Не претендую на правильность своего ответа, да и полноценно обосновать вряд ли смогу. Но просто приведу пример ситуации, в которой было бы нежелательно сразу срабатывание Touch ID: представьте, что вы сидите на стуле будучи связанным. Злоумышленник хочет получить данные с вашего телефона, прикладывает ваш палец и получает их. В случае же с код-паролем, ему необходимо сначала выбить комбинацию из вас, прежде чем что-то сделать:)
Думаю, с Face ID похожая ситуация