L’introduzione del riconoscimento facciale basato sull’intelligenza artificiale nel quadro normativo italiano ha riacceso un dibattito che ciclicamente accompagna ogni innovazione tecnologica destinata a incidere sulla sicurezza pubblica. Da una parte vi è chi considera questi strumenti indispensabili per contrastare terrorismo, criminalità organizzata e minacce ibride; dall’altra emergono timori circa una possibile compressione del diritto alla riservatezza e l’avvio di forme di sorveglianza di massa. Il decreto legislativo di adeguamento al Regolamento europeo sull’Intelligenza artificiale (AI Act) è stato interpretato da alcuni osservatori come un’apertura indiscriminata all’utilizzo del riconoscimento biometrico. Una lettura attenta del testo normativo porta invece a conclusioni differenti. Il sistema delineato dal legislatore non configura affatto una sospensione del diritto alla privacy, bensì introduce una disciplina estremamente rigorosa, caratterizzata da limiti precisi, autorizzazioni preventive e controlli giurisdizionali.Un equilibrio tra sicurezza e diritti fondamentaliLa prima considerazione riguarda il principio stesso che ispira il Regolamento europeo sull’Intelligenza artificiale. L’AI Act non nasce per favorire un impiego illimitato dell’IA da parte delle autorità pubbliche, ma per garantire che ogni utilizzo sia conforme ai principi di proporzionalità, necessità e tutela dei diritti fondamentali.L’identificazione biometrica remota in tempo reale viene infatti classificata tra gli impieghi a più alto rischio e, come tale, è generalmente vietata. Proprio perché si tratta di una tecnologia potenzialmente invasiva, il legislatore europeo ha previsto un numero estremamente limitato di eccezioni. Il decreto italiano non amplia tali eccezioni, ma si limita a disciplinarne le modalità applicative all’interno dell’ordinamento nazionale. Uno degli equivoci più diffusi consiste nell’immaginare città costantemente sorvegliate da sistemi di riconoscimento facciale capaci di identificare ogni passante.In realtà il decreto non autorizza uno scenario di questo tipo, poiché l’identificazione biometrica in tempo reale è ammessa esclusivamente in presenza di circostanze eccezionali e tassativamente individuate dalla legge: la prevenzione di un attacco terroristico imminente, la tutela della vita e dell’incolumità delle persone o la ricerca di soggetti scomparsi e vittime di gravissimi reati come sequestro di persona, tratta di esseri umani o sfruttamento sessuale. Si tratta quindi di ipotesi straordinarie, assimilabili alle situazioni nelle quali oggi vengono già autorizzate intercettazioni, perquisizioni o altre attività investigative invasive.Il ruolo decisivo dell’autorità giudiziariaUno degli elementi che maggiormente smentisce l’idea di una violazione della privacy è rappresentato dal sistema autorizzativo. Le forze di polizia non possono decidere autonomamente di attivare sistemi di riconoscimento facciale, dato che è necessaria una richiesta motivata formulata dai vertici delle strutture investigative competenti e, soprattutto, un’autorizzazione preventiva dell’autorità giudiziaria.Il decreto autorizzativo deve indicare: la finalità dell’impiego, l’area geografica interessata, la durata dell’attività, le persone ricercate e le motivazioni che rendono necessario il ricorso allo strumento tecnologico. Anche la durata è rigidamente limitata a quindici giorni, prorogabili soltanto mediante un nuovo provvedimento motivato. Si tratta di garanzie che rendono impossibile un utilizzo indefinito o arbitrario della tecnologia.L’urgenza non elimina i controlliMolte critiche si sono concentrate anche sulla possibilità di attivazione immediata nei casi d’urgenza. Anche in questo caso è opportuno evitare interpretazioni fuorvianti. La disciplina prevista ricalca modelli già consolidati nel diritto processuale italiano, dove esigenze di estrema urgenza consentono interventi immediati che devono però essere sottoposti, entro tempi molto brevi, alla convalida dell’autorità giudiziaria. L’intervento immediato non elimina quindi il controllo del magistrato. Se la convalida non interviene, l’utilizzo del sistema perde il proprio fondamento giuridico. Non si tratta quindi di un “liberi tutti”, ma di un meccanismo pensato per affrontare situazioni nelle quali attendere alcune ore potrebbe compromettere la salvaguardia della vita umana o la prevenzione di un attentato.Ancora più limitato risulta essere l’impiego del riconoscimento biometrico a posteriori. In questo caso non si parla di monitoraggio preventivo della popolazione, ma di attività investigativa successiva alla commissione di un reato. L’IA viene utilizzata per confrontare immagini già acquisite con soggetti già indiziati sulla base di ulteriori elementi investigativi. In altre parole, il sistema non ricerca indiscriminatamente qualsiasi cittadino, ma costituisce uno strumento di supporto all’identificazione di persone già inserite in un preciso contesto investigativo. È una logica molto simile a quella oggi utilizzata per le impronte digitali o per il Dna, ovvero l’utilizzo di tecnologie altamente invasive che vengono impiegate soltanto all’interno di procedimenti giudiziari regolati dalla legge.La questione della conservazione dei datiAnche il tema della banca dati biometrica è stato spesso presentato in maniera allarmistica. Il decreto stabilisce invece limiti temporali estremamente contenuti. I dati raccolti in particolari eventi o contesti urbani caratterizzati da esigenze di sicurezza vengono conservati per soli sette giorni. Non si tratta dunque della costruzione di un archivio permanente dei volti dei cittadini italiani. Il termine di conservazione rappresenta uno dei più significativi strumenti di tutela della privacy, in quanto impedisce l’accumulo indiscriminato di dati biometrici. Il dibattito pubblico tende spesso a contrapporre privacy e sicurezza come se fossero valori incompatibili, in realtà entrambi costituiscono diritti fondamentali riconosciuti dall’ordinamento costituzionale europeo.La tutela della vita, della libertà personale e della sicurezza collettiva rappresenta anch’essa un diritto fondamentale che lo Stato ha il dovere di garantire. La vera sfida consiste, quindi, nel trovare un equilibrio tra esigenze investigative e tutela delle libertà individuali, e il decreto tenta proprio di perseguire questo equilibrio attraverso un sistema multilivello di autorizzazioni, responsabilità e controlli. È inoltre importante chiarire un ulteriore aspetto spesso trascurato, ovvero che l’intelligenza artificiale non sostituisce la decisione umana. I sistemi di riconoscimento facciale costituiscono strumenti di supporto all’attività investigativa, ma la valutazione finale rimane sempre affidata agli operatori di polizia e, successivamente, all’autorità giudiziaria. Non esiste alcuna automatizzazione della decisione penale né alcun meccanismo che attribuisca all’algoritmo il potere di determinare responsabilità o colpevolezza.I recenti decreti attuativi: un modello italiano di regolazione equilibrataI recenti decreti attuativi approvati dal governo italiano rappresentano un passaggio fondamentale nell’attuazione della Legge n. 132/2025 e del Regolamento europeo sull’Intelligenza Artificiale (AI Act). Lungi dall’introdurre un’espansione incontrollata dei poteri di sorveglianza, essi definiscono un quadro normativo rigoroso, nel quale l’innovazione tecnologica è subordinata al rispetto dei principi costituzionali, del Gdpr e delle garanzie previste dall’AI Act europeo.Particolarmente significativa è la disciplina relativa al riconoscimento biometrico remoto, che conferma un’impostazione fortemente garantista. I decreti vietano espressamente la creazione di banche dati biometriche alimentate mediante raccolta indiscriminata di immagini dal web (scraping), impongono il ricorso all’autorizzazione dell’autorità giudiziaria, limitano temporalmente e territorialmente ogni utilizzo e prevedono l’obbligo di cancellazione dei dati qualora vengano meno i presupposti di legge.Si tratta di disposizioni che smentiscono la narrazione di una presunta “sorveglianza di massa” e dimostrano come il legislatore abbia costruito un sistema nel quale la sicurezza nazionale e la tutela dei diritti fondamentali procedono di pari passo. I decreti, inoltre, rafforzano un principio destinato a caratterizzare l’intera governance italiana dell’intelligenza artificiale: l’IA non sostituisce mai la responsabilità umana. Anche nei contesti investigativi più delicati, gli algoritmi assumono esclusivamente una funzione di supporto alle decisioni delle autorità competenti, mentre la valutazione finale resta sempre affidata all’uomo e sottoposta al controllo dell’autorità giudiziaria. È questa la vera cifra della regolazione italiana: non una contrapposizione tra sicurezza e privacy, bensì una loro integrazione attraverso regole, controlli, trasparenza e responsabilità.Una tecnologia ormai indispensabileLe moderne organizzazioni terroristiche, le reti criminali transnazionali e gli autori di reati gravi utilizzano tecnologie sempre più sofisticate. Pensare che le istituzioni possano contrastare tali minacce rinunciando agli strumenti tecnologici disponibili significherebbe creare un pericoloso squilibrio tra capacità offensive dei criminali e strumenti difensivi dello Stato.L’intelligenza artificiale applicata al riconoscimento facciale rappresenta oggi uno degli strumenti più efficaci per individuare soggetti pericolosi, ricostruire movimenti, identificare responsabili di reati complessi e accelerare le attività investigative. Naturalmente il suo impiego deve essere rigorosamente disciplinato. Ed è esattamente ciò che fa il decreto italiano.ConclusioniIl dibattito sul riconoscimento facciale merita certamente attenzione e vigilanza, ma dovrebbe svilupparsi su basi giuridiche e tecniche corrette, evitando rappresentazioni che alimentano paure non supportate dal contenuto effettivo della normativa. Il decreto non introduce forme di sorveglianza di massa né elimina il diritto alla privacy, al contrario, costruisce un sistema nel quale l’impiego dell’intelligenza artificiale è subordinato a condizioni rigorose, autorizzazioni giudiziarie, limiti temporali e controlli continui. In una fase storica caratterizzata da un terrorismo internazionale sempre più diffuso e strutturato, una criminalità organizzata che utilizza le più sofisticate tecnologie digitali e crescenti minacce ibride, il vero obiettivo non deve essere rappresentato dalla scelta tra sicurezza e privacy, ma garantire entrambe attraverso un utilizzo responsabile, proporzionato e trasparente delle tecnologie di intelligenza artificiale.