Immaginate di entrare a un concerto. Partiamo da una scena che quasi tutti abbiamo vissuto. Arrivate al palazzetto, biglietto nominativo sul telefono, coda, tornello. Sopra il tornello c’è una telecamera. Fin qui, ordinaria amministrazione: le telecamere negli impianti sportivi e nei grandi eventi ci sono da anni, sono autorizzate da norme specifiche e registrano immagini.
Ora aggiungete un pezzo. Nel momento esatto in cui passate il tornello, un software analizza il vostro volto, ne ricava un modello matematico, lo salva su un archivio locale insieme al vostro nome e cognome e, se il biglietto prevede un posto assegnato, anche all’identificativo di quel posto. Quel pacchetto di informazioni resta lì sette giorni. Se durante quei sette giorni nel palazzetto o nei dintorni viene commesso un reato, anche soltanto tentato, l’archivio viene interrogato per identificare chi è già indiziato sulla base di fotografie o filmati. Se non succede niente, dopo sette giorni tutto viene cancellato.
La domanda da tenere in mente per tutto l’articolo è questa: siamo stati semplicemente ripresi, come ieri, oppure siamo entrati in un archivio biometrico? Perché la differenza tra le due cose è l’intera vicenda giuridica di cui si sta discutendo.
Perché i titoli raccontano metà della storia
Quando lo schema di decreto è arrivato in Parlamento, il dibattito pubblico si è compattato in due sole caselle: sicurezza contro Stato di polizia. Chi condivide un titolo sceglie una casella e va avanti. Il testo, purtroppo per chi ama le scorciatoie, è composto da ventidue articoli e almeno quattro discipline diverse che vanno tenute separate, altrimenti si finisce a discutere di una cosa credendo di discuterne un’altra.
Cominciamo dalla premessa che manca quasi ovunque: il riconoscimento facciale non arriva in Italia con questo decreto. Alcune forme di confronto biometrico a posteriori sono utilizzate dalla polizia italiana dal 2018. Il regolamento europeo sull’intelligenza artificiale, in vigore dal 2024, consente già agli Stati membri di autorizzare perfino l’identificazione biometrica in tempo reale negli spazi pubblici, in un elenco chiuso di situazioni e sotto condizioni molto severe. Quella porta è aperta da Bruxelles, non da Roma.
Lo schema italiano serve a costruire la base giuridica nazionale che permette di attraversarla. E contiene, in un solo articolo, qualcosa che il diritto europeo, nella lettura del Garante, non copre affatto. La discussione seria comincia lì.
Che cos’è, tecnicamente, un dato biometrico del volto
Prima di parlare di norme conviene capire di che materiale stiamo parlando, perché il dibattito confonde continuamente tre operazioni che tecnicamente sono distinte.
La prima è la ripresa: una telecamera acquisisce immagini, cioè pixel. Un volto ripreso resta un’immagine, esattamente come una fotografia scattata a un matrimonio.
La seconda è l’estrazione del modello biometrico. Un software individua il volto dentro l’immagine e ne misura le caratteristiche geometriche stabili, come le distanze relative fra i punti del viso, la conformazione degli zigomi, la posizione delle orbite. Da queste misure ricava una sequenza numerica, il cosiddetto template. Per intenderci: se l’immagine è una fotografia, il template è la sua impronta digitale matematica, un codice che descrive quel volto e che permette di ritrovarlo in mezzo ad altri milioni.
La terza operazione è il confronto. Qui esistono due modi molto diversi di procedere. Nella verifica uno a uno il sistema controlla se il volto davanti alla telecamera corrisponde a quello di un documento: è quello che fa il vostro telefono quando lo sbloccate. Nell’identificazione uno a molti, invece, il sistema prende un volto e lo cerca dentro un archivio, restituendo un elenco di candidati ordinati per somiglianza. Il secondo modo è enormemente più invasivo del primo, perché trasforma una persona in una query.
Il regolamento europeo tiene distinte queste operazioni con precisione chirurgica e per una ragione pratica: il momento in cui un volto smette di essere un’immagine e diventa un dato biometrico ricercabile è il momento in cui scattano le tutele più forti previste dalla disciplina europea sulla protezione dei dati nelle attività di polizia, recepita in Italia con il decreto legislativo 51 del 2018. Essere ripresi da una telecamera, quindi, non equivale a essere identificati biometricamente. Su questa soglia si regge l’intera architettura normativa.
Tempo reale e a posteriori, la distinzione che regge l’intero impianto
L’AI Act costruisce la disciplina su un’unica variabile: quanto tempo passa tra la ripresa e il confronto.
Si parla di identificazione biometrica remota in tempo reale quando l’acquisizione delle immagini, il confronto con la banca dati e l’identificazione avvengono senza ritardi significativi. Il regolamento, ovviamente consapevole di quanto sia facile aggirare una definizione, precisa che rientrano nel tempo reale anche i casi in cui il sistema introduce un piccolo scarto temporale, proprio per evitare che qualcuno faccia passare per differita un’operazione sostanzialmente istantanea.
Si parla invece di identificazione a posteriori quando il confronto avviene su immagini già registrate, a distanza di tempo, tipicamente dentro un’indagine su un fatto già avvenuto.
La distinzione ha conseguenze pesantissime: il tempo reale ricade nell’articolo 5 del regolamento, quello dedicato alle pratiche vietate. Viene ammesso soltanto in deroga, con autorizzazione giudiziaria e un elenco chiuso di finalità. Il riconoscimento a posteriori ricade invece nell’articolo 26, che disciplina gli obblighi di chi utilizza sistemi ad alto rischio e vive di regole più leggere ma comunque stringenti.
Esiste però una zona grigia che vale la pena tenere d’occhio, perché è esattamente quella in cui si colloca l’articolo 10 dello schema italiano: un sistema può essere formalmente “a posteriori” quanto al confronto e nel frattempo avere già estratto e archiviato i modelli biometrici di tutte le persone riprese. Il confronto arriva dopo, certo. Il dato biometrico, però, è stato creato prima.
Che cosa succede già oggi in Italia
Dal 2018 la Polizia di Stato utilizza SARI, il Sistema Automatico di Riconoscimento Immagini. La sua componente investigativa, SARI Enterprise, funziona così: gli operatori caricano la fotografia di una persona da identificare, di solito estratta da un filmato di sorveglianza e il software la confronta con le immagini contenute negli archivi di polizia, restituendo una lista di volti simili che un essere umano deve poi valutare. Funziona come un motore di ricerca su un archivio di fotosegnalati, con un operatore che parte da una fotografia e chiede al software chi le somigli.
Sulla componente in tempo reale, SARI Real Time, la storia è andata diversamente. Nel marzo 2021 il Garante ha bloccato il progetto rilevando l’assenza di una base giuridica adeguata e il rischio di realizzare una forma di sorveglianza indiscriminata su tutte le persone presenti in un’area e non su soggetti determinati. Quel sistema, acquistato e mai attivato, è rimasto in un cassetto.
Pochi mesi dopo il Parlamento italiano è intervenuto con una moratoria. L’articolo 9, comma 9, del decreto legge 139 del 2021, convertito dalla legge 205 dello stesso anno, ha sospeso l’installazione e l’utilizzo di impianti di videosorveglianza con riconoscimento facciale in luoghi pubblici o aperti al pubblico, sia da parte di soggetti pubblici sia da parte di privati, con la sola esclusione dei trattamenti effettuati dall’autorità giudiziaria. Il termine, inizialmente fissato al 31 dicembre 2023, è stato spostato al 31 dicembre 2025 dall’articolo 8-ter del decreto legge 51 del 2023.
Quella moratoria è scaduta il 31 dicembre 2025 e non è stata prorogata. Cinque mesi dopo, il 10 giugno 2026, il Consiglio dei ministri ha approvato in esame preliminare lo schema di decreto di cui stiamo parlando. La cronologia, evidentemente, ha una sua logica. L’Italia aveva congelato la materia in attesa di una disciplina compiuta. La disciplina è questa.
“Tanto lo Stato ha già i nostri dati biometrici”, vero fino a un certo punto
È l’obiezione più diffusa e merita una risposta seria, perché contiene una parte di verità.
La carta d’identità elettronica contiene, nel suo chip, la fotografia del titolare e due impronte digitali. Chi viene fotosegnalato in un procedimento penale finisce negli archivi di polizia con foto e impronte. Il passaporto contiene dati biometrici. Tutto vero.
Quell’obiezione salta però il principio di limitazione della finalità, che è il cuore di tutta la disciplina europea sui dati personali: un dato raccolto per uno scopo non diventa automaticamente disponibile per qualunque altro scopo. Le impronte nel chip della carta d’identità servono a verificare che quel documento appartenga a chi lo esibisce. Sono conservate nel documento e nel sistema che lo emette, con regole precise su chi può leggerle e quando. Il fotosegnalamento serve all’identificazione dentro un procedimento penale e riguarda persone coinvolte in quel procedimento.
Trasformare quegli archivi in strumenti di ricerca generalizzata significherebbe cambiare la finalità per cui esistono e ogni cambio di finalità richiede una norma che lo autorizzi espressamente, proporzionata e circondata da garanzie. Detto in modo semplice: possedere la vostra fotografia per verificare l’autenticità di un documento è una cosa; poterla usare per ricostruire chi c’era in piazza il 15 di ottobre è un’altra e serve una legge che lo dica.
Che cosa dice davvero l’articolo 5 dell’AI Act
Qui la comunicazione pubblica ha fatto parecchi danni, quindi andiamo con ordine.
La regola generale del regolamento europeo è il divieto. L’uso di sistemi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto è una delle pratiche vietate elencate nell’articolo 5, applicabile dal 2 febbraio 2025. Il divieto, però, ha tre eccezioni tassative e su quelle si gioca tutto.
La prima riguarda la ricerca mirata di vittime specifiche di sottrazione, tratta di esseri umani e sfruttamento sessuale, oltre alla ricerca di persone scomparse.
La seconda riguarda la prevenzione di una minaccia specifica, sostanziale e imminente per la vita o l’incolumità fisica delle persone, oppure di una minaccia di attentato terroristico reale e attuale, o reale e prevedibile.
La terza riguarda la localizzazione o l’identificazione di una persona sospettata di aver commesso uno dei reati elencati nell’allegato II del regolamento, purché puniti nello Stato interessato con una pena detentiva massima di almeno quattro anni. L’allegato comprende terrorismo, omicidio volontario, sequestro di persona, tratta, sfruttamento sessuale dei minori, traffico di armi e di stupefacenti, criminalità organizzata, alcune forme di sabotaggio.
Attenzione a un dettaglio tecnico che viene sistematicamente frainteso: la soglia dei quattro anni riguarda il massimo edittale, cioè la pena più alta astrattamente prevista per quel reato, non la pena che verrà concretamente inflitta. Il perimetro, quindi, è più ampio di quanto la formula lasci intuire a un lettore non giurista.
Le parole elastiche del regolamento europeo
Il fatto che una norma sia europea non la rende automaticamente rigorosa. L’articolo 5 contiene formule che gli studiosi criticano dal giorno della sua elaborazione, per una ragione semplice: sono elastiche.
Tre aggettivi reggono l’intera eccezione e nessuno dei tre ha un contenuto determinato. Quando una minaccia diventa “specifica”? Quanto deve essere vicina nel tempo per dirsi “imminente”, tenendo conto che un’operazione di identificazione biometrica va comunque organizzata, autorizzata e messa in campo? E chi stabilisce che una minaccia terroristica sia “reale e prevedibile”, su quali informazioni e con quale possibilità di verifica successiva?
L’ultima domanda merita di essere presa sul serio, perché tocca uno snodo politico delicatissimo. Sostenere la causa palestinese e partecipare a un corteo per Gaza restano condotte del tutto estranee alla nozione penale di terrorismo. Il rischio, nell’applicazione concreta di una categoria elastica, sta nel fatto che la qualificazione di “minaccia prevedibile” viene formulata prima di ogni accertamento giudiziale, spesso sulla base di informative che il diretto interessato non vedrà mai. Il controllo del giudice, in quel momento, si esercita su un materiale che il giudice riceve dall’autorità che chiede l’autorizzazione.
È una critica che riguarda il diritto europeo, non l’attuazione italiana. Ed è la ragione per cui il legislatore nazionale, come vedremo tra poco, avrebbe più di un motivo per stringere quelle formule invece di limitarsi a ricopiarle.
Il regolamento consente, non obbliga
C’è un passaggio istituzionale che quasi nessun articolo ha spiegato e senza il quale il dibattito italiano perde di senso.
L’AI Act, quando prevede le eccezioni al divieto, non attribuisce direttamente alle polizie nazionali il potere di usare il riconoscimento facciale. Stabilisce il perimetro massimo entro il quale gli Stati membri possono, se lo vogliono, autorizzare quegli utilizzi. Lo Stato che decide di aprire quella porta deve adottare una legge nazionale che disciplini richieste, autorizzazioni, limiti e controlli.
Da qui discendono due conseguenze pratiche. La prima: senza una base giuridica italiana, quelle eccezioni restano lettera morta nel nostro ordinamento e infatti l’Italia ha vissuto gli ultimi anni sotto moratoria. La seconda, meno intuitiva ma decisiva: uno Stato può sempre essere più restrittivo del perimetro europeo, mai più permissivo. Il legislatore italiano avrebbe potuto restringere le formule elastiche di Bruxelles, tipizzare meglio le minacce, ridurre l’elenco dei reati, imporre soglie più alte. Ha scelto in larga parte di ricalcarle.
Le garanzie previste dall’AI Act
Prima di guardare il testo italiano conviene avere in testa l’elenco delle tutele che il regolamento pretende quando uno Stato attiva l’eccezione del tempo reale, perché servirà come termine di paragone.
L’utilizzo deve essere autorizzato preventivamente da un’autorità giudiziaria o da un’autorità amministrativa indipendente, su richiesta motivata. Nei casi di urgenza il sistema può essere attivato subito, però l’autorizzazione va richiesta entro ventiquattro ore; se viene negata, l’uso cessa e i dati raccolti vengono cancellati. Prima dell’impiego serve una valutazione d’impatto sui diritti fondamentali. L’uso deve essere strettamente necessario e proporzionato, delimitato nel tempo, nello spazio e rispetto alle persone coinvolte. La ricerca deve riguardare soggetti determinati. Il sistema va registrato nella banca dati europea. Ogni utilizzo va notificato alle autorità nazionali, con rendicontazione annuale alla Commissione europea. Infine, nessuna decisione che produca effetti giuridici negativi può essere presa basandosi unicamente sull’esito prodotto dal sistema.
Sono garanzie robuste sulla carta. La loro efficacia dipende, com’è ovvio, da quanto seriamente vengono trasposte e applicate.
L’articolo 26 e il riconoscimento a posteriori
Il paragrafo 10 dell’articolo 26 del regolamento è la norma da tenere sotto gli occhi per tutto il resto dell’articolo, perché è quella su cui si consuma lo scontro tra Governo e Garante.
Il testo europeo dice che chi impiega un sistema di identificazione biometrica remota a posteriori lo fa nell’ambito di un’indagine, per la ricerca mirata di una persona sospettata o condannata per un reato, chiedendo l’autorizzazione di un’autorità giudiziaria o amministrativa vincolante, preventivamente oppure senza indebito ritardo e comunque entro quarantotto ore. Esiste una sola eccezione all’autorizzazione: l’identificazione iniziale di un potenziale sospettato basata su fatti oggettivi e verificabili direttamente connessi al reato. Ogni utilizzo è limitato a quanto strettamente necessario. Se l’autorizzazione viene rifiutata, l’uso cessa e i dati vengono cancellati. E poi la frase che pesa più di tutte: questi sistemi non possono essere utilizzati a fini di attività di contrasto in modo non mirato.
La sequenza logica che il regolamento pretende è dunque questa: prima il reato, poi gli elementi oggettivi, poi la persona da cercare, infine la ricerca dentro il materiale registrato. Tenetela a mente per i prossimi paragrafi.
Che cosa stiamo esaminando esattamente
Il testo di cui si discute è lo schema di decreto legislativo Atto del Governo n. 418, approvato in esame preliminare dal Consiglio dei ministri il 10 giugno 2026 e trasmesso alle Camere per il parere. Attua la delega contenuta nell’articolo 24 della legge 132 del 2025, la legge italiana sull’intelligenza artificiale e si compone di ventidue articoli divisi in tre titoli. Il primo riguarda l’uso dell’intelligenza artificiale nelle attività di polizia, il secondo gli impieghi illeciti e il risarcimento dei danni, il terzo le disposizioni transitorie.
Trattandosi di uno schema, il testo può ancora cambiare, ed è precisamente questa la ragione per cui vale la pena discuterne nel merito adesso.
Il Garante per la protezione dei dati personali si è espresso il 14 luglio 2026 con il provvedimento n. 531, relatrice Ginevra Cerrina Feroni. Il parere è favorevole, con sette condizioni puntuali. Chi lo racconta come una bocciatura secca sbaglia; chi lo racconta come un via libera sbaglia allo stesso modo, perché una delle condizioni riscrive il cuore dell’articolo 10.
Le disposizioni da tenere separate sono quattro: l’articolo 8 sul tempo reale a fini di prevenzione, l’articolo 9 sulle garanzie procedurali, l’articolo 10 sul riconoscimento a posteriori, l’articolo 13 che introduce nel codice di procedura penale il nuovo articolo 359-ter.
L’articolo 8, il tempo reale per prevenire e per cercare le vittime
L’articolo 8 consente l’identificazione biometrica remota in tempo reale in luoghi pubblici o aperti al pubblico da parte delle Forze di polizia, per prevenire le minacce indicate dall’AI Act e per cercare persone scomparse o vittime di sequestro, tratta e sfruttamento sessuale.
L’impiego è ammesso soltanto per confermare l’identità di persone determinate o per la ricerca mirata di soggetti individuati o individuabili in relazione alla minaccia da prevenire. Il confronto avviene con una banca dati di riferimento adeguata alla finalità e resta espressamente vietato l’uso di archivi alimentati mediante scraping non mirato, cioè mediante raccolta massiva di volti dal web, o comunque costituiti in violazione della normativa sui dati personali. Quest’ultimo divieto merita una menzione: è la risposta europea al modello Clearview AI, la società che aveva costruito un archivio di miliardi di immagini prelevate dai social network e che il Garante italiano ha sanzionato nel 2022.
Sul piano procedurale l’articolo 8 richiede una richiesta motivata al Procuratore della Repubblica, che autorizza in relazione a uno specifico evento o per il tempo strettamente necessario, comunque non superiore a quindici giorni prorogabili, indicando l’area territoriale delimitata e le persone interessate. In caso di fondato motivo di grave e irreparabile pregiudizio è previsto un regime d’urgenza che consente l’avvio immediato su disposizione dei responsabili delle Forze di polizia, con comunicazione al Procuratore e successiva richiesta di autorizzazione. Se l’autorizzazione manca o le condizioni non vengono rispettate, l’uso cessa immediatamente, i dati e gli output vanno cancellati e i risultati sono inutilizzabili.
Il giudizio complessivo, a mio avviso, è questo: l’articolo 8 ricalca l’impianto europeo e lo accompagna con garanzie serie. Ha però due punti da migliorare, indicati dal Garante. Il primo riguarda la qualità e la natura della banca dati di riferimento, che va costruita per il singolo caso autorizzato senza crescere in modo incrementale a ogni nuova autorizzazione. Il secondo riguarda la deroga all’obbligo di cancellazione dei dati acquisiti illegittimamente quando ricorra una generica “altra base giuridica”, formula abbastanza larga da svuotare la tutela. Detto questo, la rottura rispetto al diritto europeo non sta qui.
L’articolo 13 e il nuovo 359-ter del codice di procedura penale
Questa è la disposizione di cui si è parlato di meno e che, sul piano processuale, incide parecchio.
L’articolo 13 introduce nel codice di procedura penale un nuovo mezzo di ricerca della prova: l’uso, nelle indagini preliminari, di sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale. Le ipotesi sono tre: la conferma dell’identificazione e la ricerca mirata di un indiziato, la localizzazione di un sospetto non ancora identificato, la ricerca del latitante destinatario di una misura cautelare o di un ordine di esecuzione. Con le stesse modalità può essere autorizzata la ricerca mirata di vittime di sottrazione, tratta o sfruttamento sessuale.
Il presupposto è la commissione di uno dei delitti dell’allegato II del regolamento europeo, con l’aggiunta di un requisito interno che il diritto dell’Unione non imponeva: la reclusione non inferiore nel massimo a quattro anni.
L’autorizzazione spetta al giudice per le indagini preliminari, coerentemente con l’orientamento giurisprudenziale secondo cui i mezzi di ricerca della prova che incidono sulla riservatezza richiedono la riserva di giurisdizione. Il provvedimento deve essere motivato e deve delimitare l’area geografica, indicare le persone ricercate, predeterminare il tempo necessario e richiamare le valutazioni imposte dall’AI Act. Nei casi d’urgenza è previsto un meccanismo di doppia convalida modellato sulla disciplina delle intercettazioni: l’attivazione può partire su iniziativa degli ufficiali di polizia giudiziaria, la richiesta va trasmessa al pubblico ministero entro dodici ore e il giudice deve convalidare nelle successive quarantotto. Il mancato rispetto dei termini produce l’inutilizzabilità dei risultati e l’obbligo di cancellazione immediata, salvo che i dati costituiscano corpo del reato.
Il Garante ha chiesto di replicare qui il divieto di banche dati ottenute mediante scraping non mirato, che nel testo attuale compare solo all’articolo 8. È una dimenticanza, presumibilmente e si corregge con una riga.
L’articolo 9, valutazioni d’impatto, log e notifiche
L’articolo 9 è la parte noiosa che nessuno legge e che invece determina se le garanzie funzionano davvero.
Prevede la valutazione d’impatto sui diritti fondamentali richiesta dall’AI Act, la registrazione di ogni utilizzo in file di log non modificabili, la conservazione di quei log per cinque anni con accesso limitato alle autorità competenti per la verifica di liceità, per il controllo interno e nell’ambito di un procedimento penale. Prevede inoltre l’obbligo di notifica al Garante dell’avvenuto utilizzo, previo nulla osta dell’autorità giudiziaria, con le informazioni essenziali sull’autorizzazione e sul risultato ottenuto. I requisiti tecnici di affidabilità e accuratezza dei sistemi, le misure di sicurezza e le modalità di monitoraggio delle prestazioni sono rinviati a un decreto del Ministro dell’interno, di concerto con il Ministro della giustizia, sentiti il Garante e le Autorità nazionali per l’intelligenza artificiale.
Il rilievo del Garante è tecnico e sostanziale insieme: l’articolo richiama solo la valutazione d’impatto prevista dal regolamento europeo, dimenticando quella distinta prevista dagli articoli 23 e 24 del decreto legislativo 51 del 2018, che è l’adempimento tipico della protezione dei dati in ambito di polizia e include la consultazione preventiva dell’Autorità. Sono due valutazioni diverse, con oggetti diversi. Servono entrambe.
L’articolo 10, dove cambia la sequenza
Passiamo all’articolo 10, che è il vero oggetto del contendere.
L’articolo 10 consente di integrare con componenti di intelligenza artificiale i sistemi di videosorveglianza la cui installazione è già consentita da specifiche disposizioni di legge, laddove ricorrano esigenze di ordine e sicurezza pubblica, in modo da permettere l’attivazione successiva di tecnologie di riconoscimento facciale. Il comma 1 dichiara esplicitamente l’obiettivo giuridico dell’operazione: costruire l’impianto in modo da non configurare un’ipotesi di identificazione biometrica remota in tempo reale ai sensi dell’articolo 5 del regolamento. Tradotto: restare fuori dalla disciplina più severa.
Il comma 2 limita l’uso delle tecnologie di riconoscimento facciale ai soli casi successivi alla commissione di un reato, al solo fine di identificare persone già indiziate sulla base di documentazione video-fotografica e di elementi oggettivi e verificabili, sotto la diretta ed esclusiva responsabilità dei soggetti indicati, individuati nel funzionario designato dal questore.
Il comma 3 è quello che ha acceso il dibattito. Nei contesti caratterizzati da esigenze di ordine e sicurezza pubblica prevede la memorizzazione locale dei dati biometrici delle persone che accedono a quei luoghi o eventi e dei corrispondenti dati anagrafici, in vista del confronto biometrico a posteriori nel caso in cui venga commesso un reato.
Gli altri commi completano il quadro: titolare del trattamento è il Ministero dell’interno, Dipartimento della pubblica sicurezza, cui spettano la valutazione d’impatto e la consultazione preventiva del Garante, con la possibilità di una valutazione unica valida per tutti i sistemi analoghi; sono fissati i termini massimi di conservazione dei dati e dei log, fermo restando il quadro del d.P.R. 15 del 2018; il comma 9 vieta decisioni con effetti giuridici negativi basate unicamente sui risultati del riconoscimento facciale; il comma 10 vieta l’identificazione biometrica generalizzata, non mirata e priva di collegamento con un reato o con un procedimento penale; il comma 11 rinvia a un decreto del Ministro dell’interno, sentito il Garante, la definizione delle modalità di trattamento e memorizzazione dei dati biometrici; il comma 12, infine, prevede che all’installazione e alla manutenzione dei sistemi possano provvedere i gestori dei luoghi, gli organizzatori o i promotori degli eventi, restando in capo alla Questura la completa ed esclusiva disponibilità dei sistemi concessi in comodato.
La formula che spiega la differenza
Messa così, la questione diventa leggibile anche senza il testo del decreto davanti.
| Sequenza dell’AI Act | Sequenza dell’articolo 10, comma 3 |
|---|---|
| Viene commesso un reato | Le persone accedono al luogo o all’evento |
| Emergono elementi oggettivi e verificabili | I loro dati biometrici vengono estratti e conservati |
| Viene individuata la persona da cercare | Passano fino a sette giorni |
| Si cerca quella persona nelle registrazioni | Se accade un reato, l’archivio viene interrogato |
La ricerca finale, nel modello italiano, resta mirata: si cerca chi è già indiziato, non si identificano tutti i presenti. La raccolta iniziale, invece, riguarda tutti indistintamente e avviene quando il reato potrebbe non esistere, l’indagine potrebbe non esistere e il sospettato certamente non esiste ancora.
La contraddizione che sta dentro l’articolo stesso
Nella discussione pubblica è passato quasi inosservato un cortocircuito interno al testo.
Il comma 10 dell’articolo 10 vieta espressamente l’identificazione biometrica generalizzata, non mirata e priva di collegamento con un reato o con un procedimento penale. È la trasposizione fedele del divieto europeo di uso non mirato. Il comma 3 dello stesso articolo, però, autorizza l’estrazione e la conservazione dei dati biometrici di tutte le persone che accedono a un luogo, in assenza di qualsiasi reato.
I due commi convivono grazie a una distinzione concettuale: il Governo separa il momento della raccolta ed elaborazione del dato da quello dell’identificazione. Solo il secondo, in questa lettura, sarebbe “identificazione” e quindi soggetto al divieto di non mirato; il primo sarebbe una semplice predisposizione tecnica.
È una costruzione ingegnosa e regge finché si guarda solo alla parola “identificazione”. Cede quando si guarda alla disciplina dei dati personali, perché l’estrazione di un modello biometrico dal volto di una persona, con associazione al nome e cognome, è già di per sé un trattamento di categorie particolari di dati, quelle che il diritto europeo protegge in modo rafforzato proprio perché consentono di identificare univocamente qualcuno. Il trattamento è già avvenuto nel momento in cui il template viene creato. Che poi il confronto arrivi dopo tre ore o dopo sei giorni incide sulla gravità dell’ingerenza, non sulla sua esistenza.
Perché il Garante contesta proprio il comma 3
Il parere del 14 luglio 2026 arriva esattamente a questa conclusione e lo fa con parole misurate che vale la pena riportare nel loro senso preciso.
Secondo l’Autorità, la previsione di un trattamento automatizzato dei dati biometrici di tutte le persone che accedono a determinati luoghi o eventi non appare coerente con l’articolo 26, paragrafo 10, del regolamento europeo, che legittima l’uso del riconoscimento facciale a posteriori esclusivamente per ricerche mirate di persone sospettate o condannate per un reato. La conseguenza operativa che il Garante ne trae è netta: l’elaborazione dei dati biometrici non dovrebbe avvenire automaticamente e indiscriminatamente al momento della ripresa, ma soltanto sulle tracce già registrate, in presenza di una specifica esigenza operativa.
Il secondo rilievo riguarda il perimetro. Il riferimento ampio a “luoghi o eventi rispetto ai quali sussistono esigenze di ordine e sicurezza pubblica” può includere contesti eterogenei e l’Autorità li elenca senza mezzi termini: stadi, concerti, manifestazioni, stazioni, grandi eventi, aree urbane. Il rischio, scrive il Garante, è di legittimare una raccolta massiva e preventiva di dati biometrici, non proporzionata e potenzialmente in contrasto con la fonte unionale.
Il terzo rilievo riguarda il comma 9. Il divieto di decisioni basate unicamente sull’esito del riconoscimento è ripreso correttamente, però manca il richiamo espresso alle ulteriori garanzie, anche di natura antidiscriminatoria, previste dall’articolo 8 del decreto legislativo 51 del 2018. L’Autorità chiede di inserirlo come clausola di salvaguardia. Chi ha letto la letteratura sui tassi di errore differenziati capisce perché quel richiamo pesi.
Vale la pena aggiungere un quarto rilievo, che riguarda il comma 12: il Garante osserva che lo schema disciplina i rapporti con gestori, organizzatori e promotori sul piano dell’installazione e della manutenzione, senza chiarire il loro ruolo in termini di titolarità e responsabilità del trattamento. Sono i soggetti che materialmente montano e mantengono apparati capaci di estrarre modelli biometrici. Lasciare quel ruolo indefinito, in un impianto del genere, è una lacuna che va colmata.
Come si riscrive l’articolo 10 restando dentro il diritto europeo
La cosa interessante è che la correzione tecnica è semplice. Il Garante l’ha già scritta e produce questa sequenza:
- Le telecamere registrano immagini ordinarie, come già fanno oggi negli stadi e nei grandi eventi.
- Viene commesso un reato, anche tentato.
- Emergono elementi oggettivi e verificabili e una specifica esigenza operativa.
- Viene individuata la persona da cercare, sulla base di documentazione video-fotografica.
- Solo a quel punto il sistema elabora le tracce registrate per cercare quella persona.
- Il risultato viene valutato da esseri umani e nessuna decisione con effetti negativi può fondarsi soltanto sulla corrispondenza algoritmica.
Il sistema, in questo modello, analizzerebbe comunque moltissime immagini, perché per trovare un volto in una folla bisogna guardare la folla. La differenza sta nel fatto che l’elaborazione biometrica nasce da un’esigenza investigativa concreta e ha un bersaglio determinato, invece di produrre in anticipo un archivio nominativo di tutti i presenti che aspetta di servire.
Il Garante chiede anche che i criteri di questa elaborazione differita vengano definiti nel decreto ministeriale previsto dal comma 11, estendendone l’oggetto. Tradotto in pratica: la modifica del comma 3 e l’ampliamento del comma 11 sono gli interventi che riportano l’articolo 10 dentro il perimetro europeo.
Gli utilizzi che funzionano, perché esistono
Un’analisi che descrivesse solo i rischi sarebbe disonesta, quindi mettiamo sul tavolo anche l’altra parte.
Il riconoscimento biometrico, usato in modo mirato, risolve problemi reali. La ricerca di una persona scomparsa nelle ore in cui le probabilità di ritrovarla crollano. La localizzazione della vittima di un sequestro. L’identificazione di un sospettato di omicidio ripreso da una telecamera privata, che oggi richiede giorni di lavoro manuale su migliaia di fotogrammi. La prevenzione di un attentato quando esistono informazioni precise su persone determinate. In questi scenari la tecnologia comprime tempi che, in un’indagine, valgono quanto le prove.
La condizione che rende accettabili quegli utilizzi è tutta nel modo in cui vengono costruiti: reati definiti per legge, persone individuate, elementi concreti che giustificano la ricerca, autorizzazione di un’autorità terza, limiti di tempo e di spazio, verifica umana dell’esito, tracciabilità di ogni operazione. Sono esattamente le condizioni che l’articolo 8 dello schema, con qualche aggiustamento, rispetta.
Le maglie che si allargano
Il primo rischio del modello disegnato dall’articolo 10 riguarda la sua elasticità.
“Esigenze di ordine e sicurezza pubblica” è una formula che nel nostro ordinamento copre uno spettro larghissimo di situazioni e la valutazione è affidata all’autorità amministrativa. Il presupposto di attivazione del confronto è “un reato, anche tentato”, senza soglie di gravità: nel testo attuale un danneggiamento vale quanto una rapina.
Immaginate come si muove una norma del genere nel tempo. Il primo anno si applica agli stadi, dove l’infrastruttura di controllo degli accessi esiste già; il secondo si estende ai grandi eventi; il terzo alle stazioni, che hanno esigenze di sicurezza pubblica per definizione; il quarto ad alcune aree urbane. Nessuno di questi passaggi richiede una nuova legge, perché la legge già li consente tutti: cambia solo la valutazione amministrativa su dove ricorrano quelle esigenze.
Il passaggio da misura eccezionale a infrastruttura ordinaria, nella storia delle tecnologie di sorveglianza, avviene quasi sempre per estensione progressiva di un presupposto scritto in modo largo, senza decisioni clamorose che permettano di accorgersene.
Manifestazioni, dissenso e l’effetto che ne deriva
Mettiamo a confronto due scenari, entrambi realistici.
Nel primo, gli apparati di sicurezza dispongono di informazioni concrete su un attentato in preparazione durante un evento pubblico, con indicazioni su persone determinate. Qui l’identificazione biometrica in tempo reale, autorizzata e delimitata, è precisamente lo strumento che l’AI Act ha inteso rendere disponibile.
Nel secondo, durante un corteo viene danneggiata la vetrina di una banca. Danneggiamento aggravato: reato. Nel modello dell’articolo 10, comma 3, se in quella piazza fosse attivo un sistema integrato, l’archivio biometrico delle persone che vi hanno avuto accesso esisterebbe già. La ricerca resterebbe formalmente mirata, perché diretta a chi è indiziato sulla base delle riprese. Nel frattempo, però, tutti gli altri sarebbero stati trasformati in dati biometrici nominativi per il solo fatto di aver partecipato a una manifestazione.
Su questo terreno la giurisprudenza europea si è già pronunciata. Nel luglio 2023, nel caso Glukhin contro Russia, la Corte europea dei diritti dell’uomo ha giudicato incompatibile con la Convenzione l’uso di tecnologie di riconoscimento facciale per identificare e arrestare un manifestante pacifico. La Corte ha ritenuto violati sia il diritto al rispetto della vita privata sia la libertà di espressione, sottolineando che l’impiego di uno strumento tanto invasivo per una condotta priva di pericolosità mancava di qualsiasi proporzionalità e produceva un effetto dissuasivo sull’esercizio delle libertà.
Quell’effetto dissuasivo ha un nome tecnico, chilling effect e descrive un fenomeno misurabile: sapere che la propria presenza a un corteo verrà registrata in forma nominativa cambia il comportamento di una parte delle persone, che semplicemente restano a casa. La libertà di riunione, in quel momento, viene compressa senza che nessuno abbia vietato nulla.
Quando l’algoritmo indica la persona sbagliata
Un sistema di riconoscimento facciale restituisce punteggi di somiglianza tra volti, cioè corrispondenze probabilistiche ordinate per plausibilità. La distanza rispetto a un’identificazione certa sembra una questione accademica finché non si guarda che cosa succede a valle.
Le prestazioni dipendono da variabili banali e incontrollabili nel mondo reale: qualità dell’immagine, angolazione, illuminazione, distanza, movimento, occlusioni parziali del viso. Peggiorano al crescere della dimensione dell’archivio, perché più volti si confrontano più aumenta la probabilità che qualcuno somigli abbastanza. E variano, storicamente, tra gruppi demografici: gli studi del NIST, l’istituto statunitense che valuta questi algoritmi in modo indipendente, hanno documentato tassi di falsi positivi più elevati per alcune categorie di soggetti, con differenze che nei sistemi più recenti si sono ridotte parecchio ma che non sono sparite.
Il caso più noto è quello di Robert Williams, arrestato a Detroit nel gennaio 2020 davanti a moglie e figlie, trattenuto per trenta ore, sulla base di una corrispondenza sbagliata generata da un software di riconoscimento facciale. La vicenda si è chiusa nel 2024 con un accordo che ha imposto al dipartimento di polizia della città regole più stringenti sull’uso della tecnologia. Un rapporto del Dipartimento di Giustizia statunitense del 2024 censisce sette casi di arresti erronei pubblicamente documentati, quasi tutti riguardanti persone nere. Sette complessivi, va detto con precisione, non sette in un solo anno.
Sette casi su milioni di ricerche sono statisticamente pochissimi. Il problema è che cosa succede a ciascuno di quei sette e qui entra in gioco un fenomeno cognitivo che i ricercatori chiamano automation bias: la tendenza degli esseri umani a considerare più affidabile l’output di un sistema automatico rispetto alle proprie valutazioni. Il software segnala Antonino. Da quel momento gli investigatori tendono a cercare conferme che sia stato Antonino, invece di verificare in modo neutro se l’uomo ripreso sia davvero lui. La verifica umana, che sulla carta è la garanzia principale, rischia di ridursi a una ratifica.
E la catena che ne segue è concreta: segnalazione, controllo, perquisizione, interrogatorio, in alcuni casi arresto e poi l’onere pratico di dimostrare di non essere la persona che l’algoritmo ha indicato. Nel frattempo il datore di lavoro ha saputo, i vicini hanno visto, i figli erano in casa.
Una password si cambia, il volto resta
C’è una ragione tecnica per cui i dati biometrici richiedono misure di sicurezza di livello diverso rispetto a qualunque altro dato personale.
Se qualcuno vi ruba la password, ne generate un’altra in dieci secondi. Se vi clonano la carta di credito, la banca la blocca e ve ne manda una nuova. Se qualcuno sottrae il modello biometrico del vostro volto, quel dato resta valido per sempre, perché il vostro volto è quello e non lo cambiate.
Le conseguenze pratiche di una sottrazione di questo tipo si vedono già nella cronaca: modelli biometrici usati per aggirare sistemi di autenticazione, incroci con altre banche dati per ricostruire spostamenti, materiale sintetico costruito a partire da volti reali. Aggiungete che l’articolo 10 prevede una memorizzazione locale presso i luoghi e gli eventi, con installazione e manutenzione affidate a gestori privati e capite perché il Garante abbia chiesto di chiarire ruoli e responsabilità di quei soggetti. Un archivio biometrico nominativo dentro il gabbiotto di un palazzetto è un bersaglio e la superficie di attacco non coincide con quella di una centrale operativa di polizia.
Il mosaico delle nostre presenze
Una singola presenza dice pochissimo di una persona. Molte presenze, messe insieme, dicono quasi tutto.
Chi frequenta regolarmente una determinata sede sindacale, chi partecipa a cortei di una certa area politica, chi entra ogni venerdì in una moschea o ogni domenica in una parrocchia, chi si trova ripetutamente negli stessi luoghi insieme alle stesse persone: nessuno di questi dati è sensibile preso singolarmente e tutti insieme ricostruiscono orientamento politico, appartenenza religiosa, relazioni personali e abitudini di vita.
È il motivo per cui la Corte di giustizia dell’Unione europea, occupandosi di conservazione generalizzata dei dati di traffico, ha ripetutamente affermato che la raccolta indiscriminata riferita alla generalità della popolazione eccede i limiti dello stretto necessario, anche quando la finalità perseguita è la lotta alla criminalità grave. Il ragionamento vale a maggior ragione per un dato che identifica in modo univoco e permanente.
Il rischio cresce quando archivi nati separati vengono collegati, perché a quel punto la mappa che ne esce descrive una vita intera invece di un singolo evento.
Il piano costituzionale
Le libertà toccate da un impianto del genere sono parecchie e vale la pena nominarle una per una.
La libertà di circolazione garantita dall’articolo 16 della Costituzione, che ammette limitazioni per motivi di sanità o di sicurezza solo se stabilite in via generale dalla legge. La libertà di riunione dell’articolo 17, che per le riunioni in luogo pubblico prevede il solo preavviso all’autorità, non la schedatura dei partecipanti. La libertà di associazione dell’articolo 18. La libertà di manifestazione del pensiero dell’articolo 21. Il principio di uguaglianza dell’articolo 3, che entra in gioco appena si considerano i tassi di errore differenziati per gruppi. E la riserva di legge, che impone al legislatore di definire con sufficiente precisione i presupposti di ogni limitazione, senza rinviare l’essenziale a valutazioni amministrative.
A queste si aggiungono gli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, sulla vita privata e sulla protezione dei dati e l’articolo 52, che ammette limitazioni solo se previste dalla legge, rispettose del contenuto essenziale del diritto e proporzionate.
Nessuno rivendica un diritto assoluto all’anonimato nello spazio pubblico: in piazza siamo visibili, ci vediamo tra noi, ci vedono le telecamere. La questione riguarda la trasformazione sistematica e preventiva di quella visibilità in un dato ricercabile, associato al nome, conservato e interrogabile. Sono due condizioni giuridiche diverse e la seconda richiede una giustificazione che il comma 3 dell’articolo 10, allo stato, non fornisce.
Può una legge italiana andare oltre l’AI Act?
Risposta breve: no. Le conseguenze pratiche di quel no sono più concrete di quanto sembri.
Il regolamento europeo è direttamente applicabile in tutti gli Stati membri e prevale sulle norme nazionali incompatibili. Uno Stato può disciplinare ciò che il regolamento gli demanda, può restringere, può aggiungere garanzie. Non può ampliare un perimetro che il regolamento ha chiuso.
Se una disposizione nazionale risultasse incompatibile, il giudice italiano dovrebbe anzitutto tentare un’interpretazione conforme al diritto dell’Unione, cioè leggere la norma interna nel modo che la rende compatibile. Se questa strada fosse impraticabile, dovrebbe disapplicarla. In un procedimento penale questo si tradurrebbe in eccezioni di inutilizzabilità dei risultati ottenuti, con esiti che nessun investigatore desidera: prove raccolte con fatica e buttate via anni dopo. Resta poi aperta la possibilità di un rinvio pregiudiziale alla Corte di giustizia, con tempi che si misurano in anni.
Detto in termini operativi: correggere il comma 3 adesso costa due righe di testo. Correggerlo dopo, in sede giudiziaria, costa processi.
Torniamo al concerto
Riprendiamo la scena da cui siamo partiti, perché adesso è leggibile.
Nel modello che il diritto europeo consente, la telecamera all’ingresso registra un filmato. Il vostro volto resta un’immagine dentro un video. Se durante il concerto qualcuno accoltella una persona e le riprese mostrano un uomo con una felpa rossa, l’autorità competente autorizza la ricerca di quell’uomo dentro le registrazioni, il sistema lo cerca, un essere umano valuta il risultato e nessuna decisione può fondarsi soltanto su quella corrispondenza. Il vostro volto resta un’immagine dentro un video anche alla fine di tutto.
Nel modello disegnato dal comma 3, il vostro volto è già diventato una sequenza numerica associata al vostro nome nel momento in cui avete passato il tornello, insieme a quello di altre diecimila persone e ci resta per sette giorni in attesa che accada qualcosa. Se accade, l’archivio serve. Se non accade, viene cancellato e voi non lo saprete mai.
La differenza tra i due modelli si misura in una domanda che il Parlamento deve risolvere adesso: per rendere possibile la ricerca di un colpevole, è accettabile trasformare preventivamente tutti gli altri in soggetti biometricamente identificabili?
Che cosa resta sul tavolo
Riassumendo il quadro senza sconti per nessuno.
L’articolo 8 porta nell’ordinamento italiano possibilità che il diritto europeo già consentiva agli Stati. Le accompagna con autorizzazione del Procuratore, limiti temporali e territoriali, regime d’urgenza a maglie strette, cancellazione e inutilizzabilità dei risultati in caso di violazione. Chi ha costruito la polemica sull’esistenza in sé del riconoscimento biometrico ha sbagliato bersaglio: quella porta l’ha aperta l’Europa nel 2024 e resterà aperta.
Le formule europee restano elastiche e il legislatore italiano aveva la possibilità di stringerle. Ha scelto di ricalcarle, aggiungendo però la soglia dei quattro anni di reclusione nel massimo per l’uso investigativo, che è una restrizione reale rispetto al testo di Bruxelles.
L’articolo 10, comma 3, cambia la sequenza logica costruita dall’AI Act e crea l’archivio prima del reato. Il Garante ha individuato esattamente questo punto e ha indicato la correzione: l’elaborazione dei dati biometrici deve avvenire esclusivamente ex post, sulle tracce registrate, a fronte di una specifica esigenza operativa, sulla base di criteri da definire nel decreto ministeriale previsto dal comma 11. Al comma 9 va inserito il richiamo espresso alle garanzie, anche antidiscriminatorie, dell’articolo 8 del decreto legislativo 51 del 2018.
Sono due modifiche puntuali, scritte nero su bianco in un parere pubblico, su un testo che il Parlamento sta ancora esaminando e che il Governo dovrà approvare in via definitiva. Da quelle due modifiche passa la differenza tra un archivio biometrico di tutti i presenti e una ricerca mirata su una persona sospettata. Chi vuole partecipare alla discussione con qualche possibilità di incidere ha un solo indirizzo utile: il comma 3 dell’articolo 10.
Riferimenti: regolamento (UE) 2024/1689, articoli 3, 5, 26 e allegato II; legge 23 settembre 2025, n. 132, articolo 24; schema di decreto legislativo A.G. 418, approvato in esame preliminare dal Consiglio dei ministri il 10 giugno 2026; Garante per la protezione dei dati personali, parere n. 531 del 14 luglio 2026; d.lgs. 18 maggio 2018, n. 51; d.P.R. 15 gennaio 2018, n. 15; art. 9, comma 9, d.l. 139/2021 e art. 8-ter d.l. 51/2023; Garante privacy, provvedimento su SARI Real Time, marzo 2021; Corte europea dei diritti dell’uomo, Glukhin c. Russia, 4 luglio 2023; NIST, valutazioni sui differenziali demografici degli algoritmi di riconoscimento facciale; Dipartimento di Giustizia degli Stati Uniti, rapporto 2024.
