Echtzeit-RBI im öffentlichen Raum: Risikoklasse und Pflichten im EU-KI-Recht

Art. 5 Abs. 1 lit. h AI Act verbietet Echtzeit-RBI im öffentlich zugänglichen Raum durch Strafverfolgungsbehörden. „Öffentlich zugänglich" meint jeder Ort, der der Öffentlichkeit ganz oder teilweise zugänglich ist (Straßen, Plätze, Bahnhöfe, Flughäfen, Einkaufszentren, Sportstätten). „Echtzeit" meint die sofortige oder ohne nennenswerten zeitlichen Verzug erfolgende Erfassung, Vergleich und Identifikation. „Strafverfolgung" umfasst Polizei, Grenzschutz, Ermittlungsbehörden. Erfasst ist auch die Beschaffung der Mittel hierfür. Das Verbot gilt seit dem 2. Februar 2025.

Drei Ausnahmetatbestände, jeweils mit vorab erteilter behördlicher (regelmäßig richterlicher) Autorisierung: (1) Gezielte Suche nach Opfern bestimmter Verbrechen — Entführung, Menschenhandel, sexueller Missbrauch, Terrorismus, organisierte Kriminalität; (2) Abwehr konkreter, gegenwärtiger, erheblicher Lebensgefahr eines Menschen oder eines Terroranschlags in absehbarer Zukunft; (3) Lokalisierung oder Identifizierung einer Person, die verdächtigt wird, eine der im Katalog (lit. h iii) genannten Straftaten begangen zu haben. Der Einsatz muss verhältnismäßig, zeitlich/räumlich begrenzt, dokumentiert und grundrechtskonform sein; nationale Parlamente können strengere Regeln setzen (Art. 5 Abs. 7).

Nicht verboten, aber hochriskant: nachträgliche Remote-RBI (Identifizierung aus gespeicherten Aufnahmen) — Anhang III Nr. 1, Konformitätsbewertung nach Art. 43 Abs. 1 (notifizierte Stelle nur zwingend bei fehlenden harmonisierten Standards). Nicht RBI: biometrische Verifizierung (Art. 3 Nr. 36), bei der eine Person aktiv eine beanspruchte Identität bestätigt (z. B. Fingerabdruck am Smartphone, Gesichtsscan zur Gebäude-Zugangskontrolle unter Einwilligung) — das ist erlaubt, ggf. DSGVO-pflichtig. Überlagert werden alle RBI durch Art. 9 DSGVO und nationales Verfassungs-/Polizeirecht (in Deutschland BVerfG-Rechtsprechung zur Gesichtserkennung).