Domein 1 van Bijlage III AI Act is een van de meest uitgewerkte domeinen in de Commission guidelines van 19 mei 2026. Het raakt drie verschillende technologieen: remote biometric identification, biometrische categorisatie en emotieherkenning. De afbakening tussen verboden praktijken (Artikel 5), high-risk (Annex III) en buiten scope is hier extra belangrijk.
Voor het algemene kader, zie het hoofdartikel over het filter van Artikel 6(3). Voor alle acht domeinen, zie het hub-overzicht.
De drie use cases van domein 1
- Point 1(a) Remote biometric identification (RBI)
- Point 1(b) Biometrische categorisatie op basis van gevoelige attributen
- Point 1(c) Emotieherkenning
Point 1(a): remote biometric identification
RBI is identificatie van personen op afstand zonder hun actieve medewerking, op basis van biometrische data. De gids legt drie elementen vast.
Eerst: 1-op-1 verificatie (bevestigen van een geclaimde identiteit, zoals smartphone unlock of grenscontrole met paspoort) valt NIET onder Point 1(a). Dat is verificatie, geen identificatie.
Ten tweede: 1-op-many identificatie (zoeken naar een persoon in een database) valt WEL onder Point 1(a), ongeacht of het real-time of post-hoc gebeurt.
Ten derde: voor real-time RBI in publieke ruimten door rechtshandhaving geldt de verbodsregel van Artikel 5 lid 1 (h), met beperkte uitzonderingen. Post-hoc identificatie door rechtshandhaving is high-risk onder Point 1(a), niet verboden.
High-risk:
- Gezichtsherkenning in CCTV voor het opsporen van vermiste personen achteraf
- Biometrische identificatie op luchthavens (anders dan grenscontrole met paspoort)
- Looppatroonherkenning voor opsporing van verdachten
- Stemidentificatie in gespreksopnames
Buiten Point 1(a):
- Gezichts-unlock van een eigen smartphone of laptop
- Tweede factor authenticatie met vingerafdruk
- Grenscontrole met biometrisch paspoort waar de gebruiker zich aandient
Point 1(b): biometrische categorisatie
Het gaat om systemen die personen categoriseren in groepen op basis van biometrische data, voor zover die categorisatie raakt aan gevoelige of beschermde attributen.
High-risk:
- AI die personen indeelt naar leeftijdscategorie of geslacht uit camerabeelden
- AI die etnische of religieuze achtergrond probeert af te leiden uit gezichtsbeelden
- AI die uit stemgeluid sociale of demografische kenmerken voorspelt
Let op verbod: Sommige toepassingen van biometrische categorisatie zijn verboden onder Artikel 5, bijvoorbeeld het categoriseren van personen op basis van biometrische data om ras, politieke opvattingen, vakbondslidmaatschap, religieuze of filosofische overtuigingen, seksleven of seksuele orientatie af te leiden. Dat is geen high-risk maar onmiddellijk verboden.
Point 1(c): emotieherkenning
AI die emoties of mentale toestanden detecteert uit biometrische signalen (gezicht, stem, hartslag, huidgeleiding).
High-risk:
- Emotieherkenning voor security screening in publieke ruimten
- Emotieherkenning in juridische of medische contexten
- Emotieherkenning bij verzekering- of kredietaanvragen
Verboden: Emotieherkenning op de werkplek of in onderwijsinstellingen is in beginsel verboden onder Artikel 5 lid 1 (f), met uitzondering van medische of veiligheidsredenen. De ruime werkplek- en onderwijscontext maakt dat veel AI-pitches in dit domein direct stranden op Artikel 5, niet op Annex III.
Voor de Nederlandse context heeft de AP een uitgebreid rapport over emotieherkenning gepubliceerd dat de risico's en juridische grenzen scherp afbakent.
Sector-specifieke valkuilen
Valkuil 1: niet alles wat "biometrisch" lijkt is biometrie
De AI Act definieert biometrische data via AVG: persoonsgegevens verkregen uit specifieke technische verwerking van fysieke, fysiologische of gedragsmatige kenmerken die unieke identificatie mogelijk maken. Pure demografische categorisatie zonder identificeerbare biometrische signatuur (bijvoorbeeld kledingherkenning) valt er niet onder.
Valkuil 2: post-hoc en real-time hebben verschillende regimes
Voor real-time RBI in publieke ruimten gelden de verbods- en uitzonderingsregels van Artikel 5. Voor post-hoc RBI geldt high-risk classificatie onder Annex III. Het maakt voor compliance dus uit op welk moment de identificatie plaatsvindt.
Valkuil 3: emotie-detectie wordt vaak verkocht onder andere namen
Tools die "engagement", "attentie", "stress" of "well-being" meten op basis van gezichtsanalyse zijn de facto vaak emotieherkenning. De gids stelt dat de inhoudelijke functie bepalend is, niet de marketingclaim.
Wat te doen
Categoriseer per systeem
Per AI-toepassing met biometrische input: 1-op-1 verificatie of 1-op-many identificatie? Real-time of post-hoc? Op welke locatie?
Check eerst Artikel 5
Voor biometrische categorisatie en emotieherkenning, controleer eerst of de toepassing onder een verbodsregel valt. Het filter van 6(3) is dan irrelevant.
Documenteer rechtsgrondslag onder AVG
Biometrische data is bijzonder persoonsgegeven onder Artikel 9 AVG. De AI Act komt daar bovenop, niet in plaats van.
Toets uw AI tegen het filter van Artikel 6(3)
Gratis interactieve self-assessment, bijgewerkt voor de Commission guidelines van 19 mei 2026. 9 stappen, persoonlijk rapport met onderbouwing, vendor-questions en next steps.