6 cose da sapere sul nuovo decreto per l'uso del riconoscimento facciale con l'AI da parte della polizia

Cos’è successo

Sette condizioni accompagnano il sì del Garante Privacy al decreto che regolerà l'uso dell'AI da parte della polizia, con quella più incisiva che riguarda il riconoscimento facciale a posteriori. Il testo, dice il Garante, non può infatti autorizzare l'elaborazione automatica dei dati biometrici di chiunque entri in determinati luoghi o partecipi a certi eventi.

Lo schema, approvato in via preliminare dal Consiglio dei ministri il 10 giugno scorso, ha intanto ricevuto osservazioni favorevoli dalla commissione Politiche UE del Senato; l'esame di merito deve ancora concludersi. Il passaggio ha riacceso lo scontro politico e prodotto qualche "via libera" di troppo, mentre nel racconto di queste ore si sono confuse regole e procedure molto diverse.

Perché conta

In quanto regolamento, l'AI Act si applica direttamente. Il divieto europeo sull'identificazione biometrica remota in tempo reale negli spazi pubblici vale già dal febbraio 2025, benché Bruxelles abbia lasciato agli Stati alcune deroghe (molto circoscritte). L'Italia ha scelto di usarle e sta ora scrivendo i controlli che dovranno accompagnarle.

• Per prevenire minacce gravi e imminenti o cercare persone scomparse e vittime di alcuni reati, l'articolo 8 consente alla polizia di usare il riconoscimento in tempo reale previa autorizzazione. L'AI Act richiede che il via libera arrivi da un'autorità giudiziaria oppure da un'autorità amministrativa indipendente; il decreto sceglie il procuratore, una figura la cui terzietà viene contestata dalle opposizioni. Il Garante non ha però formulato rilievi su questo punto, definendo il meccanismo una garanzia di autorizzazione giudiziaria preventiva. Nelle indagini penali, il nuovo articolo 359-ter del codice di procedura penale permette invece di individuare un indiziato, un sospetto non ancora identificato o un latitante con il via libera del giudice per le indagini preliminari. La procedura d'urgenza prevista in questo secondo caso passa dalla richiesta al pubblico ministero entro dodici ore e dalla convalida del giudice nelle successive 48;
• Quando le immagini sono già state registrate, l'AI Act consente ricerche a posteriori se collegate a un determinato reato. Fatta eccezione per la prima identificazione di un potenziale sospetto sulla base di elementi verificabili, l'autorizzazione deve arrivare prima dell'uso o al massimo entro 48 ore. Il comma 3 dell'articolo 10 italiano anticiperebbe però l'elaborazione, ricavando in automatico i dati biometrici di tutti i presenti in luoghi o eventi considerati sensibili. Quei dati rimarrebbero disponibili fino a sette giorni, mentre i registri non modificabili degli accessi e delle operazioni verrebbero conservati per cinque anni;
• Il Garante chiede perciò di riscrivere il comma 3, consentendo di estrarre i dati dalle immagini già raccolte soltanto dopo l'emersione di un'esigenza operativa circoscritta. Anche le banche dati usate per il confronto dovranno restare legate al singolo caso — ogni nuova autorizzazione non potrà allargare silenziosamente l'archivio — mentre la legge dovrà precisare quando sia possibile conservare dati acquisiti in modo illegittimo.

Adesso

• Da qui al 25 agosto, le commissioni Affari costituzionali e Giustizia del Senato dovranno esprimere il parere di merito. Quello del Garante non riscrive da solo il decreto, né le osservazioni favorevoli della commissione Politiche UE valgono come approvazione parlamentare. Toccherà al Governo correggere il testo e approvarlo definitivamente entro il 10 ottobre, quando scade la delega legislativa;
• L'approvazione del decreto lascerà ancora al ministero dell'Interno due atti da scrivere. Nel primo finiranno i requisiti tecnici e di sicurezza dei sistemi in tempo reale; il secondo regolerà trattamento e conservazione dei dati nell'uso a posteriori e dovrà precisare, come chiede l'Autorità, quando possa iniziare l'elaborazione biometrica. Una parte sostanziale delle tutele arriverà dunque soltanto in seguito;
• Una ricerca mirata parte da un reato e torna sulle immagini già disponibili; il comma 3 rovescia la sequenza e renderebbe ricercabili in anticipo i dati biometrici di tutti, qualora emergesse poi un'esigenza investigativa. Nella versione finale, i sette giorni di conservazione saranno meno rilevanti del momento in cui quei sette giorni cominciano.