Ao abrigo da Lei da IA da UE, são proibidas algumas utilizações do reconhecimento facial e da identificação biométrica.
A proibição mais clara é a de criar bases de dados de reconhecimento facial através de raspagem não direcionada. Isto significa que as organizações não podem recolher imagens faciais em grande escala da Internet ou de imagens de CCTV apenas para criar uma base de dados biométricos.
A lei também impõe limites muito rigorosos à identificação biométrica remota em tempo real em tempo real em espaços públicos para efeitos de aplicação da lei. Na maioria dos casos, esta utilização é proibida.
Apenas se podem aplicar algumas excepções restritas, por exemplo, quando as autoridades precisam de o fazer:
- encontra vítimas específicas ou pessoas desaparecidas
- evita uma ameaça clara e imediata
- localiza suspeitos ligados a determinados crimes graves
Mesmo nesses casos, a utilização deve ser estritamente necessária e legalmente autorizada.
É por isso que a proibição do reconhecimento facial do AI Act da UE não é apenas uma questão de tecnologia. Tem também a ver com a privacidade, a proporcionalidade e a confiança do público.
Que salvaguardas são necessárias?
Se for utilizada uma exceção, as autoridades responsáveis pela aplicação da lei devem trabalhar dentro de limites estritos.
Cada utilização deve ser limitada por:
- tempo
- lugar
- âmbito
Além disso, é necessária a autorização prévia de uma autoridade judicial ou de uma autoridade independente. Também importante: nenhuma decisão com impacto negativo sobre uma pessoa pode ser baseada apenas no resultado do sistema.
A legislação nacional também continua a ser importante. Os Estados-Membros da UE podem aplicar regras mais rigorosas do que a própria Lei da IA. Isto significa que as organizações devem verificar tanto o quadro europeu como os requisitos legais locais.
A Comissão Europeia também publicou diretrizes práticas sobre práticas de IA proibidas. Estas orientações não são juridicamente vinculativas, mas são úteis para a elaboração de políticas, a preparação de concursos e a avaliação de fornecedores.
A definição que ajuda a evitar erros dispendiosos
O termo-chave é identificação biométrica remota.
Significa identificar uma pessoa à distância, sem o seu envolvimento ativo, fazendo corresponder dados biométricos a uma base de dados.
Isto é diferente da verificação biométrica. A verificação é um controlo individual para confirmar a identidade, por exemplo, para aceder a um dispositivo ou a um edifício.
Este aspeto é importante nos concursos. Muitas ferramentas vendidas como reconhecimento facial são, na realidade, ferramentas de identificação e não de verificação.
Como ultrapassar as proibições com tecnologia que privilegia a privacidade
A tecnologia que dá prioridade à privacidade não significa um policiamento mais fraco. Significa utilizar a tecnologia de vídeo de uma forma que apoie a recolha de provas, a segurança dos agentes e a responsabilizaçãosem a transformar numa ferramenta automatizada de identificação em massa. Isto é muito importante para as agências que utilizam vídeo usado no corpo e plataformas de provas digitais.
Uma abordagem prática inclui as seguintes medidas:
1. Desactiva a identificação por defeito
A identificação biométrica nunca deve ser a norma. Deve ser tratada como uma capacidade excecional que requer aprovação explícita para cada caso.
2. Reduz as imagens antes de as partilhares
Quando o vídeo é partilhado fora da equipa de investigação principal, a desfoque de rosto e redação de áudio ajudam a proteger a privacidade e a reduzir a exposição desnecessária de dados pessoais.
3. Aplica um controlo de acesso rigoroso
Utiliza permissões baseadas em funções, autorização a vários níveis e registo de auditoria completo para cada visualização, pesquisa e exportação de vídeo.
4. Reduzir a exposição desnecessária de dados
Define regras de retenção claras, automatiza a eliminação de filmagens que não são provas e restringe fortemente os direitos de exportação em massa.
Lista de controlo da política e dos contratos públicos
Antes de aprovarem qualquer solução, as organizações devem colocar as seguintes questões:
- A solução efectua identificação biométrica remota?
- Em caso afirmativo, é utilizado em tempo real e em espaços acessíveis ao público?
- As funções de identificação podem ser totalmente desactivadasincluindo para integradores e subprocessadores?
- Que funcionalidades de redação estão disponíveis para rostos e áudio?
- Como é que as exportações, pesquisas e acesso de utilizadores são controlados e registados?
- Que documentação está disponível para avaliações de impacto, análise dos contratos públicos e controlo jurídico?
Onde se encaixa a ZEPCAM
A ZEPCAM adopta uma abordagem de privacidade em primeiro lugar para vídeo usado no corpo. A privacidade e a conformidade com o GDPR são tratadas como requisitos de design, não como extras opcionais.
ZEPCAM’s vídeo usado no corpo da ZEPCAM pode ser implementada como SaaS ou no localdependendo dos requisitos da organização. O ZEPCAM Manager também suporta funcionalidades de redação automática, incluindo desfoque de rosto e redação de áudio, para apoiar uma partilha de provas mais segura e consciente da privacidade.
Um ponto de partida claro para uma política de conformidade
Uma política sólida começa com um princípio simples: os vídeos usados no corpo devem ser usados para segurança, responsabilidade e integridade das provas, não para identificação em massa.
A partir daí, as organizações podem criar a governação, os controlos tecnológicos e os processos operacionais adequados para tornar esse princípio aplicável na prática.
Se a tua organização pretende um programa de vídeos usados no corpo que dê prioridade à privacidade e que esteja mais bem alinhado com o AI Act da UE, a ZEPCAM oferece um ponto de partida prático.
