Inquadramento normativo dell’intelligenza artificiale e modalità di identificazione biometrica
L’integrazione delle tecnologie di riconoscimento facciale guidate dall’intelligenza artificiale nelle attività delle forze dell’ordine segna una svolta decisiva nelle politiche di sicurezza pubblica. In Italia, la disciplina legale e operativa è definita dallo schema di decreto legislativo redatto in attuazione della legge delega 132/2025, recependo il Regolamento Europeo sull’Intelligenza Artificiale (AI Act, Regolamento UE 2024/1689). Tale misura intende fornire agli apparati investigativi dispositivi avanzati di identificazione, introducendo contestualmente rigidi paletti per scongiurare forme di sorveglianza di massa e proteggere le libertà fondamentali. Il testo individua due differenti modalità d’impiego per i sistemi biometrici. La prima riguarda l’identificazione biometrica remota in tempo reale negli ambienti pubblici, regolamentata dall’articolo 8 dello schema di decreto. Questo meccanismo analizza istantaneamente i flussi video ripresi dagli impianti di videosorveglianza sul territorio, estraendo i profili biometrici delle persone rilevate per confrontarli immediatamente con elenchi prestabiliti di soggetti cercati, definiti watch-list. Considerata la marcata interferenza con la vita privata, l’uso in diretta è circoscritto a circostanze eccezionali, tra cui rientrano la ricerca mirata di vittime di reato, la prevenzione di minacce imminenti per l’incolumità pubblica o per la sicurezza nazionale, e il rintraccio di autori di reati di particolare gravità. Dal punto di vista procedurale, l’attivazione richiede l’autorizzazione preventiva del Procuratore della Repubblica presso il Tribunale del capoluogo di distretto; soltanto in contesti di estrema e comprovata urgenza il sistema può essere attivato previa comunicazione al pubblico ministero, il quale deve convalidare la misura entro le 12 ore successive. La seconda opzione concerne l’identificazione biometrica a posteriori o ex post, regolata dall’articolo 10. In questa fattispecie, l’algoritmo non lavora sulle immagini in diretta, ma esamina filmati e registrazioni già acquisite nelle attività investigative a seguito di un reato, consentendo di analizzare fotogrammi, estrarre dettagli somatici e risalire all’identità di indiziati o sospetti per mantenere una netta separazione tra il controllo preventivo del territorio e le indagini giudiziarie mirate.
Conservazione dei dati, tracciabilità delle operazioni e divieto di web scraping
La regolamentazione stabilisce criteri precisi sulla durata della conservazione dei dati e sulla tracciabilità delle operazioni svolte dagli operatori di polizia. Le registrazioni effettuate dagli impianti locali non possono essere conservate per un periodo superiore a sette giorni, decorso il quale devono essere cancellate, salvo il caso in cui siano state formalmente sottoposte a sequestro giudiziario per esigenze d’indagine. Per impedire accessi arbitrari o usi distorti, la norma impone la tenuta di registri informatici di accesso e di operazione, detti log. Tali registri devono essere immutabili e conservati per cinque anni, garantendo la possibilità di verificare ex post l’identità dell’operatore, le motivazioni dell’accesso e gli esiti generati dalla piattaforma. A integrazione delle norme processuali penali, viene introdotto l’articolo 359-ter del codice di procedura penale, che sancisce l’inutilizzabilità processuale e la cancellazione immediata dei dati biometrici acquisiti fuori dai casi consentiti dalla legge o in violazione delle tutele di riservatezza. La medesima disposizione impone il divieto tassativo di alimentare i database di riconoscimento facciale mediante web scraping indiscriminato, precludendo qualsiasi rastrellamento massivo e automatizzato di immagini da social network o piattaforme web affinché gli archivi biometrici non vengano creati con materiale raccolto senza il consenso o la consapevolezza dei cittadini.
Supervisione umana, il parere del Garante per la Protezione dei Dati Personali e i diritti fondamentali
L’impiego dell’intelligenza artificiale nei servizi di polizia rimane subordinato al principio della supervisione umana, noto come approccio human-in-the-loop. L’algoritmo biometrico non adotta mai decisioni autonome né applica provvedimenti limitativi della libertà personale, ma si limita a fornire un indice di correlazione statistica tra l’immagine rilevata e il profilo in banca dati. Spetta sempre a un operatore umano qualificato verificare visivamente l’effettiva corrispondenza delle fisionomie prima di disporre qualsiasi intervento sul campo. Sul quadro complessivo si è espresso il Garante per la Protezione dei Dati Personali con il parere emesso nel luglio 2026 (Provvedimento n. 531). L’Autorità ha confermato la coerenza dello schema di decreto con l’AI Act europeo, ma ha richiamato l’esigenza di integrare tutele specifiche su alcuni aspetti operativi. In particolare, il Garante ha sottolineato che il trattamento automatizzato dei dati biometrici non deve evolvere in forme di controllo generalizzato o di profilazione di massa delle persone che frequentano luoghi pubblici, eventi politici o manifestazioni sportive. L’Autorità ha raccomandato di definire con precisione le responsabilità nelle fasi di sperimentazione tecnologica, di chiarire il ruolo della validazione umana e di garantire l’elevata qualità e accuratezza dei database biometrici, azzerando il rischio di scambi di persona dovuti a distorsioni o errori algoritmici. La disciplina cerca così di bilanciare l’efficienza investigativa nella ricerca di latitanti, nell’individuazione dei responsabili di reati complessi e nella prevenzione di minacce imminenti con il rispetto dei principi di proporzionalità, pertinenza e stretta necessità, a garanzia della riservatezza, della libertà di circolazione e della libertà di riunione.
A cura della redazione
Leggi anche: Organi di ricambio e cloni: inizia l’era della post-umanità