AI Act, Garante: più tutele per i dati biometrici e garanzie nello schema di DL

Il Garante per la protezione dei dati personali ha concesso semaforo verde allo schema di decreto legislativo per l’adeguamento della normativa italiana all’AI Act, il Regolamento europeo sull’intelligenza artificiale.

Il provvedimento si occupa di disciplinare l’uso dei sistemi di intelligenza artificiale da parte delle Forze di polizia, stabilendo limiti, presupposti e garanzie per il trattamento dei dati biometrici e per l’uso di tecnologie di identificazione biometrica da remoto.

In particolare, l’Authority italiana ha dato anche il via libera allo schema di decreto legislativo per l’AI Act, ma chiedendo più garanzie.

“Già le linee guida EDPB 5/2022 sull’uso della tecnologia di riconoscimento facciale nel settore delle attività di contrasto evidenziano l’impatto intrinseco delle attività di riconoscimento facciale in tale ambito”, commenta Stefano Gazzella, Dpo e Consulente Privacy & ICT Law.

Schema DL AI Act: il parere favorevole del Garante Privacy

Il Garante ha concesso parere favorevole allo schema di DL per disciplinare l’attuazione in Italia dell’AI Act europeo.

Il decreto legislativo punta a definire il sistema italiano di governance e vigilanza sull’AI, attribuendo al Garante il ruolo di Autorità di vigilanza del mercato per i sistemi di intelligenza artificiale ad alto rischio che trovano impiego nei campi più esposti e sensibili in tema di diritti quali giustizia, attività di contrasto, immigrazione, gestione delle frontiere e processi democratici.

Inoltre, il provvedimento mira ad introdurre paletti e regolamenti per il settore finanziario ed assicurativo, favorendo percorsi di alfabetizzazione digitale e formazione sull’utilizzo consapevole dell’AI a scuola, università e in ambito formativo professionale.

Le garanzie richieste

Nel dare l’ok, il Garante ha messo nero su bianco su altre condizioni e osservazioni per potenziare il rispetto dei diritti dei cittadini.

Fra le richieste, il Garante chiede innanzitutto il riconoscimento di poter implementare le linee guida, i suggerimenti e le best practice, allineandosi alle altre Autorità competenti per l’intelligenza artificiale.

Inopltre, richiede il chiarimento sulle regole per applicare le sanzioni di propria competenza, come prevede il Codice privacy, e il coinvolgimento nello Spazio di sperimentazione italiano per l’AI.

Infine, l’Autorità chiede un ruolo più chiaro ed esplicito nelle attività delle procedure atte a valutare la conformità dei sistemi di AI ad alto rischio, riguardo ai quali proprio l’AI Act gli assegna mirate funzioni di vigilanza.

Inoltre è del Garante la proposta di ampliare il divieto di decisioni – che si fondano soltanto su sistemi automatizzati di AI – anche alle valutazioni con un potenziale impatto rilevante sui rapporti di lavoro, come quelle riferite alle prestazioni, attribuzione di premi o avanzamenti di carriera.

Il Garante ricorda, infine, la necessità di prevedere ulteriori risorse finanziarie da adeguare alle nuove competenze che la normativa europea le assegna, in ambito di vigilanza come prevedono l’AI Act e lo schema di decreto legislativo nazionale.

AI Act: il Garante si focalizza sulla qualità della banca dati biometrica

Lo schema di decreto legislativo, che declina la normativa italiana al Regolamento europeo sull’intelligenza artificiale, punta a disciplinare l’utilizzo dei sistemi di AI da parte delle Forze di polizia.

Stabilisce “limiti, presupposti e garanzie per il trattamento dei dati biometrici e per l’uso di tecnologie di identificazione biometrica da remoto”, come scive la newsletter del Garante.

Ma, pur approvando la generale coerenza del decreto con l’AI Act e con la legge delega n.132/2025, l’Autorità ritiene che alcuni profili richiedano integrazioni.

Innanzitutto, chiede chiarimenti sul ruolo della supervisione umana nei sistemi di AI, oltre a:

• approfondire le responsabilità precise nei piani di ricerca e sperimentazione;
• coinvolgere il Garante nelle attività di sperimentazione normativa con trattamenti di dati personali;
• e rafforzare le garanzie riferite alla qualità delle banche dati biometriche impiegate per l’identificazione.

Infatti, secondo il Garante, il trattamento automatizzato e generalizzato dei dati biometrici di chi accede a luoghi o eventi pubblici, manca di coerenza con l’AI Act, che permette il riconoscimento facciale ex post esclusivamente per ricerche specifiche.

L’elaborazione dei dati biometrici dovrebbe quindi essere lecita solo sulle registrazioni già acquisite e quando c’è una mirata necessità operativa, evitando invece di raccogliere tali dati in maniera massiva e preventiva.

Infine, il Garante richiede che le disposizioni per l’identificazione biometrica – che ricadono sotto l’ombrello del nuovo articolo 359-ter del codice di procedura penale – prevedano il divieto esplicito di sfruttare banche dati frutto di tecniche di scraping indiscriminato o di violazione della normativa sulla protezione dei dati personali.