AI-forordningen og persontælling

Nogle gange, afhængigt af metoden. AI-forordningen, forordning (EU) 2024/1689, forbyder visse praksisser og regulerer systemer, der bruger biometriske data til at kategorisere mennesker. Rene tællekameraer er ikke forbudt, og Wi-Fi-, mobilnetværks- og LiDAR-tælling udtrækker ingen biometriske træk. Højrisikoforpligtelserne for selvstændige systemer gælder nu fra 2. december 2027 efter forordning (EU) 2026/1744.

I et årti var compliance-spørgsmålet i besøgsmåling GDPR. AI-forordningen, verdens første samlede AI-lov, står nu ved siden af den og rækker direkte ind i, hvordan organisationer må analysere mennesker i fysiske rum. Hvis jeres måling involverer kameraer og AI, hører forordningen hjemme på jeres indkøbstjekliste. Gør den ikke, er forordningen ét spørgsmål mindre, som jeres metode skal besvare.

Hvilke datoer i AI-forordningen gælder for besøgsmåling?

Forordningen gælder i etaper. Den trådte i kraft 1. august 2024, og dens forbud mod visse praksisser har gældt siden 2. februar 2025. Gennemsigtighedsreglerne i artikel 50 gælder fra 2. august 2026. En af dem berører kameraanalyse direkte: den, der anvender systemer til følelsesgenkendelse eller biometrisk kategorisering, skal informere de personer, der udsættes for dem.

Rammen for højrisiko-AI, som er den del, der betyder mest for videoanalyse, skulle også gælde fra 2. august 2026. Digital Omnibus on AI, forordning (EU) 2026/1744, som trådte i kraft i juli 2026, udskød den til 2. december 2027 for selvstændige højrisikosystemer og til 2. august 2028 for AI indbygget i produkter, der er omfattet af EU’s produktsikkerhedslovgivning. Forpligtelserne gælder stadig, bare senere, så organisationer, der driver eller indkøber kamerabaseret analyse i Europa, skal stadig planlægge efter dem.

Hvad siger AI-forordningen om at analysere mennesker?

Tre lag i forordning (EU) 2024/1689 er relevante for besøgsmåling.

1. Forbuddene: forordningen forbyder praksisser som biometrisk fjernidentifikation i realtid i offentligt tilgængelige rum til retshåndhævelsesformål, med snævre undtagelser. Besøgstælling er ikke det, og en tælleinstallation bør aldrig udvides i den retning.
2. Rammen for højrisiko-AI: systemer, der bruger biometriske data til at kategorisere enkeltpersoner, særligt efter følsomme kendetegn, har tunge forpligtelser, og AI-videoanalyse, der identificerer eller profilerer mennesker, er et af de centrale tilfælde under rammen.
3. Alt det øvrige: AI-systemer, der aldrig rører biometriske data, er ikke det, disse kapitler regulerer.

Skillelinjen er, om systemet behandler biometriske data om enkeltpersoner, uanset hvilken AI det bruger. Et system, der udtrækker ansigter eller kropstræk for at klassificere mennesker, må stå til regnskab for det, mens et system, der tæller anonyme signaler eller former, ikke har noget at klassificere nogen med.

Er kamerabaseret persontælling tilladt under AI-forordningen?

Kamerabaseret tælling er ikke forbudt, og udført korrekt behandler rene tællesystemer video uden at identificere nogen. Moderne AI-kameratælling leverer tal i stedet for optagelser netop af den grund. Bevisbyrden ligger stadig hos kamerasystemet: Det skal vise, hvad det ikke gør, i sin DPIA i dag og i stigende grad i sin vurdering efter AI-forordningen. Det kan lade sig gøre, men det kræver arbejde. Købere bør forvente, at leverandører af kameraanalyse besvarer spørgsmål om AI-forordningen på skrift, og bør behandle vage svar som fund.

Hvilke metoder til persontælling rejser intet biometrisk spørgsmål?

Wi-Fi-baseret tælling læser anonyme radiosignaler, mobilnetværksanalyse læser aggregerede netværksdata, og LiDAR måler bevægelig geometri uden noget billede på noget tidspunkt. Ingen af dem udtrækker biometriske træk, så AI-forordningens biometriske kapitler gælder ikke for dem. Den samme logik gælder alle tre: compliance, der hviler på, hvad systemet fysisk ikke kan gøre, holder længere end compliance, der hviler på politikker. Et compliance-team, der planlægger mod december 2027, bruger mindst på en vurdering efter AI-forordningen, når målemetoden aldrig kræver en. DPIA-guiden dækker det tilsvarende spørgsmål under GDPR, og besøgsanalyse godkendt af en databeskyttelsesmyndighed beskriver den GDPR-position, der ligger bag begge.