KI-forordningen og persontelling

Noen ganger, avhengig av metoden. KI-forordningen, forordning (EU) 2024/1689, forbyr enkelte praksiser og regulerer systemer som bruker biometriske data til å kategorisere mennesker. Rene tellekameraer er ikke forbudt, og Wi-Fi-, mobilnett- og LiDAR-telling henter ikke ut biometriske kjennetegn. Høyrisikoforpliktelsene for frittstående systemer gjelder nå fra 2. desember 2027 etter forordning (EU) 2026/1744.

I et tiår var etterlevelsesspørsmålet i besøksmåling GDPR. KI-forordningen, verdens første helhetlige lov om kunstig intelligens, står nå ved siden av den og griper direkte inn i hvordan organisasjoner kan analysere mennesker i fysiske rom. Hvis målingen din involverer kameraer og AI, hører forordningen hjemme på anskaffelseslisten din. Hvis ikke, er forordningen ett spørsmål mindre som metoden din må svare på.

Hvilke datoer i KI-forordningen gjelder for besøksmåling?

Forordningen gjelder i etapper. Den trådte i kraft 1. august 2024, og reglene om forbudt praksis, de absolutte forbudene, har gjeldt siden 2. februar 2025. Åpenhetsreglene i artikkel 50 gjelder fra 2. august 2026. En av dem berører kameraanalyse direkte: den som bruker systemer for følelsesgjenkjenning eller biometrisk kategorisering, må informere menneskene som utsettes for dem.

Høyrisikorammeverket, den delen som betyr mest for videoanalyse, skulle også gjelde fra 2. august 2026. Digital Omnibus on AI, forordning (EU) 2026/1744, som trådte i kraft i juli 2026, flyttet det til 2. desember 2027 for frittstående høyrisikosystemer og til 2. august 2028 for AI som er bygd inn i produkter som omfattes av EUs produktsikkerhetsregelverk. Forpliktelsene gjelder fortsatt, bare senere, så organisasjoner som driver eller anskaffer kamerabasert analyse i Europa, må fortsatt planlegge for dem.

Hva sier KI-forordningen om å analysere mennesker?

Tre lag i forordning (EU) 2024/1689 er relevante for måling.

1. Forbudene: forordningen forbyr praksiser som sanntids fjernbiometrisk identifisering i offentlig tilgjengelige rom for rettshåndhevingsformål, med snevre unntak. Besøkstelling er ikke det, og en telleinstallasjon bør aldri utvides i den retningen.
2. Høyrisikorammeverket: systemer som bruker biometriske data til å kategorisere enkeltpersoner, særlig etter sensitive kjennetegn, har tunge forpliktelser, og AI-videoanalyse som identifiserer eller profilerer mennesker, er et av de sentrale tilfellene under rammeverket.
3. Alt annet: AI-systemer som aldri berører biometriske data, er ikke det disse kapitlene regulerer.

Skillelinjen er om systemet behandler biometriske data om enkeltpersoner, uansett hvilken AI det bruker. Et system som henter ut ansikter eller kroppskjennetegn for å klassifisere mennesker, må svare for det, mens et system som teller anonyme signaler eller former, ikke har noe å klassifisere noen med.

Er kamerabasert persontelling tillatt under KI-forordningen?

Kamerabasert telling er ikke forbudt, og gjort riktig behandler rene tellesystemer video uten å identifisere noen. Moderne AI-kameratelling leverer tall i stedet for opptak nettopp av den grunn. Bevisbyrden ligger fortsatt hos kamerasystemet: det må vise hva det ikke gjør, i sin DPIA i dag og i økende grad i sin vurdering etter KI-forordningen. Det er gjennomførbart, men det krever arbeid. Kjøpere bør forvente at leverandører av kameraanalyse svarer skriftlig på spørsmål om KI-forordningen, og bør behandle vage svar som funn.

Hvilke metoder for persontelling reiser ikke noe biometrisk spørsmål?

Wi-Fi-basert telling leser anonyme radiosignaler, mobilnettanalyse leser aggregerte nettverksdata, og LiDAR måler geometri i bevegelse uten noe bilde på noe tidspunkt. Ingen av dem henter ut biometriske kjennetegn, så de biometriske kapitlene i KI-forordningen gjelder ikke for dem. Den samme logikken gjelder for alle tre: etterlevelse som bygger på hva systemet fysisk ikke kan gjøre, varer lenger enn etterlevelse som bygger på policy. Et etterlevelsesteam som planlegger mot desember 2027, bruker minst på en vurdering etter KI-forordningen når målemetoden aldri krever noen. DPIA-veiledningen dekker det tilsvarende spørsmålet under GDPR, og besøksanalyse godkjent av en datatilsynsmyndighet beskriver GDPR-posisjonen som ligger bak begge.