Da mesma forma que pessoas que não usam 2FA acessam sites que exigem 2FA - elas não acessam.
Não que isso seja uma preocupação real, já que Chrome, Safari, Windows, iPhones, Android, Yubi, etc., são alternativas aos gerenciadores de senhas (que você já deveria estar usando em 2024, independentemente) e todos funcionam com chaves de acesso.
Eu também não estava sugerindo forçar todos os usuários a não terem senha (embora eu esteja de acordo com isso), mas se VOCÊ, o usuário da chave de acesso, não consegue desativar sua senha, a chave de acesso serve a um propósito muito menor e você ainda é completamente passível de phishing.