Al 30 luglio 2026 non risulta un decreto-legge sul riconoscimento facciale già in vigore. Il testo discusso è l’Atto del Governo n. 418, uno schema di decreto legislativo sottoposto a parere parlamentare e ancora suscettibile di modifiche.
Le reazioni politiche o istituzionali sono riportate come dichiarazioni attribuite, non come accertamenti definitivi di legittimità. [ fonte 15 , fonte 19 ]
La situazione italiana in tre date
La formula giornalisticamente e giuridicamente corretta è schema di decreto legislativo in corso di esame . Il testo può essere modificato prima dell’adozione finale e acquista efficacia soltanto secondo le forme previste dall’ordinamento, dopo l’eventuale emanazione e pubblicazione.
Coordinate UE necessarie per leggere il testo italiano
Lo schema nazionale non opera in uno spazio vuoto. Deve restare coerente con il divieto e le eccezioni dell’articolo 5 dell’AI Act, con gli obblighi dei deployer e, a seconda della finalità, con il GDPR oppure con la direttiva (UE) 2016/680 attuata dal d.lgs. 51/2018.
GDPR, direttiva “polizia” e differenze tra soggetti
L’AI Act governa il sistema; la protezione dati governa il trattamento. Un progetto biometrico deve superare entrambe le verifiche. Per finalità non penali si applica in genere il GDPR. Quando un’autorità competente tratta dati per prevenzione, indagine, accertamento o perseguimento di reati si applicano la direttiva (UE) 2016/680 e, in Italia, il d.lgs. 51/2018. La stessa forza di polizia può quindi operare sotto regimi diversi a seconda della finalità concreta.
La doppia porta del GDPR
Quando il volto è trattato tecnicamente per identificare in modo univoco una persona, il dato biometrico è una categoria particolare. Occorre una base giuridica dell’articolo 6 e, separatamente, una condizione di deroga al divieto dell’articolo 9. Il legittimo interesse, da solo, non “apre” l’articolo 9. Anche il consenso esplicito non è una scorciatoia: deve essere libero, specifico, informato e revocabile, e può non esserlo in rapporti squilibrati o quando rifiutare comporta un pregiudizio.
Finalità determinate, minimizzazione, esattezza, limitazione della conservazione, integrità, riservatezza e responsabilizzazione. Un template irreversibile o una watchlist crescente senza controllo sono segnali di rischio.
La valutazione d’impatto è normalmente necessaria per sorveglianza sistematica su larga scala di aree accessibili al pubblico o trattamento su larga scala di dati particolari. Se il rischio residuo resta elevato, va valutata la consultazione preventiva dell’autorità.
Cartelli generici “area videosorvegliata” non spiegano un confronto biometrico 1:N. Informativa stratificata, canali di esercizio dei diritti e spiegazione delle conseguenze sono essenziali, salvo limitazioni legittime per indagini.
Cifratura, separazione delle chiavi, segregazione della galleria, controllo degli accessi, log immutabili, cancellazione verificabile, test di attacco e piano di incident response.
Pubbliche amministrazioni non di polizia
Una PA che usa biometria per erogare servizi o controllare accessi non può giustificare il trattamento con la sola comodità. La base deve essere ancorata a un compito di interesse pubblico o all’esercizio di pubblici poteri previsto dal diritto; la necessità deve essere dimostrata rispetto ad alternative meno invasive. Per determinati sistemi ad alto rischio, gli enti pubblici e i soggetti che erogano servizi pubblici sono tra i deployer chiamati a svolgere una valutazione d’impatto sui diritti fondamentali ai sensi dell’articolo 27, quando applicabile secondo il calendario.
Forze di polizia e autorità competenti
Nel regime “polizia” il trattamento di dati biometrici richiede stretta necessità, autorizzazione normativa, garanzie adeguate e rispetto dei principi del d.lgs. 51/2018. Il fascicolo operativo deve documentare finalità, target, banca dati, qualità, soglie, durata, persone autorizzate, esito, verifiche umane e cancellazione. Il fatto che il sistema sia usato per sicurezza non elimina la necessità di una base giuridica specifica.
Aziende private
Per un’impresa la differenza principale non è “meno regole”, ma l’assenza delle speciali eccezioni riservate alle autorità di contrasto. Un supermercato non può invocare la ricerca di sospetti prevista per la polizia. Un uso 1:N generalizzato su clienti o visitatori deve confrontarsi con il divieto dell’articolo 9 GDPR, la necessità, le ragionevoli aspettative, le alternative, la qualità della lista e la possibilità di danni da falso positivo. Marketing, analisi dell’umore e prevenzione generica delle perdite sono finalità particolarmente fragili.
Datori di lavoro
Nel rapporto di lavoro il consenso è spesso inidoneo a causa dello squilibrio. Un sistema di accesso biometrico deve essere realmente necessario, fondato su una norma o condizione valida, proporzionato al rischio dell’area e accompagnato da un’alternativa. Restano applicabili le norme nazionali sui controlli a distanza e le relazioni sindacali. La verifica 1:1 può essere fuori dall’allegato III, ma non fuori dal diritto del lavoro e dal GDPR.
| Soggetto | Regime dati principale | Base tipica | Specificità |
|---|---|---|---|
| Impresa privata | GDPR | Art. 6 + condizione art. 9(2) | Consenso da valutare con rigore; legittimo interesse non basta per il dato biometrico; obblighi contrattuali con fornitori. |
| PA amministrativa | GDPR + diritto nazionale | Compito di interesse pubblico/poteri pubblici e condizione art. 9 | Necessità prevista dalla legge, trasparenza, accountability, possibile FRIA. |
| Polizia per finalità penali | Direttiva 2016/680 + d.lgs. 51/2018 | Legge, stretta necessità e garanzie | Autorizzazioni, target, limitazioni operative, segretezza proporzionata, registri e controllo dell’autorità. |
| Datore di lavoro | GDPR + norme lavoro | Condizione specifica; raramente consenso | Squilibrio, alternatività, controlli a distanza, minimizzazione e consultazione dei rappresentanti quando prevista. |
Il caso italiano: AG 418, Garante e reazioni
L’Atto del Governo n. 418 è uno schema di decreto legislativo adottato in esame preliminare dal Consiglio dei ministri il 10 giugno 2026 e trasmesso alle Camere il 24 giugno. Tra il 29 e il 30 luglio è diventato oggetto di forte confronto politico: una commissione del Senato ha espresso un primo parere favorevole, il voto della Commissione Politiche UE della Camera è stato rinviato e l’esame delle commissioni Affari costituzionali e Giustizia risultava in corso. Il testo finale può cambiare.
Che cosa prevede lo schema
Il Titolo I disciplina l’impiego di sistemi e modelli di IA per le attività di polizia. Il testo configura l’output come supporto e richiede forme di controllo umano; richiama il d.lgs. 51/2018; regola ricerca e sperimentazione; vieta lo scraping non mirato nelle disposizioni considerate; introduce formazione specifica.
L’articolo 8 riguarda l’identificazione biometrica remota in tempo reale in luoghi pubblici o aperti al pubblico per le finalità eccezionali coerenti con l’articolo 5 dell’AI Act. Secondo la ricostruzione del Garante, l’attivazione è legata a una richiesta motivata e a un’autorizzazione, con limiti temporali, territoriali e personali; sono previsti log e notifiche.
L’articolo 10 riguarda la videosorveglianza dotata di riconoscimento facciale a posteriori per il contrasto dei reati. Il comma 2 limita l’uso successivo alla commissione di un reato e all’identificazione di persone già indiziate sulla base di elementi oggettivi e verificabili. Il nodo più controverso è il comma 3, che nella versione esaminata prevedeva la memorizzazione locale dei dati biometrici e anagrafici delle persone che accedono a determinati luoghi o eventi, per un possibile confronto successivo.
Il parere del Garante: favorevole, ma con condizioni sostanziali
Il 14 luglio 2026 il Garante ha giudicato lo schema complessivamente coerente con AI Act e legge delega, ma ha chiesto integrazioni. Tra le condizioni: usare il concetto più ampio di “sorveglianza umana”; evitare l’uso di dati operativi sensibili nella ricerca preferendo dati sintetici o dati mascherati/pseudonimizzati; chiarire ruoli privacy; associare il Garante alle sandbox che trattano dati personali; definire qualità, sicurezza, cancellazione e non incrementalità delle banche dati di riferimento; integrare la valutazione d’impatto ai sensi del d.lgs. 51/2018.
Sul riconoscimento a posteriori, la condizione più incisiva è che l’elaborazione biometrica avvenga esclusivamente ex post sulle tracce registrate , a fronte di specifiche esigenze operative. In termini semplici: registrare il video non dovrebbe equivalere a trasformare preventivamente ogni volto in un template identificabile “nel caso serva”. Il Garante ha chiesto di evitare una raccolta biometrica preventiva e generalizzata di tutti gli ingressi.
Una banca dati autorizzata per un caso non dovrebbe crescere automaticamente a ogni nuova operazione. Le identità pertinenti vanno aggiunte per la specifica finalità e rimosse quando cessa l’autorizzazione o l’esigenza. Senza questa garanzia, un insieme inizialmente mirato può trasformarsi nel tempo in archivio generale, aumentando errori, usi secondari e rischio di sorveglianza.
Le reazioni del 30 luglio
Un portavoce della Commissione europea ha ribadito nel briefing quotidiano che il riconoscimento facciale negli spazi pubblici accessibili rientra in un chiaro divieto dell’AI Act, precisando però di non disporre degli elementi per giudicare il caso italiano specifico. La formula mediatica va letta nel contesto dell’articolo 5: il divieto riguarda il live RBI per law enforcement e ammette eccezioni tassative, non ogni forma di riconoscimento facciale.
Fonti di Palazzo Chigi hanno dichiarato che l’Italia continuerà a rispettare la normativa UE, le garanzie costituzionali e il controllo dell’autorità giudiziaria. Le opposizioni hanno denunciato rischi di profilazione di massa e chiesto il ritiro o una revisione del testo; esponenti della maggioranza hanno invece richiamato proporzionalità, supervisione e finalità di sicurezza. Queste sono posizioni politiche, non conclusioni giudiziarie sulla conformità del testo.
La compatibilità finale non si misura sul titolo “a posteriori”, ma sull’architettura concreta. Se i volti di tutti vengono convertiti e conservati come dati biometrici prima che esista un reato o un target, il sistema può assumere caratteristiche preventive e generalizzate. La modifica richiesta dal Garante mira proprio a spostare l’elaborazione biometrica al momento della specifica esigenza investigativa.
Perché lo stato dell’iter cambia il modo di scrivere
Finché il testo è uno schema, le formulazioni devono usare il condizionale e distinguere con precisione proposta, parere, condizione, reazione e norma vigente. Questa cautela riduce il rischio di presentare come fatto giuridico una scelta ancora modificabile.
Watchlist, conservazione e controlli effettivi
La proporzionalità dipende anche da come la banca dati è costruita e governata. Una lista ampia, non aggiornata o priva di scadenza cambia radicalmente il rischio rispetto a un insieme chiuso, temporaneo e riferito a persone specifiche.
Checklist per amministrazioni e imprese
- Individuare finalità e regime dati applicabile.
- Verificare la norma attributiva del potere.
- Delimitare persone, spazio, tempo e banca dati.
- Documentare autorizzazioni e stretta necessità.
- Prevedere DPIA e, quando dovuta, FRIA.
- Garantire log, cancellazione e controllo indipendente.
- Non importare eccezioni riservate alla polizia.
- Verificare articolo 6 e condizione dell’articolo 9 GDPR.
- Dimostrare perché alternative meno invasive non bastano.
- Valutare squilibrio e libertà del consenso.
- Offrire canali alternativi e rimedi effettivi.
- Imporre al fornitore sicurezza, audit e cancellazione.
Errori informativi sul quadro italiano
Falso. Occorrono ricerca mirata, filmati leciti e delimitati, collegamento a un caso, autorizzazione, necessità, protezione dati, log e nessuna decisione solo automatica.
Il ritardo cambia la fattispecie, non elimina i diritti.
Falso alla data di verifica. Si tratta di uno schema di decreto legislativo, AG 418, ancora sottoposto ai pareri parlamentari.
Aggiornare questa frase dopo la pubblicazione dell’eventuale testo definitivo in Gazzetta Ufficiale.
Fonti, date e URL della puntata
| # | Ente | Documento | Data / aggiornamento | URL | Uso nell’articolo |
|---|---|---|---|---|---|
| 1 | Unione europea — EUR-Lex | Regolamento (UE) 2024/1689 — Artificial Intelligence Act | 13/06/2024; GUUE 12/07/2024; entrata in vigore 01/08/2024 | https://eur-lex.europa.eu/eli/reg/2024/1689/oj | Testo normativo autentico; articoli, considerando e allegati. |
| 2 | Unione europea — EUR-Lex | Regolamento (UE) 2026/1744 — Digital Omnibus on AI | 08/07/2026; GUUE 24/07/2026; entrata in vigore 27/07/2026 | https://eur-lex.europa.eu/eli/reg/2026/1744/oj | Modifiche vigenti all’AI Act e nuovo calendario dei sistemi ad alto rischio. |
| 4 | Commissione europea | Guidelines on prohibited AI practices | 04/02/2025; consultata 30/07/2026 | https://digital-strategy.ec.europa.eu/en/library/commission-publishes-guidelines-prohibited-artificial-intelligence-ai-practices-defined-ai-act | Orientamenti interpretativi sulle pratiche vietate, inclusa l’identificazione biometrica remota. |
| 6 | Commissione europea — AI Act Service Desk | Articolo 5 — Pratiche di IA vietate | Testo ufficiale 13/06/2024; pagina consultata 30/07/2026 | https://ai-act-service-desk.ec.europa.eu/it/ai-act/article-5 | Divieto di scraping non mirato e regola/deroghe per identificazione biometrica remota in tempo reale. |
| 7 | Commissione europea — AI Act Service Desk | Articolo 14 — Sorveglianza umana | Testo ufficiale 13/06/2024; pagina consultata 30/07/2026 | https://ai-act-service-desk.ec.europa.eu/it/ai-act/article-14 | Requisiti di supervisione e doppia verifica umana per specifici sistemi biometrici ad alto rischio. |
| 8 | Commissione europea — AI Act Service Desk | Articolo 26 — Obblighi dei deployer | Testo ufficiale 13/06/2024; pagina consultata 30/07/2026 | https://ai-act-service-desk.ec.europa.eu/it/ai-act/article-26 | Condizioni per l’identificazione biometrica remota a posteriori e obblighi degli utilizzatori. |
| 9 | Unione europea — EUR-Lex | Regolamento (UE) 2016/679 — GDPR | 27/04/2016; GUUE 04/05/2016 | https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=it | Principi, basi giuridiche, categorie particolari, DPIA, diritti e responsabilità. |
| 10 | Unione europea — EUR-Lex | Direttiva (UE) 2016/680 — Law Enforcement Directive | 27/04/2016; GUUE 04/05/2016 | https://eur-lex.europa.eu/eli/dir/2016/680/oj?locale=it | Protezione dati nei trattamenti delle autorità competenti per finalità penali e di polizia. |
| 11 | Italia — Gazzetta Ufficiale | Decreto legislativo 18 maggio 2018, n. 51 | 18/05/2018; testo vigente consultato 30/07/2026 | https://www.gazzettaufficiale.it/atto/serie_generale/caricaDettaglioAtto/originario?atto.codiceRedazionale=18G00080&atto.dataPubblicazioneGazzetta=2018-05-24 | Attuazione italiana della direttiva (UE) 2016/680. |
| 12 | European Data Protection Board | Guidelines 3/2019 on processing personal data through video devices | Versione finale 30/01/2020 | https://www.edpb.europa.eu/documents/guideline/guidelines-32019-on-processing-of-personal-data-through-video-devices_en | Videosorveglianza, base giuridica, biometria, trasparenza, alternative e DPIA. |
| 13 | European Data Protection Board | Guidelines 05/2022 on facial recognition in law enforcement | Versione finale 17/05/2023 | https://www.edpb.europa.eu/documents/guideline/guidelines-052022-on-the-use-of-facial-recognition-technology-in-the-area-of_en | Analisi dei rischi e delle garanzie per l’uso di tecnologie di riconoscimento facciale da parte delle autorità. |
| 14 | Italia — Gazzetta Ufficiale | Legge 23 settembre 2025, n. 132 | 23/09/2025; GU 25/09/2025; testo vigente consultato 30/07/2026 | https://www.normattiva.it/eli/id/2025/09/25/25G00143/CONSOLIDATED | Legge italiana su IA e deleghe al Governo, base dello schema attuativo. |
| 15 | Senato della Repubblica | Atto del Governo n. 418 — schema di decreto legislativo | Presentato 24/06/2026; iter consultato 30/07/2026 | https://www.senato.it/leggi-e-documenti/attivita-non-legislative/documenti-non-legislativi?documentoId=54072 | Stato e documenti dell’iter parlamentare dello schema su IA, polizia e responsabilità. |
| 16 | Senato della Repubblica — Servizio studi | Dossier sull’Atto del Governo n. 418 | Luglio 2026; consultato 30/07/2026 | https://www.senato.it/show-doc?id=1513700&idoggetto=0⋚=19∂=dossier_dossier1&tipodoc=DOSSIER | Ricostruzione tecnica delle disposizioni, incluso riconoscimento in tempo reale e a posteriori. |
| 17 | Garante per la protezione dei dati personali | Parere n. 531 sullo schema di decreto legislativo | 14/07/2026; pubblicazione richiamata nella newsletter 29/07/2026 | https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10275606 | Parere favorevole con condizioni su dati biometrici, watchlist, cancellazione, DPIA e trattamento ex post. |
| 18 | Presidenza del Consiglio dei ministri | Comunicato del Consiglio dei ministri n. 177 | 10/06/2026 | https://www.governo.it/it/articolo/comunicato-stampa-del-consiglio-dei-ministri-n-177/32050 | Esame preliminare dello schema di decreto legislativo. |
| 19 | ANSA | Rinviato il voto sul riconoscimento facciale; dichiarazioni UE e Governo | 30/07/2026, aggiornamento giornalistico consultato 30/07/2026 | https://www.ansa.it/sito/notizie/politica/2026/07/30/rinviato-il-voto-sul-riconoscimento-facciale-alla-commissione-affari-ue-alla-camera_b0e5a2b0-364a-4f19-9a3f-021b114ccf5a.html | Fonte giornalistica per lo stato dell’iter e le reazioni, attribuite ai rispettivi soggetti. |
| 24 | Consiglio d’Europa | Convention 108+ — Data Protection Convention | Protocollo di modifica aperto alla firma 10/10/2018; consultato 30/07/2026 | https://www.coe.int/en/web/data-protection/convention108-and-protocol | Quadro europeo sui principi di protezione dei dati, utile come contesto sovranazionale. |
| 25 | Corte europea dei diritti dell’uomo | Guide on Article 8 of the European Convention on Human Rights | Aggiornata 28/02/2026; consultata 30/07/2026 | https://ks.echr.coe.int/web/echr-ks/d/guide_art_8_eng | Contesto giurisprudenziale sul diritto al rispetto della vita privata. |
Disclaimer finale
La puntata espone il quadro generale conosciuto al 30 luglio 2026. Non sostituisce l’analisi di un professionista sul caso concreto. Le valutazioni politiche e istituzionali sono attribuite; nessuna persona, impresa o amministrazione è accusata di condotte illecite in assenza di una decisione dell’autorità competente.