Face-Access-Control: EU AI Act und drei Risiko-Pfade
Wir nutzen Gesichtserkennung zur Zutrittskontrolle in unserem Gebäude
Wir nutzen Gesichtserkennung zur Zutrittskontrolle in unserem Gebäude: Diese Anwendung ist nach derzeitiger Einschätzung ein Hochrisiko-KI-System. Damit gelten die umfangreichsten Pflichten des EU AI Act — von Risikomanagement über technische Dokumentation bis zur menschlichen Aufsicht. Betroffen sind insbesondere Beschäftigte und die breite Öffentlichkeit. Der einschlägige Regulierungspfad ist III.1(a) (annex iii 1 biometrics).
Zuletzt geprüft: 5. Juni 2026 · 3 Min. Lesezeit · Herausgeber: Innopulse Consulting GmbH, Zug
Warum diese Einstufung?
- ▸Das System trifft oder stützt automatisierte Entscheidungen mit Rechts- oder ähnlich erheblicher Wirkung.
- ▸Es werden biometrische Daten verarbeitet (Annex III Nr. 1 bzw. Art. 5 relevant).
- ▸Das System kann Sicherheitskomponente eines regulierten Produkts sein (Annex-I-Pfad, Art. 6(1)).
Rechtliche Grundlage
Artikel
Erwägungsgründe
Annex-Pfad
III.1(a)Welche Pflichten gelten?
- Risikomanagementsystem über den gesamten Lebenszyklus (Art. 9)
- Daten-Governance und Qualitätskriterien für Trainings-, Validierungs- und Testdaten (Art. 10)
- Technische Dokumentation nach Annex IV (Art. 11)
- Automatische Protokollierung von Ereignissen (Art. 12)
- Transparenz und Bereitstellung von Informationen für Betreiber (Art. 13)
- Menschliche Aufsicht (Art. 14)
- Genauigkeit, Robustheit und Cybersicherheit (Art. 15)
Zusätzliche Rechtsrahmen in der DACH-Region
Der EU AI Act steht nicht allein. Je nach Einsatz greifen in der Schweiz, Deutschland und Österreich weitere Vorgaben — hier die für diesen Fall relevanten:
Bei automatisierten Entscheidungen über natürliche Personen greift insbesondere Art. 22 DSGVO (Recht auf menschliches Eingreifen).
Das revidierte Schweizer Datenschutzgesetz verlangt bei automatisierten Einzelentscheidungen Information und die Möglichkeit, den eigenen Standpunkt darzulegen (Art. 21 revDSG).
Praxis-Beispiele
Verboten
System erkennt zusätzlich Stress/Müdigkeit am Arbeitsplatz → Art. 5(1)(f) Verbot.
Hochrisiko
Bürogebäude nutzt Gesichts-Datenbank für Zutritts-Identifikation aller Mitarbeiter — Annex III.1(a).
Grenzfall
Face-Access-Control kategorisiert biometrisch nach nicht-sensiblen Merkmalen — Annex III.1(b) Hochrisiko.
Unkritisch
Face-Access-Control führt eine 1:1-Verifikation mit Einwilligung durch (z.B. Login) — limited.
Pflicht-Trigger für diesen Fall
- Wirkt direkt auf natürliche Personen
- Automatisierte Entscheidungen
- Verarbeitet biometrische Daten
- Sicherheits-Komponente (Annex I) möglich
Zusätzliche regulatorische Overlays
Neben dem AI Act greifen für diesen Fall sektorale Vorschriften, die zusätzliche Pflichten auslösen können.
Was muss konkret geklärt werden?
Ob Dein konkreter Use-Case unter Hochrisiko fällt, hängt von folgenden Detailfragen ab:
- 1:1 Verifikation am Eingang kann nach Recital 16 als geringerer Eingriff bewertet werden.
- 1:N Identifikation = Annex III.1(a) Hochrisiko.
- Mit Emotionserkennung am Arbeitsplatz → Art. 5(1)(f) Verbot.
- Erfolgt die biometrische Identifikation in Echtzeit oder zeitversetzt (post-remote)?
- Schliesst die biometrische Kategorisierung auf sensible Attribute (Rasse, ethnische Herkunft, politische Meinung, Religion, Sexualleben, Gewerkschaft)?
- In welchem Kontext erfolgt die Emotionserkennung?
Häufige Fragen
Ist „Face-Access-Control" ein Hochrisiko-KI-System nach dem EU AI Act?
Nach derzeitiger Einschätzung ja. Der Fall fällt unter III.1(a). Massgeblich sind Annex III.1(a) EU AI Act, Art. 27(1)(b) EU AI Act und DSGVO Art. 9. Die endgültige Einstufung hängt vom konkreten Einsatz ab — ein strukturiertes Assessment klärt das verbindlich.
1:1 Verifikation am Eingang kann nach Recital 16 als geringerer Eingriff bewertet werden.
Diese Abgrenzung entscheidet häufig über die Risikoklasse. Die genaue Ausgestaltung im Einzelfall ist entscheidend; ein Assessment ordnet die Faktoren strukturiert ein.
1:N Identifikation = Annex III.1(a) Hochrisiko.
Diese Abgrenzung entscheidet häufig über die Risikoklasse. Die genaue Ausgestaltung im Einzelfall ist entscheidend; ein Assessment ordnet die Faktoren strukturiert ein.
Mit Emotionserkennung am Arbeitsplatz → Art. 5(1)(f) Verbot.
Diese Abgrenzung entscheidet häufig über die Risikoklasse. Die genaue Ausgestaltung im Einzelfall ist entscheidend; ein Assessment ordnet die Faktoren strukturiert ein.
Gilt das auch für Unternehmen in der Schweiz?
Der EU AI Act wirkt extraterritorial (Art. 2): Erreichen die KI-Outputs Personen in der EU, gilt er auch für Schweizer Anbieter und Betreiber. Zusätzlich greifen in der Schweiz das revDSG und — im Finanzbereich — die Erwartungen der FINMA. Genau diese DACH-Doppelperspektive prüfen wir mit.
Was sind die nächsten konkreten Schritte?
Zuerst die Einstufung verbindlich klären, dann den Pflichtenkatalog (Art. 9–15) als Projektplan aufsetzen und die Rollenfrage Anbieter/Betreiber (Art. 25) klären. Das Assessment liefert dazu einen dokumentierten Audit-Trail.
Verwandte Anwendungsfälle
Klassifiziere Deinen konkreten Fall
Der Sector-First Wizard nimmt diesen Use-Case als Vorlage und stellt nur die wirklich relevanten Rückfragen — Du bekommst Risikoklasse, Pflichten-Liste und Audit-Package in unter 5 Minuten.
Assessment starten