Ai Act e riconoscimento facciale: il nodo dell’articolo 8

Il sistema di riconoscimento facciale è acceso in un luogo pubblico. Inquadra i volti, li acquisisce, li confronta. Ma il procuratore della Repubblica non ha autorizzato l’operazione oppure i termini previsti non sono stati rispettati. La regola, nello schema di decreto sull’intelligenza artificiale nelle attività di polizia, sembra netta: l’uso è «immediatamente interrotto e tutti i dati personali, i risultati e gli output acquisiti e prodotti sono cancellati».

Sembra. Perché subito dopo la norma apre una porta: «fatti salvi gli elementi acquisiti legittimamente sotto altra base giuridica». Quale? E in quali casi le immagini raccolte senza l’autorizzazione prevista possono essere conservate? Lo schema, salvo un riferimento al decreto legislativo 51 del 2018 sul trattamento dei dati personali in attività di polizia, non lo chiarisce. Ed è qui che emerge il rischio di un buco normativo sulla gestione dei dati biometrici.

Il punto è contenuto nell’articolo 8, comma 8, dello schema approvato il 4 agosto dal Consiglio dei ministri. È il decreto legislativo chiamato ad adeguare l’ordinamento italiano al Regolamento Ue 2024/1689, il cosiddetto Ai Act, disciplinando anche l’impiego dell’intelligenza artificiale nelle attività di polizia.

Il riconoscimento biometrico in tempo reale viene ammesso, ma entro limiti rigorosi. La formulazione adottata dal governo, tuttavia, lascia aperto un passaggio decisivo: il destino dei dati che non devono essere cancellati perché «acquisiti legittimamente sotto altra base giuridica».

Lo schema non individua espressamente i casi. Richiama soltanto il decreto legislativo 51 del 2018, che regola il trattamento dei dati personali da parte delle autorità competenti per finalità di prevenzione, indagine, accertamento e perseguimento dei reati. Il perimetro concreto dell’eccezione, però, resta da definire.