PARLA CON ANDREA Intelligenza artificiale nelle indagini: biometria, riconoscimento facciale e nuovi limiti.
Il D.Lgs. 9 settembre 2026, n. 160 adegua la normativa italiana al Regolamento europeo sull’intelligenza artificiale e disciplina, tra l’altro, l’uso di sistemi di IA nelle attività di polizia, l’identificazione biometrica remota e il riconoscimento facciale a posteriori. È una novità rilevante anche per chi lavora con dati, immagini e prova digitale, ma non attribuisce nuovi poteri agli investigatori privati.
Tre punti da non perdere.
Il riconoscimento biometrico non diventa un controllo generalizzato.
Il decreto disciplina usi specifici da parte delle Forze di polizia, con finalità delimitate, autorizzazioni e garanzie. L’identificazione indiscriminata delle persone resta esclusa.
Le banche dati di confronto devono essere pertinenti e costruite per uno scopo preciso.
Per l’identificazione biometrica in tempo reale è vietato l’uso di banche dati alimentate, anche in parte, mediante scraping non mirato o costituite in violazione delle regole sulla protezione dei dati.
Log, controlli e supervisione diventano centrali.
Il decreto prevede registrazioni non modificabili, valutazioni preventive e limiti all’uso di risultati automatizzati: il modo in cui un output viene prodotto conta quanto il risultato stesso.
Che cosa cambia per le attività di polizia.
Il decreto disciplina l’identificazione biometrica remota in tempo reale in luoghi pubblici o aperti al pubblico da parte delle Forze di polizia. L’utilizzo è previsto soltanto per finalità e soggetti specificamente individuati, tra cui determinate esigenze di prevenzione e la ricerca mirata di persone scomparse o di vittime di specifici reati.
Il confronto deve essere eseguito su una banca dati di riferimento adeguata alla singola finalità. Il set di confronto deve essere costruito appositamente per l’utilizzo autorizzato e i dati biometrici pertinenti devono essere cancellati al termine della validità dell’autorizzazione.
Un passaggio particolarmente significativo riguarda il divieto espresso di utilizzare banche dati biometriche alimentate mediante scraping non mirato. È un limite importante perché impedisce di trasformare raccolte indiscriminate di immagini in una base generalizzata per identificare persone.
Le immagini possono essere analizzate, ma non in modo indiscriminato.
Il D.Lgs. 160/2026 disciplina anche sistemi di videosorveglianza integrati con componenti di intelligenza artificiale per il riconoscimento facciale a posteriori nel contrasto dei reati.
La tecnologia viene attivata dopo l’acquisizione delle immagini e il decreto prevede condizioni, responsabilità e, in determinate ipotesi, autorizzazioni dell’autorità giudiziaria. È espressamente escluso l’utilizzo non mirato, senza collegamento con un reato o con un procedimento penale, oppure finalizzato a un’identificazione generalizzata delle persone.
Inoltre, nessuna decisione con effetti giuridici negativi può essere basata unicamente sul risultato prodotto dall’applicazione di riconoscimento facciale. La supervisione umana resta quindi un elemento essenziale.
Quattro domande che diventano sempre più importanti.
Da quali dati nasce il risultato?
Un output ha valore solo se è possibile comprendere quali dati e quali fonti abbiano contribuito a produrlo.
Il processo è tracciabile e verificabile?
Log, cronologia e integrità dei passaggi tecnici diventano essenziali quando il risultato può incidere su una decisione o su una contestazione.
Una persona ha verificato l’output?
L’automazione non elimina la necessità di controllo umano, soprattutto quando il risultato può produrre conseguenze rilevanti.
Che cosa il sistema non può dimostrare?
Accuratezza, falsi positivi, contesto e qualità del dato devono essere separati dalle conclusioni che il cliente o il professionista vorrebbe trarre.
Quando il funzionamento del sistema può diventare oggetto di prova.
Il decreto introduce anche strumenti processuali civili per le azioni di risarcimento collegate all’utilizzo di sistemi di intelligenza artificiale. In presenza dei presupposti previsti, il giudice può ordinare l’esibizione di elementi pertinenti al funzionamento del sistema.
Tra questi rientrano registri, documentazione relativa alla gestione dei rischi, informazioni tecniche e dati sulle modalità di supervisione umana. L’ordine deve restare necessario e proporzionato e deve tenere conto della tutela di segreti commerciali e informazioni riservate.
Quando il danno deriva dalla violazione di obblighi previsti dall’AI Act, il D.Lgs. 160/2026 prevede inoltre, nei casi disciplinati, una presunzione del nesso di causalità salvo prova contraria.
Da dove deriva questa nota.
CTA Legal & Investigation Radar parte sempre dalla fonte primaria. Le sintesi servono a orientare, non a sostituire il testo ufficiale.
Pubblicato nella Gazzetta Ufficiale, Serie Generale n. 214 del 15 settembre 2026. Entrata in vigore: 30 settembre 2026.
Consulta la Gazzetta UfficialeIl decreto nazionale adegua la disciplina italiana alle disposizioni del regolamento europeo sull’intelligenza artificiale nei settori interessati dal provvedimento.
Consulta EUR-LexDal quadro normativo alla verifica concreta.
Hai un elemento digitale o un risultato prodotto da un sistema automatico?
Prima di attribuirgli un significato, occorre capire da dove proviene, come è stato acquisito, se è stato modificato e quale verifica tecnica sia realmente possibile.