Non è il Face ID del telefono. Il riconoscimento facciale remoto può confrontare i volti di molte persone con una banca dati: per questo l’Europa gli impone limiti molto più severi.

In breve. L’AI Act non “libera” il riconoscimento facciale nello spazio pubblico. Per le forze dell’ordine, l’identificazione biometrica remota in tempo reale è vietata in linea di principio e ammessa solo in casi eccezionali, con garanzie precise.

Non confondiamolo con Face ID

Sbloccare un telefono con il proprio volto e riconoscere una persona a distanza in una stazione sono due operazioni molto diverse.

Nel primo caso parliamo normalmente di verifica biometrica: il dispositivo controlla se chi è davanti a lui corrisponde alla persona che dichiara di essere. L’AI Act distingue questa funzione dall’identificazione biometrica remota, in cui un sistema confronta il volto di una o più persone con una banca dati per stabilirne l’identità, spesso senza un coinvolgimento attivo delle persone riprese.

La differenza pratica è enorme: cambiano il numero di persone coinvolte, il contesto, il potere di osservazione e il possibile impatto su privacy, libertà di movimento e libertà di riunione.

Dal volto al template biometrico

In modo semplificato, il processo passa da tre fasi:

  1. Acquisizione — una telecamera o un’immagine fornisce il volto da analizzare.
  2. Estrazione — il software ricava caratteristiche misurabili e genera un template biometrico.
  3. Confronto — il template viene comparato con una galleria di riferimento e restituisce una possibile corrispondenza.

Un match è un esito tecnico: non dovrebbe diventare, da solo, una decisione con effetti negativi su una persona. Il GDPR considera i dati biometrici trattati per identificare univocamente una persona una categoria particolare di dati.

Tempo reale e analisi a posteriori

In tempo reale

Acquisizione, confronto e identificazione avvengono istantaneamente o quasi. È il caso più invasivo: il sistema può segnalare un possibile match mentre una persona attraversa uno spazio accessibile al pubblico.

A posteriori

Le immagini esistono già e vengono analizzate in un secondo momento, per esempio nell’ambito di un’indagine. Questo non rende l’uso automaticamente innocuo: restano decisivi base giuridica, finalità, necessità, qualità dei dati, accessi, tempi di conservazione e controllo umano.

Cosa vieta e cosa consente l’AI Act

L’articolo 5 dell’AI Act considera l’identificazione biometrica remota in tempo reale in spazi accessibili al pubblico per attività di contrasto una pratica vietata in linea di principio.

L’uso può essere preso in considerazione solo per obiettivi tassativi:

  • cercare vittime di reato, persone scomparse o vittime di tratta;
  • prevenire una minaccia specifica, sostanziale e imminente alla vita o all’incolumità, oppure un attacco terroristico;
  • localizzare o identificare persone coinvolte in alcune ipotesi di reati gravi indicate dal regolamento.

Anche in questi casi servono necessità e proporzionalità, limiti di tempo, luogo e persone interessate, una valutazione d’impatto sui diritti fondamentali e una preventiva autorizzazione giudiziaria o di un’autorità indipendente.

Italia: legge delega, regole attuative e punti da verificare

La legge 23 settembre 2025, n. 132 disciplina principi e deleghe al Governo in materia di intelligenza artificiale e stabilisce che le sue disposizioni si interpretano in conformità all’AI Act.

Nel dibattito pubblico sono circolate ricostruzioni e critiche relative a uno schema attuativo sull’uso dell’IA da parte delle forze di polizia. Una bozza, un parere o una notizia sul suo contenuto non equivalgono però a una regola già in vigore.

Prima di valutare una misura, vale la pena verificare: quale uso viene regolato, chi autorizza, quale finalità lo giustifica, quali limiti temporali e geografici esistono e come vengono gestiti conservazione, accessi, audit e cancellazione.

Sicurezza e diritti: il test da fare prima di usare la tecnologia

  1. È davvero necessaria per quello scopo?
  2. Esiste un’alternativa meno invasiva?
  3. Le persone, il tempo e il luogo sono delimitati in modo verificabile?
  4. Un’autorità indipendente può controllare, contestare e fermare l’uso?
  5. Cosa accade a dati, match e falsi positivi alla fine dell’operazione?

La sicurezza pubblica è un interesse legittimo; il punto è renderla compatibile con legalità, proporzionalità e tutela effettiva delle persone.

Cosa possiamo fare come cittadini digitali

  • Distinguiamo la biometria usata per autenticarsi sul proprio dispositivo dai sistemi remoti che identificano persone in spazi pubblici.
  • Chiediamo alternative, tempi di conservazione e soggetti che possono accedere ai dati.
  • Seguiamo le fonti primarie: testo di legge, Gazzetta Ufficiale, AI Act e provvedimenti delle autorità competenti.

Affidabilità delle fonti

Livello: Alta. Il quadro giuridico europeo e italiano richiamato in questo articolo si basa su fonti normative e istituzionali. Le misure attuative italiane sono qualificate come dibattito o schema fino alla verifica del testo ufficiale vigente.

Articolo aggiornabile: il quadro nazionale va ricontrollato in caso di pubblicazione di decreti attuativi o provvedimenti delle autorità competenti.