商业公司未经授权采集人脸是违法的。

具体来说，根据相关法律法规，商业公司在采集消费者人脸信息时，必须遵循合法、正当、必要的原则，并且需要明示收集、使用信息的目的、方式和范围，同时经过消费者同意。这一规定在《消费者权益保护法》以及《信息安全技术个人信息安全规范》中都有明确体现。此外，2021年实施的《个人信息保护法》也进一步强调了个人信息的保护，并规定在公共场所安装图像采集、个人身份识别设备时，应当为维护公共安全所必需，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的，除非取得个人单独同意。

从实际案例来看，上海小鹏汽车销售服务有限公司因非法采集上传人脸照片超43万张，被上海市徐汇区市场监督管理局处以10万元罚款。这一案例也佐证了商业公司未经授权采集人脸信息的违法性。

因此，商业公司在采集人脸信息时，必须严格遵守相关法律法规，确保合法、合规地进行信息采集。如果消费者发现自己的人脸信息被非法采集或使用，可以向相关部门进行投诉或举报，以维护自己的合法权益。