Riconoscimento facciale nelle indagini, approvato il decreto AI Act: cosa cambia e quali sono i limiti

Il riconoscimento facciale è una delle applicazioni dell'intelligenza artificiale che forse più di ogni altra solleva interrogativi sul delicato equilibrio tra sicurezza e tutela della privacy. Per questo motivo il decreto approvato dal Consiglio dei Ministri con cui l'Italia recepisce l'AI Act, il regolamento europeo dedicato all'intelligenza artificiale, introduce regole precise sul suo utilizzo da parte delle forze dell'ordine, definendo quando questa tecnologia può essere impiegata e quali autorizzazioni sono necessarie per offrire garanzie contro possibili usi impropri della stessa.

Cos’è e come funziona il riconoscimento facciale

Prima di capire cosa cambia, è utile comprendere, almeno per sommi capi, i meccanismi alla base di questa tecnologia. Si tratta di una tecnologia di identificazione biometrica, cioè basata sull'analisi di caratteristiche fisiche uniche di una persona. Nel caso specifico vengono analizzati elementi del volto, come la distanza tra gli occhi, la forma del naso, la posizione della bocca o il profilo del viso. Queste informazioni vengono trasformate in un modello matematico, chiamato anche “template biometrico”, che può essere confrontato con altri modelli presenti in una banca dati per verificare se esiste una corrispondenza.

È importante distinguere il riconoscimento facciale dalla semplice videosorveglianza. Mentre una telecamera tradizionale registra immagini, un sistema di riconoscimento facciale utilizza algoritmi di intelligenza artificiale per analizzare automaticamente i volti e confrontarli con dati già disponibili. Un sistema del genere, quindi, non si limita a riprendere ciò che accade, ma prova a stabilire l'identità delle persone presenti nelle immagini. Per questo parliamo di “riconoscimento facciale”.

I limiti e le modifiche introdotti dal decreto

Proprio per la natura particolarmente invasiva di questa tecnologia, il decreto di recepimento dell'AI Act introduce una serie di limiti e controlli che hanno l'obiettivo di consentire l'impiego del riconoscimento facciale in circostanze ben definite e con il controllo dell'autorità giudiziaria, evitando così che l’uso di questo sistema possa trasformarsi in uno strumento di sorveglianza di massa.

Uno degli aspetti più rilevanti è contenuto nell'articolo 10 e riguarda il riconoscimento facciale effettuato «a posteriori», cioè dopo che un reato è già stato commesso. In pratica, gli investigatori possono analizzare immagini già registrate per verificare l'identità di una persona sospettata, ma devono rispettare una procedura precisa. L'ufficiale di polizia giudiziaria è infatti tenuto a richiedere l'autorizzazione al PM entro 24 ore dall'attivazione del sistema. Se questa autorizzazione non arriva oppure i termini previsti non vengono rispettati, il sistema deve essere immediatamente disattivato. Inoltre, tutti i dati personali raccolti, i risultati prodotti dal software e gli altri elementi ottenuti attraverso il riconoscimento facciale devono essere cancellati, «salvo che costituiscano corpo del reato», cioè elementi materiali che sono direttamente collegati al reato e necessari per essere usati come prova.

Il testo approvato dal Consiglio dei Ministri rafforza ulteriormente le garanzie introducendo un doppio livello di controllo. Oltre al ruolo del pubblico ministero, infatti, è previsto anche il coinvolgimento del giudice nelle situazioni disciplinate dal decreto, così da assicurare un controllo giudiziario differenziato in base alle esigenze investigative. Il principio alla base della norma è che l'intelligenza artificiale non deve prendere decisioni autonome: i risultati prodotti dai sistemi informatici sono sostanzialmente uno strumento di supporto alle indagini e quindi devono sempre essere valutati da persone competenti.

Le nuove disposizioni vanno a chiarire anche che non sarà possibile creare archivi biometrici permanenti alimentati raccogliendo indiscriminatamente fotografie disponibili online. Questa pratica, detta “scraping”, cozzerebbe con l’AI Act.

Anche il ruolo del Garante per la protezione dei dati personali viene rafforzato. Questa autorità indipendente ha il compito di vigilare sul rispetto della normativa in materia di privacy e trattamento dei dati personali, verificando che le tecnologie biometriche vengano utilizzate entro i limiti previsti dalla legge.

Nell'articolo 8, il testo parla della videosorveglianza negli spazi pubblici, anche questa disciplinata con maggiore precisione. Le immagini registrate in luoghi e situazioni caratterizzati da particolari esigenze di ordine pubblico potranno continuare a essere conservate, a patto che non vengano fatte elaborazioni biometriche in via preventiva. Solo nell’eventualità in cui dovesse essere commesso un reato sarà possibile applicare successivamente il riconoscimento facciale alle registrazioni già effettuate. Le immagini, comunque, dovranno essere eliminate dopo sette giorni, limitando così il periodo di conservazione dei dati.

C’è poi il nodo che riguarda lo sviluppo futuro dell'intelligenza artificiale. Per addestrare nuovi sistemi basati sull'AI potranno essere utilizzati dati sintetici, oppure dati anonimizzati e pseudonimizzati. Nel caso dei dati anonimizzati, ogni collegamento con l'identità della persona viene eliminato in modo irreversibile; in quelli pseudonimizzati, invece, le informazioni identificative vengono rimpiazzate da codici, in modo tale da ridurre i rischi per la privacy pur consentendo, in casi specifici e autorizzati dalla legge, di ricostruire l'identità originale dei soggetti coinvolti.

non perderti questo articolo

AI Act, dal 2 agosto 2026 nuovi obblighi di trasparenza: cosa cambia per deepfake, chatbot e contenuti AI