AI per la polizia, Garante chiede più garanzie su dati biometrici, sperimentazioni e banche dati

Il Garante per la protezione dei dati personali ha espresso parere favorevole, con condizioni, sullo schema di decreto legislativo che recepisce in Italia il Regolamento (UE) 2024/1689 sull’intelligenza artificiale (AI Act), limitatamente ai Titoli I e III dedicati all’uso dell’AI nelle attività di polizia e nelle indagini penali.

Il documento, adottato il 14 luglio 2026 (Registro provv. n. 531), introduce un quadro organico per l’impiego di sistemi di AI ad alto rischio, con particolare attenzione all’identificazione biometrica remota, ai sistemi di videosorveglianza intelligenti e agli spazi di sperimentazione normativa.

Il Garante riconosce la coerenza generale del decreto con l’AI Act, bensì richiede integrazioni significative per rafforzare le tutele sui dati personali, soprattutto nei contesti più invasivi come il riconoscimento facciale e l’uso di banche dati biometriche.

Principali novità del decreto

AI nelle attività di polizia, sorveglianza umana e limiti operativi

Il Titolo I disciplina l’uso dell’AI da parte delle Forze di polizia per ricerca, sviluppo, addestramento e impiego operativo dei sistemi.

Il Garante chiede di sostituire la “revisione umana qualificata” con la più ampia “sorveglianza umana”, in linea con l’art. 14 del Regolamento AI, per garantire un controllo effettivo e continuo sui sistemi ad alto rischio.

Collaborazioni e sperimentazioni: stop ai dati operativi sensibili

Nel parere si evidenzia che:

“Il divieto andrebbe esteso anche al mero utilizzo di tali dati, ammettendo invece il ricorso a dati sintetici o a dati reali oggetto di masking o pseudonimizzazione.”

Il Garante chiede inoltre di chiarire ruoli e responsabilità privacy dei soggetti coinvolti (gestori, promotori, organizzatori), oggi non definiti.

Spazi di sperimentazione normativa

Il decreto prevede la partecipazione delle Forze di polizia agli “sandbox” regolatori previsti dall’AI Act.

Il Garante chiede che l’Autorità sia formalmente associata al loro funzionamento, e che possa istituirli quando attinenti alle sue competenze (art. 74, par. 8 AI Act).

Identificazione biometrica remota: autorizzazioni, limiti e cancellazione dei dati

Banche dati di riferimento: qualità, sicurezza e non incrementalità

Il decreto consente l’utilizzo di sistemi di identificazione biometrica remota in tempo reale solo previa autorizzazione del Procuratore della Repubblica.

Il Garante chiede di specificare che le banche dati utilizzate devono avere requisiti di qualità, sicurezza e cancellazione certa dei dati, evitando ogni forma di ampliamento progressivo del set di confronto.

“Il set di confronto deve essere specifico per ciascun utilizzo autorizzato, non potendo la banca dati essere alimentata in modo incrementale.”

Cancellazione dei dati acquisiti illegittimamente

Il Garante ritiene troppo ampia la deroga che consente di conservare dati raccolti senza autorizzazione se esiste “altra base giuridica”.

Chiede che la norma specifichi tassativamente i casi ammessi e imponga la cancellazione effettiva dei dati non conformi.

Videosorveglianza con riconoscimento facciale a posteriori

L’articolo 10 introduce la possibilità di integrare sistemi di videosorveglianza con componenti IA per il riconoscimento facciale ex post.

Il Garante segnala criticità rilevanti:

• No alla raccolta automatica dei dati biometrici di tutti gli utenti: l’elaborazione deve avvenire solo dopo la commissione di un reato e su tracce registrate.
• Rischio di raccolta massiva in contesti eterogenei (stadi, concerti, stazioni, grandi eventi).
• Necessità di richiamare le garanzie antidiscriminatorie dell’art. 8 d.lgs. n. 51/2018.

Indagini preliminari, nuovo art. 359-ter c.p.p.

Il decreto introduce un nuovo mezzo di ricerca della prova basato sull’identificazione biometrica remota in tempo reale.

Il Garante chiede di integrare l’articolo con un divieto esplicito di utilizzo di banche dati ottenute tramite scraping non mirato, come già previsto dall’art. 8.