Wereldwijd worden leeftijdscontroles steeds vaker verplicht gesteld door wetgeving. De vraag is niet langer of platforms de leeftijd verifiëren, maar wat er gebeurt met de verzamelde gezichtsgegevens en of het verzamelen daarvan wel noodzakelijk is. Meer dan dertig wetten voor leeftijdsverificatie zijn inmiddels van kracht, waaronder het Britse Online Safety Act dat vanaf 2027 beperkingen oplegt voor onder 16-jarigen op sociale media. Ook Australië en Brazilië hebben recent soortgelijke regels ingevoerd, terwijl in de Verenigde Staten inmiddels de helft van de staten een vorm van leeftijdsverificatie verplicht stelt.

Gezichtsherkenning voor leeftijdsschatting is een van de meest toegankelijke methoden om aan deze eisen te voldoen. Deze techniek vereist geen overheidsidentificatie of databasecontrole, wat het geschikt maakt voor gebruikers zonder officiële documenten. Uit gegevens van Incode blijkt dat gebruikers in gereguleerde markten deze methode acht van de tien keer verkiezen boven andere verificatiemethoden. Toch roept het delen van gezichtsdata privacyzorgen op, aangezien de meeste systemen het gezicht vastleggen en naar een server sturen voor verwerking.

Servergebaseerde leeftijdsschatting brengt risico's met zich mee. Volgens het Identity Theft Resource Center's 2025 Annual Data Breach Report steeg het aantal datalekken in de VS tot een recordhoogte van 3.322 in 2025, een toename van 79 procent in vijf jaar. Supply-chain aanvallen zijn zelfs verdubbeld. Tegelijkertijd maken consumenten zich steeds meer zorgen over biometrische data, waarbij 63 procent ernstige bezorgdheid uit. Daarnaast neemt het aantal fraudeaanvallen met behulp van AI, ook wel agentic fraud genoemd, snel toe. Incode registreerde dat dit type fraude in 2024 nog 3 procent van de pogingen uitmaakte, maar in het eerste kwartaal van 2026 al 40 procent en verwacht dat dit binnen anderhalf jaar boven de 90 procent zal liggen.

Een nieuwe aanpak is leeftijdsschatting die volledig op het apparaat van de gebruiker plaatsvindt, zonder dat het gezicht wordt verzonden of opgeslagen. Dit On-Device Age Estimation maakt het mogelijk om aan wereldwijde leeftijdsverificatie-eisen te voldoen zonder dat biometrische gegevens het apparaat verlaten. Dit principe van privacy by architecture voorkomt dat gevoelige data toegankelijk wordt voor derden, in tegenstelling tot privacy policies die slechts beloven zorgvuldig met data om te gaan maar geen technische bescherming bieden tegen datalekken of insider threats.

Onlangs kondigde Incode Technologies een investering van 100 miljoen dollar aan om privacybeschermende identiteitsinfrastructuur verder te ontwikkelen. Dit bedrag wordt onder meer ingezet voor het verbeteren van on-device verwerkingsmogelijkheden en onderzoek naar privacyversterkende technologieën, mede door de overname van Identiq, een specialist in cryptografische oplossingen voor fraudebestrijding.