Die KI-Verordnung und Personenzählung

Manchmal, je nach Methode. Die KI-Verordnung, Verordnung (EU) 2024/1689, verbietet bestimmte Praktiken und regelt Systeme, die Menschen anhand biometrischer Daten kategorisieren. Reine Zählkameras sind nicht verboten, und Wi-Fi-, Mobilfunk- und LiDAR-Zählung extrahieren keine biometrischen Merkmale. Die Hochrisiko-Pflichten für eigenständige Systeme gelten nach der Verordnung (EU) 2026/1744 nun ab dem 2. Dezember 2027.

Ein Jahrzehnt lang war die Compliance-Frage in der Besuchermessung die DSGVO. Die KI-Verordnung, das weltweit erste umfassende KI-Gesetz, steht jetzt daneben und greift direkt in die Frage ein, wie Organisationen Menschen in physischen Räumen analysieren dürfen. Läuft Ihre Messung über Kameras und KI, gehört die Verordnung auf Ihre Beschaffungs-Checkliste. Läuft sie nicht darüber, ist die Verordnung eine Frage weniger, die Ihre Methode beantworten muss.

Welche Termine der KI-Verordnung sind für die Besuchermessung maßgeblich?

Die Verordnung gilt in Etappen. Sie trat am 1. August 2024 in Kraft, und ihre Regeln zu verbotenen Praktiken, die ausdrücklichen Verbote, gelten seit dem 2. Februar 2025. Die Transparenzpflichten nach Artikel 50 gelten ab dem 2. August 2026. Eine davon betrifft Kamera-Analytik direkt: Betreiber von Systemen zur Emotionserkennung oder biometrischen Kategorisierung müssen die Personen informieren, die diesen Systemen ausgesetzt sind.

Der Hochrisiko-Rahmen, der für Video-Analytik wichtigste Teil, sollte ebenfalls ab dem 2. August 2026 gelten. Der Digital Omnibus on AI, Verordnung (EU) 2026/1744, der im Juli 2026 in Kraft trat, verschob ihn auf den 2. Dezember 2027 für eigenständige Hochrisiko-Systeme und auf den 2. August 2028 für KI, die in Produkten verbaut ist, für die das EU-Produktsicherheitsrecht gilt. Die Pflichten gelten weiterhin, nur später. Organisationen, die kamerabasierte Analytik in Europa betreiben oder beschaffen, müssen sie daher weiterhin einplanen.

Was sagt die KI-Verordnung zur Analyse von Menschen?

Drei Ebenen der Verordnung (EU) 2024/1689 sind für die Messung relevant.

1. Die Verbote: Die Verordnung untersagt Praktiken wie die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken, mit engen Ausnahmen. Besucherzählung ist das nicht, und eine Zählinstallation sollte nie in diese Richtung erweitert werden.
2. Der Hochrisiko-Rahmen: Systeme, die biometrische Daten nutzen, um Einzelpersonen zu kategorisieren, insbesondere nach sensiblen Merkmalen, tragen erhebliche Pflichten, und KI-Video-Analytik, die Personen identifiziert oder profiliert, ist einer der zentralen Fälle dieses Rahmens.
3. Alles Übrige: KI-Systeme, die nie mit biometrischen Daten in Berührung kommen, sind nicht das, was diese Kapitel regeln.

Die Trennlinie ist, ob das System biometrische Daten über Einzelpersonen verarbeitet, unabhängig davon, welche KI es nutzt. Ein System, das Gesichter oder Körpermerkmale extrahiert, um Menschen zu klassifizieren, muss dafür Rechenschaft ablegen, während ein System, das anonyme Signale oder Formen zählt, nichts in der Hand hat, womit es jemanden klassifizieren könnte.

Ist kamerabasierte Personenzählung unter der KI-Verordnung erlaubt?

Kamerabasierte Zählung ist nicht verboten, und richtig umgesetzt verarbeitet ein reines Zählsystem Video, ohne jemanden zu identifizieren. Moderne KI-Kamera-Zählung gibt aus diesem Grund Zahlen statt Filmmaterial aus. Die Nachweislast liegt dennoch beim Kamerasystem: Es muss zeigen, was es nicht tut, heute in seiner DSFA und zunehmend in seiner Bewertung nach der KI-Verordnung. Das ist machbar, kostet aber Aufwand. Einkäufer sollten erwarten, dass Anbieter von Kamera-Analytik Fragen zur KI-Verordnung schriftlich beantworten, und sollten vage Antworten als Befund behandeln.

Welche Methoden der Personenzählung werfen keine biometrische Frage auf?

Wi-Fi-basierte Zählung liest anonyme Funksignale, Mobilfunk-Analytik liest aggregierte Netzdaten, und LiDAR misst bewegte Geometrie, ohne zu irgendeinem Zeitpunkt ein Bild zu erzeugen. Keine dieser Methoden extrahiert biometrische Merkmale, sodass die biometrischen Kapitel der KI-Verordnung für sie nicht gelten. Für alle drei gilt dieselbe Logik: Compliance, die darauf beruht, was das System physisch nicht kann, hält länger als Compliance, die auf Richtlinien beruht. Ein Compliance-Team, das auf Dezember 2027 plant, gibt für eine Bewertung nach der KI-Verordnung am wenigsten aus, wenn die Messmethode gar keine verlangt. Der DSFA-Leitfaden behandelt die verwandte Frage unter der DSGVO, und DSGVO-konforme Besucheranalyse beschreibt die DSGVO-Grundlage hinter beiden.