Intelligenza artificiale, la legge in vigore dal 10 ottobre: i risvolti per la Polizia Locale

Entra in vigore dal 10 ottobre 2025 la legge 23 settembre 2025, n. 132, che reca “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, e che rappresenta la prima normativa italiana sul tema, e attua il Regolamento UE 2024/1689 del Parlamento europeo e del consiglio (AI Act).

La stessa prevede due novità che presentano risvolti di interesse per la Polizia Locale:

individua l’autorità preposta alle sanzioni per la FRIA (Fundamental Rights Impact Assessment – valutazione di impatto sui diritti fondamentali quando si usano determinati sistemi di intelligenza artificiale);
con l’art. 26, comma 1, lettera c) introduce nel codice penale il nuovo articolo 612-quater, configurando un’autonoma fattispecie di reato destinata a contrastare la diffusione illecita di contenuti deepfake.

Il coordinamento con altre norme

La legge 23 settembre 2025, n. 132 rappresenta la normativa italiana di attuazione del Regolamento UE 2024/1689 del Parlamento europeo e del consiglio (AI Act) e si coordina con:

GDPR (Regolamento UE 2016/679) per la protezione dati;
Normativa sulla cybersecurity (direttiva NIS2);
Leggi settoriali (es. codice del consumo, norme sul lavoro).

Il coinvolgimento della Polizia Locale

Il coinvolgimento della Polizia Locale è duplice:

come soggetto che utilizza sistemi di AI a rischio elevato (esempio con gli impianti di videosorveglianza urbana, ma anche ormai con quasi tutte le tecnologie video, quindi anche dashcam, bodycam, ecc.);
come polizia giudiziaria in relazione al nuovo reato.

Gli obblighi derivanti dall’AI-Act

Val la pena di ricordare che l’AI-Act (Regolamento UE 2024/1689), nell’intento di garantire che l’intelligenza artificiale venga sviluppata e utilizzata in tutte le fasi in modo responsabile ed eticamente corretto, oltre che sicuro impone una serie di divieti e di obblighi a vari soggetti, fra questi:

divieto di produzione, fornitura, utilizzazione dei sistemi di intelligenza artificiale che causano danni alla persona o che violano i diritti fondamentali della persona;
obbligo per i fornitori e gli utilizzatori di sistemi di intelligenza artificiale (quindi anche la Polizia Locale) di adottare misure per garantire la sicurezza e la protezione dei dati.

Il tutto prevedendo sanzioni fino a 35.000.000 di euro oppure fino al 7% del fatturato (se azienda).

La necessità di mettersi in regola con la FRIA

Se fino ad adesso, a dispetto delle due scadenze già trascorse (febbraio 2025, agosto 2025) le Polizie Locali (i Comuni) non si sono ancora messa in regola con l’adozione della FRIA senza per questo avere problemi in quanto l’autorità preposta alle sanzioni non era stata individuata dal legislatore italiano, adesso che la nuova norma la individua è indispensabile mettersi in regola al più presto onde evitare quello che è già accaduto per il tema della privacy.

La Polizia Locale è spessissimo utilizzatore inconsapevole di tecnologie che hanno a bordo sistemi che utilizzano intelligenza artificiale ed è dunque tenuta alla redazione del documento, cosa tanto più evidente quando si utilizzano sistemi di videosorveglianza urbana che hanno funzioni di video analysis e video synopsis.

Per quali attività di polizia va fatta la valutazione di impatto sui diritti fondamentali?

Gli esempi possono essere molti ma basterà ricordare:

recupero intelligente dei flussi video degli impianti di videosorveglianza urbana, basato sull’individuazione di specifici comportamenti (e non soltanto movimenti, esempio: soggetto di un determinato genere in un posto specifico, oppure soggetto che staziona in un determinato luogo di culto, ecc. ecc.);
software di video synopsis, capaci di ricostruire i movimenti di aggregazioni di persone partendo da caratteristiche particolari (esempio: individuare tutte le persone di sesso maschile, vestite di blu, che in un determinato spazio temporale e in una specifica zona si sono scambiati un pacco);
individuazione automatica a posteriori dello stesso soggetto in più flussi video provenienti da punti di ripresa diversi e magari anche da impianti di videosorveglianza diversi per rintracciare chi è fuggito a seguito di un reato;
tracciamento di percorsi effettuati da veicoli tramite varchi di lettura targhe (ZTL, corsie preferenziali, “scudo verde”).

Il coinvolgimento della Polizia Locale, come polizia giudiziaria, nel nuovo reato di cui all’art. 612-quater

L’articolo 26, comma 1, lettera c) della Legge n. 132/2025 introduce nel codice penale il nuovo articolo 612-quater che così recita:

“Chiunque cagiona un danno ingiusto ad una persona, cedendo, pubblicando o altrimenti diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati mediante l’impiego di sistemi di intelligenza artificiale e idonei a indurre in inganno sulla loro genuinità, è punito con la reclusione da uno a cinque anni. Il delitto è punibile a querela della persona offesa. Si procede tuttavia d’ufficio se il fatto è connesso con altro delitto per il quale si deve procedere d’ufficio ovvero se è commesso nei confronti di persona incapace, per età o per infermità, o di una pubblica autorità a causa delle funzioni esercitate.”.

Ovvio che le attività di polizia giudiziaria risultano essere particolarmente complesse e articolate, richiedendo anche una formazione specifica per chi debba operare.

GUARDA IL VIDEO Intelligenza Artificiale e Polizia Locale, come sta cambiando la Sicurezza Urbana

Cosa vuole sanzionare la norma

La norma mira essenzialmente a sanzionare:

deepfake pornografici;
fake news mediante deepfake di personaggi pubblici;
manipolazioni vocali per truffe o estorsioni;
utilizzo fraudolento dell’identità altrui in contesti digitali.

In particolare, le attività di p.g.

Innanzitutto va tenuto conto che il reato è punibile a querela della persona offesa, ma si procede d’ufficio in tre ipotesi specifiche:

se il fatto è connesso con altro delitto per cui si deve procedere d’ufficio;
se è commesso nei confronti di persona incapace per età o infermità;
se il fatto è commesso nei confronti di una “pubblica autorità” a causa delle funzioni esercitate.

Le attività di polizia giudiziaria si concretizzeranno in:

acquisizione della denuncia/querela;
repertazione immediata (con cristallizzazione delle prove digitali, acquisizione di screenshot, link, timestamp prima che i contenuti vengano rimossi, acquisizione dei contenuti con download dei file originali e preservazione dei metadati;
repertazione delle reazioni (commenti, condivisioni, visualizzazioni come prova del danno di reputazione);
analisi forense dei contenuti con acquisizione forense dei file,
sequestro/copia forense dei dispositivi che hanno ospitato i contenuti, preservazione dell’integrità tramite funzioni hash (MD5, SHA-256), rispetto della chain of custody digitale;
perizia tecnica informatica per accertare la presenza di manipolazione con IA (analisi degli artefatti digitali tipici dei deep fake con le tecnologie utilizzate con identificazione degli algoritmi come GAN, diffusion models, face swap, voice cloning) e individuazione del livello di sofisticazione (valutazione dell’idoneità ingannatoria), individuazione dei metadati (EXIF, timestamp, software utilizzati), uso di strumenti di analisi (software di deepfake detection come a esempio Deepware Scanner o Microsoft Video Authenticator), analisi frame-by-frame per video, analisi spettrale per audio, verifica di inconsistenze (illuminazione, riflessi, movimenti innaturali), analisi biometrica comparativa;
attività di investigazione digitale con tracciamento della fonte, identificazione dell’IP di upload/pubblicazione, richiesta dati agli ISP (ex art. 132 Codice Privacy), analisi dei log delle piattaforme social/web;
analisi delle piattaforme con richiesta di informazioni ai gestori di social media (Facebook, Instagram, TikTok, X/Twitter) chiedendo la cronologia delle pubblicazioni e i dati di registrazione e accesso;
eventuali intercettazioni e captazioni con acquisizione dei tabulati e collegamento con il materiale diffuso.

A queste attività si affiancheranno le attività di investigazione tradizionali, fra le quali la ricostruzione della motivazione e la tutela degli elementi che possono costituire fonti di prova.

Particolare attenzione andrà posta alla richiesta urgente di rimozione dalle piattaforme (art. 14-ter D.Lgs. n. 70/2003).

Non vi è dubbio che si tratta di attività di p.g. particolarmente critiche a causa dei seguenti fattori:

difficoltà tecniche;
volatilità delle prove: i contenuti possono essere rapidamente cancellati;
anonimato: uso di VPN, TOR, account fake;
complessità tecnica: necessità di competenze specialistiche per accertare la manipolazione;
giurisdizione: diffusione su server esteri;
tempistiche.

Per questo è necessario che la Polizia Locale acquisisca non solo una formazione specialistica ma anche una formazione il più possibile multidisciplinare.

Sergio Bedessi