Public Face Recognition: Art. 5(1)(h)
Wir betreiben Echtzeit-Gesichtserkennung im öffentlichen Raum
Wir betreiben Echtzeit-Gesichtserkennung im öffentlichen Raum: Diese Anwendung fällt in den Bereich der nach Art. 5 EU AI Act verbotenen Praktiken. Das bedeutet: Sie darf in der EU grundsätzlich nicht betrieben werden — unabhängig von Schutzmassnahmen. Betroffen sind insbesondere die breite Öffentlichkeit.
Zuletzt geprüft: 5. Juni 2026 · 3 Min. Lesezeit · Herausgeber: Innopulse Consulting GmbH, Zug
Warum diese Einstufung?
- ▸Das System trifft oder stützt automatisierte Entscheidungen mit Rechts- oder ähnlich erheblicher Wirkung.
- ▸Es findet Profiling im Sinne der DSGVO statt.
- ▸Es können besonders schutzbedürftige Gruppen betroffen sein — ein erschwerender Faktor.
- ▸Es werden biometrische Daten verarbeitet (Annex III Nr. 1 bzw. Art. 5 relevant).
- ▸Beim Einsatz als Hochrisiko-System durch eine öffentliche Stelle kommt eine FRIA-Pflicht nach Art. 27 hinzu.
Rechtliche Grundlage
Artikel
Erwägungsgründe
Rechtsfolge
- Kein zulässiger Betrieb in der EU. Bestehende Systeme müssen abgeschaltet oder so umgestaltet werden, dass der verbotene Zweck entfällt.
Zusätzliche Rechtsrahmen in der DACH-Region
Der EU AI Act steht nicht allein. Je nach Einsatz greifen in der Schweiz, Deutschland und Österreich weitere Vorgaben — hier die für diesen Fall relevanten:
Bei automatisierten Entscheidungen über natürliche Personen greift insbesondere Art. 22 DSGVO (Recht auf menschliches Eingreifen).
Das revidierte Schweizer Datenschutzgesetz verlangt bei automatisierten Einzelentscheidungen Information und die Möglichkeit, den eigenen Standpunkt darzulegen (Art. 21 revDSG).
Praxis-Beispiele
Verboten
Polizei betreibt permanente Live-Gesichtserkennung in Bahnhöfen — Art. 5(1)(h) verboten.
Hochrisiko
Post-hoc-Identifikation aus Videoaufzeichnungen mit richterlicher Genehmigung — Annex III.6(a).
Grenzfall
Wird die verbotskonstituierende Eigenschaft entfernt (z.B. keine Manipulation/kein Social Scoring), kann das System in eine zulässige Hochrisiko- oder Limited-Kategorie fallen — Einzelfallprüfung.
Pflicht-Trigger für diesen Fall
- Wirkt direkt auf natürliche Personen
- Profiling natürlicher Personen
- Automatisierte Entscheidungen
- Entscheidungsunterstützung (Mensch im Loop)
- Verarbeitet biometrische Daten
- Öffentlicher Sektor / Verwaltung
- Verletzliche Gruppen betroffen möglich
Zusätzliche regulatorische Overlays
Neben dem AI Act greifen für diesen Fall sektorale Vorschriften, die zusätzliche Pflichten auslösen können.
Was muss konkret geklärt werden?
Ob Dein konkreter Use-Case unter Verboten (Art. 5) fällt, hängt von folgenden Detailfragen ab:
- Echtzeit + öffentlicher Raum + LE-Zweck → Art. 5(1)(h) GRUNDSÄTZLICH verboten.
- Engste Ausnahmen Art. 5(1)(h)(i)-(iii): gesuchte Opfer, drohender Anschlag, Schwerstkriminalität — Member-State-Opt-In + richterliche Genehmigung.
- Post-hoc remote biometric ID hingegen Annex III.6(a) Hochrisiko, kein Verbot.
- Erfolgt die biometrische Identifikation in Echtzeit oder zeitversetzt (post-remote)?
Häufige Fragen
Ist „Public Face Recognition" ein Hochrisiko-KI-System nach dem EU AI Act?
Diese Anwendung geht über Hochrisiko hinaus: Sie zählt zu den nach Art. 5 verbotenen Praktiken und ist in der EU unzulässig.
Echtzeit + öffentlicher Raum + LE-Zweck → Art. 5(1)(h) GRUNDSÄTZLICH verboten.
Diese Abgrenzung entscheidet häufig über die Risikoklasse. Die genaue Ausgestaltung im Einzelfall ist entscheidend; ein Assessment ordnet die Faktoren strukturiert ein.
Engste Ausnahmen Art. 5(1)(h)(i)-(iii): gesuchte Opfer, drohender Anschlag, Schwerstkriminalität — Member-State-Opt-In + richterliche Genehmigung.
Diese Abgrenzung entscheidet häufig über die Risikoklasse. Die genaue Ausgestaltung im Einzelfall ist entscheidend; ein Assessment ordnet die Faktoren strukturiert ein.
Post-hoc remote biometric ID hingegen Annex III.6(a) Hochrisiko, kein Verbot.
Diese Abgrenzung entscheidet häufig über die Risikoklasse. Die genaue Ausgestaltung im Einzelfall ist entscheidend; ein Assessment ordnet die Faktoren strukturiert ein.
Gilt das auch für Unternehmen in der Schweiz?
Der EU AI Act wirkt extraterritorial (Art. 2): Erreichen die KI-Outputs Personen in der EU, gilt er auch für Schweizer Anbieter und Betreiber. Zusätzlich greifen in der Schweiz das revDSG und — im Finanzbereich — die Erwartungen der FINMA. Genau diese DACH-Doppelperspektive prüfen wir mit.
Was sind die nächsten konkreten Schritte?
Zuerst die Einstufung verbindlich klären, dann den Pflichtenkatalog (Art. 9–15) als Projektplan aufsetzen und die Rollenfrage Anbieter/Betreiber (Art. 25) klären. Das Assessment liefert dazu einen dokumentierten Audit-Trail.
Verwandte Anwendungsfälle
Klassifiziere Deinen konkreten Fall
Der Sector-First Wizard nimmt diesen Use-Case als Vorlage und stellt nur die wirklich relevanten Rückfragen — Du bekommst Risikoklasse, Pflichten-Liste und Audit-Package in unter 5 Minuten.
Assessment starten