Con il decreto sull'AI Act, l'Italia autorizza il riconoscimento facciale in tempo reale per la polizia ma solo in 3 casi specifici

Cos’è successo

Tra gli schemi di decreto con cui l'Italia adatta il proprio ordinamento all'AI Act europeo — approvati in via preliminare dal Consiglio dei ministri il 10 giugno — uno disciplina l'uso dell'intelligenza artificiale da parte delle forze di polizia. Con una scelta importante — autorizzare, entro certi limiti, i sistemi che scansionano dal vivo i volti in una folla per cercarvi una persona specifica (in luoghi pubblici). Quell'uso, anche per le forze dell'ordine, in linea di principio l’AI Act europeo lo vieta, dal febbraio 2025. Lo ammette solo in tre casi stretti, che valgono unicamente se uno Stato li attiva con una legge nazionale.

Il decreto legislativo in esame è quella legge, con le eccezioni attivate che ricalcano quelle europee. Il riconoscimento facciale dal vivo (art. 8) è ammesso per prevenire una minaccia grave e imminente alla vita delle persone o un attentato terroristico, e per ritrovare una persona scomparsa o una vittima di sequestro, tratta o sfruttamento sessuale; una norma parallela nel codice di procedura penale (l'art. 359-ter) lo consente, dentro un'indagine, per identificare e rintracciare chi è sospettato di reati gravi. Un caso diverso è il facciale "a posteriori" (art. 10), che riguarda immagini già registrate e serve a identificare un indiziato dopo il compimento del reato.

Perché conta

Bruxelles ha vietato il riconoscimento facciale dal vivo per la polizia, ma ha poi ritagliato tre eccezioni e le ha lasciate alla discrezione dei singoli Paesi. Alcuni Stati potrebbero non attivarle, ma l’Italia ha deciso di farlo. È una scelta, non un atto dovuto, e quanto sia prudente dipende dalle condizioni che l'accompagnano.

• Le garanzie non sono poche. Il live-scan dei volti si può accendere solo per le finalità elencate, su un'area ben delimitata e per un elenco definito di persone, con finestre di quindici giorni (rinnovabili finché restano le condizioni). Prima, in ogni caso, sono necessarie una valutazione dell’impatto sui diritti fondamentali — una relazione che pesa in anticipo i rischi per le libertà — e una notifica al Garante, l'autorità che vigila sui dati personali. Ed è vietato, esplicitamente, costruire le banche dati raccogliendo a strascico i volti dal web o dalle telecamere — come, notoriamente, faceva ad esempio Clearview. Tra i modi in cui l'eccezione poteva essere attivata, è ragionevole asserire che si tratti di uno dei più prudenti;
• Ad autorizzare l’uso non è un giudice terzo, ma il procuratore della Repubblica: un magistrato, e dunque un'autorità giudiziaria, ma schierata come parte del processo (la corsia penale, quella per identificare un sospetto, passa invece dal giudice per le indagini preliminari, che è terzo). Il decreto, in più, rimanda i paletti più solidi — come le soglie minime di accuratezza e affidabilità dei sistemi, il monitoraggio dei bias e le modalità tecniche d’uso e notifica al Garante — a provvedimenti ministeriali ancora da scrivere, e anche la formula per cui il testo "non produce nuovi obblighi" oltre all'AI Act riguarda gli adempimenti di conformità, non la sostanza politica — che è un potere di sorveglianza in più non banale;
• Fuori dalle indagini poi, con il riconoscimento a posteriori, il decreto prevede che a installare le telecamere intelligenti possano essere i privati, come i gestori di stadi e grandi eventi, che poi le cedono in prestito d'uso a titolo gratuito alla questura. Uno stadio si dota di videosorveglianza capace di leggere i volti, la polizia ne acquisisce la disponibilità esclusiva, e i dati biometrici raccolti si cancellano dopo sette giorni. È una filiera pubblico-privata che porta la sorveglianza biometrica dove si raduna la gente, e che si espone così ai rischi di abuso.

Adesso

• Le commissioni Affari costituzionali e Giustizia del Senato devono dare il parere sul decreto legislativo entro il 25 agosto, con la delega che scade il 10 ottobre. Ma il grosso non è nel testo di oggi; sarà piuttosto nei provvedimenti attuativi che fisseranno le soglie di accuratezza, il controllo dei bias e — forse più di tutto — le regole dello scambio con i privati;
• Va evidenziato anche l’aspetto più strettamente tecnico, al di là dei risvolti giuridici, dacché i sistemi di riconoscimento facciale tendono a sbagliarsi più spesso su certi volti come donne, persone non bianche, con l’ovvio rischio di coinvolgere in situazioni spiacevoli una persona innocente. Il decreto intuisce il pericolo — impone formazione sui bias e vieta di prendere una decisione sfavorevole sul solo esito del sistema — ma tra una "formazione" e una soglia d'errore misurabile c’è la differenza, cruciale, tra un principio e una tutela;
• L'Italia, in questo caso, si accinge prima di molti a scrivere le regole d'uso di una tecnologia che l'Europa aveva voluto tenere ai margini. Accenderla dentro un recinto è meglio che lasciarla al far west; ma quel recinto, oggi, è in buona parte ancora da costruire.