Melonis Dekret zur Gesichtserkennung beunruhigt die EU

Die Regierung von Giorgia Meloni bringt ein Gesetzesdekret auf den Weg, das der italienischen Polizei den Einsatz von KI-Systemen zur biometrischen Echtzeit-Fernidentifizierung in öffentlichen oder öffentlich zugänglichen Räumen erlaubt. Die für Konzerte, Demonstrationen und Fußballspiele gedachte Regelung setzt die europäische KI-Verordnung (AI Act) in italienisches Recht um — mehrere Datenschutzexperten warnen jedoch, die vorgesehenen Garantien reichten nicht aus, um einen Konflikt mit EU-Recht zu vermeiden, berichtet El País.

Was das Dekret tatsächlich vorsieht

Der aus 21 Artikeln bestehende Text unterscheidet zwischen dem Einsatz biometrischer Daten in bereits laufenden Ermittlungen und ihrer Nutzung zur 'Prävention' von Straftaten — dem umstrittensten Teil. Artikel 8 legt fest, wann die Polizei die biometrische Fernidentifizierung aktivieren darf: bei einer konkreten, erheblichen und unmittelbaren Bedrohung für Leben oder körperliche Unversehrtheit, bei einer realen Terrorgefahr oder bei der Suche nach vermissten Personen sowie Opfern von Entführung, Menschenhandel oder sexueller Ausbeutung.

Anders als bei einer gewöhnlichen strafrechtlichen Ermittlung, die die Genehmigung eines Ermittlungsrichters erfordert, wird die präventive Nutzung vom Polizeichef (questore), dem Provinzkommandanten der Carabinieri oder der Guardia di Finanza beantragt und an den Bezirksstaatsanwalt gerichtet. Nach der Kontroverse in den Parlamentsausschüssen fügte die Regierung eine zweite Kontrollebene hinzu: Neben dem Staatsanwalt muss künftig auch der Richter für Vorermittlungen zustimmen, berichtet das italienische Medium Linkiesta.

• Den verfolgten Zweck und die konkrete Bedrohung, die verhindert werden soll
• Die Dauer, begrenzt auf maximal 15 Tage, verlängerbar
• Das genaue geografische Gebiet, in dem das System aktiviert wird
• Die gesuchten oder betroffenen Personen, sofern bekannt
• Die verwendeten Datenbanken und Technologien

In dringenden Fällen kann die Polizei das System ohne vorherige Genehmigung aktivieren, mit einer einfachen mündlichen Mitteilung an den Staatsanwalt, der 48 Stunden Zeit hat, den Einsatz zu bestätigen. Das Dekret legt außerdem fest, dass keine dauerhafte biometrische Datenbank entstehen wird und dass präventiv erhobene Daten nicht als Beweismittel in einem Strafverfahren verwendet werden dürfen.

Warum Experten alarmiert sind

Die Autorità Garante per la Protezione dei Dati Personali, das italienische Pendant zu Deutschlands Datenschutzbehörden, erklärte die erste Fassung des Textes für unvereinbar mit den Beschränkungen, die der AI Act für Live-Gesichtserkennung vorsieht — was die Regierung zwang, die Abstimmung im Abgeordnetenhaus zu verschieben, berichtet das Fachmedium Biometric Update. Ein Sprecher der Europäischen Kommission wurde deutlich:

Gesichtserkennung in öffentlich zugänglichen Räumen ist nach europäischem KI-Recht eine verbotene Praxis.

Der Europäische Gerichtshof selbst hat festgestellt, dass der Zugriff nationaler Behörden auf personenbezogene Daten, wenn er einen schwerwiegenden Eingriff in Grundrechte bedeuten kann, einer vorherigen Kontrolle durch einen Richter oder eine unabhängige Verwaltungsstelle unterliegen muss — das zentrale Argument dafür, den Ermittlungsrichter als zweite Kontrollinstanz hinzuzufügen.

Der Präzedenzfall ist nicht unerheblich: Bereits im Januar 2023 übertrug die Regierung Meloni die Kontrolle präventiver Telefonüberwachung dem Generalstaatsanwalt am Berufungsgericht Rom — ohne Beteiligung eines Richters. Bemerkenswert ist, dass sich Stimmen, die der Regierung sonst nahestehen, etwa die Anwaltsvereinigung Camere penali, die Luigi-Einaudi-Stiftung und Libertà Eguale, den Kritikern des neuen Dekrets angeschlossen haben, weil es richterliche Kontrollen schwäche.

Die Debatte wurde durch die Ausschreitungen in Bologna und die gewaltsamen Proteste im Susa-Tal neu entfacht, bei denen laut der italienischen Nachrichtenagentur Ansa Dutzende Polizisten verletzt wurden. Aus Melonis Umfeld heißt es, Italien werde 'weiterhin die europäischen Vorschriften zur Gesichtserkennung in öffentlich zugänglichen Räumen einhalten, beginnend mit dem AI Act, wie bisher auch'.

Ein direkter Konflikt mit dem europäischen AI Act

Der AI Act stuft die biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum als Praxis mit inakzeptablem Risiko ein, die verboten ist — mit drei eng gefassten Ausnahmen: der Suche nach vermissten Personen, einer unmittelbaren Terrorgefahr und der Lokalisierung Verdächtiger bei bestimmten schweren Straftaten — genau jenen Ausnahmen, auf die sich Italien beruft, um sein Dekret zu rechtfertigen. Die EU-Kommission verschob im Mai die Frist für Hochrisikosysteme, wie polizeiliche biometrische Identifizierung, auf Dezember 2027 — einen Spielraum, den Rom nutzt, um sein eigenes nationales Gesetz fertigzustellen.

Für deutsche Unternehmen, die Gesichtserkennungssysteme entwickeln oder vertreiben, ist der italienische Fall ein Vorgeschmack darauf, was EU-weite Konformität künftig verlangt. Der AI Act gilt für jeden Anbieter, der ein biometrisches Identifizierungssystem auf dem europäischen Markt platziert, unabhängig vom Sitz des Unternehmens: Ein deutsches Unternehmen, das eine solche Technologie an die italienische Polizei — oder an einen anderen Mitgliedstaat — verkaufen will, muss dieselben Garantien nachweisen, zu denen Rom gedrängt wird: einen präzise definierten Zweck, Verhältnismäßigkeit und eine vorherige richterliche Kontrolle. Diese Anpassung muss vor Dezember 2027 abgeschlossen sein, wenn die von Brüssel gewährte Frist für Hochrisikosysteme ausläuft.