Grenzkontroll-KI mit biometrischer Identifikation: Risikoklasse und Pflichten im EU-KI-Recht
KI an Grenzen (Flughäfen, Landübergänge) mit biometrischer Identifizierung ist nach Anhang III Nr. 7 AI Act HOCHRISKANT und unterliegt spätestens am 2. Dezember 2027 (verschoben durch AI Omnibus 2026) dem Pflichtenbündel aus Art. 8–15. Biometrische Komponenten (Anhang III Nr. 1) unterliegen der Konformitätsbewertung nach Art. 43 Abs. 1 — eine notifizierte Stelle wird nur zwingend, wenn keine harmonisierten Standards angewendet werden (Wahlrecht sonst). Kritische Abgrenzung: Live-Gesichtserkennung im öffentlich zugänglichen Grenzbereich durch Strafverfolgung kann das RBI-Verbot (Art. 5 Abs. 1 lit. h) berühren — verboten, außer in engen Ausnahmen (Opfersuche, Lebensgefahr, Katalog-Straftaten) mit vorab erteilter Autorisierung. Biometrische Verifizierung (aktive Person, die sich ausweist, z. B. E-Gates mit Reisepass-Scan unter Einwilligung) ist erlaubt und hochriskant. Überlagert: Art. 9 DSGVO, nationales Grenz-/Ausländerrecht, Grund- und Menschenrechte, Genfer Flüchtlingskonvention.
Steve Baka
Hochrisiko (Anhang III Nr. 7) und notifizierte Stelle
Anhang III Nr. 7 erfasst KI im Bereich Migration, Asyl und Grenzkontrolle: polyglotte Auswertung großer Textmengen (Visa-/Asyl-/Aufenthaltsanträge), Bewertung der Zuverlässigkeit von Beweismitteln, Beurteilung des Risikos bei Einreise/Aufenthalt/Asyl und Polygraphie. Biometrische Komponenten (Gesichtserkennung, Fingerabdruck-Match an Grenzen) sind zugleich Anhang III Nr. 1 (biometrische Hochrisiko-KI) und fallen unter Art. 43 Abs. 1 — notifizierte Stelle nur zwingend bei fehlenden/nicht angewendeten harmonisierten Standards. Vollständiges Pflichtenbündel aus Art. 8–15 spätestens am 2. Dezember 2027 (verschoben durch AI Omnibus 2026).
Kollision mit dem RBI-Verbot (Art. 5 Abs. 1 lit. h)
Achtung: Live-Gesichtserkennung (Echtzeit-RBI) im öffentlich zugänglichen Grenzbereich durch Strafverfolgung kann das Art. 5-Verbot auslösen — der Grenzbereich ist „öffentlich zugänglich" (Flughäfen, Bahnhöfe, Ankunftshallen). Verboten, außer in den engen Ausnahmen (Opfersuche, Lebensgefahr/Terrorismus, Katalog-Straftaten) mit vorab erteilter Autorisierung. Erlaubt: biometrische Verifizierung an E-Gates (Person tritt aktiv an, legt Reisepass auf, bestätigt Identität — Art. 3 Nr. 36), da keine RBI und mit Einwilligung/Datenschutzkonformität. Die technische Verfahrensauswahl entscheidet über Verbot oder Hochrisiko.
Überlagerung durch Grundrechte und Völkerrecht
Grenz-KI ist besonders grundrechtssensibel: EU-Grundrechtecharta (Art. 4 Asylrecht, 18 Asyl), EMRK (Art. 3 Folterverbot, 4 Sklaverei, 8 Privatleben, 13 Rechtsweg), Genfer Flüchtlingskonvention (Non-Refoulement), unionsrechtliches Asylverfahrensrecht, nationales Ausländer-/Grenzrecht. Eine AI-Act-konforme Risiko-KI kann völker- oder verfassungsrechtlich unzulässig sein — etwa wenn sie systematisch Asylsuchende bestimmter Herkunft benachteiligt oder den Zugang zum Asylverfahren erschwert. Aufsichtlich wirken neben Marktüberwachungsbehörden das AI Office (grenzüberschreitend, Art. 75), Frontex (für eigene Systeme), Datenschutz-Aufsichten und der Europäische Grenz- und Küstenwächter-Ausschuss.
Quellen
Amtsblatt der Europäischen Union. Verbindlicher Primärtext des EU AI Act (konsolidierte Fassung).
EU AI OfficeEuropäische Kommission. Zentrale EU-Behörde für AI-Act-Durchsetzung, GPAI-Aufsicht und Leitlinien.
Verordnung (EU) 2023/2854 (Data Act) — EUR-LexAmtsblatt der Europäischen Union. Verbindlicher Primärtext des EU Data Act zur Datenweitergabe an verbundenen Produkten.
Datenschutz-Grundverordnung (DSGVO) — EUR-LexAmtsblatt der Europäischen Union. Verbindlicher Primärtext der DSGVO; maßgeblich für KI-Verarbeitung personenbezogener Daten.
AI Act — konsolidierter Lesetext (ai-act-law.eu)Future of Life Institute / Konsortium. Breit genutzte inoffiziell-konsolidierte, artikelgenaue Darstellung des AI Act.
European Data Protection Supervisor (EDPS)EDPS. EU-Datenschutzaufsicht; Stellungnahmen zum AI Act und Schnittstelle KI/Datenschutz.
European Data Protection Board (EDPB)EDPB. Gremium der EU-Datenschutzbehörden mit Leitlinien zur KI-Verarbeitung.
EU AI PactEuropäische Kommission. Freiwillige Frühumsetzung des AI Act; Indikator für Markterwartungen.
Bundesamt für Sicherheit in der Informationstechnik (BSI)BSI. IT-Sicherheitsbehörde Deutschland; relevant für Cybersecurity-Pflichten des AI Act und CRA/NIS2.
Datenschutzkonferenz (DSK)DSK. Zusammenschluss der deutschen Aufsichtsbehörden; Orientierungshilfen auch zu KI.
Der Bundesbeauftragte für Datenschutz (BfDI)BfDI. Bundesweiter Datenschutzbeauftragter Deutschland.
Rat für Künstliche Intelligenz (Österreich)Bundesministerium AT. Beratendes Gremium und Ministerium für KI-Politik in Österreich.
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)EDÖB / FDPIC. Schweizer Datenschutzbehörde; Bezug zu EU-KI-Recht für die Schweiz.
Cyber Resilience Act (VO (EU) 2024/2847) — EUR-LexAmtsblatt der Europäischen Union. Schnittstellen-Rechtsakt zur Cybersicherheit von Produkten mit digitalen Elementen (KI-relevant).
Richtlinie (EU) 2022/2555 (NIS2) — EUR-LexAmtsblatt der Europäischen Union. Schnittstellen-Rechtsakt zu IT-Sicherheitsanforderungen für kritische Sektoren.
Häufige Fragen
Ist Gesichtserkennung an Flughäfen verboten?
Live-RBI durch Strafverfolgung im öffentlich zugänglichen Bereich ja (Art. 5 Abs. 1 lit. h), außer in engen Ausnahmen. Biometrische Verifizierung an E-Gates (mit Einwilligung) ist erlaubt und hochriskant (Anhang III Nr. 7).
Brauche ich eine notifizierte Stelle?
Bedingt für biometrische Grenz-KI (Anhang III Nr. 1, Art. 43 Abs. 1). Biometrische Hochrisiko-KI benötigt eine notifizierte Stelle nur zwingend, wenn keine harmonisierten Standards angewendet werden — sonst Wahlrecht für interne Kontrolle.
Greifen Grund- und Menschenrechte?
Überlagernd ja: EU-GRCh, EMRK, Genfer Flüchtlingskonvention (Non-Refoulement), Asylverfahrensrecht. Eine AI-Act-konforme KI kann völker-/verfassungsrechtlich unzulässig sein.
Rechtskonforme Umsetzung für Grenzkontroll-KI mit biometrischer Identifikation?
Wenn du Grenzkontroll-KI mit biometrischer Identifikation rechtskonform einführen oder prüfen willst, entwickle ich mit dir die passende Compliance-Strategie — von der Risikoklassifizierung bis zum Nachweis.