Approvato il decreto legge sul riconoscimento facciale: cosa cambia dalla prima versione

Negli ultimi giorni si è discusso molto del recepimento da parte del governo italiano dell’AI Act, ossia il regolamento europeo 2024/1689 sull’intelligenza artificiale. Come spesso accade nell’UE, il regolamento adotta un approccio graduale basato sul rischio: quanto maggiore è il potenziale impatto di un sistema IA sui diritti delle persone, tanto più rigorosi sono gli obblighi previsti. Tra le applicazioni considerate più sensibili rientra il riconoscimento biometrico – l’identificazione o la verifica dell’identità di una persona tramite caratteristiche fisiche uniche, come il volto, le impronte digitali o la voce – utilizzato dalle autorità.

L’Italia sta dando attuazione all’AI Act attraverso un decreto legislativo. Una prima versione, approvata dal Consiglio dei ministri il 10 giugno 2026, aveva suscitato un ampio dibattito. Le critiche riguardavano sia la scelta dello strumento del decreto legislativo, che limita il ruolo del Parlamento all’espressione di un parere non vincolante, sia alcune disposizioni che sembravano ampliare le possibilità di utilizzo del riconoscimento facciale da parte delle autorità di pubblica sicurezza oltre quanto richiesto dal pacchetto europeo. Dopo i rilievi del Garante della privacy e della Commissione europea, e le proteste delle opposizioni, il 4 agosto 2026 il Consiglio dei ministri ha infine approvato il decreto in via definitiva con alcune modifiche rispetto alla versione iniziale.

Come funziona il riconoscimento facciale

Il riconoscimento facciale è una tecnologia basata sull’intelligenza artificiale che permette di identificare una persona a partire dall’immagine del suo volto. Il processo si articola in diverse fasi: una telecamera o una fotografia acquisisce l’immagine; un algoritmo ne estrae un template biometrico, ossia una rappresentazione matematica delle sue caratteristiche; infine, questo modello viene confrontato con una banca dati, come quella del casellario giudiziale. Se viene rilevata una corrispondenza, è possibile risalire all’identità della persona.

Questa tecnologia è già utilizzata in diversi contesti, ad esempio nei controlli automatizzati alle frontiere o nei sistemi di sblocco degli smartphone. Tuttavia, il suo impiego da parte delle autorità solleva questioni particolarmente delicate. Come osserva il professore e costituzionalista Giuseppe Mobilio in un’intervista a Sky tg24, il principale elemento di criticità è la capacità del riconoscimento facciale di identificare persone a distanza e su larga scala, senza che gli interessati ne siano consapevoli.

Cosa prevede il decreto approvato e cosa cambia rispetto alla bozza iniziale

Una delle disposizioni più discusse del provvedimento riguarda l’identificazione biometrica in tempo reale (articolo 8), consentita solo per prevenire una minaccia specifica e grave – come un attacco terroristico – o per cercare persone scomparse. In entrambi i casi, lo strumento può essere usato unicamente per confermare l’identità di persone già individuate o per localizzare soggetti già ricercati, non per scandagliare grandi archivi alla ricerca di un possibile sospetto.

Nei casi urgenti, la polizia può però attivare il meccanismo informando anche solo verbalmente il pubblico ministero (PM) – ossia il magistrato che dirige le indagini – e ottenere una convalida entro 24 ore. Resta quindi da capire quanto spesso si farà ricorso a questa procedura rispetto a quella ordinaria, che prevede il doppio controllo prima del PM e poi del giudice per la indagini preliminari (GIP), un giudice terzo che interviene a garanzia della legalità delle indagini.

Un ulteriore punto critico riguarda il riconoscimento facciale sulle immagini raccolte dai sistemi di videosorveglianza già installati (articolo 10). In questo caso, l’analisi biometrica può essere attivata soltanto dopo la commissione di un reato e per identificare persone già indiziate. Rispetto alla bozza, il governo ha ristretto il perimetro di utilizzo e rafforzato alcune garanzie per adeguarsi alle richieste europee, ad esempio, introducendo un doppio controllo da parte del PM e del GIP per l’attivazione della tecnologia.

I confronti sulle banche dati dovranno basarsi su archivi già a disposizione delle forze dell’ordine o su immagini acquisite legalmente, senza creare archivi biometrici permanenti né ricorrere allo scraping – ossia la raccolta automatizzata – di immagini online. Le immagini provenienti da luoghi considerati sensibili potranno essere conservate per un massimo di sette giorni, prima della cancellazione automatica, ma il riconoscimento biometrico si attiverebbe solo dopo la commissione di un reato. Inoltre, viene infine rafforzato, almeno sulla carta, il ruolo di controllo del Garante per la protezione dei dati personali che dovrà essere notificato di ogni utilizzo del riconoscimento facciale in tempo reale.

Un trade-off tra libertà e sicurezza

Il dibattito sul riconoscimento facciale mette in luce una questione destinata a diventare sempre più centrale: come conciliare sicurezza e tutela dei diritti fondamentali nell’era dell’intelligenza artificiale.

Le modifiche introdotte nell’ultima versione del decreto vanno nella direzione indicata da Bruxelles e riducono alcuni dei rischi di “schedatura di massa” segnalati nelle settimane scorse. Al momento dell’approvazione, il testo definitivo del decreto non è ancora stato pubblicato: le informazioni disponibili si basano sulle dichiarazioni del viceministro della Giustizia Francesco Paolo Sisto e sulle anticipazioni delle agenzie di stampa. Una valutazione puntuale della conformità all’AI Act sarà quindi possibile solo alla pubblicazione del testo integrale.

L’Italia è tra i primi Stati membri ad attuare il regolamento europeo. Proprio per questo, la vera sfida sarà costruire un insieme di garanzie che consenta di sfruttare le potenzialità dell’IA nell’interesse pubblico, prevenendo abusi e proteggendo dati biometrici così sensibili da utilizzi impropri o accessi non autorizzati.