ȘI trimite date în rapoartele de prezență pe care managerii le folosesc la evaluarea performanței, ai atins ambele categorii. Din 2 decembrie 2027 (termenul pentru risc ridicat, pe care Parlamentul European a votat pe 16 iunie 2026 să-l amâne din august 2026, iar Consiliul l-a adoptat pe 29 iunie 2026), asta înseamnă obligatoriu sisteme de management al riscului, documentație tehnică, evaluări de conformitate, mecanisme de supraveghere umană și înregistrare în baza de date a UE. Înainte de punerea în funcțiune, nu după.
Ce faci concret
Dacă ai sisteme AI biometrice la orice loc de muncă din UE, de aici începi:
1. Cartografiază ce ai. Listează fiecare sistem care procesează date biometrice: recunoaștere facială, cititoare de amprentă cu potrivire AI, recunoaștere vocală, analiza mersului. Include și sistemele furnizorilor, pe care nu le-ai construit tu. Dacă rulează în sediul tău și procesează date biometrice ale angajaților, conformitatea e responsabilitatea ta.
2. Verifică întâi lista de interdicții. Ai recunoaștere a emoțiilor la locul de muncă? Oprește-o. Ai categorizare biometrică dincolo de verificarea identității? Oprește-o. Sunt ilegale din februarie 2025. Nu poți adăuga conformitatea ulterior pe un sistem interzis.
3. Fă testul de necesitate. Pentru fiecare sistem rămas, întreabă: există o alternativă nebiometrică ce atinge același scop? Dacă da, precedentul ARRISE LIVE îți spune exact unde vor ajunge autoritățile GDPR. Cardurile, codurile PIN și tokenurile sunt toate mai puțin intruzive. Sarcina probei e a ta: trebuie să arăți că biometria e necesară, nu doar comodă.
4. Pregătește-te pentru termenul de risc ridicat din 2 decembrie 2027. Orice sistem biometric care trece de pașii 1-3 e aproape sigur risc ridicat conform Anexei III. Începe acum evaluarea de conformitate, pentru că durează luni, nu săptămâni. Ai nevoie de un sistem de management al riscului (articolul 9), documentație de guvernanță a datelor (articolul 10), documentație tehnică (articolul 11), un design de supraveghere umană (articolul 14) și testare de acuratețe și robustețe (articolul 15). Dacă sistemul interacționează direct cu oamenii, informarea de transparență din articolul 50 te leagă din 2 august 2026.
5. Fă o evaluare a impactului asupra drepturilor fundamentale. Articolul 27 le cere celor care folosesc AI cu risc ridicat în context de angajare să facă o FRIA înainte de punerea în funcțiune și să notifice autoritatea națională de supraveghere a pieței. În România, aceea e ANCOM.
Cum abordează DeviDevs conformitatea pentru AI biometric
Am văzut tiparul ăsta la mai multe firme: cineva cumpără un sistem de control al accesului pe a cărui cutie scrie „recunoaștere facială cu AI", IT-ul îl instalează și nimeni nu întreabă dacă e legal până nu bate la ușă o autoritate. Atunci ajungi să explici de ce cititoarele de ecusoane trebuie să scaneze fețe, când cardurile vechi mergeau foarte bine.
Rezolvarea nu e complicată, dar cere pe cineva care înțelege toate cele trei straturi de reglementare în același timp. O evaluare doar pe GDPR ratează interdicțiile din AI Act. O evaluare doar pe AI Act ratează regulile GDPR pentru categoriile speciale. Cei mai mulți consultanți de conformitate știu un singur cadru. Conformitatea pentru AI biometric cere să știi cum se intersectează.
Nu știi sigur dacă sistemele tale AI de la locul de muncă sunt vizate? Evaluarea noastră de risc EU AI Act durează două minute și îți spune care dintre sistemele tale intră în categoriile interzis, risc ridicat sau risc limitat.
Lecția primului avertisment din România
ANSPDCP nu a așteptat o breșă. Nu a așteptat să se adune plângerile angajaților. A acționat pe planul de punere în funcțiune, nu pe punerea în funcțiune propriu-zisă. Asta e direcția autorităților din toată UE: aplicare proactivă, nu reactivă.
Dacă folosești acum recunoaștere facială la un loc de muncă din Europa, sau dacă furnizorul tău de control al accesului îți propune un „upgrade cu AI", oprește-te. Verifică lista de interdicții. Fă testul de necesitate. Iar dacă sistemul trece de amândouă, pregătește-te pentru procesul complet de conformitate din Anexa III înainte de august.
Firmele care lămuresc asta acum scapă de amenzi. Firmele care așteaptă devin studiile de caz.
Despre DeviDevs: construim platforme de ML și sisteme AI securizate și ajutăm firmele să se conformeze cu EU AI Act. devidevs.com