Riconoscimento facciale, il decreto del Governo tarda: c’è il nodo dei dati senza autorizzazione

Lo schemda di decreto che attua l’Ai Act, approvato ad agosto dal Cdm, impone di eliminare immagini e risultati raccolti senza autorizzazione. Ma introduce un’eccezione senza definire con precisione i confini. Il teso attende di essere pubblicato in Gazzetta ufficiale

Il sistema di riconoscimento facciale è acceso in un luogo pubblico. Inquadra i volti, li acquisisce, li confronta. Ma il procuratore della Repubblica non ha autorizzato l’operazione oppure i termini previsti non sono stati rispettati. La regola, nello schema di decreto sull’intelligenza artificiale nelle attività di polizia, sembra netta: l’uso è «immediatamente interrotto e tutti i dati personali, i risultati e gli output acquisiti e prodotti sono cancellati».

Sembra. Perché subito dopo la norma apre una porta: «fatti salvi gli elementi acquisiti legittimamente sotto altra base giuridica». Quale? E in quali casi le immagini raccolte senza l’autorizzazione prevista possono essere conservate? Lo schema, salvo un riferimento al decreto legislativo 51 del 2018 sul trattamento dei dati personali in attività di polizia, non lo chiarisce. Ed è qui che emerge il rischio di un buco normativo sulla gestione dei dati biometrici.

Il punto è contenuto nell’articolo 8, comma 8, dello schema approvato il 4 agosto dal Consiglio dei ministri. È il decreto legislativo chiamato ad adeguare l’ordinamento italiano al Regolamento Ue 2024/1689, il cosiddetto Ai Act, disciplinando anche l’impiego dell’intelligenza artificiale nelle attività di polizia.

Il riconoscimento biometrico in tempo reale viene ammesso, ma entro limiti rigorosi. La formulazione adottata dal governo, tuttavia, lascia aperto un passaggio decisivo: il destino dei dati che non devono essere cancellati perché «acquisiti legittimamente sotto altra base giuridica».

Lo schema non individua espressamente i casi. Richiama soltanto il decreto legislativo 51 del 2018, che regola il trattamento dei dati personali da parte delle autorità competenti per finalità di prevenzione, indagine, accertamento e perseguimento dei reati. Il perimetro concreto dell’eccezione, però, resta da definire.

L’articolo 8 disciplina i «Sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale per finalità di prevenzione, nonché di ricerca delle persone scomparse e delle vittime di specifici reati».

Le Forze di polizia possono utilizzare il riconoscimento biometrico in tempo reale nei luoghi pubblici per prevenire minacce specifiche e cercare persone scomparse oppure vittime di sequestro, tratta e sfruttamento sessuale. Il confronto può avvenire esclusivamente attraverso una banca dati costruita «appositamente per ciascun utilizzo».

La richiesta può essere presentata dal questore, dai comandanti provinciali [...]