L’Italia sposa l’AI Act con la nostra normativa. Con quali effetti, lo vedremo.
Con l’approvazione in via definitiva di due decreti legislativi attuativi della delega conferita dall’art. 24 della legge 23 settembre 2025, n. 132, il Consiglio dei Ministri ha completato il primo intervento organico di adeguamento dell’ordinamento italiano al Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024 (Artificial Intelligence Act – AI Act).
L’intervento normativo assume particolare rilievo in quanto disciplina uno dei settori maggiormente sensibili dell’impiego di sistemi di intelligenza artificiale, le attività di pubblica sicurezza e di polizia, bilanciando le esigenze di prevenzione e repressione dei reati con la tutela dei diritti fondamentali della persona, primo fra tutti il diritto alla protezione dei dati personali sancito dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea.
Il legislatore nazionale ha adeguato l’ordinamento interno all’impostazione del regolamento europeo, fondata su un approccio “risk based“, secondo cui il livello di regolazione cresce in funzione del rischio che il sistema di intelligenza artificiale presenta per i diritti fondamentali e per la sicurezza delle persone.
Indice degli argomenti
Ai act in Italia, polizia tra controllo umano e prevenzione
Il decreto legislativo introduce una disciplina organica dell’utilizzo dei sistemi di intelligenza artificiale da parte delle autorità di pubblica sicurezza, affermando un principio ormai consolidato in ambito IA e destinato a costituire il cardine dell’intera disciplina: l’intelligenza artificiale rappresenta uno strumento di supporto all’attività umana e non può sostituire l’autonoma valutazione dell’operatore.
In coerenza con il principio del controllo umano (“human oversight“), previsto dall’AI Act che lo codifica all’art. 14, ogni decisione suscettibile di incidere negativamente sulla posizione giuridica di un individuo deve essere assunta da un’autorità competente e non può derivare esclusivamente da un’elaborazione automatizzata.
L’utilizzo degli algoritmi è pertanto limitato ad attività di analisi, supporto investigativo, individuazione di correlazioni informative e ausilio operativo, mentre resta esclusa qualsiasi forma di automatismo decisionale che determini effetti giuridici nei confronti dei cittadini.
Il decreto rafforza inoltre la responsabilità dell’operatore pubblico, il quale mantiene la piena titolarità della decisione finale e deve poter comprendere, verificare ed eventualmente disattendere il risultato prodotto dal sistema di intelligenza artificiale.
Riconoscimento biometrico tra divieti ed eccezioni
Uno dei profili più delicati dell’AI Act riguarda l’impiego dei sistemi di identificazione biometrica, in particolare del riconoscimento facciale.
Il Regolamento (UE) 2024/1689 individua tali sistemi tra quelli maggiormente invasivi per i diritti fondamentali, prevedendo un regime particolarmente rigoroso.
Pratiche vietate e archivi biometrici
L’art. 5 dell’AI Act elenca le pratiche di intelligenza artificiale considerate incompatibili con i valori dell’Unione europea.
Con riferimento al riconoscimento biometrico risultano vietati, tra gli altri, la creazione o l’ampliamento di banche dati di riconoscimento facciale mediante raccolta indiscriminata (“scraping”) di immagini facciali provenienti da Internet o da sistemi di videosorveglianza; i sistemi di categorizzazione biometrica che classificano le persone sulla base di dati sensibili quali origine etnica, convinzioni religiose, opinioni politiche, orientamento sessuale o altri dati appartenenti alle categorie particolari di cui all’art. 9 del GDPR; i sistemi che effettuano inferenze sulle emozioni nei luoghi di lavoro e negli istituti scolastici, salvo limitate eccezioni con finalità mediche o di sicurezza; i sistemi di social scoring realizzati da autorità pubbliche; i sistemi manipolativi che sfruttano vulnerabilità delle persone producendo effetti significativamente lesivi.
Assume particolare rilevanza il divieto di costituire archivi biometrici mediante raccolta massiva e non mirata di immagini reperite sul web, disposizione ripresa integralmente anche dal decreto legislativo italiano.
Identificazione in tempo reale
L’identificazione biometrica remota “in tempo reale” in spazi accessibili al pubblico costituisce una delle pratiche maggiormente limitate dal legislatore europeo.
L’art. 5 dell’AI Act ne vieta l’utilizzo da parte delle autorità di contrasto, salvo tassative eccezioni.
L’impiego è consentito esclusivamente quando sia strettamente necessario e proporzionato per la ricerca di vittime di reato, persone scomparse o minori sottratti; la prevenzione di una minaccia concreta, imminente e prevedibile per la vita o l’incolumità delle persone ovvero di un attacco terroristico; la localizzazione o identificazione di soggetti sospettati della commissione di reati particolarmente gravi individuati dal diritto dell’Unione.
L’utilizzo deve essere limitato nel tempo, nello spazio geografico e alle persone strettamente interessate dalla ricerca.
È inoltre richiesta una preventiva autorizzazione dell’autorità giudiziaria ovvero di un’autorità amministrativa indipendente nei casi previsti dalla normativa nazionale.
Il decreto legislativo italiano recepisce tale impostazione stabilendo che il ricorso al riconoscimento facciale in tempo reale rappresenta uno strumento eccezionale, subordinato ad autorizzazione giudiziaria e utilizzabile esclusivamente per periodi limitati.
Analisi ex post e banche dati
Diverso è il regime del riconoscimento facciale effettuato “ex post“, mediante analisi di immagini già registrate. Tale attività non è vietata dall’AI Act, ma rientra tra i sistemi di IA ad alto rischio quando impiegata dalle autorità pubbliche.
Il decreto legislativo precisa i requisiti tecnici delle banche dati di confronto, imponendo: l’individuazione delle basi dati utilizzabili; l’obbligo di cancellazione dei dati non più necessari; il divieto di incrementare progressivamente le banche dati attraverso i risultati delle identificazioni effettuate; specifiche garanzie di tracciabilità delle operazioni e di sicurezza informatica.
Il coinvolgimento del Garante per la protezione dei dati personali viene rafforzato sia nelle attività di vigilanza sia nei programmi di sperimentazione (“regulatory sandbox“) previsti dall’AI Act.
Ai act e polizia alla prova della responsabilità
Il decreto introduce una significativa innovazione anche sul piano della responsabilità. Sul versante penale viene inserito nel Codice penale il nuovo art. 437-bis, volto a sanzionare l’omessa adozione delle misure di sicurezza richieste per i sistemi di IA ad alto rischio e la manipolazione o alterazione illecita dei sistemi di intelligenza artificiale.
La pena viene graduata in funzione della gravità del pericolo creato e del bene giuridico esposto al rischio. Parallelamente viene rafforzata la tutela civilistica del soggetto danneggiato.
Tra le principali innovazioni si segnalano il diritto di ottenere la documentazione tecnica relativa al funzionamento del sistema di IA; una presunzione del nesso causale in presenza di determinate violazioni degli obblighi normativi; la previsione di un foro territorialmente vicino alla residenza del danneggiato; l’azione diretta nei confronti dell’impresa assicuratrice.
L’impianto appare coerente con il più generale processo europeo volto a superare le difficoltà probatorie derivanti dall’opacità algoritmica (“black box problem“).
Le modifiche del testo definitivo
Nel corso dell’iter consultivo il testo è stato significativamente integrato alla luce dei pareri resi dalle Commissioni parlamentari, dalla Conferenza Unificata e dal Garante per la protezione dei dati personali.
Tra le principali modifiche assumono rilievo la disciplina dettagliata delle banche dati utilizzabili per il riconoscimento facciale a posteriori, l’esplicitazione degli obblighi di cancellazione e delle garanzie contro l’ampliamento progressivo degli archivi biometrici, l’introduzione di una specifica responsabilità dell’utilizzatore professionale che ometta volontariamente le misure di sorveglianza umana nei sistemi ad alto rischio, il coinvolgimento degli enti territoriali nella progettazione, installazione e manutenzione dei sistemi intelligenti di videosorveglianza, il rafforzamento delle competenze del Garante per la protezione dei dati personali sia nella vigilanza sia nell’ambito delle sperimentazioni regolatorie.
Sicurezza pubblica e limiti operativi
Accanto alle rilevanti problematiche in materia di tutela dei dati personali, il riconoscimento facciale rappresenta uno degli strumenti tecnologici con il maggiore potenziale nel campo della sicurezza pubblica.
Le esperienze internazionali dimostrano come tali sistemi possano incrementare significativamente la capacità preventiva delle forze di polizia quando utilizzati entro un quadro normativo rigoroso.
Tra i principali ambiti applicativi possono essere individuati la localizzazione di soggetti destinatari di provvedimenti restrittivi, la ricerca di minori scomparsi e persone vulnerabili, la prevenzione di attentati terroristici mediante identificazione di soggetti già inseriti nelle banche dati investigative, il controllo degli accessi in infrastrutture critiche, aeroporti, stazioni e grandi eventi, il supporto alle indagini attraverso il confronto tra immagini provenienti da sistemi di videosorveglianza e archivi autorizzati.
L’impiego dell’intelligenza artificiale consente inoltre di elaborare grandi quantità di dati in tempi incompatibili con l’attività umana, individuando collegamenti investigativi che potrebbero altrimenti sfuggire agli operatori.
Tuttavia, la stessa efficacia tecnologica impone rigorose garanzie giuridiche. Il rischio di falsi positivi, di discriminazioni algoritmiche, di sorveglianza generalizzata e di compressione dei diritti fondamentali rende imprescindibile il rispetto dei principi di necessità, proporzionalità, minimizzazione dei dati e controllo umano.
Il modello delineato dall’AI Act e attuato nell’ordinamento italiano appare orientato proprio a tale equilibrio: consentire l’utilizzo delle tecnologie biometriche soltanto nei casi in cui il beneficio per la sicurezza collettiva risulti chiaramente prevalente rispetto all’incidenza sui diritti individuali, assicurando controlli preventivi, trasparenza, responsabilità degli operatori e vigilanza delle autorità indipendenti.
L’adeguamento dell’Italia all’AI Act alla prova
L’adeguamento dell’ordinamento italiano al Regolamento (UE) 2024/1689 (AI Act) segna un passaggio fondamentale nella costruzione di una disciplina nazionale dell’intelligenza artificiale conforme ai principi europei.
L’intervento normativo tenta di conciliare due esigenze solo apparentemente contrapposte: da un lato, valorizzare le potenzialità dell’intelligenza artificiale quale strumento di supporto alle attività investigative e di prevenzione dei reati; dall’altro, preservare il nucleo essenziale dei diritti fondamentali, evitando derive di sorveglianza indiscriminata o decisioni automatizzate prive di controllo umano.
La disciplina del riconoscimento biometrico rappresenta il banco di prova di tale equilibrio. L’AI Act non vieta in assoluto queste tecnologie, ma ne circoscrive rigorosamente l’utilizzo entro un sistema di eccezioni tassative, autorizzazioni preventive e responsabilità rafforzate.
In tale prospettiva, il legislatore italiano si colloca nel solco del modello europeo di “IA affidabile” (Trustworthy AI), fondato sulla centralità della persona, sulla proporzionalità dell’intervento pubblico e sulla costante supervisione umana quale presidio imprescindibile della legalità costituzionale ed europea.
Partecipa alla community