Forze di polizia e responsabilità civile e penale: ecco le norme Ai

In vigore dal 30 settembre il Dlgs che adegua l’Ai Act. Rimane l’approccio antropocentrico, limiti per il riconoscimento facciale

È stato pubblicato martedì 15 settembre in Gazzetta Ufficiale ed entrerà in vigore mercoledì 30 settembre il decreto legislativo 160/2026 che adegua la normativa nazionale alle disposizioni del regolamento Ue 2024/1689 (cosiddetto Ai Act) che stabilisce regole armonizzate sull’intelligenza artificiale, in materia di utilizzo dei sistemi di Ai per l’attività di polizia e di responsabilità civile e penale.

Prima di analizzare le misure contenute all’interno del Dlgs 160/2026, è bene ricordare che l’approccio italiano, come quello europeo, è e rimane antropocentrico. Anche quando l’Ai viene impiegata dalle Forze di polizia, il principio guida è che l’intelligenza artificiale serve come strumento di supporto all’intervento e alla decisione dell’essere umano. Inoltre, l’approccio è proporzionato e fondato sul rischio, in quanto tiene conto della classificazione dei sistemi di Ai e delle diverse categorie di soggetti interessati. L’obiettivo è incrementare l’efficienza operativa senza intaccare il giudizio e la revisione degli operatori umani. Specialmente per i sistemi ad alto rischio, la norma impone che ci sia una sorveglianza umana costante e formata nell’uso delle tecnologie per prevenire rischi alla sicurezza o lesioni della privacy e dei diritti fondamentali.

Agli articoli 4, 5 e 6 il Dlgs 160/2026 dichiara la possibilità, per le Forze di polizia, di avviare convenzioni e partnership con università, enti di ricerca e soggetti pubblici o privati, purché assicurino la tutela dei dati operativi sensibili, vietandone la condivisione diretta con l’uso di dati sintetici, mascherati o pseudonimizzati. Viene specificato, inoltre, che gli spazi di sperimentazione normativa forniscono la base giuridica per testare e sviluppare i sistemi di Ai ad alto rischio in ambienti controllati, in collaborazione con il Garante della privacy (che si è espresso più volte su questi temi) e le Autorità nazionali competenti.

Imprescindibile, in questo contesto, la formazione del personale. Per questo, vengono predisposti, presso gli istituti di formazione delle Forze di polizia, corsi finalizzati a spiegare funzionamento, potenzialità, limiti, rischi dell’intelligenza artificiale, senza dimenticare le questioni etiche e la tutela della privacy.

Il terzo capo della nuova norma – «Sistemi di intelligenza artificiale utilizzati nelle attività di polizia per l’etichettatura, il filtraggio e la categorizzazione di dati biometrici, per l’identificazione biometrica remota in tempo reale per finalità di prevenzione o di protezione e per il riconoscimento facciale a posteriori a fini di contrasto dei reati» – è quello che, negli ultimi mesi, ha suscitato più polemiche e preoccupazioni sia in Parlamento sia presso il Garante della privacy. Gestire con cautela i dati biometrici è fondamentale sia nell’uso dei sistemi di Ai in tempo reale sia nel riconoscimento facciale a posteriori: l’utilizzo improprio, discriminatorio, per finalità che eccedano quelle disposte dalla magistratura è possibile.

Per limitare questi rischi, il Governo è intervenuto consentendo l’etichettatura, il filtraggio e la categorizzazione di dati biometrici entro limiti precisi e stringenti e solo per finalità di polizia, comparazione e ricerca. Mente sul fronte dell’identificazione biometrica remota in tempo reale in luoghi pubblici o aperti al pubblico – si pensi agli stadi, ai concerti, alle manifestazioni -, avvalersi dell’Ai è consentito solo per prevenire minacce specifiche o per ricercare persone scomparse e vittime di reati gravi come sequestro, tratta ed espropriazione sessuale. Fondamentale è che le banche dati siano create ad hoc per l’evento e siano cancellate alla scadenza dei termini di legge e prive di capacità incrementale rispetto ad autorizzazioni precedenti. Vietato, inoltre, alimentare questi archivi tramite scraping (ovvero la raccolta massiva e non mirata di informazioni dal web).

Per i sistemi di videosorveglianza integrati con Ai per il riconoscimento facciale a posteriori, l’elaborazione dei dati biometrici può avvenire solo dopo la registrazione e non in tempo reale. In caso di reato, il confronto tra i dati dell’indiziato e l’archivio locale deve essere autorizzato dal Gip su richiesta del Pubblico ministero entro tempi stringenti (48 ore per l’istanza e 48 ore per la decisione), pena la cancellazione dei dati.

Il titolo II del Dlgs 160/2026 è, invece, dedicato alle norme relative alla responsabilità, sia in ambito civile sia in ambito penale, di chi utilizza i sistemi di intelligenza artificiale. Nel codice penale, viene introdotto l’articolo 437-bis che punisce l’omessa adozione di misure di sicurezza e la sorveglianza umana sui sistemi di Ai ad alto rischio, oltre alla loro alterazione illecita. Responsabilizzate le imprese, visto che per la medesima condotta a venire punita è anche la colpa di organizzazione. Anche nel decreto 231 viene inserito il reato previsto dalla legge sull’intelligenza artificiale (132/2025): scattano, dunque, sanzioni per i casi di deep fake e d’illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale.

Maggiori tutele civili, infine, per il risarcimento dei danni causati dai sistemi di Ai: il Dlgs 160/2026 favorisce la parte danneggiata, rafforzando l’accesso alla giustizia in una materia complessa, nella quale la ricostruzione del funzionamento del sistema e del nesso causale può risultare difficile.