Il volto è diventato una password: lo usiamo per sbloccare il telefono, autorizzare un pagamento o accedere a un’applicazione. Quando la stessa tecnologia viene trasferita nello spazio pubblico, però, la funzione cambia: non è più la persona a scegliere di farsi riconoscere, ma un sistema a identificarla tra centinaia o migliaia di passanti. È su questo confine che interviene lo schema di decreto legislativo sul riconoscimento facciale con cui il governo Meloni vuole adeguare la normativa italiana all’AI Act europeo. Il provvedimento disciplina il riconoscimento biometrico in tempo reale e a posteriori. Il testo è ancora all’esame parlamentare, ma Palazzo Chigi ha chiesto alle commissioni di accelerare. L’opposizione denuncia il rischio che, sotto la formula dell’ordine pubblico, venga costruita un’infrastruttura capace di registrare in anticipo i volti di persone non sospettate di alcun reato.

Riconoscimento facciale, cosa prevede il decreto

Lo schema, indicato come Atto del governo numero 418, è stato trasmesso alle Camere il 24 giugno 2026. Le commissioni Affari costituzionali e Giustizia dovranno esprimere il proprio parere entro il 25 agosto, ma il governo potrà poi procedere comunque all’adozione definitiva. Non si tratta quindi di una legge ordinaria modificabile articolo per articolo: le Camere formulano osservazioni, mentre l’ultima parola resta all’esecutivo.

Il primo punto riguarda l’identificazione biometrica remota in tempo reale. In casi eccezionali, come una minaccia terroristica imminente o la ricerca di persone scomparse, le telecamere possono confrontare i volti presenti in un luogo pubblico con una banca dati. Il decreto prevede una richiesta del questore o dei comandanti provinciali e l’autorizzazione del procuratore distrettuale. In caso d’urgenza, però, il sistema può partire dopo una comunicazione anche orale al pubblico ministero.

L’AI Act europeo richiede, in linea generale, l’autorizzazione preventiva di un’autorità giudiziaria o amministrativa indipendente. Secondo i critici, il pubblico ministero non garantirebbe la stessa terzietà del giudice per le indagini preliminari. Il decreto prevede anche una valutazione d’impatto, registri informatici non modificabili conservati per cinque anni e una notifica al Garante della privacy.

La parte più controversa è contenuta nell’articolo 10 e riguarda il riconoscimento facciale a posteriori. Il sistema può essere attivato dopo la commissione, anche tentata, di un reato per identificare una persona indiziata. La novità è che queste tecnologie possono essere integrate direttamente negli impianti di videosorveglianza presenti nei luoghi considerati sensibili per l’ordine pubblico.

Le registrazioni locali e i dati biometrici possono essere conservati per sette giorni. Se avviene un reato, le immagini già raccolte possono essere analizzate e confrontate con le banche dati della polizia. Anche i gestori dei luoghi o gli organizzatori di eventi possono installare e mantenere i sistemi, che vengono poi concessi gratuitamente alla questura.

Il decreto legittima il sistema SARI

Il decreto non cita espressamente SARI, ma il collegamento è evidente. Il Sistema automatico di riconoscimento delle immagini è utilizzato dalla Polizia di Stato dal 2018. Ci sono due versioni: una, quella Enterprise, che funziona a posteriori; un agente inserisce nel software la fotografia di una persona da identificare e l’algoritmo cerca volti somiglianti tra quelli presenti nell’AFIS, la banca dati che contiene fotografie e impronte digitali dei fotosegnalati.

Il risultato deve essere verificato da un operatore specializzato. Restano i problemi legati ai falsi positivi, alla qualità delle immagini e ai possibili bias dell’algoritmo. Nel database confluiscono inoltre milioni di profili, compresi quelli di persone straniere fotosegnalate anche in applicazione delle norme sull’immigrazione.

Ne esiste, però, anche una seconda, chiamata SARI Real-Time, progettato per confrontare immediatamente i volti ripresi dalle telecamere con una lista di persone ricercate. Nel 2021 il Garante della privacy ne ha bocciato l’uso perché mancava una base giuridica adeguata e il sistema, per come era stato progettato, avrebbe consentito una forma di sorveglianza indiscriminata.

È qui che il decreto diventa decisivo. Pur non introducendo formalmente “un nuovo SARI”, crea una disciplina nazionale per le stesse funzioni: l’identificazione in tempo reale e quella a posteriori. Potrebbe quindi fornire la base giuridica che mancava a SARI Real-Time e ampliare il modello di SARI Enterprise, passando dalla ricerca su una fotografia caricata manualmente all’integrazione del riconoscimento facciale nelle reti di videosorveglianza.

L’articolo 21 prevede inoltre una disciplina transitoria per i sistemi di intelligenza artificiale già in uso o in fase di sviluppo. Questo non dimostra che il provvedimento sia stato scritto specificamente per SARI, ma rende evidente che le nuove regole potranno applicarsi anche agli strumenti già a disposizione delle forze di polizia.

Perché l’opposizione parla di sorveglianza preventiva

Il governo sostiene che il riconoscimento venga attivato soltanto dopo un reato. L’obiezione riguarda ciò che accade prima: per rendere possibile la ricerca a posteriori, le telecamere devono avere già raccolto e conservato i dati delle persone presenti.

Una piazza durante una manifestazione, uno stadio, una stazione o l’area di un concerto possono quindi produrre, per sette giorni, un archivio locale di volti associati a orari e luoghi. La maggior parte delle persone registrate non sarà coinvolta in alcuna indagine. Eppure i loro dati saranno disponibili nel caso in cui venga successivamente avviata una ricerca.

La raccolta non parte da un sospettato, ma da una platea indistinta, all’interno della quale il sospettato potrà essere cercato in seguito. Il rischio è il cosiddetto function creep: l’estensione progressiva di una tecnologia oltre lo scopo per cui era stata introdotta.

Il 29 luglio la maggioranza ha dato il primo via libera al provvedimento nella Commissione Politiche dell’Unione europea del Senato. Pd e Movimento 5 Stelle hanno contestato sia il merito del decreto sia la velocità impressa all’esame, chiedendo di attendere le audizioni già calendarizzate. Secondo le opposizioni, su una materia che incide direttamente sulla privacy, sulla libertà di manifestare e sui poteri della polizia sarebbe stata necessaria una legge ordinaria, con la possibilità per il Parlamento di discutere e modificare ogni disposizione.

La moratoria italiana sul riconoscimento facciale negli spazi pubblici è stata prorogata fino al 31 dicembre 2027, ma esclude espressamente i trattamenti effettuati per prevenire e reprimere i reati. Non rappresenta quindi un divieto generale per l’attività di polizia disciplinata dal decreto.

Il punto non è soltanto se il riconoscimento facciale funzioni. È chi decide quando usarlo, quali persone possono essere controllate, per quali reati e con quali possibilità di contestare un errore.