Il 30 settembre 2026 è entrato in vigore il decreto legislativo numero 160 che adegua la normativa italiana all’AI Act europeo e stabilisce quando la polizia potrà utilizzare sistemi di identificazione biometrica anche negli spazi pubblici. Ma l’uso di sistemi di riconoscimento facciale da parte delle forze dell’ordine non rappresenta una novità: SARI, il Sistema Automatico di Riconoscimento Immagini, viene utilizzato già da diversi anni per confrontare i volti acquisiti durante le indagini con quelli presenti negli archivi.
La differenza principale è nel momento in cui avviene il riconoscimento. SARI Enterprise lavora a posteriori: una fotografia viene inserita nel sistema e confrontata con quelle presenti negli archivi della polizia. La nuova normativa disciplina invece anche l’utilizzo dell’identificazione biometrica in tempo reale, finora rimasto sostanzialmente fermo proprio per la mancanza di una base legislativa adeguata.
Riconoscimento facciale, cos’è SARI Enterprise e come viene già utilizzato
SARI è l’acronimo di Sistema Automatico di Riconoscimento Immagini. Il ministero dell’Interno lo ha acquistato nel 2017 e la versione Enterprise è operativa dal 2018. Il suo funzionamento parte da un’immagine: per esempio, il fotogramma di una telecamera di videosorveglianza che ha ripreso una persona durante la commissione di un reato.
Il volto viene elaborato e confrontato con quelli contenuti nell’AFIS, l’Automated Fingerprint Identification System, archivio che comprende anche le fotografie delle persone sottoposte a fotosegnalamento. Il software non restituisce automaticamente un’identità certa, ma una lista di candidati ordinati in base al grado di somiglianza. Spetta poi a un operatore specializzato verificare i risultati.
Il sistema aveva ricevuto il via libera del Garante della Privacy già nel 2018. Secondo l’Autorità, infatti, non sostituiva l’attività dell’agente, ma automatizzava una ricerca che in precedenza veniva effettuata attraverso dati anagrafici e caratteristiche fisiche.
Negli anni, però, il suo utilizzo è cresciuto. Un’indagine condotta da StraLi e Privacy Network attraverso richieste di accesso civico ha permesso di conoscere per la prima volta alcuni numeri: nel 2022 SARI Enterprise è stato interrogato 79.362 volte, salite a 131.023 nel 2023.
Non sappiamo però quante di queste ricerche abbiano effettivamente permesso di identificare qualcuno. La Polizia Scientifica ha spiegato che SARI non produce un vero e proprio “match” e non esiste una percentuale minima di somiglianza oltre la quale una persona viene considerata identificata.
Riconoscimento facciale in tempo reale, cosa cambia dal 30 settembre
C’è poi un secondo sistema, molto più controverso ed è quello SARI Real Time. Nel progetto sottoposto al Garante della Privacy, alcune telecamere avrebbero dovuto analizzare i volti delle persone presenti in una determinata area e confrontarli in tempo reale con una watch-list contenente fino a 10mila soggetti.
Nel 2021 il Garante diede parere negativo perchè si sarebbe così passati da una sorveglianza mirata a una forma di sorveglianza indiscriminata, senza che esistesse allora una base giuridica sufficientemente specifica.
Il decreto entrato in vigore il 30 settembre interviene proprio su questo vuoto normativo. L’identificazione biometrica remota in tempo reale negli spazi pubblici viene ammessa in casi determinati, tra cui la ricerca mirata di specifiche persone scomparse o vittime di sequestro, tratta di esseri umani o sfruttamento sessuale e per alcune finalità di prevenzione previste dall’AI Act. Non può quindi essere utilizzata per identificare indistintamente tutte le persone che attraversano una strada o una piazza.
Serve inoltre un’autorizzazione del procuratore della Repubblica, richiesta dal questore o dagli altri responsabili indicati dalla legge. La durata non può superare 15 giorni, eventualmente prorogabili per ulteriori periodi di 15 giorni. Nei casi urgenti il sistema può essere attivato prima dell’autorizzazione, ma la richiesta deve essere trasmessa al procuratore entro 24 ore.
Questo, però, non significa che dal 30 settembre le telecamere italiane inizino automaticamente a riconoscere i passanti. Un ulteriore decreto del ministro dell’Interno e del ministro della Giustizia dovrà definire, tra le altre cose, i requisiti minimi di accuratezza, il monitoraggio delle prestazioni e le misure per individuare e ridurre eventuali bias ed effetti discriminatori. Ogni utilizzo dovrà inoltre essere registrato e i log conservati per cinque anni.
Riconoscimento facciale negli stadi: cosa prevede il decreto
Un’altra novità riguarda stadi ed eventi nei quali esistono particolari esigenze di ordine e sicurezza pubblica. Il decreto consente di integrare i sistemi di videosorveglianza con tecnologie di riconoscimento facciale a posteriori.
Le immagini dei volti delle persone che entrano potranno essere conservate localmente per sette giorni e, soltanto dopo la commissione di un reato, utilizzate per effettuare un confronto biometrico mirato. Anche questa possibilità, però, non è immediatamente operativa. Sarà un successivo decreto del ministro dell’Interno, sentito il Garante della Privacy, a stabilire quali luoghi ed eventi potranno utilizzare il sistema e con quali modalità dovranno essere conservate e trattate le immagini.