quali garanzie per i cittadini?

Il governo approva le regole per identificare le persone tramite telecamere: serve l’ok di un giudice, e il rastrellamento indiscriminato di immagini resta vietato.

Chi si preoccupa di come le forze dell’ordine possano usare l’intelligenza artificiale per riconoscere i volti delle persone in strada, o attraverso le telecamere già installate nelle città, oggi ha una risposta più precisa. Ci si chiede allora quali garanzie esistano per i cittadini nel riconoscimento facciale usato dalla polizia. Il Consiglio dei ministri, nella scorsa settimana, ha approvato in via definitiva due decreti legislativi che adeguano la normativa italiana al regolamento Ue 2024/1689 sull’intelligenza artificiale, in attuazione della legge n. 132/2025. Le nuove regole intervengono dopo un acceso confronto politico sui rischi legati ai diritti e alla privacy, introducendo garanzie precise sia per l’identificazione biometrica in tempo reale, sia per il riconoscimento facciale effettuato a posteriori attraverso i sistemi di videosorveglianza già esistenti.

Cosa prevedono i due articoli più discussi del decreto

Il decreto sull’attività di polizia e sulla responsabilità civile e penale ruota principalmente attorno a due disposizioni. L’articolo 8 disciplina l’identificazione biometrica in tempo reale in luoghi pubblici o aperti al pubblico. L’articolo 10riguarda invece i sistemi di videosorveglianza già installati, che potranno essere dotati di software di intelligenza artificiale capaci di attivare il riconoscimento facciale su immagini già registrate.

Per l’identificazione in tempo reale, il Governo ha stabilito che questa tecnologia venga ammessa soltanto in casi eccezionali, per periodi limitati, e previa autorizzazione dell’autorità giudiziaria, individuata nel procuratore capo della Repubblica. Resta invece vietata la costituzione di banche dati biometriche attraverso la raccolta massiva e non mirata di informazioni dal web, la pratica nota come scraping.

Per il riconoscimento facciale a posteriori, effettuato cioè sulle immagini già raccolte dai sistemi di videosorveglianza esistenti, sono stati definiti i requisiti minimi della banca dati di riferimento, con l’esplicitazione degli obblighi di cancellazione dei dati e delle garanzie di non incrementabilità delle informazioni utilizzate per il confronto biometrico. Anche in questo caso è previsto un controllo giudiziario, affidato al pubblico ministero.

Come funziona la richiesta per il riconoscimento in tempo reale

L’impiego dei sistemi di intelligenza artificiale per il riconoscimento in tempo reale deve essere richiesto da soggetti specifici e individuati dalla legge: il questore, i comandanti provinciali dei Carabinieri e della Guardia di Finanza, oppure i responsabili dei servizi centrali competenti. La richiesta va presentata al procuratore della Repubblica, e deve contenere elementi precisi: la finalità perseguita, la durata prevista dell’utilizzo e l’area territoriale interessata. Vanno inoltre indicate le persone interessate e ricercate, le banche dati di riferimento che verranno utilizzate, nonché i sistemi e le tecnologie impiegati concretamente.

Un questore che intende utilizzare il riconoscimento facciale in tempo reale durante un grande evento pubblico deve specificare fin dalla richiesta l’area esatta coperta dal sistema, la durata dell’operazione e le banche dati che verranno consultate per il confronto.

La domanda definisce così, fin dall’inizio, il perimetro entro cui la tecnologia potrà essere utilizzata. L’autorizzazione del procuratore della Repubblica può durare al massimo quindici giorni, con possibilità di proroga.

Come funziona invece l’identificazione a posteriori

Il riconoscimento facciale a posteriori di una persona indiziata di un reato, anche solo tentato, è sottoposto al controllo del pubblico ministero. In questo caso i tempi sono più stretti: gli ufficiali di polizia devono chiedere l’autorizzazione senza ritardo, e comunque entro ventiquattro ore dall’avvio del sistema. Il pubblico ministero, se ricorrono i presupposti, concede l’autorizzazione con decreto motivato nelle ventiquattro ore successive.

Se la richiesta o il decreto non arrivano entro questi termini, oppure se il via libera viene negato, l’uso della tecnologia deve cessare immediatamente. In questi casi, i dati personali, i risultati e gli output acquisiti o prodotti dal sistema vengono cancellati, salvo che costituiscano corpo del reato.

Perché la scelta è caduta sul procuratore capo, e non su un generico magistrato

Un aspetto rilevante riguarda l’identità dell’autorità chiamata ad autorizzare il riconoscimento in tempo reale: a dare il via libera sarà il procuratore capo, non un magistrato generico. La commissione Politiche Ue della Camera aveva chiesto al Governo di valutare proprio questa soluzione più generica, ma la scelta finale ha privilegiato un livello di responsabilità più definito e concentrato.

Per il riconoscimento a posteriori, utilizzato invece nell’ambito del contrasto ai reati, l’autorizzazione spetta al pubblico ministero, trattandosi di un procedimento già incardinato. Si tratta quindi di un doppio livello di controllo, affidato rispettivamente a pubblico ministero e procuratore capo, a seconda del tipo di identificazione richiesta. Come sottolineato dagli stessi promotori del provvedimento, non c’è nulla di automatico affidato all’intelligenza artificiale: l’impiego dei modelli di AI nelle attività di polizia dovrà restare sottoposto alla stretta sorveglianza umana. Resta inoltre vietato lo scraping non mirato, cioè il rastrellamento indiscriminato di immagini da banche dati e dal web.

Il punto più delicato: come funziona davvero l’identificazione in tempo reale

Il profilo più sensibile dell’intera disciplina resta l’identificazione biometrica in tempo reale, prevista dall’articolo 8: significa riconoscere una persona mentre viene ripresa in diretta, con tutte le implicazioni che questo comporta sul piano della privacy e del controllo sociale.

È proprio su questo punto che il Governo ha introdotto una prima garanzia sostanziale: la banca dati utilizzata per il confronto biometrico dovrà essere formata appositamente per ciascun utilizzo, e dovrà contenere soltanto i dati pertinenti a quello specifico impiego, da cancellare alla scadenza dell’autorizzazione concessa.

Cosa cambia per chi entra in un luogo sorvegliato

Un elemento significativo riguarda il trattamento riservato a chi semplicemente entra in un luogo o partecipa a un evento sottoposto a sorveglianza. Nella prima versione del provvedimento, il sistema elaborava immediatamente i dati biometrici di chiunque accedesse, archiviandoli in una banca dati locale, indipendentemente dal fatto che la persona fosse coinvolta o meno in un reato.

Ora questo passaggio viene spezzato in due fasi distinte. All’ingresso del luogo sorvegliato saranno registrate soltanto le immagini dei volti, senza alcuna elaborazione dei dati biometrici veri e propri. L’estrazione effettiva dei dati biometrici scatterà soltanto in un secondo momento: dopo l’eventuale commissione di un reato, e con l’attivazione specifica del sistema di riconoscimento.

Una persona che partecipa a un evento pubblico sorvegliato da telecamere vede la propria immagine semplicemente registrata all’ingresso, senza che i suoi dati biometrici vengano elaborati; solo se successivamente si verifica un reato, e viene attivata la procedura di riconoscimento con l’autorizzazione del pubblico ministero, quella stessa immagine potrà essere trasformata in un dato biometrico utilizzabile per le indagini.

È soltanto in questo momento successivo, e non prima, che l’immagine registrata potrà trasformarsi in un dato biometrico effettivamente utilizzabile dalle forze dell’ordine.

Il contesto europeo in cui si inserisce la riforma

Con queste novità, la politica italiana inserisce per la prima volta le tecnologie biometriche nel proprio sistema di law enforcement, pur ribadendo che l’uso dei modelli di intelligenza artificiale nelle attività di polizia dovrà restare sempre sottoposto alla sorveglianza umana. Il provvedimento si colloca all’interno di un più ampio progetto europeo di regolamentazione e coesione delle nuove tecnologie, siano esse legate alla sicurezza pubblica o all’autenticazione informatica dei cittadini.

L’Unione Europea sta infatti costruendo un ecosistema normativo in cui cybersicurezza, identità digitale e intelligenza artificiale non sono più materie separate tra loro. La direttiva NIS2, il Cyber Resilience Act, il Gdpr, l’AI Act e il regolamento eIDAS 2.0 delineano insieme un quadro che punta a rendere più sicure le infrastrutture digitali, consentendo allo stesso tempo ai cittadini di utilizzare un’identità digitale riconosciuta in tutta l’Unione: entro la fine di quest’anno, i 27 Stati membri dovranno rilasciare ai propri cittadini l’European digital identity wallet.

In Italia, questo percorso passa attraverso l’Agenzia per la cybersicurezza nazionale, lo Spid, la Carta d’identità elettronica e il recepimento della normativa NIS2, strumenti che insieme compongono l’infrastruttura digitale su cui si innesta anche la nuova disciplina sul riconoscimento biometrico nelle attività di polizia.