De EU AI-verordening en personentelling

Soms, afhankelijk van de methode. De EU AI-verordening, Verordening (EU) 2024/1689, verbiedt bepaalde praktijken en reguleert systemen die biometrische data gebruiken om mensen te categoriseren. Camerasystemen die uitsluitend tellen zijn niet verboden, en personentelling via Wi-Fi, mobiele netwerkdata en LiDAR extraheert geen biometrische kenmerken. De hoog-risicoverplichtingen voor zelfstandige systemen gelden nu vanaf 2 december 2027 onder Verordening (EU) 2026/1744.

Een decennium lang was de compliancevraag in bezoekersmeting de AVG. De EU AI-verordening, ‘s werelds eerste alomvattende AI-wet, staat er nu naast en raakt rechtstreeks aan hoe organisaties mensen in fysieke ruimtes mogen analyseren. Meet je met camera’s en AI, dan hoort de verordening op je inkoopchecklist. Meet je anders, dan is de verordening één vraag minder die je methode hoeft te beantwoorden.

Welke datums in de EU AI-verordening doen ertoe voor bezoekersmeting?

De verordening gaat gefaseerd in. Ze trad in werking op 1 augustus 2024, en de verboden praktijken, de harde verboden, gelden sinds 2 februari 2025. De transparantieregels in artikel 50 gelden vanaf 2 augustus 2026. Eén daarvan raakt camera-analyse direct: wie een systeem voor emotieherkenning of biometrische categorisering inzet, moet de mensen die eraan worden blootgesteld daarover informeren.

Het hoog-risicokader, het deel dat het meest telt voor video-analyse, zou ook op 2 augustus 2026 ingaan. De Digital Omnibus on AI, Verordening (EU) 2026/1744, die in juli 2026 in werking trad, heeft het verschoven naar 2 december 2027 voor zelfstandige hoog-risicosystemen en naar 2 augustus 2028 voor AI die is ingebouwd in producten die onder de EU-productveiligheidswetgeving vallen. De verplichtingen gelden nog steeds, alleen later, dus organisaties die cameragebaseerde analyse in Europa draaien of inkopen, moeten zich er nog steeds op voorbereiden.

Wat zegt de EU AI-verordening over het analyseren van mensen?

Drie lagen van Verordening (EU) 2024/1689 zijn relevant voor meting.

1. De verboden: de verordening verbiedt praktijken zoals realtime biometrische identificatie op afstand in publiek toegankelijke ruimtes voor rechtshandhavingsdoeleinden, met beperkte uitzonderingen. Bezoekerstelling is dat niet, en een telsysteem mag nooit in die richting worden uitgebreid.
2. Het hoog-risicokader: systemen die biometrische data gebruiken om individuen te categoriseren, met name op gevoelige kenmerken, dragen zware verplichtingen, en AI-video-analyse die mensen identificeert of profileert, is een van de kerngevallen van dat kader.
3. Al het overige: AI-systemen die nooit biometrische data raken, zijn niet wat deze hoofdstukken reguleren.

De scheidslijn is of het systeem biometrische data over individuen verwerkt, welke AI het ook gebruikt. Een systeem dat gezichten of lichaamskenmerken extraheert om mensen te classificeren, moet daar verantwoording over afleggen, terwijl een systeem dat anonieme signalen of vormen telt, niets bevat waarmee het iemand zou kunnen classificeren.

Is cameragebaseerde personentelling toegestaan onder de EU AI-verordening?

Cameragebaseerde telling is niet verboden, en goed uitgevoerd verwerken camerasystemen die uitsluitend tellen video zonder iemand te identificeren. Moderne AI-cameratelling levert daarom cijfers op in plaats van beeldmateriaal. De bewijslast ligt nog steeds bij het camerasysteem: het moet aantonen wat het niet doet, nu al in zijn DPIA en steeds vaker in zijn beoordeling onder de AI-verordening. Dat is werkbaar, maar het kost moeite. Kopers mogen verwachten dat leveranciers van camera-analyse vragen over de AI-verordening schriftelijk beantwoorden, en moeten een vaag antwoord als een bevinding aanmerken.

Welke methoden voor personentelling roepen geen biometrische vraag op?

Personentelling via Wi-Fi leest anonieme radiosignalen, mobiele netwerkanalyse leest geaggregeerde netwerkdata, en LiDAR meet bewegende geometrie zonder enig beeld in welke fase dan ook. Geen van deze extraheert biometrische kenmerken, dus de biometrische hoofdstukken van de AI-verordening zijn daarop niet van toepassing. Voor alle drie geldt dezelfde logica: compliance die rust op wat het systeem fysiek niet kan, houdt langer stand dan compliance die rust op beleid. Een complianceteam dat plant richting december 2027 geeft het minst uit aan een beoordeling onder de AI-verordening wanneer de meetmethode er nooit een vereist. De DPIA-gids behandelt de verwante vraag onder de AVG, en AVG-proof bezoekersanalyse beschrijft de AVG-positie achter beide.