Il decreto attuativo della legge italiana sull’intelligenza artificiale disciplina per la prima volta il riconoscimento facciale a posteriori in spazi pubblici, aprendo un fronte operativo diretto per chi assiste enti pubblici, forze dell’ordine o privati in materia di protezione dei dati. Le garanzie previste dal Regolamento UE 2024/1689 (AI Act) e dal GDPR restano il doppio binario normativo di riferimento per valutare la legittimità di qualsiasi trattamento biometrico. Un avvocato che non presidia questo incrocio tra normativa AI e diritto alla privacy rischia di lasciare i propri clienti esposti a contestazioni sia in sede amministrativa che giudiziaria.
Punti chiave
- Punto 1 — Il decreto attuativo introduce regole sul riconoscimento facciale a posteriori per finalità di sicurezza pubblica.
- Punto 2 — Il trattamento di dati biometrici in luoghi pubblici richiede una base giuridica rafforzata ai sensi dell’art. 9 GDPR.
- Punto 3 — I falsi positivi generati dai sistemi AI espongono a responsabilità risarcitorie e a ricorsi davanti al Garante Privacy.
Chi assiste comuni, prefetture, gestori di grandi eventi o semplicemente cittadini che chiedono come tutelarsi, deve sapere che il quadro normativo sul riconoscimento facciale in Italia si è appena complicato. Il decreto attuativo della legge sull’intelligenza artificiale introduce regole specifiche sull’uso a posteriori di sistemi biometrici in contesti pubblici, con implicazioni dirette su contratti, capitolati e strategie difensive.
Secondo quanto riportato da Agenda Digitale, il decreto pone al centro il riconoscimento facciale a posteriori per finalità di sicurezza: la raccolta massiva di dati biometrici in luoghi ed eventi pubblici solleva questioni aperte su proporzionalità, garanzie procedurali, infrastrutture tecniche e tasso di falsi positivi.
Il contesto normativo
Il Regolamento UE 2024/1689 (AI Act) classifica i sistemi di identificazione biometrica remota in tempo reale come sistemi ad alto rischio e ne vieta l’uso in spazi pubblici, salvo eccezioni tassative legate a reati gravi, terrorismo e ricerca di persone scomparse. L’art. 9 del GDPR (Regolamento UE 2016/679) impone una base giuridica rafforzata per qualsiasi trattamento di dati biometrici, richiedendo o il consenso esplicito o una norma di legge che lo autorizzi espressamente. In Italia, l’art. 2-sexies del d.lgs. 196/2003 (Codice Privacy) consente il trattamento di categorie particolari di dati solo se una norma di legge o di regolamento lo prevede esplicitamente e con finalità di interesse pubblico. Il decreto attuativo in esame opera proprio su questo livello, ma la sua compatibilità con l’AI Act — direttamente applicabile dal 2 agosto 2026 per i sistemi ad alto rischio — andrà verificata caso per caso.
Cosa cambia per lo studio
- Revisione dei contratti con enti pubblici: chi redige o assiste nella negoziazione di capitolati per sistemi di videosorveglianza o sicurezza urbana deve inserire clausole che richiamino espressamente i limiti dell’AI Act e del decreto attuativo, con previsione di audit periodici sulla qualità algoritmica del sistema.
- Consulenza privacy per gestori di eventi: concerti, manifestazioni sportive e fiere con accesso controllato tramite riconoscimento facciale richiedono una DPIA (Data Protection Impact Assessment) ex art. 35 GDPR prima dell’attivazione del sistema, non dopo.
- Difesa di soggetti identificati erroneamente: il tasso di falsi positivi — spesso più elevato su volti femminili e di persone di colore — genera un rischio concreto di fermi illegittimi. Sul piano processuale, occorre già ora costruire l’eccezione sull’inaffidabilità della prova biometrica, richiamando la giurisprudenza della Corte EDU sull’art. 8 CEDU (diritto alla vita privata).
- Ricorsi al Garante Privacy: il Garante italiano ha già sanzionato l’uso di sistemi di riconoscimento facciale non autorizzati (provvedimento del 26 luglio 2023 su Clearview AI, multa da 45 milioni di euro nel contesto europeo). Questo precedente rafforza la strategia di ricorso per chiunque ritenga di essere stato identificato senza base giuridica.
- Aggiornamento delle informative: qualsiasi soggetto pubblico o privato che intenda avvalersi di sistemi biometrici deve aggiornare le informative ex art. 13-14 GDPR, specificando finalità, base giuridica, periodo di conservazione e diritti dell’interessato.
Attenzione a
Confondere il “a posteriori” con il “meno invasivo”. Il riconoscimento facciale a posteriori — cioè su database di immagini già raccolte — non è automaticamente lecito per il solo fatto di non avvenire in tempo reale. L’AI Act lo classifica comunque come sistema biometrico ad alto rischio se usato dalle autorità di contrasto, con le stesse garanzie procedurali richieste per l’identificazione in tempo reale.
Sottovalutare la responsabilità degli integratori tecnologici. Se il tuo cliente fornisce o integra questi sistemi per conto di un ente pubblico, risponde in solido per le violazioni al GDPR commesse dal titolare del trattamento, salvo prova contraria e corretta formalizzazione del rapporto come responsabile del trattamento ex art. 28 GDPR. Un accordo di data processing incompleto è già di per sé una violazione sanzionabile.
Domande frequenti
Il riconoscimento facciale a posteriori è vietato in Italia?
Non è vietato in assoluto, ma richiede una base giuridica esplicita ai sensi dell’art. 9 GDPR e dell’art. 2-sexies del d.lgs. 196/2003. L’AI Act lo classifica come sistema ad alto rischio quando usato dalle autorità di contrasto, imponendo garanzie procedurali stringenti. Il decreto attuativo italiano ne disciplina le condizioni d’uso per finalità di sicurezza pubblica, ma la sua conformità all’AI Act andrà verificata sistematicamente.
Cosa rischia un comune che installa telecamere con riconoscimento facciale senza DPIA?
Rischia una sanzione amministrativa fino a 20 milioni di euro o al 4% del fatturato annuo globale ai sensi dell’art. 83 GDPR, oltre all’ordine di cessazione del trattamento da parte del Garante. La DPIA ex art. 35 GDPR è obbligatoria prima dell’avvio di qualsiasi trattamento biometrico su larga scala in luoghi pubblici. Il Garante italiano ha già adottato misure correttive in casi analoghi.
Come si contesta in giudizio un’identificazione errata tramite riconoscimento facciale?
La strategia difensiva si articola su tre livelli: eccepire l’assenza di base giuridica del trattamento biometrico, produrre documentazione sul tasso di errore del sistema usato (spesso disponibile nelle schede tecniche del fornitore), e richiamare l’art. 8 CEDU secondo l’interpretazione della Corte EDU. Sul piano interno, il ricorso al Garante Privacy e l’azione risarcitoria ex art. 82 GDPR sono percorsi cumulabili.
Fonte di riferimento: AgendaDigitale