Riconoscimento facciale in Italia, come funziona oggi e cosa può cambiare

Le regole italiane proposte dal governo per l’uso del riconoscimento facciale nei compiti di sicurezza scatenano i timori e le critiche, ma cosa prevedono davvero e quanto cambierebbero?

Il decreto legislativo sull’uso del riconoscimento facciale basato sull’intelligenza artificiale proposto dalla maggioranza di governo ha scatenato le opposizioni e pure la Commissione europea, che ha subito ricordato il divieto dell’AI Act di identificazione biometrica nei luoghi pubblici. L’intervento del Garante della privacy, che finora ha bocciato ogni tentativo di includere il riconoscimento facciale nelle operazioni di sorveglianza, è però stato costruttivo. Cerchiamo quindi di fare chiarezza.

Cosa prevede l’AI Act sul riconoscimento facciale

Per capire il dilemma bisogna fare un passo indietro, tenendo conto che anche fino all’approvazione dell’AI Act il tema del riconoscimento facciale è stato piuttosto controverso. Le esigenze di tutela della privacy e protezione dalla sorveglianza di massa si sono scontrate con le potenzialità degli strumenti basati sull’intelligenza artificiale se applicate alla sicurezza pubblica e al controllo della criminalità. Il lavoro europeo per raggiungere un compromesso adeguato è stato lungo e faticoso, ma ci consegna oggi una normativa ragionevole.

Non si esclude a priori l’uso dell’IA, sprecando altrimenti un’occasione per potenziare i compiti di sicurezza, ma si mettono paletti rigidi per garantire il rispetto dei diritti della cittadinanza. È vero che l’AI Act, come sottolineato dalla Commissione europea, vieta l’uso dei sistemi di identificazione biometrica in spazi accessibili al pubblico per finalità di polizia, ma è anche vero che sono previste delle eccezioni. Il riconoscimento facciale è possibile se strettamente necessario per le finalità individuate dalla stessa legge:

ricerca di persone scomparse e vittime specifiche di sottrazione, tratta di esseri umani o sfruttamento sessuale di esseri umani;
prevenzione di minacce specifiche, sostanziali e imminenti per la vita o comunque l’incolumità fisica delle persone;
prevenzione degli attacchi terroristici, facendo riferimento alle minacce reali e attuali oppure prevedibili;
localizzazione e identificazione dei sospettati ai fini dell’azione penale per i reati individuati dall’AI Act, che abbiano una pena detentiva dalla durata massima di almeno 4 anni.

L’uso del riconoscimento facciale da remoto in tempo reale dovrà comunque essere limitato al necessario e proporzionato, in ogni caso subordinato all’autorizzazione giudiziaria, che può essere richiesta entro 24 ore in caso di urgenza documentata. In quest’ultima ipotesi, la mancata concessione dell’autorizzazione obbliga all’interruzione immediata dell’uso e soprattutto alla cancellazione di tutti i dati e risultati ottenuti. Devono inoltre essere avvisate l’autorità di vigilanza del mercato e l’autorità garante della protezione dei dati competenti, le stesse che possono autorizzare l’uso dell’identificazione biometrica remota di soggetti già indagati, sul materiale raccolto in precedenza.

Cosa vuole fare il governo

Il decreto legislativo sul riconoscimento facciale punta a incrementare l’uso di questo strumento basato sull’intelligenza artificiale nel lavoro di polizia. L’articolo 8 della bozza prevede in particolare l’uso dell’identificazione biometrica in tempo reale nei luoghi pubblici o aperti al pubblico proprio nei casi ammessi dall’AI Act (ricerca di persone scomparse o vittime di gravissimi crimini e prevenzione di specifiche e urgenti minacce alla collettività come gli attacchi terroristici).

Si ipotizza in particolare l’uso di una banca dati specifica delle forze dell’ordine, non alimentata da immagini ottenute online e dai sistemi di sorveglianza, per confermare l’identità di persone individuate o localizzarle. Viene ribadita la necessità dell’autorizzazione giudiziaria come pure la possibilità di richiederla entro 24 ore per agire subito nei casi di urgenza, avvisando anche solo verbalmente il Pubblico ministero. In caso di mancata autorizzazione, si seguono le disposizioni dell’AI Act sull’interruzione dell’uso e la cancellazione dei dati.

L’articolo 10 prevede invece che i sistemi di sorveglianza già installati siano dotati di sistemi per il riconoscimento facciale, attivabili solo dopo un reato e comunque esclusivamente per l’identificazione di persone già indiziate. Fino a qui sembra che la normativa europea sia seguita scrupolosamente, ma il governo ha anche previsto che possano essere registrati e trattenuti per 7 giorni i dati relativi a luoghi o eventi in cui ci sono “esigenze di ordine e sicurezza pubblica”.

Un punto che il Garante della privacy ha stroncato, chiedendo al governo di specificare che l’uso del sistema di identificazione sarà possibile soltanto in caso di reati e non in modo automatico, come pure di essere più preciso ed esaustivo sulle finalità di sicurezza. Altrimenti, come fatto notare dalle opposizioni, si sfocerebbe nella sorveglianza di massa. Se dunque il governo apporterà le correzioni richieste entro la scadenza della delega fissata al 10 ottobre 2026 è assai probabile che le novità resteranno quelle enunciate.