Искусственный интеллект
и биометрия в ЕС

Legal services for your business in Poland

20.03.2026

Автор: Екатерина Ульянова

Искусственный интеллект и биометрия в ЕС: что запрещено, что относится к высокому риску и когда достаточно уведомления

Биометрические технологии все активнее используются бизнесом, например, сканирование лица для доступа в офис, определение возраста покупателей в интернет-магазинах, голосовая идентификация в банковских колл-центрах, анализ эмоций во время видеоконсультаций.

В Европейском союзе регулирование биометрических технологий строится на нескольких правовых режимах. Обработка биометрических данных подпадает под требования GDPR, а использование систем искусственного интеллекта под правила EU Artificial Intelligence Act ( AI Act). В зависимости от контекста применения также могут применяться отраслевые акты ЕС и национального законодательства государств (например, нормы для правоохранительных органов, цифровых платформ).

Если GDPR регулирует обработку биометрических персональных данных, то в AI Act биометрические системы оцениваются не по самому факту обработки биометрии, а по функции системы и контексту применения. В зависимости от этого они могут быть:

запрещены,
отнесены к высокому риску,
разрешены при соблюдении требований прозрачности.

В статье рассмотрим: ₍_{кликабельно}₎

Что такое биометрические данные
Биометрическая идентификация («кто это?»)
Биометрическая категоризация («к какой группе относится человек?»)
Распознавание эмоций
Скрейпинг биометрических данных
Что важно учитывать компаниям

✓ Получить консультацию юриста

1

Что такое биометрические данные

Биометрические данные - это персональные данные, полученные в результате специальной технической обработки, которые касаются физических, физиологических или поведенческих черт физического лица, а также позволяют произвести или подтверждают однозначную идентификацию этого физического лица (ст. 4(14) GDPR).
К ним относятся, например:

изображение лица,
голос,
отпечатки пальцев,
радужка глаза,
походка,
манера набора текста.
Биометрия относится к специальной категории персональных данных(ст. 9 GDPR) и требует дополнительных правовых оснований для обработки.

2

2. Биометрическая идентификация («кто это?»)

Биометрическая идентификация используется для установления личности конкретного человека.
Примеры:

распознавание лица при входе в офис,
идентификация клиента по голосу в банке,
распознавание клиента при входе в магазин,

Согласно Annex III (1) AI Act, такие системы ИИ, предназначенные для биометрической идентификации физических лиц, относятся к высокому риску.
Кроме этого AI Act (ст. 5) запрещает удаленную биометрическую идентификацию в реальном времени в публичных местах правоохранительными органами (за редкими исключениями, например, поиск пропавших людей или предотвращение террористической угрозы).

Организации должны обеспечить соблюдение требований, установленных к системам высокого риска:

систему управления рисками,
высокое качество обучающих данных,
подробную техническую документацию,
человеческий контроль,
заявленные показатели точности,
устойчивость к манипуляциям и атакам,
логирование решений системы,
оценку соответствия (conformity assessment),
регистрацию в EU AI data base,
мониторинг инцидентов.

3

3.Биометрическая категоризация («к какой группе относится человек?»)

Категоризация - это использование биометрии для определения характеристик или принадлежности к группе, а не для идентификации личности.
Примеры:

определение возраста покупателя,
определение пола,
анализ внешних характеристик,
классификация внешности для маркетинга,

Запрещены системы, которые пытаются определить на основе биометрии (ст. 5 (1) (g) AI Act):

расовое или этническое происхождение,
религию,
политические убеждения,
состояние здоровья,
сексуальную ориентацию.

Категоризация может считаться высокорисковой по AI Act, если она используется для принятия значимых решений о человеке. Например, поведенческое профилирование клиентов, анализ аудитории в магазинах, автоматическое определение возраста покупателей
Кроме соблюдения требований для высокорисковых систем, компании обязаны уведомлять пользователей о том, что используется система ИИ и производится анализ биометрических характеристик.
Будет применяться исключение, если биометрическая обработка неразрывно связана с основной услугой и выполняет чисто вспомогательную функцию, система может не считаться высокорисковой. Например, виртуальная примерка одежды, виртуальная примерка очков, AR-фильтры.
В таких случаях достаточно уведомления пользователей.

4

4. Распознавание эмоций

Распознование эмоций (emotion recognition) — это технологии, которые пытаются определить эмоциональное состояние человека (страх, гнев, радость, удивление, стресс) на основе выражения лица, жестов, голоса. Например, система, анализирующая эмоции клиента во время видео консультации.
AI Act запрещает системы распознавания эмоций:

на рабочем месте
в образовательных учреждениях

Исключения возможны только по медицинским причинам, по соображениям безопасности.
Во многих коммерческих сценариях такие системы могут считаться высокорисковыми, например, при анализе эмоций клиентов в колл-центрах, анализе реакции пользователя во время онлайн-консультации.
Соответственно будут применяться требования для высокорисковых систем и обязательное уведомление пользователей (ст.50 AI Act).

5

5. Скрейпинг биометрических данных

AI Act вводит запрет на неизбирательное массовое считывание изображений лиц из интернета (например, веб-краулерами, ботами) или камер видеонаблюдения с целью создания или расширения баз данных распознавания лиц.( ст. 5(1)(e) AI Act).
Запрет распространяется на создание баз для распознавания лиц, но не распространяется:

на другие биометрические данные (например, голос),
на использование изображений для других целей, например, обучение генеративного ИИ, компьютерное зрение.

Однако такие практики могут подпадать под GDPR, включая необходимость законного основания обработки, минимизации данных, информирования субъектов данных.

6

6. Что важно учитывать компаниям

Необходимо оценивать не только факт обработки биометрии, а анализировать:

функцию системы,
контекст применения,
влияние на права человека.

И уже от этого зависит, будет ли система запрещённой, высокорисковой или необходимо соблюсти только требования по уведомлению пользователей.
Неправильная квалификация может привести к запрету системы регулятором, штрафам, обязательству остановить использование технологии, прекратить обработку данных.

✓ Получить консультацию юриста

Чем мы можем Вам помочь?

Если у Вас есть кейс для рассмотрения – вы можете связаться с нами посредством telegram или ос тавив заявку на сайте. Мы изучим Вашу ситуацию и поможем найти лучший вариант решения.

Компания ALG Legal предоставляет юридические услуги по вопросам легализации, трудовового, корпоративного и налогового права в Польше, а также рассматривает вопросы защиты персональных данных, интеллектуальной собственности и IT-права.

Оставляйте заявку с описанием кейса – и мы подберем для вас лучшее решение.

+48 572 444 202

info@algl.legal

Написать юристу:

Ekaterina Ulianova
Advisor ALG Legal

Подписывайтесь на наш канал в Telegram!

Здесь вы найдете полезную информацию о юридических и бухгалтерских аспектах ведения бизнеса в Польше