Il d.lgs. 9 settembre 2026, n. 160, pubblicato in G.U. n. 214 il 15 settembre 2026, interviene nel percorso di adeguamento dell\u2019ordinamento nazionale al regolamento (UE) 2024\/1689 (AI Act). Il provvedimento, adottato in attuazione della legge 23 settembre 2025, n. 132, introduce una disciplina specifica per l\u2019utilizzo dei sistemi di IA nelle attivit\u00e0 di polizia e disposizioni in materia di responsabilit\u00e0 civile e penale. Il nuovo quadro normativo si confronta cos\u00ec con una delle applicazioni pi\u00f9 delicate dell\u2019intelligenza artificiale, nella quale la capacit\u00e0 tecnica di individuare e riconoscere una persona attraverso i suoi dati biometrici si misura con la necessit\u00e0 di delimitare l\u2019esercizio del potere pubblico e di assicurare un adeguato livello di tutela della persona.<\/p>\n\n\n\n
Sommario.<\/strong> \n\n1. Introduzione<\/a> – 2. Dati biometrici e identificazione biometrica remota<\/a> – 3. L\u2019identificazione biometrica remota in tempo reale<\/a> – 4. Tracciabilit\u00e0 e garanzie dell\u2019impiego dei sistemi<\/a> – 5. Il riconoscimento facciale a posteriori<\/a> – 5.1 Ricerca mirata e identificazione iniziale della persona<\/a> – 5.2 La videosorveglianza in due fasi<\/a> – 5.3 Garanzie sul trattamento e limiti all\u2019utilizzo dei risultati<\/a> – 6. Sorveglianza umana ed effettivit\u00e0 della tutela<\/a><\/p>\n\n\n\n <\/p>\n\n\n\n Il provvedimento interviene, tra gli altri ambiti, sull\u2019impiego dell\u2019intelligenza artificiale nelle attivit\u00e0 di polizia, settore nel quale il ricorso a sistemi automatizzati pu\u00f2 incidere in maniera particolarmente significativa sulla sfera personale degli individui e sull\u2019esercizio dei diritti e delle libert\u00e0 fondamentali.<\/p>\n\n\n\n La possibilit\u00e0 di ricorrere a sistemi capaci di identificare automaticamente una persona attraverso i suoi dati biometrici amplia le capacit\u00e0 operative delle autorit\u00e0 di polizia, ma rende al tempo stesso necessario definire con precisione i presupposti e i limiti del loro utilizzo, proprio in ragione della loro incidenza sulla protezione dei dati personali e sulle libert\u00e0 individuali.<\/p>\n\n\n\n Ai fini che qui interessano, particolare attenzione meritano gli artt. 8, 9 e 10 delCapo III del Titolo I<\/strong>, dedicati all\u2019identificazione biometrica remota in tempo reale per finalit\u00e0 di prevenzione o protezione e al riconoscimento facciale a posteriori per il contrasto dei reati.<\/p>\n\n\n\n L\u2019identificazione biometrica si fonda sul trattamento di dati biometrici<\/strong>, ossia una particolare categoria di dati personali ottenuti mediante specifici trattamenti tecnici relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica e idonei a consentirne o confermarne l\u2019identificazione univoca. Tali dati possono essere ricavati, ad esempio, dal volto, dalle impronte digitali, dall’iride o da caratteristiche comportamentali quali la voce e il modo di camminare. La semplice acquisizione di una fotografia non coincide, tuttavia, con il trattamento biometrico: \u00e8 necessario distinguere l\u2019immagine dalla sua elaborazione tecnica a fini di identificazione univoca, come chiarisce anche il considerando 51 del regolamento (UE) 2016\/679.<\/p>\n\n\n\n Come evidenziato anche dalle Linee guida del Garante per la protezione dei dati personali in materia di biometria,<\/strong><\/a> le caratteristiche biologiche o comportamentali proprie dell’individuo possono essere rilevate e trasformate, attraverso specifici trattamenti tecnici, in modelli biometrici utilizzabili per il riconoscimento della persona.<\/p>\n\n\n\n Una particolare applicazione \u00e8 rappresentata dall\u2019identificazione biometrica remota<\/strong>. L\u2019art. 3, n. 41, dell\u2019AI Act definisce il sistema di identificazione biometrica remota come un sistema di intelligenza artificiale finalizzato all\u2019identificazione di persone fisiche senza il loro coinvolgimento attivo, generalmente a distanza, mediante il confronto dei dati biometrici della persona con quelli contenuti in una banca dati di riferimento.<\/p>\n\n\n\n All\u2019interno di tale categoria, il legislatore europeo distingue due diverse modalit\u00e0 di identificazione biometrica remota, l’identificazione biometrica remota “in tempo reale<\/strong>” e quella “a posteriori<\/strong>“. Ai sensi dell\u2019art. 3, nn. 42 e 43, dell\u2019AI Act, la prima ricorre quando l\u2019acquisizione dei dati biometrici, il confronto e l’identificazione avvengono senza ritardi significativi; la seconda comprende i sistemi di identificazione biometrica remota diversi da quelli in tempo reale. Il mero differimento dell\u2019elaborazione rispetto alla raccolta delle immagini non \u00e8 quindi sufficiente a qualificare il trattamento come a posteriori: anche brevi ritardi possono rientrare nella nozione di tempo reale.<\/p>\n\n\n\n La distinzione \u00e8 essenziale perch\u00e9 non attiene soltanto a due modalit\u00e0 tecniche differenti, ma incide anche sul contesto nel quale la tecnologia pu\u00f2 essere utilizzata e, conseguentemente, sui presupposti e sulle garanzie applicabili. \u00c8 proprio su questa distinzione che il decreto n. 160\/2026 costruisce due differenti discipline, dedicate rispettivamente all\u2019identificazione biometrica remota in tempo reale e al riconoscimento facciale a posteriori.<\/p>\n\n\n\n La disciplina nazionale va letta a partire dall\u2019art. 5, paragrafo 1, lettera h), dell\u2019AI Act, che vieta in linea di principio l\u2019impiego di sistemi di identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico a fini di contrasto, salvo eccezioni circoscritte. L\u2019intervento nazionale specifica le condizioni di utilizzo entro tale perimetro europeo.<\/p>\n\n\n\n L\u2019art. 8<\/strong> disciplina l\u2019utilizzo dei sistemi di intelligenza artificiale per l\u2019identificazione biometrica remota in tempo reale nei luoghi pubblici o aperti al pubblico da parte degli organi, uffici e comandi delle Forze di polizia. L\u2019impiego di tali sistemi \u00e8 ammesso, da un lato, per finalit\u00e0 di prevenzione<\/strong> indicate nell\u2019art. 5, paragrafo 1, primo comma, lett. h), punto ii), del regolamento (UE) 2024\/1689 e, dall\u2019altro, per la ricerca di una persona scomparsa<\/strong> o di specifiche vittime dei reati di sequestro di persona, tratta di esseri umani o sfruttamento sessuale<\/strong>, ai sensi dell\u2019art. 5, paragrafo 1, primo comma, lettera h), punto i), del medesimo regolamento.<\/p>\n\n\n\n La disposizione introduce, al comma 2, un ulteriore limite: tali sistemi non possono essere impiegati<\/p>\n\n\n\n per un\u2019attivit\u00e0 di identificazione generalizzata, ma esclusivamente per confermare l\u2019identit\u00e0 delle persone<\/strong> specificamente interessate<\/strong> ovvero per la ricerca mirata, anche in modo dinamico e compresa la localizzazione, di persone specificamente individuate o individuabili in relazione alla minaccia da prevenire o alla ricerca da eseguire.<\/p>\n\n\n\n Particolari garanzie sono previste con riferimento alla banca dati di riferimento destinata al confronto biometrico<\/strong>. Il confronto pu\u00f2 avvenire esclusivamente con una banca dati adeguata alla specifica finalit\u00e0 perseguita, contenente i dati biometrici e, ove disponibili, le relative informazioni identificative delle persone interessate.<\/p>\n\n\n\n La banca dati pu\u00f2 essere costituita a partire da dati contenuti in archivi gi\u00e0 in uso alle Forze di polizia o tenuti da altre pubbliche amministrazioni e accessibili alle medesime Forze, ovvero da immagini, filmati o altri elementi biometrici acquisiti legittimamente nell\u2019ambito delle attivit\u00e0 di polizia.<\/p>\n\n\n\n La disciplina richiede che il contenuto della banca dati sia formato appositamente per ciascun utilizzo<\/strong>, con i soli dati biometrici pertinenti alla specifica finalit\u00e0, e che tali dati siano cancellati al termine della validit\u00e0 dell\u2019autorizzazione. In questo modo, il set di confronto deve rimanere specifico per ciascuna autorizzazione e non pu\u00f2 essere alimentato progressivamente attraverso il riutilizzo o l\u2019incremento dei dati raccolti in occasione di autorizzazioni precedenti. La previsione costituisce una garanzia strutturale<\/strong> di particolare rilievo, poich\u00e9 \u00e8 diretta a impedire che l\u2019impiego della tecnologia per una singola attivit\u00e0 possa tradursi, attraverso una progressiva stratificazione dei dati, nella costituzione di un archivio biometrico permanente e generalizzato. Restano, tuttavia, da definire sul piano tecnico e organizzativo le modalit\u00e0 attraverso cui tali prescrizioni dovranno essere concretamente assicurate e verificate. A questo riguardo, l\u2019art. 9, comma 5, demanda a un successivo decreto del Ministro dell\u2019interno, in accordo con il Ministro della giustizia e sentiti il Garante e le Autorit\u00e0 nazionali per l\u2019intelligenza artificiale, la definizione dei requisiti tecnici minimi delle banche dati e delle relative misure di sicurezza, nonch\u00e9 delle modalit\u00e0 di cancellazione e di non incrementabilit\u00e0 dei dati utilizzati per il confronto biometrico.<\/p>\n\n\n\n La norma vieta altres\u00ec l\u2019utilizzo di banche dati biometriche alimentate, in tutto o in parte, mediante tecniche di scraping<\/em><\/strong> non mirato<\/strong>, ovvero costituite in violazione della disciplina sulla protezione dei dati personali. A questo riguardo, l\u2019art. 2, comma 1, lett. l), introduce una specifica definizione di \u00abscraping <\/em>non mirato\u00bb, che esplicita una pratica gi\u00e0 oggetto del divieto previsto dall\u2019art. 5, paragrafo 1, lettera e), del regolamento (UE) 2024\/1689. La disposizione definisce tale pratica come la raccolta automatizzata e indiscriminata, su larga scala, di immagini facciali provenienti dalla rete internet o da sistemi di videosorveglianza, mediante un sistema di IA, finalizzata alla creazione o all\u2019ampliamento di banche dati di riconoscimento facciale.<\/p>\n\n\n\n L\u2019impiego del sistema \u00e8 subordinato a una specifica richiesta al procuratore della Repubblica<\/strong> presso il Tribunale del capoluogo del distretto nel quale sono emerse le esigenze di prevenzione o di ricerca, e alla conseguente autorizzazione. La richiesta deve indicare la finalit\u00e0 perseguita, la durata prevista, l\u2019area interessata, le persone da ricercare, le banche dati di riferimento e i sistemi e le tecnologie impiegati.<\/p>\n\n\n\n L\u2019autorizzazione deve essere riferita a uno specifico evento o al tempo strettamente necessario e non pu\u00f2 avere durata superiore a quindici giorni, prorogabili, con decreto motivato, per successivi periodi di quindici giorni. <\/p>\n\n\n\n \u00c8 proprio sulla scelta di attribuire al procuratore della Repubblica la competenza autorizzatoria che appare necessaria una prima riflessione. L\u2019impiego di sistemi di identificazione biometrica remota \u00abin tempo reale\u00bb pu\u00f2 infatti incidere in maniera particolarmente significativa sui diritti fondamentali della persona, in primo luogo sul diritto al rispetto della vita privata e familiare e sul diritto alla protezione dei dati personali, tutelati rispettivamente dagli artt. 7 e 8 della Carta dei diritti fondamentali dell\u2019Unione europea. Non \u00e8 casuale, del resto, che lo stesso regolamento (UE) 2024\/1689 subordini l\u2019utilizzo di tali sistemi a un\u2019autorizzazione preventiva rilasciata da un\u2019autorit\u00e0 giudiziaria o da un\u2019autorit\u00e0 amministrativa indipendente, chiamata a verificare la necessit\u00e0 e la proporzionalit\u00e0 della misura.<\/p>\n\n\n\n A questo proposito assume rilievo la sentenza della Corte di giustizia del 2 marzo 2021, Prokuratuur (C-746\/18), relativa all\u2019accesso ai dati di traffico e ubicazione nel quadro della direttiva 2002\/58\/CE. La Corte ha richiesto che l\u2019autorit\u00e0 incaricata del controllo preventivo sia terza rispetto a quella che domanda l\u2019accesso e ha escluso che tale funzione possa essere attribuita al pubblico ministero coinvolto nella conduzione dell\u2019indagine e nell\u2019esercizio dell\u2019azione penale. Il precedente non risolve direttamente la questione posta dall\u2019art. 8 del d.lgs. n. 160\/2026, che opera in un diverso contesto normativo e funzionale. Esso offre tuttavia un criterio di valutazione della terziet\u00e0 del controllo la cui trasferibilit\u00e0 alle attivit\u00e0 preventive richiede un\u2019argomentazione specifica, anche alla luce del ruolo concretamente assunto dal procuratore.<\/p>\n\n\n\n La disciplina dell\u2019identificazione biometrica remota in tempo reale non si esaurisce, tuttavia, nell\u2019ambito delle attivit\u00e0 di prevenzione e di ricerca delle Forze di polizia. L\u2019art. 13 <\/strong>del decreto introduce, infatti, nel codice di procedura penale il nuovo art. 359-ter<\/em>, disciplinando l\u2019impiego della medesima tecnologia nell\u2019ambito del procedimento penale.<\/p>\n\n\n\n La disposizione consente il ricorso ai sistemi di identificazione biometrica remota in tempo reale, in particolare, quando occorre confermare l\u2019identificazione di una persona nei cui confronti sussistano sufficienti indizi della commissione di uno dei delitti di cui all\u2019allegato II del regolamento (UE) 2024\/1689, puniti con la pena della reclusione non inferiore nel massimo a quattro anni, ovvero procedere alla ricerca mirata, compresa la localizzazione, di una persona indiziata dei medesimi delitti. \u00c8 inoltre prevista la possibilit\u00e0 di ricorrervi per la ricerca di un latitante ai fini dell\u2019esecuzione di un\u2019ordinanza che dispone una misura cautelare coercitiva o di un ordine di esecuzione non sospeso che dispone la carcerazione per i medesimi delitti.<\/p>\n\n\n\n Il comma 4 consente inoltre la ricerca mirata, nell\u2019ambito di un procedimento penale, di specifiche vittime di sottrazione, tratta di esseri umani o sfruttamento sessuale.<\/p>\n\n\n\n L\u2019art. 13, pur non rientrando nel Capo III del Titolo I, merita una breve comparazione con la disciplina<\/p>\n\n\n\n prevista dall\u2019art. 8, trattandosi della medesima tecnologia utilizzata in contesti e per finalit\u00e0 differenti.<\/p>\n\n\n\n Diversamente dall\u2019art. 8, nel quale l\u2019autorizzazione \u00e8 rimessa al procuratore della Repubblica, l\u2019art. 13 prevede che il pubblico ministero richieda l\u2019autorizzazione al giudice per le indagini preliminari<\/strong>, il quale provvede con decreto motivato. La previsione introduce, pertanto, un controllo giurisdizionale sull\u2019impiego del sistema e rafforza il livello di garanzia connesso al trattamento biometrico nell\u2019ambito del procedimento penale<\/strong>.<\/p>\n\n\n\n Anche la disciplina dei casi di urgenza presenta una struttura differenziata. Nell\u2019ipotesi prevista dall\u2019art. 8, quando vi sia fondato motivo di ritenere che dal ritardo possa derivare un pregiudizio grave e irreparabile, l\u2019utilizzo del sistema pu\u00f2 essere avviato dall\u2019organo di polizia procedente, previa comunicazione, anche orale, al procuratore della Repubblica. La richiesta di autorizzazione deve essere trasmessa senza ritardo e comunque entro ventiquattro ore dall\u2019inizio delle operazioni, mentre il procuratore provvede nelle ventiquattro ore successive.<\/p>\n\n\n\n Nell\u2019ambito del procedimento penale, invece, l\u2019art. 359-ter stabilisce che, in caso di urgenza, sia il pubblico ministero a disporre l\u2019utilizzo del sistema, con successiva trasmissione del provvedimento al giudice per le indagini preliminari entro ventiquattro ore e convalida nelle quarantotto ore successive.<\/p>\n\n\n\n La disciplina contempla un\u2019ulteriore ipotesi per i casi in cui l\u2019urgenza non consenta di attendere neppure il provvedimento del pubblico ministero. In tale circostanza, gli ufficiali di polizia giudiziaria possono procedere direttamente all\u2019attivazione del sistema, trasmettendo senza ritardo e comunque entro le successive dodici ore la richiesta di autorizzazione al pubblico ministero.<\/p>\n\n\n\n Proprio quest\u2019ultima previsione solleva un rilevante interrogativo sul piano delle garanzie costituzionali<\/strong>, poich\u00e9 consente, in situazioni di particolare urgenza, l\u2019attivazione del sistema direttamente da parte degli ufficiali di polizia giudiziaria, prima dell\u2019intervento del pubblico ministero. La disciplina dell\u2019identificazione biometrica remota in tempo reale \u00e8 completata dalle garanzie previste dall\u2019art. 9, che operano tanto nell\u2019ambito delle attivit\u00e0 di polizia previste dall\u2019art. 8 quanto nel procedimento penale disciplinato dall\u2019art. 359-ter c.p.p.<\/p>\n\n\n\n Prima dell\u2019utilizzo \u00e8 richiesta una valutazione d\u2019impatto sui diritti fondamentali ai sensi dell\u2019art. 27 dell\u2019AI Act, accompagnata dalla valutazione d\u2019impatto sulla protezione dei dati prevista dagli artt. 23 e 24 del decreto legislativo n. 51 del 2018.<\/p>\n\n\n\n A questa fase preventiva si aggiunge un obbligo di tracciabilit\u00e0. Ogni utilizzo del sistema deve essere registrato automaticamente attraverso file di log non modificabili, contenenti i dati previsti dall\u2019art. 12, paragrafo 3, dell\u2019AI Act e conservati per cinque anni dall\u2019accesso o dall\u2019operazione, con accesso riservato alle autorit\u00e0 competenti per la verifica della liceit\u00e0 del trattamento, per il controllo interno e nell\u2019ambito di un procedimento penale.<\/p>\n\n\n\n \u00c8 inoltre previsto un obbligo di notifica al Garante per la protezione dei dati personali dopo l\u2019utilizzo del sistema, secondo le modalit\u00e0 stabilite dalla disposizione e in conformit\u00e0 all\u2019art. 5, paragrafo 4, dell\u2019AI Act. La comunicazione \u00e8 effettuata previo nulla osta dell\u2019autorit\u00e0 giudiziaria competente, che pu\u00f2 essere differito per specifiche esigenze di segretezza nei limiti previsti dalla legge.<\/p>\n\n\n\n Un ulteriore profilo riguarda gli aspetti tecnici dell\u2019impiego. Il decreto rinvia a un successivo decreto ministeriale<\/strong> la definizione di requisiti relativi all\u2019affidabilit\u00e0 e all\u2019accuratezza dei sistemi, al monitoraggio delle prestazioni, alla rilevazione e mitigazione di eventuali bias<\/em> o effetti discriminatori e alle caratteristiche delle banche dati di riferimento, nonch\u00e9 alle ulteriori misure<\/strong> tecniche e organizzative necessarie a garantire la sicurezza del trattamento e a impedire accessi illeciti ai dati.<\/strong><\/p>\n\n\n\n L\u2019art. 10 introduce una disciplina specifica per l\u2019impiego del riconoscimento facciale a posteriori, integrato da componenti di intelligenza artificiale, nell\u2019ambito delle attivit\u00e0 di contrasto dei reati. La disposizione consente, nei casi in cui specifiche disposizioni di legge prevedano l\u2019installazione di sistemi di videosorveglianza, di integrare tali sistemi con componenti di IA, nel rispetto della normativa in materia di protezione dei dati personali e del regolamento (UE) 2024\/1689.<\/p>\n\n\n\n Il comma 2 disciplina l\u2019ipotesi nella quale il riconoscimento facciale sia finalizzato alla ricerca mirata di una persona indiziata della commissione di un reato<\/strong>. In questo caso, il pubblico ministero, su istanza degli ufficiali di polizia giudiziaria che hanno avviato i sistemi, deve chiedere al giudice per le indagini preliminari l\u2019autorizzazione all\u2019utilizzo entro quarantotto ore dal loro avvio. Il giudice, qualora ne ricorrano i presupposti, provvede con decreto motivato entro le successive quarantotto ore.<\/p>\n\n\n\n Il comma 3 disciplina una diversa ipotesi, nella quale l\u2019autorizzazione<\/strong> prevista dal comma 2 non \u00e8 richiesta<\/strong>. Il riconoscimento facciale pu\u00f2 essere utilizzato, esclusivamente dopo la commissione di un reato, per l\u2019identificazione iniziale di una persona potenzialmente indiziata, sulla base di elementi oggettivi e verificabili direttamente connessi al fatto di reato. In questo caso, l\u2019utilizzo della tecnologia \u00e8 posto sotto la diretta ed esclusiva responsabilit\u00e0 dell\u2019ufficiale di pubblica sicurezza designato dal questore oppure, nelle altre ipotesi, dell\u2019ufficiale di polizia giudiziaria procedente.<\/p>\n\n\n\n La distinzione tra le due ipotesi assume particolare rilievo, poich\u00e9 dalla qualificazione dell\u2019attivit\u00e0 come ricerca mirata di una persona gi\u00e0 indiziata<\/strong> oppure come identificazione iniziale di un soggetto potenzialmente indiziato<\/strong> dipende anche l\u2019applicazione del meccanismo autorizzatorio previsto dal comma 2. La disciplina nazionale riprende, sul punto, la distinzione prevista dall\u2019art. 26, paragrafo 10, dell\u2019AI Act. Resta quindi da verificare, sul piano applicativo, come verr\u00e0 individuato il confine tra le due fattispecie, soprattutto nei casi in cui l\u2019identit\u00e0 della persona sia gi\u00e0 parzialmente circoscritta attraverso altri elementi investigativi.<\/p>\n\n\n\n <\/p>\n\n\n\n Una disciplina particolare \u00e8 prevista dal comma 4 per determinati luoghi ed eventi caratterizzati da specifiche esigenze di ordine e sicurezza pubblica. In tali casi, le immagini del volto delle persone che vi accedono sono memorizzate a livello locale senza elaborazione dei relativi dati biometrici. <\/strong>Nella medesima base di dati sono memorizzati i corrispondenti dati anagrafici e, ove previsto un posto assegnato, il relativo identificativo, acquisiti mediante scansione elettronica dei titoli di accesso. Soltanto dopo la commissione di un fatto di reato, l\u2019attivazione del riconoscimento facciale comporta l\u2019elaborazione dei dati biometrici delle immagini presenti nella base locale, per il confronto con quelli estratti dalle immagini del volto della persona indiziata, alle condizioni dei commi 2 e 3.<\/p>\n\n\n\n La previsione realizza, dunque, una separazione tra la fase di acquisizione delle immagini e quella di elaborazione biometrica:<\/strong> la presenza di un sistema di videosorveglianza non comporta, di per s\u00e9, il trattamento biometrico delle persone riprese.<\/p>\n\n\n\n La soluzione adottata nel testo definitivo si differenzia dall\u2019impostazione dello schema esaminato dal Garante per la protezione dei dati personali nel parere del 14 luglio 2026, n. 531, che contemplava la memorizzazione locale di dati biometrici. Nel testo pubblicato, la fase iniziale riguarda invece immagini non ancora sottoposte a elaborazione biometrica. Il confronto tra le due versioni permette di cogliere la rilevanza della separazione temporale tra acquisizione ed elaborazione.<\/p>\n\n\n\n La separazione tra le due fasi riduce, quindi, l\u2019incidenza del trattamento nella fase iniziale, ma non elimina ogni questione sul piano della proporzionalit\u00e0 e della minimizzazione dei dati. La prima fase comporta comunque la raccolta e la memorizzazione delle immagini delle persone che accedono ai luoghi o agli eventi interessati, immagini che potranno essere successivamente sottoposte a elaborazione biometrica qualora si verifichino le condizioni previste dal comma 4. Sar\u00e0 pertanto rilevante verificare in concreto come verranno individuati i luoghi e gli eventi interessati e quali saranno le garanzie applicate alla raccolta e alla conservazione delle immagini.<\/p>\n\n\n\n <\/p>\n\n\n\n Il decreto introduce specifiche garanzie in materia di protezione dei dati personali. Il titolare del trattamento \u00e8 individuato nel Ministero dell\u2019interno \u2013 Dipartimento della pubblica sicurezza, che deve effettuare preventivamente la valutazione d\u2019impatto sulla protezione dei dati e consultare il Garante per la protezione dei dati personali ai sensi degli artt. 23 e 24 del d.lgs. n. 51\/2018. I dati personali trattati attraverso i sistemi integrati sono conservati nella base dati di riferimento per sette giorni dalla raccolta<\/strong> e sono cancellati automaticamente decorso tale termine. Gli accessi e le operazioni di trattamento sono registrati mediante file di log<\/strong> non modificabili, conservati per cinque anni<\/strong> dall\u2019accesso o dall\u2019operazione.<\/p>\n\n\n\n Particolare rilievo assumono, infine, i limiti relativi ai risultati prodotti dal sistema. Nessuna decisione produttiva di effetti giuridici negativi sulla persona pu\u00f2 essere basata unicamente sull\u2019output <\/em>dell\u2019applicazione di riconoscimento facciale, mentre \u00e8 vietato l\u2019utilizzo della tecnologia in modo non mirato, senza collegamento con un reato o con un procedimento penale, o per finalit\u00e0 di controllo o identificazione biometrica generalizzati o indiscriminati.<\/p>\n\n\n\n Il comma 12 demanda inoltre a un successivo decreto del Ministro dell\u2019interno, sentito il Garante per la protezione dei dati personali, la definizione dei criteri per l\u2019individuazione dei luoghi e degli eventi, delle modalit\u00e0 di trattamento automatizzato e di memorizzazione delle immagini e delle ulteriori misure tecniche e organizzative. Una parte della concreta applicazione della disciplina resta quindi affidata alla successiva normazione secondaria, <\/strong>e sar\u00e0 attraverso tali scelte attuative che si potr\u00e0 verificare l\u2019effettiva capacit\u00e0 del nuovo quadro normativo di conciliare le esigenze di sicurezza con le garanzie poste a tutela dei diritti fondamentali.<\/p>\n\n\n\n Un ultimo profilo di riflessione riguarda la disciplina della sorveglianza umana.<\/strong> L\u2019art. 3, comma 4, del d.lgs. n. 160\/2026 richiede \u00abadeguate forme di revisione umana qualificata dei risultati delle elaborazioni automatiche\u00bb prima del loro impiego in atti e provvedimenti incidenti sulla sfera giuridica degli interessati; il comma 5 stabilisce inoltre che, per i sistemi di IA ad alto rischio, la sorveglianza umana debba essere effettiva e conforme all\u2019art. 14 del regolamento (UE) 2024\/1689.<\/p>\n\n\n\n Proprio con riferimento ai sistemi di identificazione biometrica remota ad alto rischio indicati nell\u2019allegato III, punto 1, lettera a), l\u2019art. 14, paragrafo 5, dell\u2019AI Act richiede che, prima di azioni o decisioni fondate sull\u2019identificazione, questa sia verificata e confermata separatamente da almeno due persone fisiche dotate della necessaria competenza, formazione e autorit\u00e0. La stessa disposizione, tuttavia, prevede che tale requisito non trovi applicazione per finalit\u00e0 di contrasto, qualora il diritto dell\u2019Unione o nazionale ritenga sproporzionata la sua applicazione. La ratio di tale previsione \u00e8 richiamata anche dal considerando 73 del Regolamento, che fa riferimento alle \u00abconseguenze significative per le persone in caso di una corrispondenza non corretta\u00bb.<\/strong><\/p>\n\n\n\n Il d.lgs. n. 160\/2026 non chiarisce espressamente il rapporto tra questa specifica previsione dell\u2019AI Act e la \u00abrevisione umana qualificata\u00bb prevista dall\u2019art. 3. Resta pertanto da chiarire se la disciplina nazionale debba essere interpretata come una specificazione delle forme di sorveglianza richieste dall\u2019art. 14 del Regolamento, ovvero se, nei casi in cui non trovi applicazione la deroga prevista dalla disposizione europea, debba trovare applicazione anche il requisito della verifica separata da parte di almeno due persone.<\/strong><\/p>\n\n\n\n <\/p>\n\n\n\n Di Giuseppe Verde <\/strong> PhD student in “Digital Transformation” presso l\u2019Universit\u00e0 Telematica Pegaso. Cultore della materia in \u00abLogica ed Informatica giuridica\u00bb presso l\u2019Universit\u00e0 degli studi Federico II e in \u00abInformatica giuridica\u00bb presso l\u2019Universit\u00e0 Giustino Fortunato. <\/em><\/p>\n\n\n\n <\/p>\n","protected":false},"excerpt":{"rendered":" Il d.lgs. 9 settembre 2026, n. 160, pubblicato in G.U. n. 214 il 15 settembre 2026, interviene nel percorso di adeguamento dell\u2019ordinamento nazionale al regolamento (UE) 2024\/1689 (AI Act). Il provvedimento, adottato in attuazione della legge […]<\/p>\n","protected":false},"author":10431,"featured_media":1389,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_coblocks_attr":"","_coblocks_dimensions":"","_coblocks_responsive_height":"","_coblocks_accordion_ie_support":"","footnotes":""},"categories":[50],"tags":[9,13,8,12,36,56,55],"class_list":["post-1388","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-approfondimenti","tag-ai","tag-artificial-intelligence","tag-ia","tag-intelligenza_artificiale","tag-law","tag-lawenforcement","tag-polizia"],"_links":{"self":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1388","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/users\/10431"}],"replies":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/comments?post=1388"}],"version-history":[{"count":9,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1388\/revisions"}],"predecessor-version":[{"id":1403,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1388\/revisions\/1403"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/media\/1389"}],"wp:attachment":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/media?parent=1388"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/categories?post=1388"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/tags?post=1388"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}1. Introduzione<\/strong><\/a><\/h2>\n\n\n\n
<\/strong>Il percorso di adeguamento dell\u2019ordinamento italiano al Regolamento (UE) 2024\/1689 si inserisce in un pi\u00f9 ampio processo di revisione della disciplina nazionale in materia di intelligenza artificiale. In tale quadro si colloca il decreto legislativo 9 settembre 2026, n. 160, <\/strong>adottato in attuazione della legge 23 settembre 2025, n. 132 e pubblicato in Gazzetta Ufficiale n. 214 del 15 settembre 2026, destinato a entrare in vigore il 30 settembre 2026.<\/strong><\/p>\n\n\n\n2. Dati biometrici e identificazione biometrica remota<\/strong><\/a><\/h2>\n\n\n\n
3. L\u2019identificazione biometrica remota in tempo reale<\/a><\/strong><\/h2>\n\n\n\n
3.1 Il controllo dell\u2019autorit\u00e0 giudiziaria<\/strong><\/h3>\n\n\n\n
3.2 Dalla prevenzione al procedimento penale<\/strong><\/h3>\n\n\n\n
Si tratta di una scelta che assume particolare rilievo se si considera la natura dello strumento e la sua capacit\u00e0 di incidere direttamente sulla sfera personale dell\u2019interessato. Il tema si presta, inoltre, a un confronto con la disciplina delle intercettazioni (art. 267 co. 2 c.p.p.), nell\u2019ambito della quale, anche nei casi di urgenza, il potere di disporre l\u2019intercettazione \u00e8 attribuito al pubblico ministero, con successiva convalida del giudice, senza riconoscere alla polizia giudiziaria un autonomo potere di iniziativa.<\/p>\n\n\n\n4. Tracciabilit\u00e0 e garanzie dell\u2019impiego dei sistemi<\/strong><\/a><\/h2>\n\n\n\n
5. Il riconoscimento facciale a posteriori<\/strong><\/a><\/strong><\/h1>\n\n\n\n
5.1 Ricerca mirata e identificazione iniziale della persona<\/strong><\/h3>\n\n\n\n
5.2 La videosorveglianza in due fasi<\/strong><\/h3>\n\n\n\n
5.3 Garanzie sul trattamento e limiti all\u2019utilizzo dei risultati<\/strong><\/h3>\n\n\n\n
6. Sorveglianza umana ed effettivit\u00e0 della tutela<\/strong><\/a><\/strong><\/h1>\n\n\n\n