Il caso dello stadio Olimpico, ricostruito nei dettagli da un’inchiesta di Rosita Rijtano, ha riportato il riconoscimento facciale al centro del dibattito italiano.
Ma le nuove regole sull’uso dell’intelligenza artificiale nelle attività di polizia vanno oltre gli impianti sportivi. Riguardano anche i luoghi pubblici e, in determinate condizioni, manifestazioni ed eventi.
Il punto più delicato è il riconoscimento biometrico. Ecco quando può essere usato, chi può autorizzarlo e quali garanzie sono previste. E quanto spazio resta, tra le norme italiane e i limiti fissati dall’AI Act europeo, per una possibile sorveglianza di massa.
Indice degli argomenti
Il caso dello Stadio Olimpico che ha riacceso il dibattito
Dal 2021 al 2025 allo stadio Olimpico di Roma è stato in funzione un sistema di riconoscimento facciale che, a ogni attivazione, fotografava ogni spettatore in ingresso, conservando le immagini per sette giorni insieme ai dati stampati sul biglietto.
Il sistema, come ha ricostruito la giornalista Rosita Rijtano nella sua inchiesta per IrpiMedia basata su richieste di accesso agli atti e documenti inediti, è stato acquistato da Sport e Salute Spa, la società controllata dal MEF, è rimasto attivo per quattro anni in assenza di un’adeguata base giuridica per il trattamento di dati biometrici.
Negli atti di acquisto il software viene descritto come in grado di confrontare i volti con l’archivio dei soggetti fotosegnalati, per l’identificazione preventiva delle persone sottoposte a Daspo; interpellate sul punto, Sport e Salute e la questura di Roma hanno invece circoscritto la finalità del sistema all’identificazione, a posteriori, di tifosi violenti o responsabili di condotte antisportive.
Il 28 maggio 2025 il Garante per la protezione dei dati personali scriveva al Dipartimento della pubblica sicurezza del Ministero dell’Interno contestando la «perdurante assenza di un’adeguata base giuridica» per il trattamento dei dati.
L’Autorità chiedeva che il trattamento fosse sospeso volontariamente e invitava il ministero a darne comunicazione con urgenza, prima della riunione del Collegio prevista per il 4 giugno.
Il 29 maggio il Ministero dell’Interno comunicava che l’uso della funzionalità di riconoscimento facciale era stato sospeso, in attesa dell’entrata in vigore di una disciplina legislativa che avrebbe fornito la necessaria base giuridica. Resta inoltre da chiarire la sorte dei dati raccolti negli anni di funzionamento del sistema: secondo la documentazione disponibile, sul punto era ancora in corso un’istruttoria del Garante.
Gli scenari del riconoscimento facciale allo Stadio Olimpico
A settembre 2026 il caso è tornato al centro dell’attenzione parlamentare. Un’interrogazione del deputato Marco Grimaldi chiede al governo di chiarire un aspetto tecnico decisivo: quando venivano generati i dati biometrici veri e propri, cioè le rappresentazioni matematiche ricavate dai tratti del volto. All’ingresso, per tutti gli spettatori, oppure soltanto successivamente, a partire dalle immagini conservate, quando si fosse verificato un episodio rilevante?
La differenza non è di poco conto. Nel primo scenario, sostiene l’interrogazione, il sistema avrebbe potuto comportare la creazione di una «banca dati biometrica temporanea di tutti gli spettatori» a ogni partita. L’atto chiede inoltre al governo di chiarire se gli archivi raccolti negli anni siano stati effettivamente cancellati.
Un precedente per fare luce sulle nuovew regole
Il caso Olimpico è quindi un precedente utile per capire la partita che si apre con le nuove regole sull’intelligenza artificiale.
Il 4 agosto 2026 il Consiglio dei ministri ha approvato in via definitiva il decreto legislativo che disciplina, tra l’altro, l’impiego dei sistemi di IA nelle attività di polizia e i sistemi di videosorveglianza con riconoscimento facciale a posteriori. Il testo definitivo stabilisce requisiti per le banche dati utilizzate per il confronto biometrico, introduce obblighi di cancellazione e prevede garanzie affinché quei dati non possano essere progressivamente incrementati.
La questione della base giuridica
Per capire perché il sistema dell’Olimpico sia finito al centro delle contestazioni sulla base giuridica, conviene partire da un confronto: quali condizioni devono esistere perché un sistema biometrico utilizzato dalle forze di polizia abbia una disciplina normativa definita?
Un esempio è l’AFIS, l’Automated Fingerprint Identification System, il sistema automatizzato per l’identificazione delle impronte digitali collegato al Casellario centrale d’identità del Ministero dell’Interno.
La sua disciplina si inserisce in un quadro normativo articolato, che comprende, tra le altre disposizioni, la legge n. 121 del 1981, il d.P.R. n. 15 del 2018, il decreto legislativo n. 51 del 2018 e il decreto del Ministero dell’Interno del 24 maggio 2017. Quest’ultimo individua i trattamenti di dati personali effettuati dal Centro elaborazione dati del Dipartimento della pubblica sicurezza e dalle forze di polizia, definendone anche i relativi titolari.
Il quadro normativo stabilisce così finalità, soggetti autorizzati, modalità di gestione e garanzie per gli interessati. La disciplina comprende anche le procedure attraverso cui una persona può chiedere di conoscere i dati che la riguardano e verificarne la presenza negli archivi.
Il sistema dell’Olimpico si collocava in un’altra situazione. Nel 2016 il Garante aveva autorizzato, attraverso una verifica preliminare, l’installazione allo stadio di un sistema di videosorveglianza dotato di riconoscimento facciale. Il provvedimento stabiliva precise condizioni di utilizzo e considerava congruo, rispetto alle finalità dichiarate, un periodo di conservazione delle immagini di sette giorni.
Quella decisione apparteneva però a un quadro normativo precedente alla disciplina oggi applicabile ai trattamenti effettuati dalle forze di polizia.
Due sistemi diversi: riconoscimento in tempo reale e a posteriori
Il decreto approvato il 4 agosto dal Consiglio dei ministri distingue nettamente tra l’identificazione biometrica remota in tempo reale e quella effettuata a posteriori.
Nel primo caso, il confronto biometrico si svolge contestualmente all’acquisizione delle immagini e consente di verificare o ricercare l’identità di persone specificamente individuate o individuabili nell’ambito delle finalità previste dalla norma.
Nel secondo, il confronto viene effettuato successivamente su immagini o altri dati biometrici già acquisiti.
La distinzione determina regole differenti quanto alle finalità perseguibili, alle condizioni di utilizzo, alle banche dati di riferimento e alle procedure di autorizzazione e controllo.
L’articolo 8 disciplina l’identificazione in tempo reale; l’articolo 10 quella a posteriori.
Il riconoscimento biometrico remoto in tempo reale
L’articolo 8 riguarda l’uso, da parte delle Forze di polizia, di sistemi di IA per l’identificazione biometrica remota in tempo reale in luoghi pubblici o aperti al pubblico.
La norma lo ammette in casi eccezionali e per finalità tassative: prevenire specifiche e gravi minacce, come un attacco terroristico o un pericolo per la vita e l’incolumità delle persone, oppure cercare persone scomparse e vittime di sequestro di persona, tratta di esseri umani o sfruttamento sessuale.
La ricerca deve essere mirata. Il sistema può servire a confermare l’identità di persone specificamente interessate oppure a ricercare e localizzare persone già individuate o comunque individuabili in relazione alla minaccia o alla ricerca in corso.
La norma esclude quindi un utilizzo indiscriminato del riconoscimento facciale per identificare la generalità delle persone presenti in un’area.
La banca dati
Il confronto avviene con una banca dati di riferimento adeguata allo scopo. Può trattarsi di banche dati già utilizzate dalle Forze di polizia o di altre amministrazioni pubbliche, purché accessibili alle Forze di polizia, oppure di immagini, filmati e altri elementi biometrici acquisiti legittimamente nell’attività di polizia. Il decreto vieta espressamente le banche dati biometriche costruite attraverso scraping non mirato, cioè mediante la raccolta automatizzata e indiscriminata, su larga scala, di immagini facciali da internet o da sistemi di videosorveglianza.
L’attivazione richiede una richiesta motivata da parte dei vertici di polizia individuati dalla norma e una successiva autorizzazione del procuratore della Repubblica presso il tribunale del capoluogo del distretto interessato.
L’autorizzazione
Il decreto autorizzativo deve indicare la finalità dell’operazione, la durata, l’area interessata e le persone oggetto della ricerca. L’autorizzazione può durare al massimo quindici giorni ed essere prorogata per periodi della stessa durata.
In caso di urgenza, quando esiste il rischio di un grave e irreparabile pregiudizio, il sistema può essere attivato immediatamente, previa comunicazione al procuratore.
La richiesta di autorizzazione deve essere presentata entro ventiquattro ore e il magistrato deve decidere nelle ventiquattro ore successive. In mancanza dell’autorizzazione, oppure se vengono violate le condizioni stabilite dalla norma, l’utilizzo deve cessare e i dati, i risultati e gli output acquisiti devono essere cancellati.
Archivi già esistenti o banche dati specifiche
La relazione illustrativa sottolinea inoltre che le banche dati di confronto non costituiscono, in questo schema, una nuova infrastruttura centralizzata.
La polizia può utilizzare archivi già esistenti, come l’AFIS, oppure costruire banche dati specifiche a partire da materiale acquisito legittimamente nell’attività di polizia.
La differenza rispetto al riconoscimento a posteriori riguarda soprattutto il momento del confronto: nel primo caso avviene mentre l’attività di ricerca è in corso; nel secondo viene effettuato successivamente, dopo la commissione di un reato.
La differenza rispetto al riconoscimento a posteriori riguarda soprattutto il momento del confronto: nel primo caso avviene mentre l’attività di ricerca è in corso; nel secondo viene effettuato successivamente, dopo la commissione di un reato.
Il riconoscimento a posteriori
L’articolo 10 disciplina un modello diverso da quello previsto per il riconoscimento in tempo reale.
Qui il sistema di videosorveglianza raccoglie le immagini durante l’accesso a un luogo o a un evento, mentre il confronto biometrico viene effettuato successivamente, quando si è verificato un reato e occorre identificare una persona già sospettata sulla base di immagini e di altri elementi oggettivi.
Tale articolo dello schema di decreto legislativo parte da un presupposto potenzialmente ampio.
I sistemi di videosorveglianza la cui installazione è già consentita dalla legge possono essere integrati, quando ricorrono esigenze di ordine e sicurezza pubblica, con componenti di intelligenza artificiale capaci di consentire successivamente il riconoscimento facciale.
La disposizione apre quindi alla possibilità che tecnologie biometriche vengano innestate su infrastrutture di videosorveglianza già presenti in luoghi ed eventi molto diversi.
La stessa norma restringe però in modo significativo le condizioni di utilizzo della funzione biometrica.
Il riconoscimento facciale può essere attivato soltanto dopo la commissione di un reato, anche tentato, e per identificare persone già indiziate sulla base di documentazione video-fotografica e di ulteriori elementi oggettivi e verificabili.
La gestione del sistema è affidata in via esclusiva a un ufficiale di pubblica sicurezza designato dal Questore oppure, negli altri casi previsti dalla norma, a un ufficiale di polizia giudiziaria della forza di polizia che procede.
Il punto, dunque, sta nella distanza tra l’ampiezza potenziale dell’infrastruttura e la ristrettezza delle condizioni per utilizzare la funzione di riconoscimento.
Le telecamere possono appartenere a sistemi già esistenti e operare in contesti estesi, mentre l’identificazione biometrica rimane riservata a soggetti qualificati, deve essere collegata a un fatto di reato e può riguardare soltanto persone già individuate o individuabili sulla base di elementi precedenti.
Il punto più delicato
Il passaggio più delicato riguarda proprio la formazione di questa banca dati. In presenza di particolari esigenze di ordine e sicurezza pubblica, il sistema può trattare automaticamente i dati biometrici delle persone che accedono al luogo o all’evento e conservarli localmente insieme ai corrispondenti dati anagrafici e, quando disponibili, alle informazioni relative al posto occupato.
Il riconoscimento facciale, però, viene attivato soltanto dopo la commissione di un reato, anche tentato, e per identificare persone già indiziate.
Il caso dell’Olimpico
È una distinzione che conta molto nel caso dell’Olimpico. Il sistema descritto negli atti relativi allo stadio prevedeva infatti l’acquisizione delle immagini degli spettatori all’ingresso e la loro conservazione per sette giorni.
Il nuovo articolo 10 introduce ora una disciplina nella quale una banca dati locale può essere alimentata con i dati biometrici delle persone che accedono a determinati luoghi o eventi, mentre il confronto finalizzato all’identificazione viene effettuato successivamente, in presenza di un reato e nei confronti di soggetti già indiziati.
La somiglianza rende il caso dell’Olimpico particolarmente utile per capire la portata della nuova norma.
La domanda sollevata dal Garante nel 2025 riguardava la base giuridica del trattamento effettuato allo stadio; il nuovo decreto stabilisce invece un quadro normativo specifico per questo tipo di trattamento e ne fissa condizioni, responsabilità e limiti.
Resta però una differenza fondamentale: il fatto che la nuova disciplina preveda una banca dati alimentata con i dati biometrici degli accedenti non significa che sia consentito utilizzare il riconoscimento facciale per identificare indistintamente tutte le persone presenti.
L’articolo 10 stabilisce infatti che, dopo la commissione di un reato, il confronto debba riguardare persone già indiziate sulla base di documentazione videofotografica e di ulteriori elementi oggettivi e verificabili. La responsabilità del trattamento è attribuita direttamente ed esclusivamente a un ufficiale di pubblica sicurezza designato dal questore oppure, nei casi collegati a un’attività di polizia giudiziaria, a un ufficiale di polizia giudiziaria della forza di polizia procedente.
Anche la conservazione è limitata. I dati personali contenuti nella banca dati di riferimento devono essere cancellati automaticamente dopo un massimo di sette giorni dalla raccolta, mentre i log degli accessi e delle operazioni devono essere conservati per cinque anni e mantenuti in forma non modificabile.
Il titolare del trattamento e i divieti rilevanti
Il Dipartimento della pubblica sicurezza del Ministero dell’Interno è individuato come titolare del trattamento e deve effettuare una valutazione d’impatto e, nei casi previsti, consultare preventivamente il Garante.
La norma introduce inoltre due divieti particolarmente rilevanti.
I risultati del riconoscimento facciale non possono costituire da soli il fondamento di decisioni che producano effetti giuridici negativi sulla persona. E i sistemi non possono essere utilizzati per un’identificazione biometrica generalizzata, non mirata e priva di collegamento con uno specifico reato o procedimento penale.
Le regole tecniche sulla formazione e sulla gestione della banca dati, sulle modalità di trattamento dei dati biometrici e sulle misure di sicurezza saranno definite con un successivo decreto del ministro dell’Interno, sentito il Garante.
C’è infine un elemento che richiama direttamente la vicenda dell’Olimpico: l’installazione e la manutenzione delle apparecchiature possono essere sostenute dai gestori dei luoghi o dagli organizzatori degli eventi, che possono concederle gratuitamente alla Questura. Quest’ultima ne acquisisce la completa ed esclusiva disponibilità.
Cosa prevede l’articolo 10
Il modello previsto dall’articolo 10 presenta dunque una struttura precisa: raccolta preventiva dei dati degli accedenti, conservazione temporanea, attivazione del confronto biometrico solo dopo un reato e nei confronti di persone già indiziate.
È questa sequenza, più ancora della semplice presenza del riconoscimento facciale, a determinare la portata concreta della nuova disciplina.
Non solo lo stadio: piazze, cortei, manifestazioni
È il punto che ha attirato le maggiori critiche dentro e fuori dal Parlamento.
L’articolo 10 consente, infatti, di raccogliere preventivamente i dati biometrici delle persone che accedono a determinati luoghi o partecipano a determinati eventi, quando ricorrono particolari esigenze di ordine e sicurezza pubblica.
I dati possono essere conservati per un massimo di sette giorni e vengono cancellati automaticamente allo scadere del termine.
Il confronto biometrico interviene in un momento successivo. Se viene commesso un reato, il sistema può essere utilizzato per confrontare i dati presenti nella banca di riferimento con quelli relativi a persone già indiziate sulla base di documentazione videofotografica e di ulteriori elementi oggettivi e verificabili.
La sequenza prevista dalla norma solleva una questione che va oltre l’utilizzo effettivo del riconoscimento facciale.
La banca dati può infatti contenere, per alcuni giorni, i dati biometrici di tutte le persone che hanno avuto accesso a un determinato luogo o evento, senza che nei loro confronti esista alcun sospetto.
Il successivo utilizzo investigativo riguarda soltanto una parte di quei dati e richiede le condizioni previste dall’articolo 10.
Da qui nasce anche il tema dell’effetto dissuasivo. La consapevolezza di lasciare una traccia biometrica associata alla propria presenza può incidere sulla decisione di partecipare a un corteo, a un presidio o a un’altra manifestazione pubblica.
La valutazione di questo effetto prescinde dall’eventualità che quei dati vengano poi effettivamente utilizzati in un’indagine e riguarda il modo in cui la possibilità stessa di essere identificati può modificare i comportamentiNon è la prima volta che un ente pubblico italiano si trova in questa posizione: alcuni anni fa il Comune di Como aveva bandito una gara per un sistema di videosorveglianza cittadina dotato di moduli di riconoscimento facciale, poi risultato privo di una base giuridica sufficiente a giustificarne l’attivazione. Lo stesso schema, su scala comunale, che si ripropone oggi a livello nazionale.
Il Decreto IA
Il decreto nasce dalla delega contenuta nella legge 23 settembre 2025, n. 132, la legge italiana sull’intelligenza artificiale, e interviene per adeguare la normativa nazionale al regolamento europeo 2024/1689, l’AI Act.
Per ricostruire come si è arrivati al testo definitivo occorre seguire tre passaggi: l’approvazione preliminare del Governo, l’esame parlamentare con il parere del Garante e l’approvazione definitiva.
10 giugno 2026, l’esame preliminare
Il Consiglio dei ministri approva in esame preliminare lo schema di decreto legislativo sull’utilizzo dell’intelligenza artificiale nelle attività di polizia e sulla responsabilità civile e penale. È il testo dal quale prende forma la disciplina dell’identificazione biometrica remota in tempo reale, contenuta nell’articolo 8, e del riconoscimento facciale a posteriori integrato nei sistemi di videosorveglianza, disciplinato dall’articolo 10.
24 giugno 2026, l’Atto del Governo n. 418
Il 24 giugno lo schema viene trasmesso alle Camere e assume il numero 418. Il documento parlamentare contiene il testo articolato, la relazione illustrativa e l’analisi di impatto della regolamentazione. È soprattutto la relazione illustrativa a permettere di ricostruire la logica delle disposizioni.
Nel testo dell’articolo 10 emerge già il nodo destinato a diventare il principale terreno di confronto con il Garante. Il comma 2 stabilisce che il riconoscimento facciale possa essere utilizzato dopo la commissione di un reato, anche tentato, per identificare persone già indiziate sulla base di documentazione videofotografica e di ulteriori elementi oggettivi e verificabili.
Il comma 3 introduce però un passaggio precedente: nei luoghi o negli eventi per i quali sussistono particolari esigenze di ordine e sicurezza pubblica, il sistema può comportare il trattamento automatizzato dei dati biometrici rilevati dalle immagini del volto delle persone che vi accedono.
La banca dati locale può contenere anche i corrispondenti dati anagrafici e, quando disponibile, l’identificativo del posto assegnato.
La questione è quindi concentrata sul momento in cui avviene l’elaborazione biometrica.
Il testo dello schema sembra consentire che i dati biometrici vengano ricavati dalle immagini già al momento della raccolta, per tutti gli accedenti, lasciando al momento successivo il confronto finalizzato all’identificazione.
È una lettura che assume particolare rilievo se confrontata con il caso dell’Olimpico, dove proprio la modalità di generazione dei dati biometrici era rimasta da chiarire.
14 luglio 2026, il parere del Garante
Il 14 luglio il Garante per la protezione dei dati personali esprime sullo schema il parere n. 531, favorevole ma accompagnato da sette condizioni. Una riguarda direttamente il comma 3 dell’articolo 10.
Secondo il Garante, il trattamento automatizzato dei dati biometrici di tutte le persone che accedono a un luogo o a un evento «non appare coerente» con l’articolo 26, paragrafo 10, dell’AI Act.
L’Autorità chiede quindi di modificare la disposizione e di stabilire che l’elaborazione dei dati biometrici avvenga «esclusivamente ex post sulle tracce registrate», a fronte di specifiche esigenze operative.
La differenza è sostanziale. Nella formulazione dello schema, il dato biometrico può essere elaborato già nella fase di acquisizione delle immagini. Nella soluzione proposta dal Garante, la fase iniziale consiste nella registrazione delle tracce; l’elaborazione biometrica si effettua successivamente, quando esiste una specifica esigenza operativa.
Il Garante interviene anche sulla platea dei luoghi interessati. La formula utilizzata dallo schema – «luoghi o eventi rispetto ai quali sussistono esigenze di ordine e sicurezza pubblica» – viene considerata meritevole di maggiore precisione, proprio per evitare che una previsione ampia possa tradursi in trattamenti sproporzionati.
Un’altra condizione riguarda lo scraping non mirato. Il Garante chiede di inserire nell’articolo 13, che introduce nel codice di procedura penale il nuovo articolo 359-ter sull’identificazione biometrica in tempo reale a fini investigativi, un divieto analogo a quello già previsto dall’articolo 8 per le banche dati ottenute attraverso raccolte massive e indiscriminate di immagini.
Il parere del Garante rende così esplicito il punto di frizione: la disciplina del riconoscimento a posteriori può convivere con una raccolta preventiva delle immagini; la questione riguarda il momento in cui quelle immagini si trasformano in dati biometrici.
È lo stesso interrogativo che, nel caso dell’Olimpico, l’interrogazione parlamentare presentata da Marco Grimaldi porta all’attenzione del governo: i dati biometrici si generano al momento dell’ingresso, per tutti gli spettatori, oppure soltanto successivamente, in seguito a un’esigenza investigativa?
4 agosto 2026, l’esame definitivo
Il 4 agosto il Consiglio dei ministri approva in esame definitivo il decreto. Il Governo comunica che il testo è stato modificato dopo i pareri delle Commissioni parlamentari, della Conferenza unificata e del Garante.
Il comunicato segnala, tra le altre modifiche, nuovi requisiti per le banche dati di riferimento, obblighi di cancellazione e garanzie relative ai dati utilizzati per il confronto biometrico.
Inoltre si rafforza il ruolo del Garante e si disciplina il coinvolgimento degli enti territoriali nell’installazione e nella manutenzione delle componenti tecnologiche.
Il testo introduce inoltre nel codice penale il nuovo articolo 437-bis, che punisce l’omessa adozione delle misure di sicurezza relative ai sistemi di IA ad alto rischio e l’alterazione illecita di tali sistemi, con pene diverse a seconda del bene giuridico esposto a pericolo.
Sul punto che interessa maggiormente il riconoscimento facciale, però, il comunicato del Governo non consente da solo di stabilire quanto si sia recepita la condizione posta dal Garante sul comma 3 dell’articolo 10.
Il comunicato richiama le modifiche intervenute sul testo, ma non specifica se si sia inserita la previsione secondo cui l’elaborazione dei dati biometrici deve avvenire esclusivamente ex post sulle tracce registrate.
Per stabilire che cosa sia effettivamente cambiato occorre quindi confrontare il testo dello schema con quello definitivo.
È questo il passaggio decisivo per capire se la questione, che il Garante ha sollevato, sia accolta integralmente, modificata oppure lasciata aperta.
I Comuni
Resta poi da chiarire quale ruolo possa avere un Comune nell’installazione di questi sistemi.
La disciplina consente ai gestori dei luoghi, agli organizzatori degli eventi o a chi dispone delle strutture di provvedere all’installazione e alla manutenzione delle apparecchiature, prevedendo che queste siano poi a disposizione della Questura.
La norma attribuisce quindi alla polizia la disponibilità del sistema destinato al trattamento biometrico, ma lascia aperta la questione del rapporto con le infrastrutture di videosorveglianza degli enti locali.
È un punto che meriterebbe di essere precisato, soprattutto per le reti di videosorveglianza urbana.
I Comuni dispongono infatti di sistemi che possono coprire strade, piazze e aree interessate da manifestazioni ed eventi. La possibilità di utilizzare quelle infrastrutture come componente di un sistema di identificazione biometrica richiede una delimitazione particolarmente rigorosa delle competenze e delle responsabilità.
Su questo punto sarebbe auspicabile una formulazione che escluda ogni possibilità di attivazione autonoma da parte degli enti locali e chiarisca che l’eventuale utilizzo delle loro infrastrutture per il riconoscimento facciale può avvenire soltanto nell’ambito delle procedure, delle finalità e delle garanzie previste per le Forze di polizia.
Cosa dice Bruxelles
Il 30 luglio 2026, mentre lo schema era ancora all’esame delle commissioni parlamentari, un portavoce della Commissione europea ha ricordato, durante il briefing quotidiano con la stampa a Bruxelles, che il riconoscimento facciale negli spazi pubblici accessibili «è una pratica vietata dalla legge sull’IA».
Sul merito specifico del testo italiano, però, la Commissione si è tenuta cauta, dicendo di non avere ancora tutti gli elementi per esprimersi. Palazzo Chigi ha risposto assicurando che l’Italia continuerà a muoversi pienamente all’interno delle regole europee.
L’eurodeputato Brando Benifei, tra i relatori dell’AI Act al Parlamento europeo, sostiene che il decreto italiano rischia di autorizzare una raccolta massiva di dati biometrici negli spazi pubblici in contrasto con lo spirito della normativa europea. Ha annunciato un’interrogazione urgente alla Commissione.
La verifica formale di compatibilità potrà avvenire solo dopo l’adozione definitiva del testo: la Commissione lo valuterà quando riceverà la notifica, appuntamento atteso per settembre 2026.
Riconoscimento facciale: le regole nel mondo
Il confronto internazionale restituisce modelli molto diversi nell’uso del riconoscimento facciale da parte delle forze di polizia.
Il Regno Unito ha sviluppato un sistema operativo più esteso di quello oggi previsto dal decreto italiano, mentre la Francia mantiene vincoli più stringenti sull’uso della tecnologia nello spazio pubblico.
Negli Usa la disciplina varia invece da città a città e da Stato a Stato. La Cina rappresenta un modello ancora diverso, fondato su un’infrastruttura di sorveglianza molto più estesa.
Regno Unito
Il Regno Unito, fuori dal perimetro dell’AI Act dopo la Brexit, utilizza da anni il riconoscimento facciale sia in tempo reale sia a posteriori.
La Metropolitan Police impiega il Live Facial Recognition durante operazioni mirate e riferisce che, dal 2024, queste operazioni hanno contribuito a più di 2.000 arresti.
Il sistema britannico non poggia però su una singola legge organica dedicata al riconoscimento facciale.
Le forze di polizia operano attraverso un insieme di poteri di common law, norme sulla protezione dei dati e sui diritti fondamentali, il codice sulle telecamere di sorveglianza e le linee guida del College of Policing.
Lo stesso governo britannico considera l’attuale quadro complesso e ha avviato nel 2025 una consultazione per introdurre una disciplina legislativa più organica.
Il riconoscimento a posteriori è ancora più diffuso: tutte le forze di polizia di Inghilterra e Galles possono effettuare ricerche di immagini attraverso il Police National Database, che si utilizza per confrontare fotografie raccolte durante le indagini con immagini di persone già note alla polizia. I
l governo britannico indica oltre 25.000 ricerche di immagini facciali al mese.
Confronto fra Italia e Uk
Il confronto con l’Italia è quindi particolarmente utile sul piano del metodo. Nel modello britannico il riconoscimento in tempo reale avviene attraverso una watchlist predisposta per la singola operazione e si cancellano immediatamente i dati biometrici delle persone che non producono una corrispondenza.
Nel sistema italiano previsto dall’articolo 10, invece, il nodo riguarda la possibilità di costituire preventivamente una banca dati locale con i dati biometrici degli accedenti a un luogo o evento.
Francia
La Francia ha adottato una linea più restrittiva nell’impiego del riconoscimento facciale nello spazio pubblico. La legge sui Giochi olimpici e paralimpici di Parigi 2024 ha consentito in via sperimentale l’uso di sistemi di videosorveglianza algoritmica per rilevare determinate situazioni o comportamenti, escludendo però espressamente l’identificazione biometrica e il riconoscimento facciale.
La sperimentazione è terminata il 31 marzo 2025. Il quadro francese è però più articolato quando si passa alle indagini. Il sistema TAJ, il registro dei precedenti giudiziari, può essere utilizzato dagli investigatori autorizzati anche attraverso un modulo di riconoscimento facciale.
USA
Negli Usa manca una disciplina federale uniforme e il quadro è costruito attraverso una combinazione di leggi statali, ordinanze locali e regole interne alle singole forze di polizia.
San Francisco ha approvato nel 2019 il primo divieto adottato da una grande città americana contro l’uso del riconoscimento facciale da parte delle amministrazioni locali. Altre città hanno seguito strade diverse, mentre alcuni Stati hanno scelto di regolamentare la tecnologia anziché vietarla.
La Virginia mostra quanto rapidamente possano cambiare questi equilibri. La disciplina entrata in vigore il 1° luglio 2026 vieta alle forze di polizia locali di acquistare o utilizzare sistemi di riconoscimento facciale senza un’autorizzazione espressa della legge statale e impone, tra le altre garanzie, il controllo esclusivo dell’agenzia sui sistemi e l’accesso ai dati attraverso un mandato
I divieti locali presentano inoltre un problema pratico: possono essere aggirati attraverso la collaborazione con altre forze di polizia. Un’inchiesta del Washington Post ha documentato casi in cui agenti di San Francisco e Austin, soggetti a restrizioni locali, hanno chiesto ad agenzie vicine di effettuare per loro ricerche attraverso sistemi di riconoscimento facciale.
Cina
La Cina rappresenta un modello molto diverso da quelli europei e statunitensi. Qui il riconoscimento facciale si integra su larga scala nelle infrastrutture di videosorveglianza e viene impiegato dalle autorità per finalità di sicurezza pubblica e di controllo.
Il confronto con l’Europa richiede però cautela. Il sistema cinese di sorveglianza e il cosiddetto social credit system sono fenomeni collegati al più ampio ecosistema di controllo e raccolta dei dati, ma non coincidono tra loro e non costituiscono un unico sistema nazionale di riconoscimento facciale.
Per il confronto con il decreto italiano, il dato più significativo riguarda quindi la scala e l’assenza di un equivalente europeo delle restrizioni che l’AI Act impone all’identificazione biometrica remota. Il modello europeo parte da un principio opposto: l’identificazione biometrica a distanza in tempo reale è ammessa soltanto in circostanze eccezionali e per finalità determinate.
Partecipa alla community