L’utilizzo dell’IA nelle attività di polizia: il nuovo quadro normativo introdotto dal d.lgs. 160/2026

Il d.lgs. 9 settembre 2026, n. 160, pubblicato in G.U. n. 214 il 15 settembre 2026, interviene nel percorso di adeguamento dell’ordinamento nazionale al regolamento (UE) 2024/1689 (AI Act). Il provvedimento, adottato in attuazione della legge 23 settembre 2025, n. 132, introduce una disciplina specifica per l’utilizzo dei sistemi di IA nelle attività di polizia e disposizioni in materia di responsabilità civile e penale. Il nuovo quadro normativo si confronta così con una delle applicazioni più delicate dell’intelligenza artificiale, nella quale la capacità tecnica di individuare e riconoscere una persona attraverso i suoi dati biometrici si misura con la necessità di delimitare l’esercizio del potere pubblico e di assicurare un adeguato livello di tutela della persona.

Sommario. 1. Introduzione – 2. Dati biometrici e identificazione biometrica remota – 3. L’identificazione biometrica remota in tempo reale – 4. Tracciabilità e garanzie dell’impiego dei sistemi – 5. Il riconoscimento facciale a posteriori – 5.1 Ricerca mirata e identificazione iniziale della persona – 5.2 La videosorveglianza in due fasi – 5.3 Garanzie sul trattamento e limiti all’utilizzo dei risultati – 6. Sorveglianza umana ed effettività della tutela

1. Introduzione

Il percorso di adeguamento dell’ordinamento italiano al Regolamento (UE) 2024/1689 si inserisce in un più ampio processo di revisione della disciplina nazionale in materia di intelligenza artificiale. In tale quadro si colloca il decreto legislativo 9 settembre 2026, n. 160, adottato in attuazione della legge 23 settembre 2025, n. 132 e pubblicato in Gazzetta Ufficiale n. 214 del 15 settembre 2026, destinato a entrare in vigore il 30 settembre 2026.

Il provvedimento interviene, tra gli altri ambiti, sull’impiego dell’intelligenza artificiale nelle attività di polizia, settore nel quale il ricorso a sistemi automatizzati può incidere in maniera particolarmente significativa sulla sfera personale degli individui e sull’esercizio dei diritti e delle libertà fondamentali.

La possibilità di ricorrere a sistemi capaci di identificare automaticamente una persona attraverso i suoi dati biometrici amplia le capacità operative delle autorità di polizia, ma rende al tempo stesso necessario definire con precisione i presupposti e i limiti del loro utilizzo, proprio in ragione della loro incidenza sulla protezione dei dati personali e sulle libertà individuali.

Ai fini che qui interessano, particolare attenzione meritano gli artt. 8, 9 e 10 delCapo III del Titolo I, dedicati all’identificazione biometrica remota in tempo reale per finalità di prevenzione o protezione e al riconoscimento facciale a posteriori per il contrasto dei reati.

2. Dati biometrici e identificazione biometrica remota

L’identificazione biometrica si fonda sul trattamento di dati biometrici, ossia una particolare categoria di dati personali ottenuti mediante specifici trattamenti tecnici relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica e idonei a consentirne o confermarne l’identificazione univoca. Tali dati possono essere ricavati, ad esempio, dal volto, dalle impronte digitali, dall’iride o da caratteristiche comportamentali quali la voce e il modo di camminare. La semplice acquisizione di una fotografia non coincide, tuttavia, con il trattamento biometrico: è necessario distinguere l’immagine dalla sua elaborazione tecnica a fini di identificazione univoca, come chiarisce anche il considerando 51 del regolamento (UE) 2016/679.

Come evidenziato anche dalle Linee guida del Garante per la protezione dei dati personali in materia di biometria, le caratteristiche biologiche o comportamentali proprie dell’individuo possono essere rilevate e trasformate, attraverso specifici trattamenti tecnici, in modelli biometrici utilizzabili per il riconoscimento della persona.

Una particolare applicazione è rappresentata dall’identificazione biometrica remota. L’art. 3, n. 41, dell’AI Act definisce il sistema di identificazione biometrica remota come un sistema di intelligenza artificiale finalizzato all’identificazione di persone fisiche senza il loro coinvolgimento attivo, generalmente a distanza, mediante il confronto dei dati biometrici della persona con quelli contenuti in una banca dati di riferimento.

All’interno di tale categoria, il legislatore europeo distingue due diverse modalità di identificazione biometrica remota, l’identificazione biometrica remota “in tempo reale” e quella “a posteriori“. Ai sensi dell’art. 3, nn. 42 e 43, dell’AI Act, la prima ricorre quando l’acquisizione dei dati biometrici, il confronto e l’identificazione avvengono senza ritardi significativi; la seconda comprende i sistemi di identificazione biometrica remota diversi da quelli in tempo reale. Il mero differimento dell’elaborazione rispetto alla raccolta delle immagini non è quindi sufficiente a qualificare il trattamento come a posteriori: anche brevi ritardi possono rientrare nella nozione di tempo reale.

La distinzione è essenziale perché non attiene soltanto a due modalità tecniche differenti, ma incide anche sul contesto nel quale la tecnologia può essere utilizzata e, conseguentemente, sui presupposti e sulle garanzie applicabili. È proprio su questa distinzione che il decreto n. 160/2026 costruisce due differenti discipline, dedicate rispettivamente all’identificazione biometrica remota in tempo reale e al riconoscimento facciale a posteriori.

3. L’identificazione biometrica remota in tempo reale

La disciplina nazionale va letta a partire dall’art. 5, paragrafo 1, lettera h), dell’AI Act, che vieta in linea di principio l’impiego di sistemi di identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico a fini di contrasto, salvo eccezioni circoscritte. L’intervento nazionale specifica le condizioni di utilizzo entro tale perimetro europeo.

L’art. 8 disciplina l’utilizzo dei sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale nei luoghi pubblici o aperti al pubblico da parte degli organi, uffici e comandi delle Forze di polizia. L’impiego di tali sistemi è ammesso, da un lato, per finalità di prevenzione indicate nell’art. 5, paragrafo 1, primo comma, lett. h), punto ii), del regolamento (UE) 2024/1689 e, dall’altro, per la ricerca di una persona scomparsa o di specifiche vittime dei reati di sequestro di persona, tratta di esseri umani o sfruttamento sessuale, ai sensi dell’art. 5, paragrafo 1, primo comma, lettera h), punto i), del medesimo regolamento.

La disposizione introduce, al comma 2, un ulteriore limite: tali sistemi non possono essere impiegati

per un’attività di identificazione generalizzata, ma esclusivamente per confermare l’identità delle persone specificamente interessate ovvero per la ricerca mirata, anche in modo dinamico e compresa la localizzazione, di persone specificamente individuate o individuabili in relazione alla minaccia da prevenire o alla ricerca da eseguire.

Particolari garanzie sono previste con riferimento alla banca dati di riferimento destinata al confronto biometrico. Il confronto può avvenire esclusivamente con una banca dati adeguata alla specifica finalità perseguita, contenente i dati biometrici e, ove disponibili, le relative informazioni identificative delle persone interessate.

La banca dati può essere costituita a partire da dati contenuti in archivi già in uso alle Forze di polizia o tenuti da altre pubbliche amministrazioni e accessibili alle medesime Forze, ovvero da immagini, filmati o altri elementi biometrici acquisiti legittimamente nell’ambito delle attività di polizia.

La disciplina richiede che il contenuto della banca dati sia formato appositamente per ciascun utilizzo, con i soli dati biometrici pertinenti alla specifica finalità, e che tali dati siano cancellati al termine della validità dell’autorizzazione. In questo modo, il set di confronto deve rimanere specifico per ciascuna autorizzazione e non può essere alimentato progressivamente attraverso il riutilizzo o l’incremento dei dati raccolti in occasione di autorizzazioni precedenti. La previsione costituisce una garanzia strutturale di particolare rilievo, poiché è diretta a impedire che l’impiego della tecnologia per una singola attività possa tradursi, attraverso una progressiva stratificazione dei dati, nella costituzione di un archivio biometrico permanente e generalizzato. Restano, tuttavia, da definire sul piano tecnico e organizzativo le modalità attraverso cui tali prescrizioni dovranno essere concretamente assicurate e verificate. A questo riguardo, l’art. 9, comma 5, demanda a un successivo decreto del Ministro dell’interno, in accordo con il Ministro della giustizia e sentiti il Garante e le Autorità nazionali per l’intelligenza artificiale, la definizione dei requisiti tecnici minimi delle banche dati e delle relative misure di sicurezza, nonché delle modalità di cancellazione e di non incrementabilità dei dati utilizzati per il confronto biometrico.

La norma vieta altresì l’utilizzo di banche dati biometriche alimentate, in tutto o in parte, mediante tecniche di scraping non mirato, ovvero costituite in violazione della disciplina sulla protezione dei dati personali. A questo riguardo, l’art. 2, comma 1, lett. l), introduce una specifica definizione di «scraping non mirato», che esplicita una pratica già oggetto del divieto previsto dall’art. 5, paragrafo 1, lettera e), del regolamento (UE) 2024/1689. La disposizione definisce tale pratica come la raccolta automatizzata e indiscriminata, su larga scala, di immagini facciali provenienti dalla rete internet o da sistemi di videosorveglianza, mediante un sistema di IA, finalizzata alla creazione o all’ampliamento di banche dati di riconoscimento facciale.

3.1 Il controllo dell’autorità giudiziaria

L’impiego del sistema è subordinato a una specifica richiesta al procuratore della Repubblica presso il Tribunale del capoluogo del distretto nel quale sono emerse le esigenze di prevenzione o di ricerca, e alla conseguente autorizzazione. La richiesta deve indicare la finalità perseguita, la durata prevista, l’area interessata, le persone da ricercare, le banche dati di riferimento e i sistemi e le tecnologie impiegati.

L’autorizzazione deve essere riferita a uno specifico evento o al tempo strettamente necessario e non può avere durata superiore a quindici giorni, prorogabili, con decreto motivato, per successivi periodi di quindici giorni.  

È proprio sulla scelta di attribuire al procuratore della Repubblica la competenza autorizzatoria che appare necessaria una prima riflessione. L’impiego di sistemi di identificazione biometrica remota «in tempo reale» può infatti incidere in maniera particolarmente significativa sui diritti fondamentali della persona, in primo luogo sul diritto al rispetto della vita privata e familiare e sul diritto alla protezione dei dati personali, tutelati rispettivamente dagli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione europea. Non è casuale, del resto, che lo stesso regolamento (UE) 2024/1689 subordini l’utilizzo di tali sistemi a un’autorizzazione preventiva rilasciata da un’autorità giudiziaria o da un’autorità amministrativa indipendente, chiamata a verificare la necessità e la proporzionalità della misura.

A questo proposito assume rilievo la sentenza della Corte di giustizia del 2 marzo 2021, Prokuratuur (C-746/18), relativa all’accesso ai dati di traffico e ubicazione nel quadro della direttiva 2002/58/CE. La Corte ha richiesto che l’autorità incaricata del controllo preventivo sia terza rispetto a quella che domanda l’accesso e ha escluso che tale funzione possa essere attribuita al pubblico ministero coinvolto nella conduzione dell’indagine e nell’esercizio dell’azione penale. Il precedente non risolve direttamente la questione posta dall’art. 8 del d.lgs. n. 160/2026, che opera in un diverso contesto normativo e funzionale. Esso offre tuttavia un criterio di valutazione della terzietà del controllo la cui trasferibilità alle attività preventive richiede un’argomentazione specifica, anche alla luce del ruolo concretamente assunto dal procuratore.

3.2 Dalla prevenzione al procedimento penale

La disciplina dell’identificazione biometrica remota in tempo reale non si esaurisce, tuttavia, nell’ambito delle attività di prevenzione e di ricerca delle Forze di polizia. L’art. 13 del decreto introduce, infatti, nel codice di procedura penale il nuovo art. 359-ter, disciplinando l’impiego della medesima tecnologia nell’ambito del procedimento penale.

La disposizione consente il ricorso ai sistemi di identificazione biometrica remota in tempo reale, in particolare, quando occorre confermare l’identificazione di una persona nei cui confronti sussistano sufficienti indizi della commissione di uno dei delitti di cui all’allegato II del regolamento (UE) 2024/1689, puniti con la pena della reclusione non inferiore nel massimo a quattro anni, ovvero procedere alla ricerca mirata, compresa la localizzazione, di una persona indiziata dei medesimi delitti.  È inoltre prevista la possibilità di ricorrervi per la ricerca di un latitante ai fini dell’esecuzione di un’ordinanza che dispone una misura cautelare coercitiva o di un ordine di esecuzione non sospeso che dispone la carcerazione per i medesimi delitti.

Il comma 4 consente inoltre la ricerca mirata, nell’ambito di un procedimento penale, di specifiche vittime di sottrazione, tratta di esseri umani o sfruttamento sessuale.

L’art. 13, pur non rientrando nel Capo III del Titolo I, merita una breve comparazione con la disciplina

prevista dall’art. 8, trattandosi della medesima tecnologia utilizzata in contesti e per finalità differenti.

Diversamente dall’art. 8, nel quale l’autorizzazione è rimessa al procuratore della Repubblica, l’art. 13 prevede che il pubblico ministero richieda l’autorizzazione al giudice per le indagini preliminari, il quale provvede con decreto motivato. La previsione introduce, pertanto, un controllo giurisdizionale sull’impiego del sistema e rafforza il livello di garanzia connesso al trattamento biometrico nell’ambito del procedimento penale.

Anche la disciplina dei casi di urgenza presenta una struttura differenziata. Nell’ipotesi prevista dall’art. 8, quando vi sia fondato motivo di ritenere che dal ritardo possa derivare un pregiudizio grave e irreparabile, l’utilizzo del sistema può essere avviato dall’organo di polizia procedente, previa comunicazione, anche orale, al procuratore della Repubblica. La richiesta di autorizzazione deve essere trasmessa senza ritardo e comunque entro ventiquattro ore dall’inizio delle operazioni, mentre il procuratore provvede nelle ventiquattro ore successive.

Nell’ambito del procedimento penale, invece, l’art. 359-ter stabilisce che, in caso di urgenza, sia il pubblico ministero a disporre l’utilizzo del sistema, con successiva trasmissione del provvedimento al giudice per le indagini preliminari entro ventiquattro ore e convalida nelle quarantotto ore successive.

La disciplina contempla un’ulteriore ipotesi per i casi in cui l’urgenza non consenta di attendere neppure il provvedimento del pubblico ministero. In tale circostanza, gli ufficiali di polizia giudiziaria possono procedere direttamente all’attivazione del sistema, trasmettendo senza ritardo e comunque entro le successive dodici ore la richiesta di autorizzazione al pubblico ministero.

Proprio quest’ultima previsione solleva un rilevante interrogativo sul piano delle garanzie costituzionali, poiché consente, in situazioni di particolare urgenza, l’attivazione del sistema direttamente da parte degli ufficiali di polizia giudiziaria, prima dell’intervento del pubblico ministero.
Si tratta di una scelta che assume particolare rilievo se si considera la natura dello strumento e la sua capacità di incidere direttamente sulla sfera personale dell’interessato. Il tema si presta, inoltre, a un confronto con la disciplina delle intercettazioni (art. 267 co. 2 c.p.p.), nell’ambito della quale, anche nei casi di urgenza, il potere di disporre l’intercettazione è attribuito al pubblico ministero, con successiva convalida del giudice, senza riconoscere alla polizia giudiziaria un autonomo potere di iniziativa.

4. Tracciabilità e garanzie dell’impiego dei sistemi

La disciplina dell’identificazione biometrica remota in tempo reale è completata dalle garanzie previste dall’art. 9, che operano tanto nell’ambito delle attività di polizia previste dall’art. 8 quanto nel procedimento penale disciplinato dall’art. 359-ter c.p.p.

Prima dell’utilizzo è richiesta una valutazione d’impatto sui diritti fondamentali ai sensi dell’art. 27 dell’AI Act, accompagnata dalla valutazione d’impatto sulla protezione dei dati prevista dagli artt. 23 e 24 del decreto legislativo n. 51 del 2018.

A questa fase preventiva si aggiunge un obbligo di tracciabilità. Ogni utilizzo del sistema deve essere registrato automaticamente attraverso file di log non modificabili, contenenti i dati previsti dall’art. 12, paragrafo 3, dell’AI Act e conservati per cinque anni dall’accesso o dall’operazione, con accesso riservato alle autorità competenti per la verifica della liceità del trattamento, per il controllo interno e nell’ambito di un procedimento penale.

È inoltre previsto un obbligo di notifica al Garante per la protezione dei dati personali dopo l’utilizzo del sistema, secondo le modalità stabilite dalla disposizione e in conformità all’art. 5, paragrafo 4, dell’AI Act. La comunicazione è effettuata previo nulla osta dell’autorità giudiziaria competente, che può essere differito per specifiche esigenze di segretezza nei limiti previsti dalla legge.

Un ulteriore profilo riguarda gli aspetti tecnici dell’impiego. Il decreto rinvia a un successivo decreto ministeriale la definizione di requisiti relativi all’affidabilità e all’accuratezza dei sistemi, al monitoraggio delle prestazioni, alla rilevazione e mitigazione di eventuali bias o effetti discriminatori e alle caratteristiche delle banche dati di riferimento, nonché alle ulteriori misure tecniche e organizzative necessarie a garantire la sicurezza del trattamento e a impedire accessi illeciti ai dati.

5. Il riconoscimento facciale a posteriori

L’art. 10 introduce una disciplina specifica per l’impiego del riconoscimento facciale a posteriori, integrato da componenti di intelligenza artificiale, nell’ambito delle attività di contrasto dei reati. La disposizione consente, nei casi in cui specifiche disposizioni di legge prevedano l’installazione di sistemi di videosorveglianza, di integrare tali sistemi con componenti di IA, nel rispetto della normativa in materia di protezione dei dati personali e del regolamento (UE) 2024/1689.

5.1 Ricerca mirata e identificazione iniziale della persona

Il comma 2 disciplina l’ipotesi nella quale il riconoscimento facciale sia finalizzato alla ricerca mirata di una persona indiziata della commissione di un reato. In questo caso, il pubblico ministero, su istanza degli ufficiali di polizia giudiziaria che hanno avviato i sistemi, deve chiedere al giudice per le indagini preliminari l’autorizzazione all’utilizzo entro quarantotto ore dal loro avvio. Il giudice, qualora ne ricorrano i presupposti, provvede con decreto motivato entro le successive quarantotto ore.

Il comma 3 disciplina una diversa ipotesi, nella quale l’autorizzazione prevista dal comma 2 non è richiesta. Il riconoscimento facciale può essere utilizzato, esclusivamente dopo la commissione di un reato, per l’identificazione iniziale di una persona potenzialmente indiziata, sulla base di elementi oggettivi e verificabili direttamente connessi al fatto di reato. In questo caso, l’utilizzo della tecnologia è posto sotto la diretta ed esclusiva responsabilità dell’ufficiale di pubblica sicurezza designato dal questore oppure, nelle altre ipotesi, dell’ufficiale di polizia giudiziaria procedente.

La distinzione tra le due ipotesi assume particolare rilievo, poiché dalla qualificazione dell’attività come ricerca mirata di una persona già indiziata oppure come identificazione iniziale di un soggetto potenzialmente indiziato dipende anche l’applicazione del meccanismo autorizzatorio previsto dal comma 2. La disciplina nazionale riprende, sul punto, la distinzione prevista dall’art. 26, paragrafo 10, dell’AI Act. Resta quindi da verificare, sul piano applicativo, come verrà individuato il confine tra le due fattispecie, soprattutto nei casi in cui l’identità della persona sia già parzialmente circoscritta attraverso altri elementi investigativi.

5.2 La videosorveglianza in due fasi

Una disciplina particolare è prevista dal comma 4 per determinati luoghi ed eventi caratterizzati da specifiche esigenze di ordine e sicurezza pubblica. In tali casi, le immagini del volto delle persone che vi accedono sono memorizzate a livello locale senza elaborazione dei relativi dati biometrici. Nella medesima base di dati sono memorizzati i corrispondenti dati anagrafici e, ove previsto un posto assegnato, il relativo identificativo, acquisiti mediante scansione elettronica dei titoli di accesso. Soltanto dopo la commissione di un fatto di reato, l’attivazione del riconoscimento facciale comporta l’elaborazione dei dati biometrici delle immagini presenti nella base locale, per il confronto con quelli estratti dalle immagini del volto della persona indiziata, alle condizioni dei commi 2 e 3.

La previsione realizza, dunque, una separazione tra la fase di acquisizione delle immagini e quella di elaborazione biometrica: la presenza di un sistema di videosorveglianza non comporta, di per sé, il trattamento biometrico delle persone riprese.

La soluzione adottata nel testo definitivo si differenzia dall’impostazione dello schema esaminato dal Garante per la protezione dei dati personali nel parere del 14 luglio 2026, n. 531, che contemplava la memorizzazione locale di dati biometrici. Nel testo pubblicato, la fase iniziale riguarda invece immagini non ancora sottoposte a elaborazione biometrica. Il confronto tra le due versioni permette di cogliere la rilevanza della separazione temporale tra acquisizione ed elaborazione.

La separazione tra le due fasi riduce, quindi, l’incidenza del trattamento nella fase iniziale, ma non elimina ogni questione sul piano della proporzionalità e della minimizzazione dei dati. La prima fase comporta comunque la raccolta e la memorizzazione delle immagini delle persone che accedono ai luoghi o agli eventi interessati, immagini che potranno essere successivamente sottoposte a elaborazione biometrica qualora si verifichino le condizioni previste dal comma 4. Sarà pertanto rilevante verificare in concreto come verranno individuati i luoghi e gli eventi interessati e quali saranno le garanzie applicate alla raccolta e alla conservazione delle immagini.

5.3 Garanzie sul trattamento e limiti all’utilizzo dei risultati

Il decreto introduce specifiche garanzie in materia di protezione dei dati personali. Il titolare del trattamento è individuato nel Ministero dell’interno – Dipartimento della pubblica sicurezza, che deve effettuare preventivamente la valutazione d’impatto sulla protezione dei dati e consultare il Garante per la protezione dei dati personali ai sensi degli artt. 23 e 24 del d.lgs. n. 51/2018. I dati personali trattati attraverso i sistemi integrati sono conservati nella base dati di riferimento per sette giorni dalla raccolta e sono cancellati automaticamente decorso tale termine. Gli accessi e le operazioni di trattamento sono registrati mediante file di log non modificabili, conservati per cinque anni dall’accesso o dall’operazione.

Particolare rilievo assumono, infine, i limiti relativi ai risultati prodotti dal sistema. Nessuna decisione produttiva di effetti giuridici negativi sulla persona può essere basata unicamente sull’output dell’applicazione di riconoscimento facciale, mentre è vietato l’utilizzo della tecnologia in modo non mirato, senza collegamento con un reato o con un procedimento penale, o per finalità di controllo o identificazione biometrica generalizzati o indiscriminati.

Il comma 12 demanda inoltre a un successivo decreto del Ministro dell’interno, sentito il Garante per la protezione dei dati personali, la definizione dei criteri per l’individuazione dei luoghi e degli eventi, delle modalità di trattamento automatizzato e di memorizzazione delle immagini e delle ulteriori misure tecniche e organizzative. Una parte della concreta applicazione della disciplina resta quindi affidata alla successiva normazione secondaria, e sarà attraverso tali scelte attuative che si potrà verificare l’effettiva capacità del nuovo quadro normativo di conciliare le esigenze di sicurezza con le garanzie poste a tutela dei diritti fondamentali.

6. Sorveglianza umana ed effettività della tutela

Un ultimo profilo di riflessione riguarda la disciplina della sorveglianza umana. L’art. 3, comma 4, del d.lgs. n. 160/2026 richiede «adeguate forme di revisione umana qualificata dei risultati delle elaborazioni automatiche» prima del loro impiego in atti e provvedimenti incidenti sulla sfera giuridica degli interessati; il comma 5 stabilisce inoltre che, per i sistemi di IA ad alto rischio, la sorveglianza umana debba essere effettiva e conforme all’art. 14 del regolamento (UE) 2024/1689.

Proprio con riferimento ai sistemi di identificazione biometrica remota ad alto rischio indicati nell’allegato III, punto 1, lettera a), l’art. 14, paragrafo 5, dell’AI Act richiede che, prima di azioni o decisioni fondate sull’identificazione, questa sia verificata e confermata separatamente da almeno due persone fisiche dotate della necessaria competenza, formazione e autorità. La stessa disposizione, tuttavia, prevede che tale requisito non trovi applicazione per finalità di contrasto, qualora il diritto dell’Unione o nazionale ritenga sproporzionata la sua applicazione. La ratio di tale previsione è richiamata anche dal considerando 73 del Regolamento, che fa riferimento alle «conseguenze significative per le persone in caso di una corrispondenza non corretta».

Il d.lgs. n. 160/2026 non chiarisce espressamente il rapporto tra questa specifica previsione dell’AI Act e la «revisione umana qualificata» prevista dall’art. 3. Resta pertanto da chiarire se la disciplina nazionale debba essere interpretata come una specificazione delle forme di sorveglianza richieste dall’art. 14 del Regolamento, ovvero se, nei casi in cui non trovi applicazione la deroga prevista dalla disposizione europea, debba trovare applicazione anche il requisito della verifica separata da parte di almeno due persone.

Di Giuseppe Verde PhD student in “Digital Transformation” presso l’Università Telematica Pegaso. Cultore della materia in «Logica ed Informatica giuridica» presso l’Università degli studi Federico II e in «Informatica giuridica» presso l’Università Giustino Fortunato.