Riconoscimento facciale, il decreto che allarga il perimetro della sorveglianza: il governo al confine tra sicurezza e diritti

Un volto in una folla non è mai soltanto un volto. È una presenza, un passaggio, una traccia. Ma quando quello stesso volto viene trasformato in un dato, confrontato in tempo reale con una banca di riferimento e associato a un allarme di sicurezza, il confine tra prevenzione e controllo si assottiglia fino quasi a sparire. È su questa linea, sottilissima e altamente sensibile, che il governo Giorgia Meloni si prepara a muovere un passo destinato a pesare ben oltre il perimetro tecnico del digitale.

Il punto è uno schema di decreto legislativo approvato in via preliminare dal Consiglio dei ministri il 10 giugno 2026, nell’ambito dell’attuazione italiana del regolamento europeo sull’intelligenza artificiale, il cosiddetto AI Act. Il provvedimento, che nasce dalla delega contenuta nella legge 23 settembre 2025, n. 132, disciplina tra le altre cose l’uso dei sistemi di identificazione biometrica remota in tempo reale e del riconoscimento facciale a posteriori da parte delle forze di polizia e nel procedimento penale.

La maggioranza rivendica un impianto di garanzie e respinge l’idea di una deriva da sorveglianza generalizzata. Il ministro dell’Interno Matteo Piantedosi ha sostenuto che il testo non introduce alcun “Grande Fratello” e che resta vietato l’uso di grandi banche dati biometriche; il ministro della Giustizia Carlo Nordio ha insistito sul controllo della magistratura e sulla necessità di circoscrivere l’impiego dei rilievi biometrici ai casi previsti. Ma il nodo politico non si scioglie qui, perché il punto contestato non è soltanto se vi siano garanzie, bensì se esse siano sufficienti e, soprattutto, se coincidano davvero con il quadro europeo che l’Italia dice di voler attuare.

Che cosa prevede il decreto

Il testo distingue due piani. Il primo riguarda l’uso dell’identificazione biometrica remota in tempo reale in luoghi pubblici accessibili, cioè l’impiego di sistemi capaci di confrontare dal vivo i volti ripresi con una banca dati di riferimento. Secondo la ricostruzione emersa nei lavori parlamentari e nell’analisi giuridica successiva all’approvazione preliminare, questo uso sarebbe consentito per finalità tassative: prevenzione di minacce alla sicurezza e all’ordine pubblico, ricerca mirata di specifiche vittime, ricerca di persone scomparse, oltre alle ipotesi collegate ai delitti indicati dall’AI Act e richiamati nel procedimento penale. L’autorizzazione, nel versante di prevenzione, passerebbe dal procuratore della Repubblica, con limiti di tempo non superiori a 15 giorni, prorogabili con motivazione.

Il secondo piano è quello del riconoscimento facciale a posteriori. Qui il sistema non opera mentre l’evento è in corso, ma dopo la commissione di un reato, anche tentato, e solo per identificare soggetti già indiziati sulla base di elementi oggettivi e verificabili, come materiale video-fotografico. Nei resoconti parlamentari si prevede inoltre la cancellazione automatica dei dati biometrici raccolti dopo sette giorni. È la parte del testo che il governo considera più facilmente difendibile: non una rete permanente gettata nello spazio pubblico, ma uno strumento investigativo circoscritto, da usare dopo un fatto già avvenuto.

Nel procedimento penale, poi, lo schema introduce il nuovo articolo 359-ter del codice di procedura penale, consentendo l’uso di questi sistemi per confermare l’identificazione o localizzare persone gravemente indiziate per i delitti richiamati nell’allegato dell’AI Act. In questo caso è prevista la richiesta del pubblico ministero al gip, con decreto motivato, delimitato per area, persone ricercate e durata; anche qui il tetto temporale è di 15 giorni, con possibilità di proroga. In caso d’urgenza, può intervenire prima il pm e, in situazioni ancora più strette, persino la polizia giudiziaria, con successiva trasmissione degli atti e necessità di convalida.

Il cuore dello scontro: dove il testo italiano rischia di divergere dall’Europa

È proprio su questo terreno che si concentrano le obiezioni più serie. L’AI Act vieta come regola generale l’uso dell’identificazione biometrica remota in tempo reale negli spazi pubblici per finalità di contrasto, consentendo solo eccezioni limitate, introdotte per legge, con garanzie rigorose e in presenza di casi circoscritti, come la ricerca di vittime di determinati reati, la prevenzione di minacce imminenti e concrete alla vita o alla sicurezza fisica, oppure la localizzazione di sospettati per reati gravi. La Commissione europea ricorda inoltre che proprio per la delicatezza di questi strumenti occorrono cautele elevate, perché accuratezza e affidabilità possono variare sensibilmente in base a luce, distanza, qualità delle immagini, database e perfino età, sesso o origine etnica dei soggetti coinvolti.

Il primo punto di attrito riguarda la procedura d’urgenza. Nel decreto italiano, stando alle ricostruzioni disponibili, l’uso potrebbe partire in casi urgenti anche prima dell’autorizzazione formale, con semplice comunicazione al pm e successiva convalida. È una scelta che, secondo il relatore europeo dell’AI Act, Brando Benifei, rischia di entrare in tensione con lo spirito della norma europea, costruita attorno all’idea di un controllo preventivo stretto e non meramente successivo. Non è una bocciatura formale del testo italiano, ma è un segnale politico e giuridico da non sottovalutare: quando il legislatore nazionale introduce varchi procedurali in una materia che Bruxelles considera eccezionale, il contenzioso interpretativo è quasi inevitabile.

Il secondo punto critico è la trasparenza. Sempre secondo le obiezioni rese pubbliche dopo il via libera preliminare, il decreto non richiamerebbe in modo esplicito l’obbligo di registrazione dei sistemi utilizzati per il riconoscimento biometrico nella banca dati europea prevista dall’AI Act, uno degli strumenti pensati per rendere tracciabile l’uso di sistemi ad alto rischio. Qui la questione non è marginale: senza un tracciamento robusto e standardizzato a livello europeo, la promessa di controllo democratico su tecnologie così invasive rischia di ridursi a un presidio burocratico interno, meno visibile e meno comparabile.

Va detto con chiarezza: il regolamento europeo, in quanto tale, prevale sul diritto nazionale e si applica direttamente. Dunque, anche se il decreto italiano omettesse o formulasse in modo discutibile alcuni passaggi, resterebbero comunque in piedi i vincoli europei. Ma proprio per questo il problema politico non si attenua: un decreto di adeguamento che nasce già circondato dal sospetto di non coincidere pienamente con il quadro europeo produce incertezza applicativa, espone a futuri rilievi e alimenta il timore che la cornice garantista venga spinta al limite massimo consentito.

Le garanzie previste e i dubbi che restano

Chi difende il testo osserva che non siamo davanti a una licenza indiscriminata. I resoconti parlamentari indicano infatti un sistema di garanzie: valutazione d’impatto sui diritti fondamentali, file di log non modificabili da conservare per cinque anni, notifiche al Garante per la protezione dei dati personali, limiti temporali e geografici, inutilizzabilità dei risultati ottenuti fuori dai casi consentiti. Non sono dettagli secondari: sono il tentativo di costruire una filiera di responsabilità attorno a uno strumento altamente invasivo.

Ma il vero interrogativo è se queste garanzie bastino quando il salto non è soltanto tecnologico, bensì politico. Perché un conto è usare un algoritmo per ordinare documenti o smistare pratiche; un altro è impiegarlo per osservare i corpi nello spazio pubblico e trasformare ogni passaggio in una potenziale verifica d’identità. L’asimmetria di potere tra cittadino e apparato, in questo secondo scenario, cresce in modo radicale. E il rischio di falsi positivi, errori di identificazione e discriminazioni non è un fantasma ideologico: la stessa Commissione europea insiste sul fatto che l’accuratezza dei sistemi biometrici non è uniforme e può dipendere da fattori tecnici e sociali che incidono direttamente sui diritti fondamentali.

Il Garante Privacy, nelle audizioni parlamentari di luglio, ha chiesto un rafforzamento delle tutele e una definizione più netta delle competenze istituzionali. Non è una posizione di principio contro ogni uso dell’IA, ma il richiamo a un punto essenziale: quando si entra nell’area dell’attività di contrasto, della giustizia e della gestione dei dati biometrici, la protezione dei diritti non può essere una clausola accessoria. Il Garante è anzi individuato dallo stesso impianto europeo come autorità di vigilanza per i sistemi ad alto rischio usati in questi ambiti.

Perché l’opposizione parla di “Grande Fratello”

È su questa base che le opposizioni hanno alzato il livello dello scontro, definendo la misura il “Grande Fratello” del governo Meloni. L’espressione ha un’evidente carica polemica, ma non nasce dal nulla. A inquietare non è soltanto l’uso del riconoscimento facciale dopo un reato, che pure resta controverso, bensì soprattutto la possibilità di un impiego preventivo nei luoghi pubblici, cioè prima che il reato sia stato commesso, nel nome della prevenzione o della sicurezza. È qui che l’immaginario del controllo diffuso diventa politicamente esplosivo.

Il governo replica che non c’è alcuna sorveglianza di massa e che le finalità sono tassative. Ma la storia delle tecnologie di sicurezza insegna che il problema non è solo ciò che un testo dice oggi; è anche l’elasticità con cui potrà essere interpretato domani. Le eccezioni, in questa materia, tendono a espandersi. E quando il legislatore apre una porta sul piano della prevenzione, la pressione a usarla più spesso, in più contesti e per più categorie di rischio diventa quasi fisiologica. È per questo che il dibattito non riguarda soltanto l’ordine pubblico: riguarda il modello di democrazia digitale che l’Italia intende costruire.