Il 29 luglio il Consiglio dei ministri ha dato via libera al decreto legislativo che recepisce in Italia l'AI Act europeo, e la parte piu' controversa riguarda il riconoscimento facciale in mano alle forze di polizia: nei luoghi ritenuti sensibili per l'ordine pubblico – piazze, stadi, cortei, stazioni – i sistemi di videosorveglianza potranno registrare i dati biometrici delle persone e conservarli fino a sette giorni, per trasformarli in materiale d'indagine se in quell'intervallo viene commesso un reato. Le opposizioni hanno reagito con durezza, parlando di un "blitz" estivo e di "profilazione di massa"; il Garante per la protezione dei dati personali, pur giudicando il testo nel complesso coerente con il regolamento europeo, ha chiesto integrazioni non secondarie.
Cosa prevede il decreto e per quali luoghi
Il provvedimento attua la legge delega n. 132 del 2025, con cui il Parlamento aveva incaricato il governo di adeguare l'ordinamento italiano all'AI Act. Il cuore della norma introduce la possibilita' di trattamento automatizzato dei dati biometrici in aree aperte al pubblico considerate a rischio: gli impianti di ripresa potranno acquisire e memorizzare per un massimo di sette giorni le informazioni relative a chi accede o transita in quei luoghi. Trascorso il termine senza che sia emersa una notizia di reato, i dati – secondo l'impianto del decreto – vanno cancellati. L'obiettivo dichiarato dal governo e' dotare gli inquirenti di uno strumento retroattivo: se durante un evento avviene un fatto penalmente rilevante, le immagini gia' elaborate diventano una banca dati su cui lavorare.
Le tre integrazioni chieste dal Garante privacy
Nel suo parere il Garante – come riportato da Sky TG24 e dalle agenzie – non boccia l'impianto, ma individua profili da rafforzare. Chiede in primo luogo una supervisione umana piu' solida sulle decisioni assunte con l'ausilio dei sistemi di intelligenza artificiale, per evitare automatismi non controllati. In secondo luogo pretende garanzie sulla qualita' delle banche dati biometriche di raffronto, il cui grado di accuratezza incide direttamente sul rischio di falsi riscontri. Infine domanda di essere coinvolto nelle sperimentazioni che comportano il trattamento di dati personali, in modo da esercitare un controllo preventivo e non solo successivo.
Il rilievo piu' delicato riguarda pero' la natura stessa della raccolta. L'Autorita' osserva che il trattamento generalizzato e automatizzato delle informazioni su tutte le persone presenti a un evento o in un'area pubblica non collima con l'impostazione dell'AI Act: il regolamento europeo, nella sua architettura, ammette l'identificazione biometrica in spazi accessibili al pubblico solo entro condizioni tassative e, di regola, in relazione a un reato gia' commesso, non attraverso raccolte preventive e di massa.
AI Act: cosa dice davvero Bruxelles sul volto in pubblico
Il regolamento europeo classifica l'identificazione biometrica remota in tempo reale negli spazi pubblici come pratica ad altissimo rischio, vietata salvo eccezioni ristrette e autorizzate (ricerca di vittime, minaccia terroristica imminente, individuazione di autori di reati gravi). Anche l'uso "a posteriori" e' sottoposto a paletti stringenti e a garanzie procedurali. E' su questo crinale che si gioca la partita italiana: la conservazione a tappeto per sette giorni, in assenza di un reato gia' emerso, e' proprio cio' che il Garante segnala come potenzialmente disallineato rispetto alla ratio europea. Non a caso associazioni per i diritti digitali chiedono da tempo un divieto netto della sorveglianza biometrica di massa, tema su cui in Europa si e' molto discusso durante l'iter dell'AI Act.
Come funziona l'identificazione biometrica a posteriori
Sul piano tecnico, il sistema previsto non e' un riconoscimento in tempo reale che punta il dito su una persona mentre cammina, ma un'analisi differita. Le telecamere estraggono da ogni volto ripreso un "template" biometrico, cioe' una rappresentazione numerica dei tratti facciali; questi vettori vengono conservati e, in caso di reato, confrontati con banche dati di riferimento per restringere il campo dei sospetti. La differenza tra le due modalita' – live e a posteriori – e' giuridicamente cruciale, perche' l'AI Act le tratta in modo diverso, con soglie di garanzia piu' o meno alte. Il nodo sollevato dal Garante e' che qui la raccolta e' comunque generalizzata: non si parte da un sospetto, ma si registra tutto, e solo dopo si decide se e come usare i dati. E' proprio questa inversione – prima si accumula, poi si valuta – a far discutere i giuristi, perche' incide sul principio di minimizzazione che sta al centro della normativa europea sulla protezione dei dati.
C'e' poi il tema, non banale, dell'accuratezza. Numerosi studi indipendenti hanno mostrato che i tassi di errore dei sistemi di riconoscimento facciale non sono uniformi: tendono a essere piu' alti su alcune categorie demografiche, con il rischio di falsi riscontri che possono trasformare un cittadino innocente in un sospettato. E' anche per questo che il Garante insiste sulla qualita' delle banche dati e sulla supervisione umana: un algoritmo che sbaglia, in un contesto di indagine penale, produce conseguenze reali sulle persone.
Lo scontro politico e cosa succede adesso
Sul piano politico la reazione e' stata immediata. Partito democratico e Movimento 5 Stelle, come documentato dall'ANSA, hanno denunciato un'accelerazione priva di adeguato confronto parlamentare e paventato il rischio di una sorveglianza sempre piu' pervasiva, evocando lo spettro del "Grande Fratello". La maggioranza replica che si tratta di uno strumento circoscritto a luoghi e finalita' precise, con un limite temporale netto, e che serve a colmare un vuoto proprio mentre l'Europa impone nuove regole.
Il decreto e' ora atteso al vaglio delle Camere per i pareri delle commissioni, passaggio in cui potrebbero essere recepite almeno in parte le richieste del Garante. La posta in gioco va oltre il singolo provvedimento: definisce il modo in cui l'Italia interpreta, in concreto, il confine tra sicurezza e diritti fondamentali nell'era dei sistemi biometrici. Ed e' un banco di prova nazionale dell'AI Act, il cui nucleo sui sistemi ad alto rischio entra progressivamente in vigore proprio in questi mesi.
