Riconoscimento facciale, il test italiano per l’AI Act europeo

Il volto di una persona può ormai diventare una vera e propria impronta digitale. Un sistema di riconoscimento facciale acquisisce un’immagine, ne estrae caratteristiche biometriche e le confronta con quelle contenute in una banca dati. È una tecnologia già utilizzata in molti contesti, ma quando viene applicata dalle autorità pubbliche negli spazi accessibili al pubblico la questione cambia radicalmente: non riguarda più soltanto l’innovazione, ma privacy, libertà di movimento, presunzione d’innocenza e controllo democratico.

È su questo terreno che il governo di Giorgia Meloni ha aperto nelle ultime settimane un delicato fronte politico e giuridico. L’Atto del Governo n. 418, presentato il 24 giugno, nasce per adeguare l’ordinamento italiano all’AI Act, il regolamento europeo sull’intelligenza artificiale. Lo schema disciplina in particolare l’impiego dell’IA nelle attività di polizia e introduce regole per l’identificazione biometrica remota, sia in tempo reale sia a posteriori.

Il punto di partenza europeo è piuttosto netto. L’articolo 5 dell’AI Act vieta, come regola generale, l’identificazione biometrica remota “in tempo reale” negli spazi accessibili al pubblico per finalità di contrasto. Le eccezioni esistono, ma sono circoscritte: ricerca mirata di persone scomparse o vittime di tratta e sequestro; prevenzione di minacce specifiche e imminenti alla vita o di attentati terroristici; identificazione di sospetti per una serie di reati gravi.

Soprattutto, l’Europa stabilisce un principio essenziale: l’uso deve essere necessario, proporzionato e mirato. Deve inoltre essere limitato nel tempo, nello spazio e rispetto alle persone interessate. E serve, in linea di principio, un’autorizzazione preventiva di un’autorità giudiziaria o di un’autorità amministrativa indipendente con decisione vincolante. Solo in una situazione di urgenza debitamente giustificata il sistema può essere attivato prima dell’autorizzazione, che deve comunque essere richiesta entro 24 ore.

È qui che il progetto italiano ha sollevato le maggiori perplessità. Nella versione sottoposta al Parlamento, l’autorizzazione all’identificazione biometrica in tempo reale era affidata al Procuratore della Repubblica; in situazioni urgenti l’utilizzo poteva iniziare immediatamente previa comunicazione al procuratore, con autorizzazione successiva. La stampa italiana ha sottolineato il rischio che questo meccanismo attenuasse il carattere preventivo e “terzo” del controllo richiesto dall’AI Act.

Ancora più controverso è stato però il riconoscimento facciale a posteriori. La prima versione dell’articolo 10 consentiva, in determinati luoghi o eventi caratterizzati da esigenze di ordine e sicurezza pubblica, la memorizzazione temporanea dei dati biometrici delle persone presenti, da utilizzare successivamente qualora fosse stato commesso un reato. In altre parole, il sistema avrebbe potuto acquisire preventivamente dati anche di persone completamente estranee a qualsiasi attività illecita.

Su questo punto è intervenuto lo stesso Garante per la protezione dei dati personali. Il suo giudizio sul decreto è stato più sfumato di quanto possa suggerire la polemica politica: l’Autorità lo ha considerato nel complesso coerente con l’AI Act, chiedendo però modifiche e garanzie supplementari. In particolare, ha ritenuto non coerente con il regolamento europeo un trattamento automatizzato e generalizzato dei dati biometrici di tutte le persone che accedono a un luogo o a un evento. Secondo il Garante, l’analisi biometrica a posteriori dovrebbe partire da immagini già legittimamente registrate e soltanto quando emerge una concreta esigenza investigativa, evitando la creazione preventiva di una popolazione di “potenziali sospetti”.

La controversia ha rapidamente raggiunto Bruxelles. Il 30 luglio un portavoce della Commissione europea ha ricordato pubblicamente che l’identificazione facciale negli spazi pubblici accessibili è, come principio generale, vietata dall’AI Act. Ma Bruxelles ha anche precisato di non disporre ancora degli elementi necessari per giudicare il decreto italiano nel merito. Palazzo Chigi ha risposto assicurando che l’Italia continuerà a rispettare pienamente la normativa europea e le garanzie costituzionali.

Il confronto ha prodotto effetti politici. Dopo le contestazioni delle opposizioni e le perplessità emerse anche all’interno della maggioranza, il governo ha rivisto alcuni aspetti del provvedimento prima dell’approvazione definitiva in Consiglio dei ministri all’inizio di agosto. Il caso dimostra così perché l’implementazione nazionale dell’AI Act sarà decisiva almeno quanto il regolamento stesso.

Per i liberali europei, la questione non è scegliere tra sicurezza e libertà, né tra innovazione e tutela dei diritti. La vera sfida è garantire che le nuove tecnologie rafforzino la capacità dello Stato di proteggere i cittadini senza alterare gli equilibri su cui si fonda una società aperta. Il riconoscimento facciale può offrire strumenti preziosi per ritrovare una persona scomparsa, prevenire una minaccia terroristica o identificare l’autore di un grave reato; ma una democrazia liberale deve preservare una distinzione essenziale tra l’identificazione mirata di una persona sulla base di esigenze concrete e la raccolta indiscriminata dei dati biometrici di un’intera collettività in vista di un loro possibile utilizzo futuro. È su questo confine che si misura la qualità dello Stato di diritto: attraverso controlli realmente indipendenti, una rigorosa proporzionalità tra gli strumenti di sorveglianza impiegati e gli obiettivi perseguiti, e la garanzia per ogni cittadino di poter contestare efficacemente eventuali abusi.