Lucrezia Ciotti Il governo vuole ampliare l’utilizzo del riconoscimento facciale da parte delle forze dell’ordine, anche attraverso sistemi di intelligenza artificiale. Il decreto è però al centro di un acceso confronto per i rischi sulla privacy e i dubbi di compatibilità con l’AI Act europeo.
Riconoscimento facciale: cosa prevede il decreto del governo
Il governo punta a rafforzare gli strumenti a disposizione delle forze dell’ordine attraverso l’impiego dell’intelligenza artificiale e del riconoscimento facciale.
Lo schema di decreto legislativo, approvato in via preliminare dal Consiglio dei ministri il 10 giugno 2026, non è ancora legge ed è ora all’esame delle commissioni parlamentari. Il 29 luglio la maggioranza ha accelerato l’iter, mentre la commissione Politiche dell’Unione europea del Senato ha espresso osservazioni favorevoli. Dopo i pareri delle commissioni e delle autorità competenti, il testo dovrà tornare al Consiglio dei ministri per l’approvazione definitiva, entro il 10 ottobre.
Il provvedimento nasce per adeguare la normativa italiana all’AI Act europeo e alla legge sull’intelligenza artificiale approvata nel settembre 2025. Il testo prevede tre principali modalità di utilizzo: riconoscimento in tempo reale per prevenire minacce specifiche o cercare persone scomparse, utilizzo durante le indagini penali e analisi a posteriori delle immagini già registrate.
Il funzionamento della tecnologia non consiste semplicemente nel confrontare due fotografie.
Il software analizza il volto e lo trasforma in una sequenza di valori numerici basati su caratteristiche fisiche, come la distanza tra gli occhi, la forma della mandibola e la posizione degli zigomi. I dati vengono poi confrontati con quelli presenti in un archivio e il sistema restituisce una serie di possibili corrispondenze sulla base della percentuale di somiglianza. L’articolo 8 disciplina il riconoscimento facciale in tempo reale negli spazi pubblici o aperti al pubblico. Il suo impiego è previsto in circostanze specifiche: per prevenire una minaccia grave e concreta, come un attacco terroristico o un pericolo per la vita delle persone, oppure per cercare persone scomparse e vittime di sequestro, tratta di esseri umani o sfruttamento sessuale.
Il sistema dovrebbe quindi essere utilizzato per individuare persone già determinate o determinabili e il confronto può avvenire soltanto con una banca dati adeguata alla singola finalità. Non sarebbe consentito utilizzare indiscriminatamente immagini raccolte online o attraverso sistemi di videosorveglianza.
L’attivazione deve essere autorizzata dal procuratore della Repubblica, che stabilisce area interessata, persone ricercate e durata dell’operazione, fissata in un massimo di 15 giorni, eventualmente rinnovabile. In caso di urgenza, la polizia può iniziare l’attività dopo aver informato anche oralmente il pm: la richiesta formale deve arrivare entro 12 ore e il pubblico ministero decide nelle successive 12. Se l’autorizzazione non viene concessa, l’operazione deve essere interrotta e i dati cancellati.
Durante un procedimento penale, invece, l’utilizzo del riconoscimento facciale è previsto per confermare l’identità o localizzare un indiziato per determinati reati gravi, cercare un latitante destinatario di una misura cautelare o di un ordine di carcerazione oppure individuare specifiche vittime di sottrazione, tratta o sfruttamento sessuale. In questo caso l’autorizzazione spetta al gip, su richiesta del pubblico ministero.
Riconoscimento facciale, l’Ue ‘ferma’ L’Italia: dove è vietato e perché
Il punto più controverso del decreto è l’articolo 10, che riguarda le videocamere di sorveglianza già installate. Questi sistemi potranno essere integrati con strumenti di intelligenza artificiale da utilizzare dopo la commissione di un reato per identificare persone già indiziate sulla base di elementi oggettivi e verificabili.
La maggiore preoccupazione riguarda però gli stadi, i concerti, le stazioni, le manifestazioni e i grandi eventi. Nei luoghi caratterizzati da esigenze di ordine e sicurezza pubblica, il testo consente infatti di elaborare automaticamente le immagini dei volti delle persone che entrano per ricavare dati biometrici. Il confronto con il volto di un indiziato dovrebbe avvenire soltanto dopo un reato, ma la raccolta dei dati biometrici può precedere qualsiasi illecito.
I dati presenti nell’archivio possono essere conservati per sette giorni, con cancellazione automatica alla scadenza. Se durante questo periodo viene commesso un reato, le informazioni possono essere utilizzate per effettuare il confronto. È proprio questo meccanismo a sollevare i maggiori dubbi, perché potrebbe coinvolgere anche persone che non sono sospettate di aver commesso alcun reato.
Il governo sostiene che la raccolta delle immagini e il successivo riconoscimento siano due operazioni distinte e che il confronto biometrico venga attivato soltanto dopo un reato. Il Garante della privacy, pur giudicando lo schema nel complesso coerente con l’AI Act e con la legge delega, ha chiesto però di chiarire questo punto nel testo. Secondo l’Autorità, «l’elaborazione dei dati biometrici deve avvenire esclusivamente ex post sulle tracce registrate a fronte di specifiche esigenze operative». Il Garante contesta inoltre la formulazione troppo generica relativa ai luoghi e agli eventi nei quali potrebbe essere utilizzata la tecnologia. Il rischio, secondo l’Autorità, è quello di arrivare a una sorveglianza preventiva e di massa, non limitata alle persone effettivamente ricercate.
La questione è ancora più delicata perché l’AI Act europeo vieta in linea generale l’identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico per finalità di polizia, ammettendo soltanto specifiche eccezioni. La Commissione europea ha già espresso perplessità sulla normativa italiana. Il portavoce Thomas Regnier ha dichiarato: «Il riconoscimento facciale negli spazi accessibili al pubblico è una pratica vietata». Critiche sono arrivate anche dall’opposizione. Il senatore del Pd Filippo Sensi ha definito il riconoscimento facciale a posteriori una «pesca a strascico», spiegando: «Si accende la telecamera, tu passi per quella strada, le autorità possono trattenere per sette giorni i tuoi dati anche se non hai commesso un reato. Noi siamo per la polizia di Stato, ma non per lo Stato di polizia».
Il testo non è quindi ancora definitivo. Il governo dovrà ora valutare i rilievi delle commissioni parlamentari, del Garante e delle istituzioni europee prima del passaggio conclusivo in Consiglio dei ministri. Il nodo centrale resta il rapporto tra sicurezza e tutela della privacy: l’obiettivo è fornire alla polizia strumenti più rapidi per individuare sospetti e responsabili, ma evitando che il riconoscimento facciale si trasformi in una forma di sorveglianza generalizzata dei cittadini.