Co należy wiedzieć o unijnych przepisach dotyczących rozpoznawania twarzy - i jak się do nich dostosować

• Technologia rozpoznawania twarzy (FRT) jest głównym przedmiotem zainteresowania proponowanego przez Komisję Europejską rozporządzenia w sprawie SI.
• Aby odnieść sukces, dostawcy technologii będą musieli opracować dostosowane podejście do zarządzania ryzykiem i procesów jakości.
• We współpracy z przemysłem, rządem i społeczeństwem obywatelskim Światowe Forum Ekonomiczne opracowało ramy audytu i system certyfikacji dostawców technologii.

Wśród zidentyfikowanych zagrożeń zdalne systemy biometryczne, które obejmują technologię rozpoznawania twarzy (FRT), są głównym przedmiotem zainteresowania przygotowanego wniosku:

• Systemy SI, które mają być wykorzystywane do zdalnej biometrycznej identyfikacji osób fizycznych w czasie rzeczywistym i po zakończeniu, są uważane za system wysokiego ryzyka i wymagałyby oceny ex ante dostawcy technologii w celu potwierdzenia zgodności przed uzyskaniem dostępu na rynek UE oraz ocenę ex post dostawcy technologii (szczegółowo omówioną poniżej).
• Ponadto systemy zdalnej identyfikacji biometrycznej „w czasie rzeczywistym” w publicznie dostępnych miejscach do celów egzekwowania prawa są w większości zabronione, chyba że służą bardzo ograniczonym wyjątkom związanym z bezpieczeństwem publicznym, takim jak ukierunkowane przeszukiwanie osób zaginionych lub zapobieganie bezpośredniemu zagrożeniu terrorystycznemu. (szczegółowo opisane w rozdziale 2, art. 5, str. 43-44). Dodatkowe wymogi dla tego przypadku użycia obejmowałyby ex-anteocena w celu udzielenia zezwolenia organom ścigania, tj. każde indywidualne zastosowanie powinno być przyznane przez „organ sądowy lub przez niezależny organ administracyjny państwa członkowskiego”, chyba że jest to wykonywane w „należycie uzasadnionej pilnej sytuacji”. Wreszcie, przepisy krajowe mogą określać, czy w pełni lub częściowo zezwalają na użycie FRT w tym konkretnym przypadku użycia.

Inne przypadki użycia, takie jak FRT dla procesów uwierzytelniania, nie znajdują się na liście zagrożeń wysokiego poziomu i dlatego powinny wymagać mniejszego poziomu regulacji.

Certyfikacja jakości procesów, a nie wydajności algorytmu

Chociaż dostawcy technologii muszą utrzymywać najwyższy poziom wydajności i dokładności swoich systemów, ten niezbędny krok nie jest najważniejszy, jeśli chodzi o zapobieganie szkodom. KE nie wyszczególnia żadnego progu dokładności, który należy spełnić, ale raczej wymaga solidnego i udokumentowanego procesu ograniczania ryzyka, zaprojektowanego w celu zapobiegania szkodom. Wdrożenie systemu zarządzania jakością jest ważnym krokiem, ponieważ będzie wymagało od dostawców zaprojektowania odpowiednich procesów i procedur wewnętrznych w celu aktywnego ograniczania potencjalnego ryzyka.

Nacisk na zarządzanie ryzykiem i procesy

Chociaż ustalenie własnych procesów jakościowych przez dostawców technologii będzie zależeć od dostawców technologii, jednostki notyfikowane będące stronami trzecimi będą miały obowiązek poświadczania zgodności dostawców z nowym prawodawstwem UE.

Aby odnieść sukces, dostawcy technologii będą musieli opracować dostosowane podejście do projektowania, wdrażania i uruchamiania tych odpowiednich procesów. Dostawcy będą również musieli ściśle współpracować z użytkownikiem systemu, aby przewidywać potencjalne zagrożenia i proponować procesy łagodzenia ich skutków.

Jak przewidzieć nadchodzące rozporządzenie

W ciągu ostatnich dwóch lat Światowe Forum Ekonomiczne współpracowało z podmiotami branżowymi, agencjami rządowymi i społeczeństwem obywatelskim, aby opracować proponowane ramy polityczne dotyczące odpowiedzialnych limitów FRT.

Wśród proponowanych przez nas strategii nadzoru wyszczególniliśmy kwestionariusz samooceny, audyt strony trzeciej oraz system certyfikacji. Proponowana przez UE koncepcja audytu strony trzeciej (tj. Oceny zgodności) sugeruje ten sam model nadzoru i pozwala na szybkie rozszerzenie zakresu i rozmieszczenie jednostek certyfikujących (tj. Jednostek notyfikowanych) w celu prowadzenia audytów stron trzecich w całej UE.

Proponowana procedura oceny zgodności - polegająca na przeglądzie kontroli zgodności z wymaganiami określonymi w Tytule III proponowanego rozporządzenia - będzie najpierw wymagać od jednostek notyfikowanych opracowania specjalnych ram audytu i systemów certyfikacji. Te dwa dokumenty zostaną wykorzystane do przedstawienia audytowanym organizacjom szczegółowych informacji na temat przebiegu certyfikacji.

W związku z tym zachęcamy dostawców do rozważenia ram audytu i schematu certyfikacji systemu zarządzania jakością, który szczegółowo opisaliśmy w białej księdze opublikowanej w grudniu 2020 r. We współpracy z francuską akredytowaną jednostką certyfikującą AFNOR Certification.

Wśród wymogów tytułu III dostawcy będą musieli wprowadzić system zarządzania ryzykiem skoncentrowany na analizie, przewidywaniu i procesach łagodzenia potencjalnego ryzyka. (W sekcjach 2 i 3 naszych ram kontroli omawiamy podobne podejście strukturalne, aby zbudować właściwe procesy oceny ryzyka i zapobiec występowaniu uprzedzeń i dyskryminacji).

System monitorowania po wprowadzeniu do obrotu zdefiniowany w art. 61 jest mechanizmem zapewniającym zgodność z wymogami podczas działania systemu. Ten punkt krytyczny jest zdefiniowany w zaprojektowanej przez nas strukturze audytu. Rozważaliśmy trzy etapy analizy podczas przeprowadzania audytu zewnętrznego:

1. Zapewnienie właściwego zaprojektowania procesów zarządzania jakością w celu spełnienia wymagań;

2. Kontrolowanie prawidłowej realizacji procesów; i,

3. Potwierdzenie, że system działa zgodnie z wymaganiami.

Jednostki notyfikowane będą wykorzystywać systemy certyfikacji do przeprowadzania ocen zgodności. Te systemy certyfikacji zapewnią dostawcom jasność i przejrzystość w zakresie sposobu przeprowadzania oceny. Rozdział naszej białej księgi (Część 4) przeznaczyliśmy, aby wyjaśnić, jak przeprowadzić certyfikację systemów FRT, od fazy przygotowawczej do fazy certyfikacji i wydania certyfikatu.

Dodatkowym sposobem przygotowania się do audytu zewnętrznego jest zorganizowanie wewnętrznej samooceny przed audytem. To działanie zapewni materiały potwierdzające, czy system jest gotowy do audytu lub czy wymaga dalszych działań naprawczych. W fazie pilotażowej naszego projektu politycznego współpracowaliśmy z lotniskiem Narita, aby przygotować i przetestować kwestionariusz samooceny dotyczący odpowiedzialnego stosowania FRT na lotniskach. (Odpowiedzi Narity są publicznie dostępne w załączniku do naszej białej księgi).

Chociaż system certyfikacji i ramy audytu, które wyszczególniliśmy, będą musiały ewoluować, aby zachować zgodność z tym prawodawstwem, już dostarczają dobrych przykładów do naśladowania.

Jeśli chodzi o wykorzystanie FRT do celów identyfikacji, należy zachować maksymalne środki ostrożności. Proponowane prawodawstwo UE jest w tym sensie ambitne - i pomoże zbudować zaufanie i przejrzystość wśród obywateli UE oraz pozwoli na bezpieczne wykorzystanie korzyści płynących z tej technologii.