Interpol przepuścił przez AI 108 tysięcy twarzy z propagandy dżihadystów. Unijne warunki dla takiej analizy zaczną obowiązywać w grudniu 2027

Przez pięć czerwcowych dni w Tunisie 28 policjantów i ekspertów z jedenastu państw wyciągało twarze z filmów i zdjęć publikowanych przez grupy dżihadystyczne. Zebrali 108 076 wizerunków. Interpol ogłosił 18 września 2026, że na tej podstawie zidentyfikowano 126 zagranicznych bojowników terrorystycznych, a nagłówki połączyły ten wynik z agentami AI. Komunikat Interpolu opisuje ich rolę węziej.

Operacja nazywała się Shams II i trwała od 1 do 5 czerwca. Część zbierania i analizy materiału przejęli agenci AI, czyli programy wykonujące samodzielnie serię zadań, oraz skrypty napisane z pomocą AI. Dzięki nim system usuwał powtórzenia i odrzucał ujęcia zbyt słabe do porównania. Zostało niewiele.

Samo rozpoznawanie należało do systemu rozpoznawania twarzy Interpolu. Działa od końca 2016 roku na oprogramowaniu firmy IDEMIA, partnera Interpolu od biometrii. Po wprowadzeniu zdjęcia system zwraca listę najbardziej podobnych twarzy. Dalej pracują ludzie. Funkcjonariusze Interpolu porównują obrazy ręcznie i wydają jedną z trzech ocen: potencjalny kandydat, brak kandydata albo wynik nierozstrzygnięty. Według komunikatu wszystkie wyniki wytworzone przez AI w tej operacji sprawdzili przeszkoleni funkcjonariusze i analitycy.

Kilku rzeczy komunikat nie podaje: jakich modeli użyto, kto dostarczył agentów, ile dopasowań ludzie odrzucili i jak często system się myli. Podaje za to skład. Udział wzięły Wybrzeże Kości Słoniowej, Ghana, Irak, Kenia, Malezja, Nigeria, Filipiny, Katar, Tadżykistan, Tunezja i Uzbekistan. Żadne z nich nie należy do Unii. Operacja była jednak częścią projektu CT TECH+, finansowanego przez Unię Europejską z instrumentów polityki zagranicznej.

Dane z operacji trafiają do baz Interpolu. Tropy pomagają już w postępowaniach sądowych w państwach uczestniczących, między innymi w sprawie dwóch zatrzymanych podejrzanych. Tysiące zdjęć czekają na porównanie.

Unijne rozporządzenie o sztucznej inteligencji, AI Act, od 2 lutego 2025 zakazuje budowania baz do rozpoznawania twarzy przez nieukierunkowane zbieranie wizerunków z internetu albo z nagrań monitoringu. Granicę wyznacza cel zbierania. Wytyczne Komisji Europejskiej z lipca 2025 podają, że zbieranie zdjęć konkretnych osób albo z góry określonej grupy jest ukierunkowane i zakaz go nie obejmuje, a przykładem jest szukanie konkretnego przestępcy. Budowanie bazy krok po kroku, grupa po grupie, podlega jednak zakazowi, gdy efekt jest taki sam jak przy zbieraniu wszystkiego.

Porównywanie twarzy ze zdjęć zrobionych wcześniej rozporządzenie nazywa zdalną identyfikacją biometryczną post factum i zalicza do systemów wysokiego ryzyka. Warunki dla policji są w art. 26 ust. 10. Najważniejsze są cztery.

• Wniosek o zezwolenie do sądu albo organu administracji z decyzją podlegającą kontroli sądowej, złożony z góry albo najpóźniej w 48 godzin. Po odmowie użycie trzeba przerwać, a dane usunąć. Bez wniosku wolno tylko wstępnie wskazać potencjalnego podejrzanego na podstawie obiektywnych faktów związanych z przestępstwem.
• Użycie wyłącznie w związku z konkretnym przestępstwem, postępowaniem, realnym zagrożeniem albo poszukiwaniem zaginionej osoby.
• Zakaz decyzji wywołującej niekorzystne skutki prawne dla człowieka wyłącznie na podstawie wyniku systemu.
• Roczne sprawozdania dla organu nadzoru rynku i organu ochrony danych.

Te warunki zaczną obowiązywać 2 grudnia 2027. Pierwotnie przepisy o systemach wysokiego ryzyka miały działać od 2 sierpnia 2026. Pakiet zmian w AI Act obowiązuje od 27 lipca 2026 i przesunął przepisy dla wrażliwych obszarów, w tym biometrii, o szesnaście miesięcy.

Rozporządzenie ma osobny przepis dla organizacji międzynarodowych. Nie stosuje się do nich, gdy używają AI we współpracy z Unią lub z państwami członkowskimi przy ściganiu przestępstw i zapewniają odpowiednią ochronę praw i wolności (art. 2 ust. 4). Motyw 22, czyli uzasadnienie w części wstępnej rozporządzenia, dodaje, że za zgodność z prawem Unii odpowiada krajowy organ korzystający z takich wyników w Unii. Czy i na jakich zasadach wyniki Shams II trafią do państw Unii, Interpol nie podaje.

Najostrzej AI Act traktuje rozpoznawanie twarzy na żywo w miejscach publicznych. Policja może go użyć tylko w trzech sytuacjach, między innymi przy realnym zagrożeniu atakiem terrorystycznym. Potrzebne jest zezwolenie sądu albo niezależnego organu oraz ustawa krajowa wprowadzająca taką możliwość (art. 5 ust. 5). Według wytycznych Komisji bez takiej ustawy policja tych systemów stosować nie może. Polska ustawa o systemach sztucznej inteligencji z 3 lipca 2026, ogłoszona w Dzienniku Ustaw 27 lipca, takiego przepisu nie zawiera. Słowo „biometria” w niej nie pada.

Wizerunki twarzy polskie służby już gromadzą. W czerwcu 2022 dyrektor Centralnego Laboratorium Kryminalistycznego Policji mówiła w „Gazecie Policyjnej”, że zdjęcia sygnalityczne (policyjne zdjęcia twarzy z przodu i z profilu), fotografie zaginionych i portrety pamięciowe trafiają do Krajowego Systemu Informacyjnego Policji. Zapowiadała też osobną bazę wizerunków do automatycznych przeszukań na potrzeby wymiany danych z innymi państwami. Czy ta baza już działa, w materiałach policji nie udało się potwierdzić.

Granica ma własny system. Straż Graniczna od 12 października 2025 pobiera zdjęcie twarzy i odciski palców od podróżnych spoza Unii przyjeżdżających na krótki pobyt, w europejskim systemie wjazdu i wyjazdu EES, w pełnym zakresie od 10 kwietnia 2026. Biuro Interpolu w Warszawie, działające w Komendzie Głównej Policji, dało policji i Straży Granicznej dostęp do baz Interpolu o osobach poszukiwanych, skradzionych paszportach i pojazdach.

Agenci AI zmniejszyli stos zdjęć siedemnastokrotnie. Każdą z 126 identyfikacji sprawdzali ludzie, a ilu przypadało na jedno dopasowanie, Interpol nie podaje. W Unii od 2 grudnia 2027 identyfikację z takiego systemu muszą potwierdzić co najmniej dwie osoby. Zwolnić z tego policję może tylko przepis unijny albo krajowy.