Per settimane il riconoscimento facciale è sembrato sul punto di trasformarsi in uno dei terreni più delicati dello scontro tra sicurezza, intelligenza artificiale e privacy.
Poi è arrivata la svolta.
Dopo il rinvio del voto di fine luglio e le polemiche sul possibile utilizzo della biometria negli spazi pubblici, il 4 agosto 2026 il Consiglio dei ministri ha approvato in via definitiva il decreto legislativo di adeguamento dell'ordinamento italiano all'AI Act europeo. Il testo ha introdotto alcune garanzie aggiuntive proprio sul punto più controverso: l'utilizzo delle tecnologie di riconoscimento facciale nelle attività di polizia.
Ma attenzione: dire semplicemente che "in Italia arriva il riconoscimento facciale" sarebbe fuorviante.
La questione è molto più complessa.
Il vero tema è quando una telecamera può limitarsi a registrare immagini e quando quelle immagini possono essere trasformate automaticamente in dati biometrici utilizzabili per identificare una persona.
Ed è proprio qui che Italia ed Europa stanno cercando un equilibrio difficile.
Il voto rinviato e la svolta del 4 agosto
Alla fine di luglio la discussione politica aveva acceso i riflettori sul provvedimento.
Il voto previsto alla Camera era stato rinviato mentre cresceva il confronto sull'utilizzo dell'intelligenza artificiale da parte delle forze dell'ordine.
Il nodo era soprattutto la possibilità di utilizzare sistemi capaci di confrontare automaticamente i volti ripresi dalle telecamere con immagini contenute nelle banche dati.
Da una parte c'è una motivazione facilmente comprensibile: identificare più rapidamente persone ricercate o sospettate di aver commesso reati.
Dall'altra c'è una domanda molto più difficile:
fino a che punto è accettabile analizzare biometricamente il volto di persone che non sono sospettate di nulla?
La risposta arrivata dal governo ad agosto è stata una mediazione.
Il testo approvato introduce infatti limiti più precisi sull'utilizzo della tecnologia e cerca di evitare la costruzione di un enorme archivio biometrico permanente della popolazione.
La differenza non è soltanto tecnica.
È una differenza che riguarda il modello di società nel quale vogliamo vivere.
Cosa cambia realmente con il nuovo decreto
Il punto più importante è distinguere videosorveglianza e riconoscimento biometrico.
Una telecamera può riprendere una piazza, una stazione o uno stadio.
Questo non significa automaticamente che un algoritmo stia identificando tutte le persone presenti.
Il riconoscimento facciale entra in gioco quando il sistema analizza caratteristiche biometriche del volto e cerca una corrispondenza con una persona presente in un archivio o in una lista di riferimento.
È proprio questo passaggio a rendere la tecnologia particolarmente delicata.
Secondo le informazioni disponibili sul provvedimento approvato, le immagini provenienti da determinati luoghi considerati sensibili possono essere conservate per un periodo limitato, indicato in massimo sette giorni, ma il confronto biometrico non dovrebbe trasformarsi in una ricerca indiscriminata su tutta la popolazione.
Un altro elemento centrale riguarda le banche dati: l'impostazione è quella di impedire la creazione di nuovi archivi biometrici permanenti attraverso raccolte indiscriminate di immagini online o sistemi di scraping.
Questo punto è fondamentale.
Perché il vero rischio, nell'era dell'intelligenza artificiale, non è soltanto avere milioni di telecamere.
È poter collegare automaticamente telecamere + banche dati + algoritmi + identità personali.
Una volta costruito questo collegamento, il livello di sorveglianza possibile cambia completamente.
Il riconoscimento facciale non è tutto uguale
È probabilmente questa la parte che genera più confusione.
Quando si parla di "riconoscimento facciale", infatti, vengono spesso messe nello stesso contenitore tecnologie molto diverse.
Videosorveglianza
Una telecamera registra immagini.
Non necessariamente identifica automaticamente le persone.
Riconoscimento a posteriori
Le immagini vengono analizzate successivamente, per esempio durante un'indagine.
Gli investigatori possono cercare una corrispondenza con immagini già disponibili.
Identificazione biometrica in tempo reale
È lo scenario più delicato.
La telecamera riprende una persona mentre passa e il sistema confronta immediatamente il suo volto con una lista di riferimento.
Se trova una possibile corrispondenza, genera un alert.
È proprio questa tecnologia a essere sottoposta ai limiti più severi dall'AI Act europeo.
La differenza può sembrare sottile.
In realtà è enorme.
Nel primo caso una telecamera registra.
Nel secondo un investigatore cerca.
Nel terzo un algoritmo può identificare automaticamente mentre la persona sta semplicemente camminando per strada.
Cosa dice davvero l'AI Act europeo
Qui bisogna evitare uno degli errori più comuni.
L'AI Act non vieta genericamente il riconoscimento facciale.
Il regolamento europeo vieta, come pratica di rischio inaccettabile, l'identificazione biometrica remota in tempo reale utilizzata dalle forze dell'ordine negli spazi pubblicamente accessibili, ma prevede eccezioni molto specifiche.
Tra gli ambiti considerati dalla normativa europea rientrano situazioni come la ricerca mirata di determinate persone, la prevenzione di minacce particolarmente gravi e alcuni reati di particolare gravità.
Il principio europeo è quindi basato sulla distinzione tra utilizzo generalizzato e utilizzo mirato.
L'AI Act vieta inoltre la raccolta indiscriminata di immagini da internet o dalle registrazioni delle telecamere per creare o ampliare database di riconoscimento facciale.
Questo è un dettaglio che spesso passa inosservato.
Non si tratta soltanto di decidere se utilizzare una telecamera.
Si tratta di stabilire anche da dove provengono le immagini utilizzate per identificare le persone.
Perché il limite dei sette giorni fa discutere
Sette giorni possono sembrare pochi.
Per un sistema investigativo, però, una settimana può rappresentare un periodo significativo.
Immagini registrate durante un evento pubblico possono infatti diventare utili soltanto dopo alcune ore o alcuni giorni, quando emerge un reato e gli investigatori ricostruiscono gli spostamenti.
Il limite temporale serve quindi a trovare un compromesso.
Da una parte permette di non perdere immediatamente materiale potenzialmente utile alle indagini.
Dall'altra evita, almeno nell'impostazione prevista, che le immagini rimangano indefinitamente disponibili per successive analisi biometriche.
È una questione di proporzionalità.
Più a lungo conserviamo immagini e dati, maggiore diventa il potenziale utilizzo futuro.
E maggiore diventa anche il rischio che un sistema nato per uno scopo venga successivamente utilizzato per altri scopi.
Il precedente SARI e il problema della sorveglianza di massa
Il dibattito italiano non nasce nel 2026.
Già nel 2021 il Garante Privacy aveva espresso un parere negativo sul sistema SARI Real Time del Ministero dell'Interno.
Secondo l'Autorità, nella configurazione esaminata mancava una base giuridica adeguata per il trattamento automatizzato dei dati biometrici e il sistema avrebbe potuto determinare una forma di sorveglianza indiscriminata o di massa.
Questo precedente spiega perché il nuovo provvedimento venga osservato con tanta attenzione.
Il problema non è soltanto la precisione della tecnologia.
È soprattutto il modello di utilizzo.
Un algoritmo estremamente preciso può comunque essere problematico se viene utilizzato per identificare automaticamente milioni di persone che non hanno commesso alcun reato.
Il vero confronto: Italia contro Regno Unito
Il confronto con altri Paesi diventa particolarmente interessante quando si guarda al Regno Unito.
Qui la tecnologia è già utilizzata in modo operativo.
La British Transport Police, per esempio, sta conducendo nel 2026 un progetto pilota di Live Facial Recognition nelle stazioni ferroviarie e, da agosto, anche in alcune stazioni della metropolitana londinese.
Il sistema crea una watchlist di persone ricercate e confronta in tempo reale i volti ripresi dalle telecamere con quelli presenti nella lista.
In caso di possibile corrispondenza, interviene comunque un agente umano per verificare la situazione.
La polizia britannica dichiara inoltre che le immagini biometriche delle persone che non generano un alert vengono cancellate immediatamente, mentre le immagini associate agli alert vengono gestite secondo procedure specifiche.
È un modello molto diverso da quello di una sorveglianza automatica indiscriminata.
Ma la differenza con l'approccio europeo resta significativa.
Il Regno Unito sta sperimentando concretamente il Live Facial Recognition in luoghi pubblici.
L'Unione europea, invece, parte da una presunzione molto più restrittiva e consente l'identificazione biometrica in tempo reale soltanto in condizioni eccezionali.
E la Francia? Una strada più prudente
La Francia rappresenta un altro caso interessante.
Anche Parigi ha sperimentato tecnologie di videosorveglianza algoritmica durante grandi eventi, ma il contesto francese resta fortemente condizionato dalle regole sulla protezione dei dati e dal ruolo della CNIL, l'autorità nazionale per la privacy.
Il confronto con l'Italia è quindi particolarmente utile perché entrambi i Paesi sono dentro lo stesso quadro europeo.
La vera differenza non è tanto tra "Paese che usa l'AI" e "Paese che non la usa".
È tra diversi livelli di autorizzazione, controllo, conservazione dei dati e finalità consentite.
Questo è probabilmente il modo più corretto per leggere la questione.
Stati Uniti: un modello molto più frammentato
Negli Stati Uniti la situazione è ancora diversa.
Non esiste un equivalente federale dell'AI Act europeo che stabilisca un unico quadro generale per tutte le applicazioni dell'intelligenza artificiale.
Le regole sul riconoscimento facciale possono quindi cambiare sensibilmente a seconda della giurisdizione e dell'utilizzo.
Questo produce un sistema molto più frammentato.
Alcune amministrazioni hanno introdotto forti restrizioni.
Altre hanno autorizzato o utilizzato strumenti biometrici per attività di polizia, sicurezza, frontiere e identificazione.
Il risultato è un modello nel quale la domanda "gli Stati Uniti usano il riconoscimento facciale?" ha una risposta troppo semplice.
La risposta più corretta è: dipende da quale Stato, quale agenzia e quale finalità stiamo considerando.
Cina: quando la biometria diventa parte dell'infrastruttura
La Cina rappresenta il confronto più lontano dal modello europeo.
Il Paese ha sviluppato negli anni un ecosistema molto esteso di videosorveglianza e tecnologie biometriche.
Anche qui, però, sarebbe sbagliato descrivere la situazione semplicemente come "nessuna regola".
La Cina ha introdotto specifiche misure per disciplinare l'utilizzo della tecnologia di riconoscimento facciale e la protezione delle informazioni personali.
Il punto di differenza rispetto all'Europa è soprattutto l'impostazione complessiva del rapporto tra sicurezza, Stato e dati biometrici.
L'Europa parte dalla tutela dei diritti fondamentali e introduce divieti e condizioni stringenti.
Altri sistemi giuridici attribuiscono invece un peso maggiore alle esigenze di sicurezza, controllo e identificazione.
Il confronto internazionale dimostra quindi che non esiste una sola strada tecnologica.
Esistono modelli politici e giuridici differenti.
Il problema dei falsi positivi
C'è poi un altro aspetto che rischia di essere sottovalutato: l'algoritmo può sbagliare.
Il riconoscimento facciale non "vede" una persona come la vede un essere umano.
Analizza caratteristiche matematiche dell'immagine e calcola una probabilità di corrispondenza.
Un possibile match non significa quindi automaticamente che la persona sia quella ricercata.
È proprio per questo che i sistemi operativi prevedono generalmente un controllo umano prima di procedere.
Nel progetto britannico della BTP, per esempio, quando il sistema segnala una possibile corrispondenza, è un agente a confrontare la persona reale con l'immagine e a decidere come procedere.
Questo passaggio è essenziale.
Perché un falso positivo in un sistema di raccomandazione musicale è fastidioso.
Un falso positivo in un sistema di polizia può avere conseguenze completamente diverse.
Il rischio che l'errore diventi un'identità
Il problema non riguarda soltanto la precisione.
Riguarda anche ciò che succede dopo una possibile identificazione.
Se un algoritmo suggerisce che una persona potrebbe essere un soggetto ricercato, qualcuno dovrà verificare l'informazione.
Se invece il risultato automatico viene trattato come una certezza, l'intelligenza artificiale smette di essere uno strumento di supporto e diventa di fatto un decisore.
Ed è proprio questo uno dei confini che la normativa europea cerca di mantenere.
L'AI può aiutare.
Ma una decisione che può incidere pesantemente sui diritti di una persona non dovrebbe essere trasformata automaticamente in una conseguenza del risultato di un algoritmo.
Sicurezza o privacy? La domanda è posta male
La contrapposizione "sicurezza contro privacy" è molto efficace sui social.
Ma è anche troppo semplice.
La vera domanda è un'altra:
quale livello di sorveglianza è proporzionato al rischio che vogliamo contrastare?
Se esiste una minaccia concreta e grave, l'opinione pubblica può accettare strumenti più invasivi.
Se invece la stessa tecnologia viene utilizzata per identificare sistematicamente ogni persona che entra in una piazza, il problema cambia.
Il punto non è quindi stabilire se la tecnologia sia buona o cattiva.
Il punto è stabilire chi può usarla, quando, perché, con quali controlli e per quanto tempo.
Cosa potrebbe succedere adesso
L'approvazione del 4 agosto non chiude il dibattito.
Anzi, potrebbe essere soltanto l'inizio della fase più delicata: quella dell'applicazione concreta.
Nei prossimi mesi sarà importante capire come verranno applicate le nuove regole dalle forze dell'ordine, quali procedure autorizzative saranno adottate e come verranno controllati conservazione, accesso e cancellazione delle immagini.
Sarà inoltre fondamentale vedere come verranno interpretati i rapporti tra normativa nazionale, AI Act, GDPR e disciplina specifica dei dati trattati dalle autorità di pubblica sicurezza.
L'AI Act è diventato applicabile in via generale dal 2 agosto 2026, mentre alcune disposizioni hanno tempi differenti. La Commissione europea indica inoltre che le regole di governance e controllo sono ormai entrate nella fase operativa.
In altre parole, il tema non è più soltanto teorico.
Il quadro europeo è entrato nella sua fase concreta.
La domanda che resta aperta
Il riconoscimento facciale può aiutare a trovare una persona ricercata.
Può accelerare un'indagine.
Può rendere più difficile per un criminale sfuggire all'identificazione.
Ma la stessa tecnologia può diventare estremamente invasiva se viene trasformata in uno strumento permanente di controllo della popolazione.
Ed è proprio questa la linea sottile sulla quale l'Italia sta cercando di muoversi.
Il confronto con Regno Unito, Francia, Stati Uniti e Cina dimostra che non esiste un modello universale.
Il futuro della tecnologia dipenderà quindi meno dalla domanda "possiamo riconoscere un volto?" e molto di più da una domanda politica e democratica:
chi può farlo, in quali circostanze e con quali limiti?
Perché il volto è una delle informazioni più personali che possediamo.
E una volta trasformato in un dato biometrico, non è più soltanto un'immagine.
È un'identità.
Fonti consultate:
Post
