Twarz w bazie danych: Inwigilacja, prawo i walka o prawo do bycia anonimowym
Chodzisz po mieście. Mijasz kamery monitoringu – jest ich w polskich miastach dziesiątki tysięcy. Wchodzisz do centrum handlowego. Przejeżdżasz samochodem przez skrzyżowanie. Zatrzymujesz się przed witryną sklepową.
Przez żadną z tych kamer nikt cię nie śledził. Przynajmniej tak myślisz. Ale gdyby ktoś chciał to zrobić – technologia jest już gotowa. Pytanie nie brzmi „czy jest to możliwe”. Brzmi: „kto, kiedy i na jakich zasadach ma prawo to robić?”
Clearview AI: firma, która zeskanowała świat
Żeby zrozumieć, jak realne jest zagrożenie, warto zacząć od sprawy, która kilka lat temu wstrząsnęła światem prywatności cyfrowej.
Firma Clearview AI – mały startup z Nowego Jorku – przez lata po cichu zbierała zdjęcia twarzy z całego internetu. Nie z baz rządowych. Z Facebooka. Z Instagrama. Z Twittera. Z LinkedIn. Z stron informacyjnych. Z jakiegokolwiek publicznego źródła, gdzie twarze ludzkie były dostępne w sieci.
Zebrała w ten sposób ponad trzydzieści miliardów zdjęć i stworzyła z nich największą prywatną bazę biometryczną na świecie. Sprzedawała dostęp do niej policji, agencjom rządowym i – co budzi szczególne kontrowersje – prywatnym klientom.
Żadna z osób na tych zdjęciach nie wyraziła zgody. Większość o tym nie wie do dziś.
Sprawa Clearview AI stała się katalizatorem dla legislatorów na całym świecie. Pokazała, że technologia rozpoznawania twarzy, połączona z masowym scrapingiem danych z internetu, tworzy narzędzie inwigilacji o skali dotychczas niewyobrażalnej. I że można ją zbudować bez żadnego rządowego mandatu, bez żadnego demokratycznego nadzoru, w piwnicy na Manhattanie.
Unia Europejska odpowiada: AI Act i twarda linia
Europa zdecydowała się zareagować najsurowiej spośród wszystkich dużych bloków prawnych.
Unijny Akt o Sztucznej Inteligencji – pierwsze tak kompleksowe prawo regulujące AI na świecie – wszedł w życie stopniowo. Najważniejsze zakazy dotyczące rozpoznawania twarzy obowiązują od 2 lutego 2025 roku. Wymogi dla systemów wysokiego ryzyka – do których należy m.in. rozpoznawanie biometryczne w rękach policji – staną się w pełni egzekwowalne 2 sierpnia 2026 roku.
Co dokładnie zakazuje prawo?
Zakaz absolutny, bez wyjątków: Budowanie lub rozszerzanie baz danych rozpoznawania twarzy przez masowe zbieranie zdjęć z internetu lub z kamer monitoringu bez celu. Model biznesowy Clearview AI jest w Unii Europejskiej nielegalny. Nie ma od tego żadnych wyjątków.
Zakaz z wyjątkami: Użycie systemu rozpoznawania twarzy w czasie rzeczywistym w przestrzeni publicznej przez organy ścigania. Co do zasady – zakazane. Ale prawo przewiduje trzy wąskie wyjątki: poszukiwanie zaginionych osób lub ofiar handlu ludźmi, zapobieganie bezpośredniemu i poważnemu zagrożeniu terrorystycznemu, identyfikacja podejrzanych o ciężkie przestępstwa, takie jak morderstwo, gwałt czy terroryzm.
Wymogi, nie zakaz: „Retrospektywne” rozpoznawanie twarzy – czyli analiza nagrań po fakcie, nie w czasie rzeczywistym – jest dopuszczalne, ale zaliczone do systemów wysokiego ryzyka. Wymaga autoryzacji sądu lub organu administracyjnego, dokumentowania każdego użycia i rygorystycznych procedur kontrolnych.
Kary za naruszenia są zaprojektowane tak, żeby bolały nawet wielkie korporacje: do 35 milionów euro lub 7 procent globalnych rocznych przychodów – w zależności od tego, która kwota jest wyższa.
Wyjątki, w których mieszka diabeł
Prawnicy i organizacje praw człowieka są zgodni: same zakazy brzmią imponująco. Ale wyjątki budzą poważny niepokój.
Po pierwsze, granica między „poszukiwaniem podejrzanego o poważne przestępstwo” a rutynowym nadzorem jest w praktyce rozmyta. Kto i na jakiej podstawie decyduje, że konkretna sytuacja uzasadnia użycie rozpoznawania twarzy w czasie rzeczywistym? W teorii – sąd. W praktyce – często decyzja musi być podjęta w ciągu minut, co czyni nadzór sądowy iluzorycznym.
Po drugie, AI Act jest prawem unijnym. Ale kraje członkowskie mogą uchwalać własne prawa krajowe, które – w teorii w ramach wyjątków dozwolonych przez Akt – mogą rozszerzać uprawnienia służb. I kilka krajów już sygnalizuje, że zamierza z tej możliwości skorzystać.
Po trzecie, firmy spoza Unii działające poza jej granicami mogą gromadzić dane o obywatelach europejskich i udostępniać je zagranicznym rządom. Europejskie prawo chroni Europejczyków na terenie Europy. Poza nią – jesteście sami.
Reszta świata: od zakazu do entuzjazmu
Poza Europą krajobraz prawny jest bardzo zróżnicowany – i miejscami dramatycznie różny od europejskiego.
Stany Zjednoczone nie mają federalnego prawa regulującego rozpoznawanie twarzy. Kilka stanów – Illinois, Texas, Waszyngton – uchwaliło własne przepisy ograniczające biometryczny zbiór danych. Ale policja federalna i agencje wywiadowcze działają w prawnej szarej strefie, która pozwala im na znacznie więcej niż europejskie odpowiedniki.
Chiny stoją na przeciwległym biegunie. System rozpoznawania twarzy jest tam częścią państwowej infrastruktury na skalę niespotykaną nigdzie indziej. Kamery z rozpoznawaniem biometrycznym są powszechne w przestrzeni publicznej, w transporcie, w miejscach pracy. System służy zarówno ściganiu przestępstw, jak i – co zostało szeroko udokumentowane – kontroli politycznej i monitorowaniu mniejszości etnicznych, w szczególności Ujgurów w Sinciangu.
Wielka Brytania po Brexicie kroczy własną ścieżką – wyraźnie mniej restrykcyjną niż unijna. Policja metropolitalna w Londynie regularnie używa systemów rozpoznawania twarzy w czasie rzeczywistym podczas dużych imprez i patroli. Rząd traktuje tę technologię jako narzędzie bezpieczeństwa publicznego, nie jako zagrożenie dla wolności.
Twarz jako dane biometryczne: co mówi RODO
Dla obywateli Unii Europejskiej istnieje jeszcze jedna warstwa ochrony, starsza niż AI Act: Rozporządzenie o Ochronie Danych Osobowych, znane jako RODO.
Dane biometryczne – a twarz to dane biometryczne, gdy są przetwarzane w celu identyfikacji człowieka – są w RODO zaliczone do kategorii szczególnie wrażliwych. Ich przetwarzanie jest zasadniczo zakazane, chyba że spełniony jest jeden z wąskich warunków: wyraźna zgoda osoby, interes publiczny, ochrona żywotnych interesów.
To oznacza, że sklep, który instaluje system rozpoznawania twarzy klientów bez ich wiedzy – narusza prawo. Pracodawca, który identyfikuje pracowników za pomocą kamer biometrycznych bez ich pisemnej zgody – narusza prawo. Centrum handlowe, które analizuje twarze kupujących, by dopasować reklamy do demografii – narusza prawo.
W teorii. W praktyce egzekwowanie jest nierówne, skargi do urzędów ochrony danych często tygodniami czekają na rozpatrzenie, a technologia wdraża się szybciej, niż prawo nadąża.
Prawo do bycia anonimowym: czy ono istnieje?
To pytanie filozoficzne, ale z bardzo praktycznymi konsekwencjami.
Przez wieki chodzenie po ulicy oznaczało anonimowość. Nikt nie notował, że byłeś na rogu Marszałkowskiej i Świętokrzyskiej o czternastej trzydzieści w środę. Nikt nie łączył twoich ruchów przez miasto w spójny, permanentny zapis.
Kamery monitoringu zmieniły to – ale tylko częściowo. Nagrania były przechowywane przez krótki czas, nikt nie był w stanie śledzić konkretnej twarzy przez całe miasto w czasie rzeczywistym.
Rozpoznawanie twarzy zmienia to fundamentalnie. Łącząc tysiące kamer z centralnym systemem biometrycznym, można zrekonstruować pełny dzienny ruch konkretnej osoby: o której wyszła z domu, gdzie zrobiła zakupy, z kim się spotkała, jak długo była w kościele, czy uczestniczyła w demonstracji.
Nie jest to scenariusz futurystyczny. Infrastruktura do tego już istnieje w wielu miastach. Pytanie tylko, czy i kiedy zostanie połączona z centralną bazą biometryczną.
Europejska sieć organizacji praw człowieka – od Amnesty International po Access Now – konsekwentnie domaga się całkowitego zakazu używania rozpoznawania twarzy w przestrzeni publicznej przez władze. Ich argument: technologia ta, przez samą swoją obecność, zmienia zachowanie ludzi. Gdy wiemy, że możemy być śledzeni – chodzimy inaczej, gromadzimy się inaczej, demonstrujemy inaczej. To efekt mrożący dla wolności, który trwa nawet wtedy, gdy nikt nas akurat nie obserwuje.
Stan na kwiecień 2026: remis z przewagą technologii
Gdzie jesteśmy dziś?
Prawo europejskie jest najsurowsze na świecie – ale jeszcze nie w pełni egzekwowane. Kluczowa data to sierpień 2026 roku, gdy w życie wejdą wymogi dla systemów wysokiego ryzyka. Jak ambitna retoryka przełoży się na realne działania organów ścigania i nadzoru – zobaczymy w ciągu najbliższych miesięcy.
Technologia rośnie szybciej niż prawo. Każdego miesiąca systemy rozpoznawania twarzy stają się dokładniejsze, tańsze i łatwiejsze do wdrożenia. Kamera z rozpoznawaniem biometrycznym, która pięć lat temu kosztowała kilkanaście tysięcy euro, dziś kosztuje kilkaset.
Sądy dopiero zaczynają rozstrzygać fundamentalne pytania: czy oskarżony może kwestionować dowody oparte na rozpoznaniu twarzy przez AI? Kto odpowiada za błąd algorytmu, który skutkuje aresztowaniem niewinnej osoby?
Jedno jest pewne: twarz – ta część naszego ciała, którą z definicji pokazujemy publicznie – stała się nowym polem bitwy o prywatność. I wynik tej bitwy rozstrzygnie się nie w laboratoriach, lecz w salach sądowych i parlamentach.
Wychodzisz na ulicę. Masz twarz – jedną i niepowtarzalną. Ktoś może chcieć ją skatalogować. Prawo powoli decyduje, czy mu na to pozwolić. A ty, czytając te słowa, właśnie stałeś się odrobinę bardziej świadomym uczestnikiem tej decyzji.
