Il percorso di adeguamento dell’ordinamento italiano all’AI Act, il regolamento europeo che disciplina lo sviluppo e l’utilizzo dei sistemi di intelligenza artificiale, ha appena compiuto un passo importante. Il Garante per la protezione dei dati personali ha infatti espresso parere favorevole sullo schema di decreto legislativo predisposto dal Governo, pur indicando una serie di modifiche e integrazioni ritenute necessarie per rafforzare le tutele dei cittadini.

Il provvedimento rappresenta uno dei tasselli fondamentali per recepire in Italia il nuovo quadro normativo europeo sull’intelligenza artificiale e dedica particolare attenzione all’impiego dei sistemi AI da parte delle Forze di polizia, un ambito nel quale innovazione tecnologica e tutela dei diritti fondamentali devono necessariamente trovare un punto di equilibrio. Tra gli aspetti disciplinati dal decreto figurano l’utilizzo dei dati biometrici, le condizioni per il ricorso alle tecnologie di identificazione biometrica a distanza e le garanzie da adottare durante il trattamento di informazioni particolarmente sensibili. Secondo il Garante, l’impianto complessivo del testo risulta coerente sia con le disposizioni dell’AI Act, sia con la legge delega n. 132 del 2025, anche se alcuni passaggi richiedono maggiore precisione.

Uno dei primi punti evidenziati dall’Autorità riguarda il ruolo della supervisione umana. Il Garante ritiene infatti opportuno specificare con maggiore chiarezza in quali fasi dell’utilizzo dei sistemi AI debba essere previsto l’intervento di operatori umani, evitando che decisioni particolarmente delicate possano essere affidate esclusivamente agli algoritmi. L’Autorità chiede inoltre di definire meglio le responsabilità nei progetti di ricerca e sperimentazione che coinvolgono sistemi AI. Un quadro normativo più dettagliato consentirebbe di individuare con precisione i soggetti responsabili del trattamento dei dati personali e delle eventuali conseguenze derivanti dall’utilizzo delle nuove tecnologie.

Tra le proposte figura anche il coinvolgimento diretto del Garante negli spazi di sperimentazione normativa (i cosiddetti regulatory sandbox) ogni volta che le attività di test prevedano il trattamento di dati personali. L’obiettivo è garantire che lo sviluppo di soluzioni innovative avvenga fin dalle prime fasi nel rispetto della normativa sulla privacy, evitando criticità che potrebbero emergere soltanto dopo l’introduzione sul mercato.

pmi ia

Crediti: Shutterstock

Particolare attenzione viene riservata al tema delle banche dati biometriche, considerate uno degli elementi più delicati dell’intero impianto normativo. Secondo il Garante, il decreto dovrebbe rafforzare le garanzie relative alla qualità, all’affidabilità e all’aggiornamento dei database utilizzati nei sistemi di identificazione, così da ridurre il rischio di errori, falsi positivi o identificazioni scorrette. Il punto più significativo del parere riguarda però il riconoscimento facciale negli spazi pubblici. L’Autorità ribadisce che un trattamento automatizzato e generalizzato dei dati biometrici di tutte le persone che accedono a luoghi pubblici o partecipano a eventi non risulta compatibile con l’impostazione dell’AI Act.

Il regolamento europeo, infatti, prevede condizioni molto rigorose per l’impiego di queste tecnologie e consente il ricorso al riconoscimento biometrico ex post soltanto nell’ambito di ricerche mirate e in presenza di specifiche esigenze investigative. Per questo motivo il Garante sottolinea che l’elaborazione dei dati biometrici dovrebbe avvenire esclusivamente su registrazioni già disponibili e non attraverso una raccolta preventiva e indiscriminata delle informazioni relative a tutti i cittadini presenti in un determinato luogo. In altre parole, l’Autorità invita a evitare sistemi di sorveglianza permanente basati sulla scansione continua dei volti delle persone, privilegiando invece strumenti utilizzati solo quando esistano concreti presupposti investigativi e nel rispetto del principio di proporzionalità previsto dalla normativa europea.

Un’ulteriore richiesta riguarda il nuovo articolo 359-ter del Codice di procedura penale dedicato all’identificazione biometrica. Secondo il Garante, il testo dovrebbe contenere un esplicito divieto di utilizzare banche dati realizzate attraverso attività di scraping indiscriminato, ovvero mediante la raccolta automatica di immagini e informazioni personali da Internet senza una base giuridica adeguata o in violazione delle norme sulla protezione dei dati. Il riferimento richiama un tema già al centro del dibattito internazionale negli ultimi anni, dopo la diffusione di piattaforme che hanno costruito enormi archivi biometrici acquisendo fotografie pubblicate online sui social network o su altri siti web senza il consenso degli interessati.

(Immagine in apertura: Shutterstock)