Marcatempo con riconoscimento facciale: come funziona e cosa controllare prima di sceglierne uno

Un marcatempo con riconoscimento facciale fa un solo lavoro: all’inizio del turno qualcuno si mette davanti a una fotocamera, il sistema capisce chi è e un orario finisce in un registro. Alla fine del turno, lo stesso.

L’idea è tutta qui. Le differenze tra i prodotti stanno in tutto il resto: dove avviene il confronto, cosa succede quando sbaglia, quanto costa a persona e chi finisce per custodire i dati dei volti del vostro team. Questa guida passa in rassegna tutto, così potete scegliere senza leggere quaranta pagine di prodotto.

Trasparenza: noi sviluppiamo FaceClock, un’app per le presenze con riconoscimento facciale per Android. Dirò dove funziona e dove no.

Prima di tutto, se siete in Italia: il Garante privacy è molto severo con la biometria usata solo per rilevare le presenze. Questa guida spiega come funzionano questi strumenti, ma non sostituisce quella verifica. I dettagli sono nel nostro articolo sulla normativa.

Come il riconoscimento facciale fa timbrare qualcuno

Ogni sistema sul mercato, dal terminale a muro da 400 dollari all’app per telefono, fa più o meno gli stessi quattro passi:

1. Rilevare. Trovare un volto nell’immagine della fotocamera e ritagliarlo. FaceClock usa un piccolo modello chiamato YuNet: 227 KB.
2. Codificare. Trasformare il volto ritagliato in un vettore: una lista di numeri che descrive quel volto. FaceClock usa SFace, che produce 128 numeri per volto.
3. Confrontare. Misurare quanto quel vettore è vicino ai vettori di ogni persona registrata.
4. Decidere. Se il più vicino è abbastanza vicino, sopra una soglia, è quella persona. Altrimenti non timbra nessuno.

Al passo 4 sta il compromesso. Con una soglia larga, il sistema ogni tanto timbra la persona sbagliata. Con una soglia stretta, ogni tanto fa riprovare la persona giusta. Per le buste paga, il secondo errore è quello economico. Un «riprova» costa tre secondi. Un turno a nome di un altro costa una discussione a fine mese. FaceClock è tarato sul lato stretto per questo.

Perché le aziende passano da badge, PIN e impronta al volto

Soprattutto per un motivo: timbrare per un collega. Un PIN si passa via messaggio. Un badge si presta. Un volto no, e ogni timbratura arriva con una foto di chi stava davanti alla fotocamera.

Gli altri motivi sono più piccoli, ma reali:

• Niente da perdere o dimenticare. Niente badge da sostituire, niente PIN da reimpostare il lunedì mattina.
• Niente da toccare. I lettori di impronte si sporcano in cucina e falliscono con la farina, la polvere di cantiere o la pelle secca d’inverno. Alla fotocamera non importa.
• Niente che si consumi. Un sensore di impronte è un componente che prima o poi muore. La fotocamera di un tablet durerà più del tablet.

Cosa perdete rispetto a un tastierino con PIN: i dati del volto sono dati biometrici, con i relativi obblighi di legge. Ne parliamo più sotto.

I tre tipi di marcatempo facciale

1. Terminali a muro

Una scatola con fotocamera e piccolo display avvitata al muro, spesso con lettore di badge e di impronte integrati. Marchi come ZKTeco o Anviz ne vendono molti.

• Punti forti: resistenza. Sono fatti per l’ingresso di una fabbrica. Molti funzionano offline e sincronizzano dopo.
• Punti deboli: tutto ciò che sta intorno all’hardware. La configurazione passa spesso da un programma Windows o da un portale cloud. Sostituirne uno rotto significa ordinare un modello preciso.
• Costo: l’hardware è di solito un acquisto una tantum da qualche centinaio di dollari in su, a volte con un abbonamento software a parte.

2. App in cloud con «modalità kiosk» su tablet

Un servizio di rilevazione presenze, spesso parte di un prodotto più ampio per turni o paghe, che trasforma un tablet in un punto di timbratura. Il confronto dei volti avviene di solito sui server del fornitore.

• Punti forti: la visione d’insieme. Cruscotti per più sedi, turni, integrazione con le paghe, avvisi sui ritardi.
• Punti deboli: funzionare senza internet, e la privacy. Immagini o vettori dei volti escono dal locale, quindi i dati biometrici del team finiscono a un terzo. Se il Wi-Fi cade il sabato sera, le timbrature possono restare in coda o fallire.
• Costo: un abbonamento mensile per utente. Di solito qualche dollaro a persona al mese, che per un team di 20 persone in qualche anno pesa.

3. App sul dispositivo

Un’app che rileva, codifica e confronta tutto sul telefono o sul tablet. Niente viene inviato da nessuna parte. FaceClock è una di queste.

• Punti forti: privacy, costo e funzionamento dove internet è scarso o assente: seminterrati, banchi del mercato, cantieri, officine in campagna.
• Punti deboli: tutto ciò che richiede a due dispositivi di parlarsi. Nessun cruscotto centrale per cinque sedi, niente avvisi in tempo reale, niente sincronizzazione diretta con le paghe. Esportate le ore e le portate dove servono.
• Costo: FaceClock è gratuito. L’unico hardware è un dispositivo Android che forse avete già in un cassetto.

Dove sbagliano i marcatempo facciali (tutti)

Diffiderei di qualsiasi fornitore che non ne parli.

Il controluce. Una fotocamera rivolta verso una porta a vetri alle 8 del mattino vede una sagoma. È la causa numero uno del «non mi riconosce». Montate il dispositivo con la luce dietro la fotocamera, non dietro la persona.

Grandi cambiamenti d’aspetto. Una barba folta cresciuta in un mese o occhiali nuovi con montatura spessa possono far scendere qualcuno sotto la soglia. Registrarsi di nuovo richiede un minuto.

Gemelli e fratelli molto somiglianti. Il riconoscimento facciale di uso comune può avere difficoltà con i gemelli identici. Se ne avete in squadra, date loro un altro modo di timbrare o controllate i loro turni tramite la foto.

Foto di volti. Mostrare la foto di un collega è l’attacco più ovvio. I terminali costosi aggiungono il rilevamento di vitalità (sensori a infrarossi o 3D) per impedirlo. FaceClock non esegue un modello anti-spoofing separato. Quello che fa è conservare una foto di ogni entrata e uscita, così chi scorre il registro dei turni vede subito uno schermo di telefono puntato verso la fotocamera. Per un bar da 10 persone di solito basta come deterrente. Per un cantiere con 300 subappaltatori serve il rilevamento di vitalità hardware.

La parte legale, in breve

Nell’UE i dati del volto usati per identificare le persone ricadono nell’art. 9 del GDPR. In Italia il Garante tende a considerare sproporzionata la biometria per le sole presenze. In Illinois la BIPA richiede un’autorizzazione firmata prima della prima scansione e consente ai dipendenti di chiedere da 1.000 a 5.000 dollari per violazione.

Altrove, il fattore più importante è se i dati biometrici lasciano il dispositivo. Se sì, avete un rapporto con un fornitore, trasferimenti di dati e un rischio di violazione da giustificare. Se no, gran parte di tutto ciò sparisce e restano informativa, consenso e conservazione, sotto il vostro controllo. Tutti i dettagli qui: presenze biometriche e la legge.

Checklist prima di scegliere

Portatela su qualsiasi pagina di prodotto, compresa la nostra.

1. Dove avviene il confronto? Sul dispositivo o su un server? Se la pagina non lo dice, date per scontato un server.
2. Funziona senza internet? Non «tiene in cache per un po’»: funziona, a tempo indeterminato.
3. Cosa conserva? Foto, vettori, entrambi? Per quanto tempo? La cancellazione è automatica?
4. Il personale può timbrare senza il proprio telefono? Chiedere a un aiuto cuoco di 19 anni di installare un’app per essere pagato crea un attrito inutile.
5. Cosa succede se qualcuno non viene riconosciuto? Nuovo tentativo, alternativa, conferma di un responsabile?
6. Un responsabile può modificare gli orari dopo? Alcuni titolari lo vogliono. Altri vogliono l’esatto contrario: un registro che nessuno possa ritoccare di nascosto. FaceClock è del secondo tipo: un turno registrato non si sposta, si aggiunge.
7. Come arrivano le ore alle paghe? CSV, PDF, integrazione diretta?
8. Quanto costa per il vostro organico in tre anni? Il prezzo per utente sembra piccolo finché non lo moltiplicate.
9. Che fine fanno i dati quando smettete di pagare? Con un prodotto in cloud, chiedete come esportarli e come li cancellano.
10. In Italia: la biometria è proporzionata per il vostro uso? Se serve solo alle presenze, la risposta del Garante tende al no.

Quando FaceClock va bene, e quando no

Va bene per una sede con un ingresso e tra 3 e 50 persone: un bar, un salone, uno studio dentistico, un’officina, un piccolo magazzino, la segreteria di una scuola, in un Paese dove la biometria per le presenze è ammessa. Si imposta così:

• Un dispositivo Android con versione 7.0 o successiva: va bene un vecchio telefono o un tablet economico.
• Montatelo all’ingresso all’altezza del viso, con la luce che cade sui volti e non alle loro spalle. Attivate «schermo sempre acceso» nelle impostazioni e tenetelo in carica.
• Nessuno va registrato prima. La prima volta che un volto sconosciuto tocca il pulsante, l’app chiede un nome e scatta una foto di riferimento. Da lì in poi quella persona tocca e guarda, basta.
• Un turno a cavallo della mezzanotte è un solo record. Se qualcuno dimentica di timbrare l’uscita, la timbratura successiva dopo la durata massima del turno (12 ore di default) apre un nuovo turno.
• Esportate un CSV o un PDF con le foto delle timbrature quando fate le paghe. I turni restano 90 giorni e poi si cancellano da soli, quindi esportate almeno una volta al mese.

Non va bene se vi servono più sedi in un unico cruscotto, il rilevamento di vitalità hardware, l’integrazione diretta con le paghe, un’interfaccia dell’app in una lingua diversa da inglese e russo, o se siete in Italia e l’unico scopo sono le presenze. In quei casi guardate i prodotti in cloud e i terminali descritti sopra, o un semplice badge, e confrontateli con la checklist.

Per vedere come funziona il resto della giornata, la rilevazione presenze in bar e ristoranti racconta dall’inizio alla fine un locale da 12 persone.