Il riconoscimento facciale è uno dei punti più delicati della nuova normativa europea sull’intelligenza artificiale. La regolamentazione dell’AI Act nasce infatti da un lungo confronto tra due esigenze contrapposte: da una parte la tutela della privacy e dei diritti fondamentali dei cittadini, dall’altra la possibilità per gli Stati di utilizzare strumenti avanzati per motivi di sicurezza pubblica.
Lo scontro europeo sulla sorveglianza biometrica
Durante il percorso di approvazione dell’AI Act, l’identificazione biometrica negli spazi pubblici è stata una delle questioni che hanno generato maggiore dibattito tra Parlamento europeo, Commissione e Stati membri. Il Parlamento aveva inizialmente chiesto un divieto permanente del riconoscimento automatizzato delle persone negli spazi pubblici, con l’obiettivo di impedire forme di sorveglianza di massa attraverso sistemi basati sull’intelligenza artificiale. Nel corso dei negoziati, però, è prevalsa una soluzione di compromesso che ha lasciato spazio ad alcune eccezioni legate a specifiche esigenze di sicurezza. L’AI Act, entrato in vigore il 2 agosto 2024, applica infatti un modello basato sul livello di rischio dei sistemi di intelligenza artificiale. Le regole relative all’identificazione biometrica sono diventate operative dal febbraio 2025.
Il riconoscimento facciale tra le pratiche vietate dall’AI Act
Il regolamento europeo inserisce il riconoscimento facciale tra le tecnologie considerate a rischio inaccettabile quando utilizzate in determinate condizioni. La regola generale stabilisce il divieto dell’identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico per finalità di contrasto alla criminalità.
In altre parole, le autorità non possono utilizzare liberamente sistemi capaci di individuare automaticamente le persone presenti in un luogo pubblico attraverso telecamere e algoritmi di riconoscimento facciale. Il divieto, però, non è totale. L’AI Act consente agli Stati membri di prevedere per legge alcune deroghe, purché siano rispettati requisiti molto rigidi.
Quando può essere utilizzato il riconoscimento facciale in tempo reale
Le eccezioni riguardano situazioni considerate particolarmente gravi. Gli Stati possono autorizzare l’impiego del riconoscimento facciale in tempo reale per attività di contrasto relative a 16 specifiche categorie di reati particolarmente gravi previste dalla normativa europea.
La tecnologia può inoltre essere utilizzata per individuare vittime di determinati reati o persone scomparse, compresi casi di sequestro di persona, tratta di esseri umani e sfruttamento sessuale. Un ulteriore ambito riguarda la prevenzione di minacce immediate alla vita o all’incolumità fisica delle persone, oltre alla possibilità di intervenire per prevenire attentati terroristici. In tutti questi casi, l’utilizzo deve rispettare i principi di necessità e proporzionalità: non è quindi sufficiente un generico interesse alla sicurezza, ma deve esserci una concreta esigenza operativa.
Autorizzazioni e controlli prima dell’utilizzo
L’impiego eccezionale del riconoscimento biometrico remoto in tempo reale richiede un’autorizzazione preventiva da parte di un’autorità giudiziaria o amministrativa indipendente. La decisione di quest’ultima è vincolante.
Solo in situazioni di particolare urgenza è possibile chiedere l’autorizzazione successivamente, entro un termine massimo di 24 ore. Se l’autorizzazione viene negata, tutti i dati raccolti e i risultati ottenuti devono essere cancellati. L’utilizzo di questi sistemi deve inoltre essere comunicato sia all’autorità responsabile della vigilanza sul mercato sia al garante competente per la protezione dei dati personali.
Diverso il caso delle immagini già raccolte: cosa cambia
Una disciplina differente riguarda invece l’identificazione biometrica remota effettuata su materiale acquisito in precedenza, ad esempio immagini già raccolte dalle forze dell’ordine. In questo caso l’AI Act non introduce un divieto generale, ma considera questi strumenti sistemi ad alto rischio. Ciò significa che il loro utilizzo è possibile, ma soltanto rispettando specifiche garanzie.
Anche per questa tipologia di riconoscimento è necessaria un’autorizzazione preventiva da parte di un’autorità giudiziaria o amministrativa competente. Inoltre, deve essere notificato sia all’autorità incaricata della protezione dei dati sia all’organismo responsabile della supervisione del mercato.
La distinzione centrale dell’AI Act è quindi tra sorveglianza biometrica in tempo reale negli spazi pubblici, sottoposta a un divieto generale con eccezioni molto limitate, e analisi di dati biometrici già disponibili, ammessa ma considerata ad alto rischio e soggetta a controlli stringenti.
Potrebbe interessarti anche questo articolo: L’Ue avverte l’Italia: “Il riconoscimento facciale negli spazi pubblici è vietato dall’AI Act”