Il recepimento italiano dell’AI Act europeo passa anche dal rafforzamento delle garanzie sul trattamento dei dati personali. Il Garante per la protezione dei dati personali ha espresso parere favorevole sullo schema di decreto legislativo che adegua la normativa nazionale al regolamento europeo sull’intelligenza artificiale, ma ha indicato alcune modifiche ritenute necessarie, soprattutto per quanto riguarda l’utilizzo dei dati biometrici e delle tecnologie di riconoscimento facciale.
AI Act, le richieste del Garante della privacy
Il provvedimento esaminato dal Garante disciplina l’impiego dei sistemi di intelligenza artificiale da parte delle forze di polizia, stabilendo condizioni, limiti e garanzie per il trattamento delle informazioni personali, con particolare attenzione ai sistemi di identificazione biometrica da remoto.
Secondo l’Autorità, il testo è nel complesso in linea con l’AI Act e con la legge delega numero 132 del 2025, ma necessita di alcuni chiarimenti per garantire un’applicazione più rigorosa delle norme sulla privacy.
Tra gli aspetti segnalati figurano la necessità di definire meglio il ruolo della supervisione umana nei sistemi di IA, precisare le responsabilità nei programmi di ricerca e sperimentazione e prevedere un coinvolgimento del Garante negli ambienti di sperimentazione normativa che comportino l’utilizzo di dati personali.
Più garanzie per le banche dati biometriche
Una delle principali richieste riguarda la qualità e l’affidabilità delle banche dati biometriche utilizzate per le attività di identificazione. Il Garante ritiene necessario rafforzare le misure di tutela per evitare rischi legati all’impiego di informazioni particolarmente sensibili.
L’Autorità ha inoltre sottolineato che la raccolta automatizzata e indiscriminata di dati biometrici riferiti a tutte le persone che accedono a luoghi pubblici o eventi non sarebbe compatibile con quanto previsto dall’AI Act.
Il Garante della Privacy chiede lo stop alla raccolta massiva per il riconoscimento facciale
Nel parere viene ricordato che il regolamento europeo consente il riconoscimento facciale successivo agli eventi, il cosiddetto uso “ex post”, soltanto per indagini mirate e in presenza di specifiche necessità operative.
Per questo motivo, secondo il Garante, l’analisi dei dati biometrici dovrebbe essere effettuata esclusivamente su immagini o registrazioni già disponibili e non attraverso sistemi di raccolta preventiva e generalizzata delle informazioni di chi frequenta determinati luoghi.
L’obiettivo è evitare forme di sorveglianza di massa che potrebbero entrare in contrasto con i principi europei di protezione dei dati personali.
Il nodo delle banche dati ottenute con scraping
Un’ulteriore osservazione riguarda il nuovo articolo 359-ter del codice di procedura penale, dedicato alle disposizioni sull’identificazione biometrica.
Il Garante chiede che venga inserito un divieto esplicito di utilizzare archivi di dati ottenuti attraverso tecniche di scraping indiscriminato, oppure raccolti in violazione delle norme sulla privacy.
Secondo l’Autorità, anche nell’ambito delle attività investigative e di sicurezza deve essere garantito il rispetto delle regole sul trattamento dei dati personali, evitando che informazioni raccolte illegalmente possano diventare strumenti per sistemi di identificazione biometrica.
Potrebbe interessarti anche questo articolo: L’Ue rinvia l’AI Act: norme sui sistemi ad alto rischio slittano a fine 2027