Il provvedimento con cui il Governo intende adeguare l’ordinamento interno al Regolamento (UE) 2024/1689 — l’AI Act — sta percorrendo le commissioni parlamentari con tempi serrati. In sede di Commissione Politiche europee del Senato la maggioranza ha impresso una netta accelerazione all’esame, mentre alla Camera le commissioni Giustizia e Affari costituzionali sono chiamate a rendere i propri pareri. Trattandosi di decreto legislativo, il ruolo delle Camere si esaurisce in un parere privo di efficacia vincolante: circostanza che, sul piano del metodo, sta alimentando le contestazioni di chi avrebbe preferito la via della legge ordinaria, con voto e potere emendativo pieni.
Il cuore della disciplina riguarda l’impiego, da parte delle forze di polizia, di sistemi di intelligenza artificiale applicati al riconoscimento facciale. Due disposizioni concentrano su di sé le critiche di giuristi e opposizioni.
Le due norme sotto osservazione
La prima è l’articolo 8, dedicato all’identificazione biometrica remota in tempo reale nei luoghi pubblici. La seconda è l’articolo 10, che regola invece l’uso a posteriori delle tecnologie di riconoscimento facciale, ammesso soltanto a seguito della commissione di un reato, anche nella forma del tentativo. È in questa seconda ipotesi che si colloca il meccanismo più discusso: nei contesti sensibili sotto il profilo dell’ordine pubblico — una piazza destinata a una manifestazione, il percorso di un corteo, uno stadio, una stazione — i dati biometrici di chiunque venga ripreso da una telecamera possono essere conservati per sette giorni, per poi essere messi a disposizione degli inquirenti in caso di reato o, in mancanza, cancellati. In presenza di un’indagine, la finestra di recuperabilità si estende fino a cinque anni.
Il punto qualificante, e più controverso, è che l’attivazione riguarda la generalità dei presenti in quel luogo, non un soggetto già individuato. È la distanza tra uno strumento investigativo mirato e una raccolta a carattere indifferenziato che segna il crinale su cui si gioca la partita giuridica.
Il nodo dell’autorità terza
Il profilo più delicato in chiave di compatibilità europea è quello dell’autorizzazione. Lo schema consente, nei casi di urgenza, di attivare il trattamento dei dati biometrici raccolti in tempo reale sulla base di una comunicazione al pubblico ministero resa anche in forma orale, con successiva regolarizzazione. Manca, cioè, il vaglio preventivo di un giudice terzo.
L’AI Act muove da un presupposto opposto. L’articolo 5 del Regolamento vieta in via generale l’uso di sistemi di identificazione biometrica remota “in tempo reale” negli spazi accessibili al pubblico, ammettendone l’impiego solo entro eccezioni tassative: la ricerca mirata di vittime di sottrazione, tratta o sfruttamento sessuale e di persone scomparse, oppure la prevenzione di una minaccia specifica e imminente per la vita o l’incolumità delle persone, o ancora la neutralizzazione di un pericolo concreto e attuale di attentato terroristico. Anche in queste ipotesi, il ricorso allo strumento resta subordinato a un’autorizzazione preventiva, rilasciata da un’autorità giudiziaria o da un’autorità amministrativa indipendente, la cui decisione è vincolante; nelle situazioni di urgenza è ammessa una convalida successiva, ma pur sempre da parte di un’autorità terza. Un pubblico ministero, nell’impianto europeo, non soddisfa questo requisito di terzietà.
Analoghe perplessità investono l’uso a posteriori delle registrazioni: il Regolamento lo àncora a un reato già commesso e punito con pena detentiva non inferiore a quattro anni, escludendo logiche di tipo preventivo. La conservazione dei dati per sette giorni, infine, apre un ulteriore fronte sotto il profilo della protezione dei dati personali.
Il richiamo del Garante
Sul provvedimento si è già espresso il Garante per la protezione dei dati personali, con il parere adottato il 14 luglio 2026 (Registro dei provvedimenti n. 531). L’Autorità riconosce la coerenza complessiva dell’intervento con l’AI Act, ma domanda integrazioni tutt’altro che marginali. Il trattamento automatizzato e generalizzato dei dati biometrici delle persone che accedono a luoghi o eventi pubblici — è l’indicazione — non è compatibile con il quadro europeo: l’identificazione biometrica può avvenire soltanto ex post, sulle registrazioni già acquisite e nell’ambito di ricerche mirate collegate a una specifica esigenza investigativa. Di qui la richiesta di chiarire il ruolo della supervisione umana, di evitare raccolte massive e preventive di dati biometrici e di limitare l’operatività alle banche dati già lecitamente in uso alle forze di polizia. Restano fermi i principi di proporzionalità, non discriminazione e trasparenza, così come l’inutilizzabilità e la cancellazione dei risultati ottenuti al di fuori dei casi consentiti.
Le garanzie processuali e il ruolo della difesa
Sul versante delle tutele, va ricordato che l’ordinamento interno non è privo di anticorpi. Le forze di polizia dispongono da tempo di strumenti di identificazione tecnologica — dalle impronte digitali alle banche dati del DNA — e la biometria non incontra, in linea di principio, preclusioni assolute, purché entro limiti definiti. Il sistema processuale consente inoltre alla difesa di contestare, sin dalle prime fasi dell’indagine, l’attendibilità e la validità del riconoscimento. È la presenza di un controllo giudiziale effettivo — e non l’assenza di sorveglianza — a distinguere gli ordinamenti democratici da quelli autoritari: un argomento che parte della dottrina oppone alle letture più allarmate, pur senza sciogliere i dubbi sul disegno concreto delle norme.
La verifica europea
La sequenza procedurale imporrà comunque un passaggio a Bruxelles. Una volta adottate, le regole nazionali dovranno essere notificate alla Commissione europea entro trenta giorni: il che sposta a settembre il momento della verifica di compatibilità con il diritto dell’Unione. I primi segnali informali provenienti dalle istituzioni comunitarie non lasciano presagire un esame agevole, proprio a partire dai profili dell’autorizzazione e della conservazione dei dati.
Che cosa attendersi
La vicenda condensa una tensione strutturale del diritto dell’intelligenza artificiale: la ricerca di un equilibrio tra esigenze di sicurezza e tutela dei diritti fondamentali, con la biometria collocata dal GDPR e dall’AI Act nella categoria dei trattamenti a più alto rischio. Il testo, nella sua versione attuale, sconta almeno tre punti di attrito con la cornice europea — l’autorità competente ad autorizzare, la natura preventiva o successiva del controllo, i tempi di conservazione — che i pareri parlamentari e le richieste del Garante puntano a correggere. Molto dipenderà dai correttivi che il Governo vorrà recepire prima dell’adozione definitiva. In assenza di interventi, il confronto rischia di spostarsi dal piano interno a quello sovranazionale, dove l’ultima parola sulla compatibilità spetterà alla Commissione.
Resta aggiornato
Segui Servicematica sui social
Notizie, aggiornamenti e interruzioni, ogni giorno nel tuo feed.
