Il riconoscimento facciale è tornato improvvisamente al centro dello scontro politico dopo l’accelerazione impressa dal governo al decreto che deve regolare l’impiego dell’intelligenza artificiale da parte delle forze di polizia.
Il 29 luglio la commissione Politiche dell’Unione europea del Senato ha approvato il proprio parere sul testo. Il giorno successivo, però, l’iter ha incontrato una prima frenata: la commissione Affari europei della Camera ha rinviato il voto, mentre da Bruxelles è arrivato un richiamo sui divieti contenuti nell’AI Act. Anche nella maggioranza sono emerse richieste di maggiori garanzie, soprattutto da parte di Forza Italia.
Non si tratta ancora di una legge approvata e non è stata avviata alcuna procedura europea contro l’Italia. Parliamo di uno schema normativo ancora modificabile, ma il confronto ha aperto una questione molto concreta: fino a che punto lo Stato può identificare automaticamente le persone che attraversano una piazza, una stazione, uno stadio o partecipano a una manifestazione?
Da dove nasce il caso
Il provvedimento è l’Atto del Governo n. 418, trasmesso alle Camere il 24 giugno 2026 per adeguare la normativa italiana al Regolamento europeo sull’intelligenza artificiale. Il decreto non si occupa soltanto di riconoscimento facciale. Definisce il sistema nazionale di controllo dell’IA e disciplina il suo utilizzo nelle attività di polizia, nei procedimenti penali e in altri settori sensibili. Sono però gli articoli dedicati ai dati biometrici ad avere provocato lo scontro più duro.
I divieti sulle pratiche di IA considerate inaccettabili, compresi quelli relativi ad alcune forme di identificazione biometrica, sono applicabili dal 2 febbraio 2025. Il 2 agosto 2026 entrerà inoltre in vigore un’altra parte rilevante degli obblighi previsti dall’AI Act.
Perché è intervenuta Bruxelles
Il portavoce della Commissione europea Thomas Regnier ha ricordato che il riconoscimento facciale in tempo reale negli spazi pubblicamente accessibili è, come regola generale, vietato dall’AI Act.
“Non vogliamo che con l’intelligenza artificiale ci sia un controllo pubblico su dove noi e voi ci spostiamo quotidianamente”, ha spiegato il portavoce, precisando però di non disporre di tutti gli elementi per giudicare il caso italiano. Bruxelles non ha quindi bocciato formalmente il decreto, ma ha indicato il confine entro il quale dovrà restare.
Palazzo Chigi ha replicato assicurando che l’Italia continuerà a rispettare la normativa europea, le garanzie costituzionali e i diritti di libertà. Il governo sostiene che il testo non introduca una sorveglianza indiscriminata, ma disciplini strumenti utilizzabili contro il terrorismo, la criminalità grave e per la ricerca di persone scomparse.
Di che cosa parliamo
Una normale telecamera registra immagini. Un sistema di riconoscimento facciale compie un passaggio ulteriore: individua il volto, ne analizza determinate caratteristiche e le trasforma in un modello matematico, il cosiddetto template biometrico.
Quel modello viene poi confrontato con le immagini presenti in una banca dati. Il software non si limita quindi a mostrare una persona: prova a stabilire chi sia.
La distinzione è essenziale perché il volto diventa un dato identificativo permanente. Una password compromessa può essere modificata; i tratti biometrici di una persona non possono essere sostituiti con la stessa facilità.
Tempo reale e analisi a posteriori: due strumenti differenti
Il decreto italiano distingue due modalità.
- L’identificazione biometrica in tempo reale avviene mentre le persone si trovano in uno spazio pubblico. Le telecamere riprendono una folla e il sistema confronta immediatamente i volti con quelli delle persone ricercate.
- Il riconoscimento a posteriori viene invece effettuato su immagini già registrate, per esempio dopo una rapina, un attentato o un altro reato. In questo caso il software dovrebbe essere utilizzato nell’ambito di un’indagine, per cercare un soggetto già individuato attraverso altri elementi.
Quando l’AI Act consente il riconoscimento in tempo reale
L’Unione europea non vieta il riconoscimento facciale in modo assoluto. Lo consente però soltanto in circostanze eccezionali: per cercare vittime di sequestro, tratta o sfruttamento, ritrovare persone scomparse, prevenire un attentato o una minaccia concreta alla vita e individuare sospettati di determinati reati particolarmente gravi.
Ogni operazione deve essere limitata nel tempo, nell’area geografica e alle persone effettivamente ricercate. L’utilizzo deve inoltre essere necessario e proporzionato e, salvo urgenze rigorosamente motivate, autorizzato preventivamente da un giudice o da un’autorità indipendente.
Il principio dell’AI Act è dunque la ricerca mirata. Non è consentito controllare biometricamente un’intera folla senza avere stabilito chi si cerca, per quale ragione e durante quale periodo.
Che cosa prevede il decreto italiano per le emergenze
Lo schema italiano riprende le eccezioni previste dall’AI Act. Il riconoscimento in tempo reale potrebbe essere attivato per uno specifico evento, in un’area delimitata e per un periodo massimo di 15 giorni, prorogabile in presenza dei presupposti previsti.
Il punto più discusso è la procedura d’urgenza. Di fronte a una minaccia immediata, le forze di polizia potrebbero iniziare a utilizzare il sistema dopo una comunicazione al pubblico ministero, anche orale. La richiesta formale dovrebbe essere presentata entro 24 ore e l’autorità giudiziaria dovrebbe decidere nelle 24 ore successive.
Per i critici, un controllo formalizzato soltanto dopo l’attivazione rischia di indebolire la garanzia giudiziaria. Il governo ritiene invece che attendere l’autorizzazione scritta possa essere incompatibile con la necessità di fermare un attentato o ritrovare rapidamente una persona in pericolo.
Il problema principale: i dati conservati per sette giorni
La controversia più ampia riguarda però il riconoscimento a posteriori e la possibilità di conservare per sette giorni i dati biometrici raccolti in luoghi considerati sensibili.
Il governo sostiene che il limite temporale sia analogo a quello già applicato a determinate registrazioni video. Le opposizioni e diversi esperti osservano invece che conservare un filmato non equivale a estrarre preventivamente i tratti biometrici di tutte le persone riprese.
La norma potrebbe interessare stadi, piazze, cortei, stazioni ed eventi pubblici sottoposti a particolari misure di sicurezza. Se durante i sette giorni venisse commesso un reato, i dati potrebbero essere utilizzati per le indagini; in caso contrario, dovrebbero essere cancellati.
Il timore è che migliaia di cittadini non sospettati entrino, anche soltanto temporaneamente, in un archivio biometrico perché presenti nel luogo e nel momento monitorati.
Il Garante: sì al decreto, ma no alla raccolta generalizzata
Il Garante per la protezione dei dati personali ha espresso un parere complessivamente favorevole sul decreto, chiedendo però correzioni sostanziali.
Secondo l’Autorità, il trattamento automatizzato e generalizzato dei dati biometrici di tutte le persone che accedono a un luogo o a un evento pubblico non è coerente con l’AI Act. L’elaborazione dovrebbe avvenire esclusivamente su registrazioni già acquisite, dopo la nascita di una specifica esigenza investigativa e per una ricerca mirata.
Il Garante ha chiesto anche garanzie più solide sulla qualità delle banche dati, sulla supervisione umana e sull’esclusione di archivi ottenuti raccogliendo indiscriminatamente fotografie da internet o dai sistemi di videosorveglianza.
Che cosa vieta l’Unione europea
L’AI Act vieta la sorveglianza biometrica in tempo reale negli spazi pubblici per finalità di polizia, salvo le limitate eccezioni previste. Sono vietati anche la creazione o l’ampliamento di banche dati facciali attraverso la raccolta indiscriminata di immagini da internet o dalle telecamere, alcune forme di polizia predittiva fondate esclusivamente sulla profilazione e la categorizzazione biometrica utilizzata per dedurre opinioni politiche, religione o orientamento sessuale.
Il riconoscimento a posteriori non è invece proibito in assoluto, ma deve rispettare necessità, proporzionalità, finalità specifica e controllo dell’autorità competente.
La divisione politica italiana
Il caso ha aperto una frattura non soltanto tra maggioranza e opposizioni. Partito democratico, Movimento 5 Stelle, Alleanza Verdi e Sinistra, Più Europa e Italia Viva hanno accusato il governo di voler introdurre una forma di sorveglianza biometrica di massa.
Anche Forza Italia, pur non opponendosi all’utilizzo della tecnologia, ha chiesto più garanzie sulle banche dati, un maggiore controllo umano e un ruolo più forte del giudice. Queste osservazioni hanno contribuito al rinvio del voto nella commissione Affari europei della Camera. Le altre commissioni competenti hanno invece proseguito l’esame, approvando pareri favorevoli accompagnati da diversi correttivi.
Cosa succede adesso
Il rinvio alla Camera non comporta il ritiro del decreto. Dopo i pareri parlamentari, il testo tornerà al governo, che potrà modificarlo prima dell’approvazione definitiva.
Il confronto con Bruxelles non si è quindi concluso con una bocciatura, ma ha costretto il governo a chiarire il confine tra uno strumento investigativo mirato e un sistema capace di trasformare ogni persona presente in uno spazio pubblico in un dato biometrico temporaneamente disponibile per lo Stato.