EU:n tekoälyasetus ja kävijälaskenta

Joskus, menetelmästä riippuen. EU:n tekoälyasetus, asetus (EU) 2024/1689, kieltää eräitä käytäntöjä ja sääntelee järjestelmiä, jotka luokittelevat ihmisiä biometristen tietojen avulla. Pelkkään laskentaan rakennettuja kamerajärjestelmiä ei kielletä, eivätkä Wi-Fi-, mobiiliverkko- ja LiDAR-laskenta poimi biometrisiä piirteitä. Itsenäisten korkean riskin järjestelmien velvoitteita sovelletaan 2.12.2027 alkaen asetuksen (EU) 2026/1744 nojalla.

Vuosikymmenen ajan kävijämittauksen vaatimustenmukaisuuskysymys oli GDPR. EU:n tekoälyasetus, maailman ensimmäinen kattava tekoälylaki, on nyt sen rinnalla ja ulottuu suoraan siihen, miten organisaatiot saavat analysoida ihmisiä fyysisissä tiloissa. Jos mittauksesi käyttää kameroita ja tekoälyä, asetus kuuluu hankintatarkistuslistallesi. Muuten menetelmälläsi on yksi kysymys vähemmän vastattavana.

Mitkä EU:n tekoälyasetuksen päivämäärät koskevat kävijämittausta?

Asetusta sovelletaan vaiheittain. Se tuli voimaan 1.8.2024, ja sen kiellot eräistä käytännöistä ovat olleet voimassa 2.2.2025 lähtien. Asetuksen 50 artiklan läpinäkyvyyssääntöjä sovelletaan 2.8.2026 alkaen. Yksi niistä koskee kamera-analytiikkaa suoraan: tunteentunnistus- tai biometrisen luokittelujärjestelmän käyttöönottajan on kerrottava siitä ihmisille, jotka altistuvat järjestelmälle.

Korkean riskin kehikon, joka on videoanalytiikan kannalta tärkein osa, piti myös tulla sovellettavaksi 2.8.2026. Heinäkuussa 2026 voimaan tullut Digital Omnibus on AI, asetus (EU) 2026/1744, siirsi sen alkamaan 2.12.2027 itsenäisten korkean riskin järjestelmien osalta ja 2.8.2028 EU:n tuoteturvallisuuslainsäädännön piiriin kuuluviin tuotteisiin sisäänrakennetun tekoälyn osalta. Velvoitteet ovat yhä voimassa, vain myöhemmin, joten organisaatioiden, jotka käyttävät tai hankkivat kamerapohjaista analytiikkaa Euroopassa, on yhä valmistauduttava niihin.

Mitä EU:n tekoälyasetus (AI Act) sanoo ihmisten analysoinnista?

Kolme asetuksen (EU) 2024/1689 kerrosta on olennaista mittaukselle.

1. Kiellot: asetus kieltää käytännöt, kuten reaaliaikaisen etäbiometrisen tunnistamisen yleisölle avoimissa tiloissa lainvalvontatarkoituksessa, kapeine poikkeuksineen. Kävijälaskenta ei ole tätä, eikä laskentakäyttöönottoa pidä koskaan laajentaa siihen suuntaan.
2. Korkean riskin kehikko: järjestelmät, jotka luokittelevat yksilöitä biometristen tietojen avulla, erityisesti arkaluonteisten ominaisuuksien perusteella, kantavat raskaita velvoitteita, ja yksilöitä tunnistava tai profiloiva tekoälyvideoanalytiikka on kehikon keskeinen tapaus.
3. Kaikki muu: tekoälyjärjestelmät, jotka eivät koskaan koske biometrisiin tietoihin, eivät kuulu näiden lukujen sääntelyn piiriin.

Raja kulkee siinä, käsitteleekö järjestelmä biometrisiä tietoja yksilöistä, riippumatta siitä, mitä tekoälyä se käyttää. Järjestelmän, joka poimii kasvoja tai kehon piirteitä ihmisten luokittelua varten, on vastattava siitä, kun taas anonyymejä signaaleja tai muotoja laskevalla järjestelmällä ei ole mitään, millä luokitella ketään.

Onko kamerapohjainen kävijälaskenta sallittua EU:n tekoälyasetuksen mukaan?

Kamerapohjaista laskentaa ei kielletä, ja oikein tehtynä pelkkään laskentaan rakennetut kamerajärjestelmät käsittelevät videota tunnistamatta ketään. Nykyaikainen AI-kameralaskenta tuottaa lukuja kuvamateriaalin sijaan juuri tästä syystä. Todistustaakka on silti kamerajärjestelmällä: sen on osoitettava, mitä se ei tee, jo nyt DPIA:ssaan ja yhä useammin myös tekoälyasetuksen mukaisessa arvioinnissaan. Se on tehtävissä, mutta se vaatii työtä. Ostajien kannattaa odottaa, että kamera-analytiikan toimittajat vastaavat tekoälyasetusta koskeviin kysymyksiin kirjallisesti, ja pitää epämääräisiä vastauksia huomautuksina.

Missä kävijälaskennan menetelmissä biometristä kysymystä ei synny?

Wi-Fi-pohjainen laskenta lukee anonyymejä radiosignaaleja, mobiiliverkkoanalytiikka lukee aggregoitua verkkodataa, ja LiDAR mittaa liikkuvaa geometriaa ilman kuvaa missään vaiheessa. Mikään näistä ei poimi biometrisiä piirteitä, joten tekoälyasetuksen biometriset luvut eivät koske niitä. Sama logiikka pätee kaikkiin kolmeen: vaatimustenmukaisuus, joka nojaa siihen, mitä järjestelmä ei fyysisesti voi tehdä, kestää pidempään kuin vaatimustenmukaisuus, joka nojaa käytäntöön. Joulukuuhun 2027 valmistautuva vaatimustenmukaisuustiimi käyttää tekoälyasetuksen mukaiseen arviointiin vähiten silloin, kun mittausmenetelmä ei koskaan vaadi sitä. DPIA-opas käsittelee vastaavaa kysymystä GDPR:n kannalta, ja GDPR-turvallinen kävijäanalytiikka kuvaa molempien taustalla olevan GDPR-kannan.