L’AI Act classifica come ad alto rischio i sistemi AI usati per il controllo delle frontiere (Allegato III, punto 7), ma prevede eccezioni operative rilevanti per le autorità di sicurezza nazionale. Chi assiste stranieri destinatari di decisioni automatizzate può contestare la mancata trasparenza dell’algoritmo ai sensi dell’art. 13 AI Act e dell’art. 22 GDPR, che vieta decisioni basate esclusivamente su trattamento automatizzato con effetti giuridici significativi. La frattura normativa tra AI Act e contesti migratori apre oggi un fronte concreto di ricorsi amministrativi e richieste di accesso agli atti.
Punti chiave
- Punto 1 — L’AI Act classifica ad alto rischio i sistemi biometrici e predittivi usati alle frontiere UE.
- Punto 2 — L’art. 22 GDPR vieta decisioni automatizzate con effetti giuridici senza intervento umano effettivo.
- Punto 3 — Le eccezioni per sicurezza nazionale nell’AI Act creano un vuoto sfruttabile in sede di ricorso.
Chi gestisce pratiche di diritto dell’immigrazione o assiste PA coinvolte in appalti tecnologici di frontiera deve mappare subito una zona grigia normativa che i Tribunali amministrativi inizieranno a presidiare nei prossimi mesi. I sistemi AI usati per profilare migranti, analizzare richieste di asilo o gestire rimpatri rientrano nell’Allegato III, punto 7 del Regolamento (UE) 2024/1689 (AI Act), ma le deroghe per la sicurezza nazionale aprono spazi che la Commissione non ha ancora chiarito.
Secondo un’analisi pubblicata da Agenda Digitale, il mercato dell’AI applicata al controllo delle frontiere vale già miliardi di euro e attrae investimenti crescenti in droni autonomi, piattaforme predittive e biometria integrata. Il problema è che l’AI Act, pur vietando alcuni usi nelle aree pubbliche, lascia margini operativi significativi proprio nei contesti migratori.
Il contesto normativo
L’art. 6 AI Act, letto insieme all’Allegato III punto 7, qualifica come sistemi ad alto rischio quelli usati per la gestione della migrazione, dell’asilo e del controllo delle frontiere: valutazione del rischio di immigrazione irregolare, esame di domande di visto, riconoscimento biometrico agli attraversamenti di frontiera. Questi sistemi sono soggetti agli obblighi di trasparenza, registrazione e supervisione umana degli artt. 13-14 AI Act.
Tuttavia, l’art. 2, par. 3 AI Act esclude dall’ambito applicativo i sistemi sviluppati o usati esclusivamente per scopi di sicurezza nazionale. Questa esclusione si sovrappone pericolosamente all’art. 22 GDPR, che vieta decisioni basate esclusivamente su trattamento automatizzato quando producono effetti giuridici significativi sul soggetto. La Corte di Giustizia UE, con la sentenza C-634/21 (SCHUFA, 7 dicembre 2023), ha già stabilito che il scoring automatizzato ricade nell’art. 22 GDPR se determina in modo decisivo la posizione giuridica dell’interessato.
Sul piano domestico, il d.lgs. 101/2018 recepisce il GDPR e l’art. 8 della l. 241/1990 garantisce il diritto di accesso ai documenti amministrativi, inclusi — secondo TAR Lazio, sez. I-bis, n. 1769/2023 — gli algoritmi usati in procedure che producono provvedimenti individuali.
Cosa cambia per lo studio
- Nei ricorsi contro dinieghi di protezione internazionale o espulsioni, verifica se il provvedimento è stato supportato da un sistema AI: in quel caso richiedi la documentazione tecnica del sistema ai sensi dell’art. 13 AI Act e dell’art. 15 GDPR.
- Se assisti un ente pubblico che acquista o integra tecnologie AI di frontiera, controlla che il fornitore abbia registrato il sistema nella banca dati UE prevista dall’art. 71 AI Act, operativa dal 2 agosto 2026 per i sistemi ad alto rischio.
- Per ogni decisione automatizzata con effetti giuridici su un cittadino straniero, verifica la presenza di una revisione umana effettiva e documentata: l’assenza costituisce violazione dell’art. 22 GDPR e base per il ricorso.
- Monitora le gare d’appalto Frontex e delle prefetture per tecnologie biometriche: i capitolati tecnici devono oggi includere la conformità all’AI Act, e la loro assenza può essere motivo di impugnazione ex art. 83 d.lgs. 36/2023 (Codice dei contratti pubblici).
- Nei procedimenti disciplinari o penali che coinvolgono decisioni di frontiera basate su AI, l’opacità algoritmica può fondare una questione di legittimità costituzionale per violazione del diritto di difesa ex art. 24 Cost.
Attenzione a
Il rischio principale è confondere l’esclusione per sicurezza nazionale con una esenzione totale. L’art. 2, par. 3 AI Act non copre automaticamente tutti i sistemi AI usati in ambito migratorio: se il sistema è gestito da un’autorità civile (prefettura, questura) e non da un’agenzia di intelligence, l’esclusione non si applica e gli obblighi AI Act restano vigenti.
Secondo rischio: trascurare il doppio binario GDPR-AI Act. Le due normative si applicano in parallelo e la violazione dell’art. 22 GDPR è perseguibile davanti al Garante Privacy italiano con sanzioni fino al 4% del fatturato globale annuo del titolare del trattamento, indipendentemente dall’applicazione dell’AI Act.
Domande frequenti
Un diniego di asilo basato su algoritmo predittivo è impugnabile per violazione del GDPR?
Sì. Se il sistema AI ha influenzato in modo determinante la decisione senza revisione umana documentata, si configura una violazione dell’art. 22 GDPR, come confermato dalla CGUE nella sentenza C-634/21 del 7 dicembre 2023. Il ricorrente può chiedere al Garante Privacy l’accertamento della violazione e al giudice amministrativo l’annullamento del provvedimento per difetto di istruttoria.
Come accedere alla documentazione dell’algoritmo usato in un procedimento di frontiera?
Puoi azionare contemporaneamente l’art. 15 GDPR (accesso ai dati personali e alla logica del trattamento automatizzato) e l’art. 22 l. 241/1990 (accesso agli atti amministrativi). Il TAR Lazio, sez. I-bis, n. 1769/2023 ha riconosciuto l’accessibilità degli algoritmi usati in procedimenti individuali. In caso di diniego, il ricorso ex art. 116 c.p.a. è lo strumento più rapido.
Un ente pubblico che acquista tecnologia AI per il controllo delle frontiere deve rispettare l’AI Act nelle gare d’appalto?
Sì, dal 2 agosto 2026 i sistemi ad alto rischio devono essere registrati nella banca dati UE ex art. 71 AI Act prima dell’immissione sul mercato. Già oggi i capitolati tecnici dovrebbero prevedere clausole di conformità AI Act. L’omissione può essere contestata in sede di impugnazione del bando ai sensi dell’art. 83 d.lgs. 36/2023.
Fonte di riferimento: AgendaDigitale