Ihr Gesicht ist durchsuchbarer, als Sie vielleicht denken. Zu verstehen, wie Gesichtserkennung funktioniert und was das Datenschutzrecht dazu sagt, ist der erste Schritt zur Entscheidung, wie viele Ihrer Gesichtsdaten Sie bereit sind zu teilen. Ein aktueller Erklärartikel von Safeguard führt durch die technischen Grundlagen und die drei rechtlichen Rahmenwerke, die am wichtigsten sind: BIPA, DSGVO und der EU AI Act. Dieser Beitrag fasst diese Punkte in einfacher Sprache zusammen.

Wie Face Matching Ihr Gesicht in einen Score verwandelt

Gesichtserkennung speichert Ihr Gesicht nicht so, wie es ein Fotoalbum tut. Laut dem Erklärartikel wandelt Face Matching ein Gesicht in einen Vektor um, also eine Liste von Zahlen, die die vom System gemessenen Merkmale beschreiben. Der Abgleich wird dann zu einem mathematischen Problem: Das System vergleicht einen Vektor mit einem anderen und erzeugt einen Score, der zeigt, wie ähnlich sie sind.

Bei diesem Score kommen Schwellenwerte ins Spiel. Ein System muss entscheiden, wie hoch ein Score sein muss, bevor es zwei Gesichter als Übereinstimmung wertet. Setzt man den Schwellenwert niedrig, akzeptiert das System mehr Übereinstimmungen, erzeugt aber auch mehr falsche. Setzt man ihn hoch, erzeugt es weniger falsche Übereinstimmungen, verpasst aber möglicherweise echte. Die Wahl des Schwellenwerts ist ebenso eine politische wie eine technische Entscheidung, denn die Kosten einer falschen Antwort hängen vom Kontext ab. Eine falsche Übereinstimmung beim Entsperren eines Telefons ist ein Ärgernis. Eine falsche Übereinstimmung im polizeilichen Kontext kann weit schwerwiegendere Folgen haben.

Der Erklärartikel betont außerdem Bias-Tests. Systeme können bei verschiedenen Personengruppen unterschiedlich abschneiden, daher ist es wichtig, Fehlerraten über diese Gruppen hinweg zu messen, bevor ein System eingesetzt wird. Eine einzelne Schlagzeilen-Genauigkeitszahl kann ungleichmäßige Ergebnisse verbergen.

Wo Alltagsmenschen auf Gesichtserkennung stoßen

Für die meisten Menschen taucht Gesichtserkennung an mehreren alltäglichen Orten auf: in Geschäften, auf Telefonen, an Flughäfen und bei öffentlichen Kameras. Jeder Kontext funktioniert etwas anders.

  • Telefone: Das Entsperren eines Geräts mit dem Gesicht ist ein Eins-zu-eins-Vergleich, bei dem geprüft wird, ob die Person vor der Kamera mit dem registrierten Besitzer übereinstimmt.
  • Geschäfte: Einzelhandelskameras können verwendet werden, um Personen gegen eine Watchlist zu markieren oder Besucher zu analysieren.
  • Flughäfen: Face Matching kann verwendet werden, um einen Reisenden mit einem Identitätsdokument oder -datensatz zu vergleichen.
  • Öffentliche Kameras: Der Abgleich eines Gesichts in einer Menschenmenge mit einer größeren Datenbank ist eine andere und sensiblere Aufgabe als das Entsperren des eigenen Telefons.

Je größer die Datenbank und je geringer Ihre Wahlfreiheit, gescannt zu werden, desto höher sind die Datenschutzrisiken. Diese Bedenken sind nicht abstrakt. Unsere Berichterstattung über Indiens Gesichtserkennungs-Boom und das Ende der Protest-Anonymität zeigt, wie Kameranetzwerke verändern können, was es bedeutet, an einer öffentlichen Versammlung teilzunehmen.

Was BIPA, DSGVO und der EU AI Act Ihnen tatsächlich geben

Der Erklärartikel verweist auf drei rechtliche Rahmenwerke. Ihre Schutzmaßnahmen sind real, gelten aber je nach Wohnort und je nachdem, wer Ihre Daten sammelt, ungleichmäßig.

BIPA ist der Illinois Biometric Information Privacy Act. Es ist ein US-Bundesstaatsgesetz, das sich speziell mit biometrischen Daten wie Gesichtsgeometrie befasst. Sein Schutz reicht nur bis zu Personen, die unter Illinois-Recht fallen, was ein Grund dafür ist, dass US-Schutzmaßnahmen oft als Flickenteppich beschrieben werden.

DSGVO ist die Datenschutz-Grundverordnung der Europäischen Union. Sie behandelt biometrische Daten, die zur Identifizierung einer Person verwendet werden, als besondere Kategorie personenbezogener Daten, für die strengere Verarbeitungsbedingungen gelten als für gewöhnliche Daten. Sie gilt umfassend für Organisationen, die die Daten von Personen in der EU verarbeiten.

Der EU AI Act ergänzt Regeln, die auf die KI-Systeme selbst abzielen, einschließlich Gesichtserkennung. Statt sich nur auf die Daten zu konzentrieren, regelt er, wie solche Systeme gebaut und verwendet werden, was an die oben beschriebenen Tests, Schwellenwerte und Bias-Prüfungen anknüpft.

Der entscheidende Punkt ist, dass sich diese Gesetze in Umfang und Durchsetzung unterscheiden. Jemand in Illinois oder der EU kann Rechte haben, die eine Person anderswo nicht hat. Und keines dieser Gesetze hindert eine Kamera daran, Ihr Gesicht in der Öffentlichkeit zu erfassen; sie regeln, was Organisationen mit den Daten tun dürfen.

Was das für Sie bedeutet

Gesichtserkennung ist nicht eine Technologie, die auf eine Weise verwendet wird. Das Entsperren Ihres Telefons, das Gescanntwerden an einer Grenze und der Abgleich mit einem öffentlichen Kamerastream sind unterschiedliche Situationen mit unterschiedlichen Risiken und unterschiedlichem rechtlichem Schutz. Zu wissen, mit welcher Sie es zu tun haben, hilft Ihnen zu entscheiden, wo Sie handeln sollten.

Es lohnt sich auch, klar zu sein darüber, was Datenschutztools können und was nicht. Ein VPN schützt Ihren Netzwerkverkehr. Es bewirkt nichts gegen eine Kamera, die Ihr Gesicht sieht, oder gegen ein Foto, das bereits mit einem Vektor abgeglichen wurde. Auch persönliche Gegenmaßnahmen sind begrenzt: Unser Beitrag darüber, ob Make-up Gesichtserkennung überlisten kann, untersucht, warum Tricks, die Kameras täuschen sollen, mehr Fragen aufwerfen als beantworten.

Praktische Wege, Ihre Exposition zu begrenzen

Sie können nicht jede Kamera kontrollieren, aber Sie können die Daten kontrollieren, die Sie freiwillig herausgeben.

  1. Überprüfen Sie die Gesichtseinstellungen auf Ihrem Telefon. Prüfen Sie, ob Gesichtsentsperrung, Foto-Gesichtsgruppierung und ähnliche Funktionen aktiviert sind, und deaktivieren Sie, was Sie nicht brauchen.
  2. Prüfen Sie Ihre Social-Media-Konten. Suchen Sie nach Markierungs-, Gesichtserkennungs- und Fotovisibilitätseinstellungen und verschärfen Sie diese.
  3. Lesen Sie Einwilligungshinweise. Wenn ein Geschäft, eine App oder ein Dienst Sie bittet, Ihr Gesicht zu scannen, prüfen Sie, was dort über Aufbewahrung und Weitergabe gesagt wird, bevor Sie zustimmen.
  4. Nutzen Sie Ihre gesetzlichen Rechte. Wenn Sie unter die DSGVO oder ein ähnliches Gesetz fallen, können Sie möglicherweise erfragen, welche biometrischen Daten eine Organisation über Sie speichert, und deren Löschung verlangen.
  5. Teilen Sie weniger öffentliche Fotos. Große Sammlungen markierter Bilder erleichtern den Aufbau durchsuchbarer Gesichtsdaten.

Das Fazit

Wie Gesichtserkennung funktioniert, läuft in Datenschutzrechtsdebatten oft auf eine Idee hinaus: Ihr Gesicht wird zu einem Vektor, einem Score und einer Schwellenwertentscheidung, und das Gesetz entscheidet, wer diesen Prozess durchführen darf. Nehmen Sie sich diese Woche ein paar Minuten Zeit, um die Gesichtsdaten-Einstellungen auf Ihren Geräten und Social-Media-Konten zu überprüfen. Für mehr Kontext zu den Grenzen persönlicher Gegenmaßnahmen lesen Sie unsere Berichterstattung über Mythen zur Kameraumgehung und großflächige öffentliche Überwachung, beginnend mit den oben verlinkten Artikeln.