Il Garante per la protezione dei dati personali ha espresso parere favorevole allo schema di decreto legislativo volto ad allineare la normativa italiana all'EU AI Act, che diventerà legge vincolante il prossimo 2 agosto. Tuttavia, l'Autorità ha sollevato criticità precise sull'impiego di sistemi di intelligenza artificiale da parte delle Forze di polizia, richiedendo un inasprimento delle tutele per i dati biometrici e una definizione più rigorosa della supervisione umana.

Stop al riconoscimento facciale generalizzato nei luoghi pubblici

L'Autorità ha chiarito che il trattamento automatizzato e massivo di dati biometrici per chi accede a eventi o spazi pubblici non è compatibile con i dettami europei. Secondo il Garante, l'identificazione biometrica da remoto deve essere limitata a ricerche mirate ex post, operando esclusivamente su registrazioni già acquisite e solo in presenza di specifiche esigenze operative. Questa posizione mira a prevenire la creazione di sistemi di sorveglianza preventiva e raccolte dati indiscriminate che comprometterebbero il diritto all'anonimato negli spazi comuni.

Divieto di scraping per le banche dati della polizia

Un punto cruciale riguarda l'integrazione dell'articolo 359-ter del codice di procedura penale. Il Garante esige l'inserimento di un divieto espresso nell'utilizzo di banche dati ottenute tramite tecniche di scraping indiscriminato o in violazione delle norme sulla privacy. L'obiettivo è garantire che le informazioni utilizzate per l'identificazione biometrica siano di alta qualità e legalmente acquisite, evitando che l'automazione dell'AI legittimi l'uso di dataset raccolti illegalmente dal web.

Supervisione umana e spazi di sperimentazione

Oltre alla biometria, l'Autorità chiede maggiore trasparenza sulle responsabilità nei progetti di ricerca e sperimentazione. Il Garante pretende di essere coinvolto direttamente negli "spazi di sperimentazione normativa" (sandbox) che prevedano il trattamento di dati personali. Viene inoltre richiesta una definizione più netta del ruolo della supervisione umana, per evitare che decisioni critiche vengano delegate interamente ad algoritmi opachi, specialmente in contesti ad alto rischio come quelli legali o di pubblica sicurezza.

Il delicato equilibrio tra innovazione e diritti fondamentali

Il caso italiano si inserisce in un dibattito europeo più ampio sulla tensione tra l'efficacia tecnologica e la protezione della privacy. Mentre pratiche come il face boarding negli aeroporti rimangono consentite se bilanciate correttamente, l'uso di dati biometrici per scopi meno critici — come il rilevamento delle presenze sul lavoro tramite impronte digitali — è già stato giudicato illecito dal Garante in assenza di norme specifiche. La sfida attuale è integrare i requisiti di qualità dei dati dell'AI Act con gli obblighi di valutazione d'impatto (DPIA) previsti dal GDPR, per evitare che l'automazione diventi uno strumento di sorveglianza indiscriminata.