Riconoscimento facciale, dal 30 settembre nuove regole per la polizia: fin dove può arrivare la sorveglianza biometrica?
Il decreto legislativo n. 160/2026 è entrato in vigore il 30 settembre. Per la prima volta l’Italia disciplina organicamente l’impiego dell’intelligenza artificiale nelle attività di polizia, compresa l’identificazione biometrica remota in tempo reale e il riconoscimento facciale a posteriori. Il decreto introduce limiti e autorizzazioni, ma apre anche questioni decisive per privacy, libertà individuali e controllo dello spazio pubblico.
La notizia, dopo una verifica sulle fonti ufficiali, è più importante di quanto apparisse inizialmente.
Non siamo infatti davanti a una semplice proposta.
Il decreto legislativo 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre, è entrato in vigore il 30 settembre 2026. Il provvedimento adegua la normativa italiana al Regolamento europeo sull’intelligenza artificiale, l’AI Act, specificamente per l’utilizzo dell’IA nelle attività di polizia e per alcuni profili di responsabilità civile e penale.
Non soltanto telecamere: identificazione biometrica in tempo reale
Il punto più delicato riguarda gli articoli 8, 9 e 10.
Il decreto disciplina espressamente i casi nei quali le forze di polizia possono utilizzare sistemi di IA per l’identificazione biometrica remota “in tempo reale” in spazi pubblici o aperti al pubblico. La documentazione parlamentare relativa al decreto conferma che il confronto biometrico deve avvenire con specifiche banche dati di riferimento e nell’ambito delle condizioni previste dalla normativa.
È una distinzione fondamentale.
Una normale telecamera registra delle immagini. Un sistema di identificazione biometrica può invece confrontare automaticamente caratteristiche fisiche di una persona con quelle presenti in una banca dati.
È quindi la capacità dello Stato di identificare tecnologicamente una persona nello spazio fisico a rendere particolarmente delicata questa materia.
Anche riconoscimento facciale dopo un reato
Il decreto disciplina inoltre il riconoscimento facciale a posteriori.
L’articolo 10 stabilisce che sistemi di videosorveglianza già consentiti dalla legge possano essere integrati con componenti di intelligenza artificiale destinate al riconoscimento facciale. L’attivazione deve avvenire dopo l’acquisizione delle immagini e con modalità tali da non trasformarsi in identificazione biometrica in tempo reale.
Per la ricerca mirata di una persona indiziata è previsto un procedimento che coinvolge pubblico ministero e giudice per le indagini preliminari, con termini specifici per l’autorizzazione.
Esiste però un’ipotesi diversa: quando il riconoscimento viene utilizzato, dopo la commissione di un reato, esclusivamente per l’identificazione iniziale di una persona potenzialmente indiziata sulla base di elementi oggettivi direttamente collegati al fatto, l’articolo 10 prevede che l’autorizzazione giudiziaria preventiva non sia necessaria, ferme le altre condizioni stabilite dalla norma.
È uno dei punti che meriteranno particolare attenzione nell’applicazione concreta.
Il decreto vieta il riconoscimento generalizzato
Occorre però evitare una rappresentazione inesatta della nuova normativa.
Il decreto non autorizza indiscriminatamente la polizia a identificare biometricamente chiunque passi davanti a una telecamera.
L’articolo 10 stabilisce espressamente che questi sistemi non possano essere utilizzati in modo non mirato e senza collegamento con un reato o procedimento penale, né per il controllo e l’identificazione biometrica generalizzata o indiscriminata delle persone.
Inoltre una decisione capace di produrre effetti giuridici negativi sulla persona non può essere fondata esclusivamente sul risultato prodotto dal riconoscimento facciale.
Sono garanzie importanti.
Ma non esauriscono il problema.
Una domanda fondamentale: che fine fanno le immagini?
Un’analisi specialistica del decreto ha evidenziato una questione particolarmente interessante.
La normativa stabilisce che i log delle operazioni siano conservati per cinque anni, ma secondo questa lettura non individua con la stessa immediatezza un termine generale per la cancellazione delle immagini raccolte in determinati contesti quando nessun reato viene commesso.
È un punto che merita un approfondimento diretto anche alla luce della normativa sulla protezione dei dati.
Perché la questione non riguarda soltanto quando è possibile riconoscere un volto.
Riguarda anche:
quali immagini vengono raccolte, per quanto tempo vengono conservate, chi può accedervi, con quali banche dati possono essere confrontate e quali controlli può esercitare il cittadino.
Il precedente dello Stadio Olimpico
La questione non è puramente teorica.
Una recente ricostruzione giornalistica ha riportato il caso di un sistema di riconoscimento facciale utilizzato allo Stadio Olimpico di Roma e successivamente bloccato dal Garante per la protezione dei dati personali per problemi relativi alla base giuridica del trattamento. La vicenda viene oggi riletta proprio alla luce del nuovo decreto.
Il precedente dimostra perché la base normativa sia determinante.
Una tecnologia tecnicamente disponibile non diventa automaticamente giuridicamente utilizzabile.
Il vero confine sarà tra sicurezza e sorveglianza generalizzata
Il decreto n. 160/2026 rappresenta dunque un passaggio importante.
Da una parte riconosce che strumenti di intelligenza artificiale e riconoscimento biometrico possono essere utilizzati dalle forze dell’ordine entro determinate condizioni.
Dall’altra introduce garanzie, controllo umano, tracciabilità e divieti contro l’identificazione indiscriminata, inserendo il sistema italiano nel quadro dell’AI Act europeo.
Il problema decisivo sarà vedere come queste garanzie funzioneranno nella pratica.
Perché esiste una differenza enorme tra utilizzare il riconoscimento facciale per individuare una determinata persona ricercata dopo un grave reato e costruire progressivamente un’infrastruttura capace di rendere identificabile chiunque si trovi in uno spazio pubblico.
Ed è precisamente su questo confine che deve esercitarsi il controllo democratico.
Sindacato d’Azione: le domande che vanno poste
Non serve demonizzare la tecnologia. E non serve nemmeno accettarla sulla base della sola promessa di maggiore sicurezza.
Servono trasparenza e controllo.
Vogliamo sapere quali sistemi saranno utilizzati dalle forze dell’ordine, quali aziende li forniranno, quali banche dati alimenteranno i confronti biometrici, quali saranno i tassi di errore, quanto saranno conservate le immagini, quante autorizzazioni verranno richieste e concesse e quali strumenti avrà concretamente un cittadino identificato erroneamente.
Soprattutto occorrerà vigilare affinché l’eccezione prevista per esigenze determinate di sicurezza non diventi progressivamente la normalità tecnologica dello spazio pubblico.
La domanda, quindi, non è soltanto:
“Il riconoscimento facciale può aiutare le forze dell’ordine?”
La domanda più importante è:
“Quale limite vogliamo porre alla capacità dello Stato di riconoscere automaticamente i cittadini nello spazio pubblico?”
È una questione di sicurezza.
Ma è anche, e soprattutto, una questione di libertà, privacy e autodeterminazione.
Sindacato d’Azione continuerà a seguire l’applicazione del decreto legislativo n. 160/2026, verificando provvedimenti attuativi, interventi del Garante e primi casi concreti di utilizzo.





