La normativa italiana ammette ricerche biometriche mirate dopo un reato, ma non autorizza l’identificazione indiscriminata dei partecipanti.
Il nodo è distinguere la registrazione di un volto dal suo riconoscimento automatizzato.
by avv. Claudio Caldarola – 3 Novembre 2026
Dopo un reato commesso durante una manifestazione, la polizia può ricorrere all’intelligenza artificiale per individuare il presunto responsabile? La risposta dipende da una distinzione decisiva: riprendere una persona non equivale a identificarla attraverso i suoi dati biometrici. Fra la registrazione delle immagini e il riconoscimento di un volto intervengono condizioni, autorizzazioni e responsabilità differenti. Ed è proprio in questo passaggio che si misura il rapporto tra esigenze di sicurezza e diritti di chi partecipa a un evento pubblico.
Il decreto legislativo 9 settembre 2026, n. 160, entrato in vigore il 30 settembre 2026, disciplina l’impiego dei sistemi di intelligenza artificiale nelle attività di polizia. Il suo articolo 10 riguarda il riconoscimento facciale effettuato a posteriori: una tecnologia che opera su immagini già acquisite, non nell’immediatezza della ripresa. Il testo prende in considerazione anche «luoghi o eventi per i quali sussistono particolari esigenze di ordine e sicurezza pubblica». Non cita espressamente le manifestazioni, né trasforma quella formula in un’autorizzazione a identificare biometricamente chiunque vi partecipi.
Una telecamera non è una banca dati biometrica
La legge separa almeno tre operazioni: acquisire un’immagine, conservarla e sottoporla a un confronto biometrico per stabilire un’identità. È una distinzione che vale anche quando le tre operazioni potrebbero essere svolte dallo stesso sistema. L’articolo 10 consente infatti di integrare componenti di intelligenza artificiale negli impianti di videosorveglianza la cui installazione sia già ammessa da specifiche disposizioni di legge. Ma la legittimità della telecamera non basta ad autorizzare l’attivazione del riconoscimento facciale.
Quest’ultima è subordinata ai casi e alle condizioni stabiliti dai commi 2 e 3 dell’articolo. Inoltre, il confronto deve avvenire dopo l’acquisizione delle immagini, con un intervallo tale da non configurare un’identificazione biometrica remota in tempo reale. Un ritardo soltanto apparente o molto breve non è sufficiente per cambiare la qualificazione dell’operazione.
Il riferimento europeo è il regolamento (UE) 2024/1689 sull’intelligenza artificiale, noto come AI Act. L’articolo 3 distingue i sistemi di identificazione biometrica remota in tempo reale da quelli a posteriori. I primi comprendono anche procedure nelle quali un breve scarto temporale non modifica la sostanziale immediatezza del rilevamento, del confronto e dell’identificazione. La distinzione non dipende dunque dall’etichetta commerciale della tecnologia, ma dal modo in cui viene utilizzata.
In tempo reale il divieto è la regola
L’articolo 5 dell’AI Act vieta in via generale l’identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico per finalità di contrasto. Le eccezioni sono circoscritte: riguardano, alle condizioni stabilite dal regolamento, la ricerca mirata di determinate vittime o persone scomparse, la prevenzione di specifiche minacce e l’identificazione o localizzazione di sospettati per i reati previsti. Non si tratta di un’autorizzazione alla ricognizione sistematica delle persone presenti in una piazza.
Il decreto italiano disciplina questi impieghi, in particolare, negli articoli 8 e 13. Il primo regola determinate attività preventive e di ricerca, con un intervento autorizzatorio del procuratore della Repubblica. Il secondo introduce l’articolo 359-ter del codice di procedura penale per le ipotesi investigative contemplate, con autorizzazione del giudice per le indagini preliminari e procedure specifiche nei casi di urgenza. Le due fattispecie hanno presupposti e percorsi distinti, ma condividono la necessità di delimitare le persone ricercate, l’area e la durata dell’impiego.
Il quadro europeo vieta anche la creazione o l’ampliamento di banche dati di riconoscimento facciale mediante raccolta non mirata di immagini da internet o da filmati di telecamere a circuito chiuso. La presenza di registrazioni, per quanto numerose, non costituisce perciò un titolo autonomo per trasformarle in un archivio biometrico generalizzato.
La ricerca dopo il reato e i due percorsi autorizzatori
Per il riconoscimento a posteriori, l’articolo 10 del decreto nazionale individua due situazioni. La prima riguarda una persona oggetto di ricerca mirata perché indiziata della commissione di un reato. In questo caso gli ufficiali di polizia giudiziaria presentano un’istanza e il pubblico ministero richiede al giudice per le indagini preliminari l’autorizzazione all’uso del sistema, senza ritardo e comunque entro 48 ore dall’avvio. Il giudice, se sussistono i presupposti, provvede con decreto motivato nelle 48 ore successive.
Non è quindi corretto descrivere il meccanismo come una richiesta che debba precedere sempre e comunque l’attivazione. Il legislatore ha previsto una procedura nella quale il controllo del giudice può intervenire dopo l’avvio, entro termini definiti. Se questi non sono osservati, oppure l’autorizzazione non viene concessa, l’uso collegato alla richiesta deve cessare immediatamente. I dati personali, i risultati e gli output prodotti devono essere cancellati, salvo che costituiscano corpo del reato.
La seconda situazione è quella dell’identificazione iniziale di una persona potenzialmente indiziata. Il comma 3 esclude l’autorizzazione del giudice prevista dal comma precedente quando la tecnologia è utilizzata esclusivamente dopo la commissione del reato, al solo fine di identificare inizialmente tale persona, sulla base di elementi oggettivi e verificabili direttamente connessi al fatto. Nei servizi di ordine e sicurezza pubblica l’utilizzo ricade sotto la diretta ed esclusiva responsabilità dell’ufficiale di pubblica sicurezza designato dal questore; al di fuori di tale ambito, dell’ufficiale di polizia giudiziaria indicato dalla disposizione.
L’eccezione riguarda la procedura autorizzatoria, non il requisito della ricerca mirata. Identificare inizialmente un potenziale indiziato non significa poter sottoporre tutti i partecipanti a una manifestazione a un controllo biometrico preventivo. Se le condizioni del comma 3 non sono rispettate, i risultati non possono essere utilizzati e i dati devono essere cancellati, salvo la medesima eccezione relativa al corpo del reato.
Che cosa cambia nei luoghi e negli eventi pubblici
Il passaggio più delicato è nel comma 4 dell’articolo 10. La disposizione contempla, secondo criteri da individuare con un decreto del Ministro dell’interno, il trattamento automatizzato delle immagini del volto delle persone che accedono a luoghi o eventi interessati da particolari esigenze di ordine e sicurezza pubblica. In questa fase il trattamento avviene senza elaborazione dei relativi dati biometrici. Le immagini sono memorizzate localmente in una base di riferimento.
Il testo considera inoltre la memorizzazione dei corrispondenti dati anagrafici e, quando esista un posto assegnato, del relativo identificativo, ricavati dalla scansione elettronica dei titoli di accesso. È una disciplina che richiama specifiche modalità di ingresso: la sua formulazione non dimostra, da sola, che ogni manifestazione su strade e piazze rientri nel medesimo modello operativo.
Il confronto biometrico interviene soltanto dopo la commissione di un fatto di reato. La norma prevede allora l’elaborazione delle immagini conservate nella base locale, per confrontarle a posteriori con i dati biometrici estratti dalle immagini del volto della persona indiziata. Ne deriva una scansione precisa: le esigenze di ordine pubblico rilevano per il contesto di acquisizione e memorizzazione; il fatto di reato e i presupposti della ricerca rilevano per l’attivazione del riconoscimento.
Il comma 12 demanda a un decreto ministeriale, adottato sentito il Garante per la protezione dei dati personali, i criteri per individuare luoghi ed eventi, le modalità del trattamento e le misure di sicurezza. Il testo legislativo non identifica direttamente gli eventi interessati e non dimostra l’utilizzo effettivo di queste tecnologie in una manifestazione determinata. Confondere la previsione di un potere regolato con la prova del suo esercizio significherebbe attribuire alla norma un fatto che essa non documenta.
Sette giorni per la base locale, cinque anni per i registri
L’articolo 10 individua il titolare del trattamento nel Ministero dell’interno – Dipartimento della pubblica sicurezza. Prima del trattamento sono previste una valutazione d’impatto sulla protezione dei dati e la consultazione del Garante, secondo le disposizioni richiamate dal decreto. Gli accessi ai sistemi e le relative operazioni sono riservati alle persone autorizzate.
Le informazioni personali conservate nella base locale disciplinata dall’articolo devono essere cancellate automaticamente sette giorni dopo la raccolta. Diverso è il regime dei registri delle operazioni, i cosiddetti log: devono essere non modificabili e conservati per cinque anni, per le finalità di controllo indicate dalla norma. Il comma 9 mantiene inoltre fermi gli specifici termini di conservazione previsti per finalità di polizia dalla disciplina richiamata. Il limite dei sette giorni non è dunque una regola universale riferita a qualsiasi immagine detenuta dalle autorità.
Anche la gestione materiale degli impianti è distinta dalla responsabilità sui dati. Il decreto consente, nelle ipotesi previste, che installazione e manutenzione delle componenti siano effettuate dai gestori dei luoghi o dagli organizzatori degli eventi. I sistemi sono poi concessi in comodato gratuito alla questura, che ne acquisisce la completa ed esclusiva disponibilità; resta fermo il titolare del trattamento individuato dalla legge.
Il controllo umano e la questione delle scadenze europee
La produzione di una corrispondenza biometrica non esaurisce l’accertamento. L’articolo 10, comma 10, vieta che una decisione produttiva di effetti giuridici negativi nei confronti di una persona sia fondata soltanto sul risultato del riconoscimento facciale. L’articolo 3 richiede una revisione umana qualificata, documentata e tracciabile, prima di utilizzare gli output in atti o provvedimenti che incidono sulla sfera giuridica degli interessati. Per i sistemi ad alto rischio è inoltre prevista una sorveglianza umana effettiva da parte di personale formato.
Il comma 11 contiene il limite più netto: i sistemi non possono essere attivati in modo non mirato, senza collegamento con un reato o un procedimento penale, né essere utilizzati per il controllo e l’identificazione biometrica generalizzati o indiscriminati delle persone. Il divieto riguarda la finalità e le modalità dell’operazione, non soltanto le caratteristiche tecniche del software.
Resta da distinguere anche entrata in vigore e applicazione delle singole disposizioni. Il decreto nazionale è entrato in vigore il 30 settembre 2026. Il testo consolidato dell’AI Act al 27 luglio 2026 prevede, invece, per le sezioni 1, 2 e 3 del capo III riferite ai sistemi ad alto rischio dell’articolo 6, paragrafo 2, e dell’allegato III, l’applicazione dal 2 dicembre 2027. Fra queste disposizioni si trova l’articolo 26, paragrafo 10, relativo alla ricerca biometrica a posteriori. L’articolo 21 del decreto nazionale rinvia ai termini europei per le norme la cui applicazione dipende dal regolamento. Non tutte le prescrizioni richiamate diventano quindi applicabili in un’unica data.
Il confine è nella finalità della ricerca
La disciplina non sceglie fra l’impunità di chi commette reati e l’identificazione di chi manifesta pacificamente. Prevede strumenti di ricerca in condizioni definite e vieta di impiegarli per un’identificazione biometrica indiscriminata. La distinzione deve restare leggibile in ciascuna fase: dall’acquisizione delle immagini alla scelta di attivare il confronto, dall’eventuale autorizzazione alla revisione del risultato.
Per stabilire se una ricerca sia consentita non basta sapere che esistono telecamere o che un evento comporta esigenze di sicurezza. Occorre sapere quale fatto di reato giustifica l’operazione, quale persona viene ricercata, con quali dati, da chi e sotto quale controllo. È qui, più che nella potenza del sistema, che la legge colloca il limite all’identificazione biometrica delle persone presenti in uno spazio pubblico.
