L’IA al servizio delle forze dell’ordine: svolta o rischio?
Un’analisi approfondita sulle nuove norme relative al riconoscimento facciale in Italia, tra esigenze investigative e difesa dei diritti personali
L’introduzione di strumenti di riconoscimento facciale guidati dall’intelligenza artificiale rappresenta un passaggio cruciale per l’evoluzione delle strategie di sicurezza pubblica in Italia. L’adeguamento della legislazione nazionale al Regolamento UE 2024/1689 (noto come AI Act), realizzato tramite lo schema di decreto legislativo di attuazione della legge delega 132/2025, fissa la struttura normativa e operativa che disciplina l’uso di tali tecnologie. La misura intende fornire agli apparati investigativi e di polizia dispositivi avanzati per l’identificazione, definendo al contempo precise tutele per impedire derive verso la sorveglianza di massa e proteggere le libertà fondamentali.
Uso in tempo reale e analisi ex post nei riscontri biometrici
La cornice normativa definisce due distinte modalità di utilizzo delle tecnologie biometriche, differenziate per funzionamento e livello di invasività. La prima opzione riguarda l’identificazione biometrica remota in tempo reale in spazi pubblici, disciplinata dall’articolo 8 dello schema di decreto. Questo sistema elabora all’istante le immagini catturate dalle videocamere di sorveglianza territoriali, ricavando i modelli biometrici dei passanti per confrontarli immediatamente con le watch-list degli individui ricercati. Considerata la marcata ingerenza nella riservatezza dei cittadini, l’attivazione in tempo reale è circoscritta a contesti eccezionali: il rintraccio mirato di vittime di reato, la prevenzione di pericoli imminenti per l’incolumità pubblica o per la sicurezza nazionale, e l’individuazione dei responsabili di illeciti particolarmente gravi. Sotto l’aspetto procedurale, serve l’autorizzazione preventiva del Procuratore della Repubblica presso il Tribunale del capoluogo di distretto; soltanto nei casi di comprovata ed estrema urgenza l’avvio può avvenire previa informazione al pubblico ministero, il quale deve convalidare il provvedimento entro le dodici ore successive. La seconda modalità riguarda l’identificazione biometrica ex post, regolata dall’articolo 10. In questa ipotesi, l’algoritmo non lavora sulle riprese in diretta, ma analizza filmati già acquisiti nell’ambito di indagini giudiarie a seguito di un reato, mantenendo una netta separazione tra la prevenzione sul territorio e le investigazioni mirate sugli indiziati.
Tempi di conservazione, tracciabilità dei log e divieto di web scraping
Un elemento fondamentale della disciplina attiene ai tempi di conservazione dei dati e alla tracciabilità dei controlli effettuati. I filmati registrati dagli impianti locali possono essere mantenuti per un periodo massimo di sette giorni, terminato il quale devono essere eliminati, a meno che non siano stati sottoposti a sequestro giudiziario per motivazioni investigative. Per prevenire usi impropri o accessi arbitrari, viene disposto l’obbligo di tenuta dei registri informatici di accesso e operazione, i cosiddetti log. Tali registri devono essere inalterabili e conservati per cinque anni, così da permettere verifiche successive sull’identità dell’operatore, sui motivi della ricerca e sui risultati ottenuti. In aggiunta, viene introdotto l’articolo 359-ter del codice di procedura penale, che sancisce l’inutilizzabilità procedurale e la cancellazione immediata dei dati biometrici raccolti al di fuori dei casi consentiti o in violazione delle tutele di riservatezza. La norma vieta inoltre in modo tassativo l’alimentazione dei database di riconoscimento facciale tramite web scraping indiscriminato, impedendo la raccolta massiva e automatizzata di immagini da social network o siti web senza la consapevolezza o il consenso dei cittadini.
Supervisione umana e rilievi formulati dal Garante per la Protezione dei Dati Personali
L’impiego dei sistemi tecnologici resta vincolato alla presenza della sorveglianza umana, secondo il principio del human-in-the-loop. L’algoritmo biometrico non assume decisioni autonome né adotta provvedimenti restrittivi della libertà, ma si limita a fornire un valore di correlazione statistica tra l’immagine rilevata e i dati in archivio; spetta sempre a un operatore umano qualificato eseguire il controllo visivo prima di disporre interventi sul campo. Nel luglio 2026, il Garante per la Protezione dei Dati Personali ha espresso il proprio parere con il Provvedimento n. 531, confermando la compatibilità dello schema con l’AI Act europeo ma sollecitando ulteriori garanzie. L’Autorità ha evidenziato che l’elaborazione automatizzata dei dati biometrici non deve trasformarsi in un controllo generalizzato o nella profilazione di massa delle persone presenti in luoghi pubblici, manifestazioni sportive o eventi politici. È stata inoltre raccomandata una precisa perimetrazione delle responsabilità nelle fasi di test, il chiarimento del ruolo della validazione umana e l’elevata accuratezza dei database per azzerare il rischio di errori di persona dovuti a distorsioni algoritmiche. Il testo mira a bilanciare l’efficienza investigativa con la tutela di riservatezza, libertà di circolazione e di riunione, nel rispetto dei principi di proporzionalità, pertinenza e stretta necessità per preservare la fiducia tra cittadini e istituzioni nello spazio pubblico.
A cura della redazione
Leggi anche: Biotecnologie estreme: quanto manca all’immortalità?
