Systemy rozpoznawania twarzy w rękach prywatnych firm — nowa jakość nadzoru

Systemy rozpoznawania twarzy przestały być domeną wyłącznie organów ścigania i służb specjalnych. Obecnie najszybciej rozwijają je firmy prywatne — sieci handlowe, deweloperzy biurowców, operatorzy transportu zbiorowego i platformy cyfrowe. Technologia, która jeszcze dekadę temu wymagała infrastruktury rządowej, dziś działa na zwykłych kamerach monitoringu podłączonych do chmury.

W Polsce nie’existe ustawa regulująca używanie rozpoznawania twarzy przez podmioty prywatne. RODO traktuje dane biometryczne jako szczególną kategorię danych osobowych, ale wyjątki dla “uzasadnionego interesu administratora” oraz zgody (często uzyskanej przez ciemne wzorce w regulaminach) otwierają lukę prawną. Komisja Europejska w projekcie AI Act zakwalifikowała systemy identyfikacji zdalnej w czasie rzeczywistym jako ryzyko niedopuszczalne, ale wyłączyła z zakazu zastosowania w obszarach publicznych przez podmioty prywatne — co de facto legalizuje status quo.

Skala wdrożeń w Polsce

Sieci supermarkcji testują systemy “antykradzieżowe”, które łączą obrazy z kamer z bazami zdjęć znanych złodziei. W praktyce oznacza to, że każdy klient jest porównywany z bazą podejrzanych w czasie rzeczywistym. Nie ma informacji, jak długo przechowywane są obrazy osób nieznalezionych w bazie, ani kto ma do nich dostęp.

Centra handlowe w Warszawie, Krakowie i Wrocławiu wdrożyły systemy zliczające unikalne odwiedziny i śledzące trasę ruchu klientów. Dane biometryczne — wektory cech twarzy — są przechowywane przez miesiące w celach “analizy ruchu”. Operatorzy twierdzą, że dane są anonimizowane, ale wektor cech twarzy jest identyfikatorem unikalnym — pozwala na reidentyfikację w dowolnym momencie.

Brak kontroli i audytu

Urząd Ochrony Danych Osobowych nie dysponuje narzędziami do weryfikacji, jakie modele rozpoznawania twarzy używają polskie firmy, jakie mają dokładność (tzw. false positive rate) i czy były testowane na populacji polskiej. Badania NIST (National Institute of Standards and Technology) wykazały, że popularne systemy komercyjne mają istotnie wyższą błądność dla osób o ciemniejszym kolorze skóry, kobiet i osób starszych — co w kontekście polskiego prawa antydyskryminacyjnego może stanowić naruszenie.

W 2023 roku UODO nałożyło karę na firmę przetwarzającą dane biometryczne pracowników bez odpowiedniej bazy prawnej. To pierwszy i do tej pory jedny taki przypadek. Większość wdrożeń przebiega bez kontroli, ponieważ firmy nie zgłaszają przetwarzania danych biometrycznych do rejestru UODO, korzystając z przepisu o wyjątku dla “działalności statystycznej lub historycznej”.

Modele biznesowe oparte na śledzeniu

Nowa generacja startupów oferuje “bezpieczeństwo jako usługę” (Security as a Service) — dostarcza kamer, oprogramowania i chmury obliczeniowej w modelu abonamentowym. Klient (np. wspólnota mieszkaniowa, mała firma) nie ma wglądu w to, gdzie trafiają dane, kto do nich ma dostęp i jak długo są przechowywane. Umowy zawierają klauzule umożliwiające przekazywanie danych “partnerom biznesowym” — co de facto pozwala na budowanie ogólnonarodowych, a nawet międzynarodowych baz twarzy.

Platformy takie jak Clearview AI (zbierające miliardy zdjęć z mediów społecznościowych) czy PimEyes (wyszukiwarka twarzy w sieci) pokazują, jak łatwo dane biometryczne wyciekają z kontrolowanego obiegu. Polskie firmy korzystające z gotowych API (Amazon Rekognition, Azure Face API, Google Vision) przekazują obrazy do chmur amerykańskich gigantów technologicznych — co rodzi pytania o suwerenność danych i przepływ poza UE.

Co można zrobić

Obywatele mogą żądać informacji o przetwarzaniu swoich danych biometrycznych (art. 15 RODO), wnosić sprzeczności (art. 21) i żądać usunięcia (art. 17). W praktyce trudno to jednak wykonać, nie wiedząc, kto przetwarza dane. Konieczne są:

• Ustawa krajowa uzupełniająca AI Act, zakazująca rozpoznawanie twarzy w przestrzeniach publicznych przez podmioty prywatne bez decyzji administracyjnej
• Obowiązkowy audyt algorytmiczny systemów biometrycznych przed wdrożeniem
• Rejestr publiczny systemów rozpoznawania twarzy prowadzony przez UODO
• Prawo do “anonimowości w przestrzeni publicznej” — zakazu identyfikowania osób bez ich wiedzy i zgody

Bez tych kroków Polska idzie tropem Chin, gdzie system kredytów społecznych opiera się na rozpoznawaniu twarzy w skali masowej — z tą różnicą, że u nas budują go korporacje, a nie państwo.

Oznaczenie treści AI

Ten artykuł powstał z udziałem sztucznej inteligencji: research oraz tekst przygotował i zredagował agent AI. Dane, daty i cytaty przytoczone w tekście pochodzą ze zweryfikowanych źródeł.