Rilevanza per l’interesse pubblico
L’integrazione di modelli predittivi e sistemi algoritmici nelle funzioni di pubblica sicurezza incide direttamente sui diritti fondamentali e sull’equilibrio processuale tra accusa e difesa. L’attuazione della delega legislativa stabilisce per la prima volta una cornice normativa organica per l’impiego operativo dell’intelligenza artificiale da parte delle Forze di polizia, trasformando strumenti sperimentali in mezzi tipizzati di ricerca della prova.
La definizione dei confini tra prevenzione amministrativa, sorveglianza biometrica e indagini penali ridefinisce le garanzie individuali negli spazi pubblici e digitali. La verifica delle condizioni di liceità e della supervisione umana su questi sistemi costituisce un banco di prova cruciale per la tenuta dello Stato di diritto di fronte all’automazione del controllo.
Contesto normativo e quadro sistemico
L’origine del provvedimento risiede nell’esercizio della delega conferita al Governo con l’articolo 24, commi 2, lettera h), e 5, lettere a) ed e), della legge 23 settembre 2025, n. 132. Tale delega ha imposto la redazione di una disciplina specifica per l’uso dell’intelligenza artificiale nei compiti istituzionali di polizia, coordinando le nuove facoltà operative con il regime di responsabilità civile e penale.
L’intervento normativo si colloca al crocevia tra il Regolamento europeo sull’intelligenza artificiale e la disciplina speciale sul trattamento dei dati personali a fini di contrasto dei reati, contenuta nel decreto legislativo 18 maggio 2018, n. 51. La transizione tecnologica delle forze dell’ordine richiede infatti un raccordo stringente tra standard tecnici continentali e garanzie costituzionali interne.
La struttura dello schema di decreto legislativo dedica l’intero Titolo I alla regolamentazione dell’utilizzo dei sistemi algoritmici da parte di organi, uffici e comandi delle Forze di polizia. L’oggetto e le finalità delineati all’articolo 1 circoscrivono l’ambito applicativo all’esercizio esclusivo delle funzioni istituzionali di sicurezza, fissando principi che devono reggere sia la fase preventiva che quella repressiva.
Definizioni operative e perimetro dei divieti
Il quadro definitorio fissato dall’articolo 2 dello schema normativo recepisce le tassonomie comunitarie, introducendo formalmente la nozione di dati operativi sensibili e quella di scraping non mirato. Quest’ultimo, coerentemente con l’articolo 5, paragrafo 1, lettera e), e il considerando 43 del Regolamento IA, viene assoggettato a un espresso divieto generale per impedire la raccolta indiscriminata di materiale biometrico dal web o da registrazioni private.
L’articolo 2 reca il quadro definitorio necessario per l’applicazione del decreto, tra cui la nozione di «dati operativi sensibili» e quella di «scraping non mirato», oggetto di uno specifico divieto.
L’addestramento, lo sviluppo e la convalida dei modelli per attività di polizia sono normati dall’articolo 3, il quale impone la conformità dei trattamenti dei dati personali al decreto legislativo n. 51 del 2018. Per i sistemi classificati ad alto rischio, l’articolo 3, comma 5, prescrive un principio di sorveglianza umana che deve risultare effettivo e affidato a personale in possesso di adeguate competenze per mitigare i rischi sui diritti fondamentali.
Soggetti istituzionali e autorità coinvolte
Il perimetro applicativo coinvolge un articolato sistema di enti statali, giudiziari e di controllo:
- [[Forze di polizia italiane|Q2255745]]: Organi, uffici e comandi operativi titolari del trattamento e utilizzatori diretti dei sistemi algoritmici nell’esercizio delle proprie funzioni istituzionali.
- [[Garante per la protezione dei dati personali|Q3758509]]: Autorità indipendente preposta alla ricezione delle notifiche obbligatorie sull’uso dei sistemi biometrici e alla vigilanza sui trattamenti.
- Autorità nazionali per l’intelligenza artificiale: Organismi deputati al coordinamento e al raccordo con le forze di sicurezza nell’ambito degli spazi di sperimentazione normativa (sandbox regolatorie).
- [[Autorità giudiziaria|Q3630784]]: Magistratura requirente e giudicante, incaricata del rilascio dei nulla osta all’impiego dei sistemi e della convalida d’urgenza dei mezzi di ricerca della prova.
Analisi critica delle evidenze operative e processuali
L’esame analitico dello schema di decreto legislativo mette in luce due snodi particolarmente delicati: la disciplina delle sperimentazioni all’interno di ambienti controllati e l’innesto di nuovi strumenti di sorveglianza biometrica in tempo reale direttamente nel codice di procedura penale.
La sperimentazione normativa e la gestione dei dati sensibili
L’articolo 4 disciplina le collaborazioni tra Forze di polizia e soggetti esterni per progetti di ricerca, sviluppo e collaudo dei modelli. Per consentire tali attività, l’articolo 5 individua il presupposto di liceità del trattamento dei dati personali nelle sandbox normative, subordinandolo alla stretta necessità per finalità di polizia e al rispetto dell’articolo 59 del Regolamento europeo sull’IA.
Tuttavia, il mantenimento dell’esclusiva titolarità e responsabilità in capo alle amministrazioni competenti impone che il raccordo con le Autorità nazionali per l’intelligenza artificiale non intacchi il regime di segretezza dei dati operativi sensibili. La formazione del personale, prescritta dall’articolo 6, fissa livelli minimi obbligatori relativi alle implicazioni etiche e giuridiche, fungendo da argine contro un affidamento acritico all’output dell’algoritmo.
Biometria remota, riconoscimento facciale e l’articolo 359-ter c.p.p.
Sul piano operativo, l’articolo 7 ammette l’uso di IA per etichettare, filtrare e categorizzare set di dati biometrici acquisiti lecitamente, ma esclusivamente per confermare l’identità di soggetti o ricercare individui specificamente individuati o individuabili. Per quanto concerne l’attività di prevenzione, l’articolo 7, comma 9, ricorre all’applicazione analogica dell’articolo 226, comma 5, delle disposizioni di attuazione del codice di procedura penale (d.lgs. n. 271/1989), regolando così l’utilizzabilità processuale degli elementi raccolti.
L’articolo 10 disciplina invece la videosorveglianza con riconoscimento facciale a posteriori per il contrasto dei reati, mentre l’innovazione più profonda sul piano investigativo è recata dall’articolo 13. Quest’ultimo introduce nel codice di procedura penale l’articolo 359-ter, istituendo un nuovo mezzo di ricerca della prova dedicato all’identificazione biometrica remota in tempo reale durante le indagini preliminari.
L’articolo disciplina inoltre le ipotesi di urgenza, prevedendo un meccanismo di doppia convalida − modellato sulla disciplina delle intercettazioni prevista dall’articolo 267, comma 2, c.p.p. − che consente l’attivazione del sistema anche su iniziativa degli ufficiali di polizia giudiziaria.
La previsione di un meccanismo d’urgenza ricalcato sulle intercettazioni telefoniche consente agli ufficiali di polizia giudiziaria di disporre l’attivazione immediata del riconoscimento biometrico in tempo reale, subordinandola alla successiva convalida del pubblico ministero e del giudice. Parallelamente, l’articolo 5, paragrafo 4, del Regolamento IA trova riscontro nell’obbligo di notificare l’avvenuto impiego al Garante per la protezione dei dati personali, previo nulla osta dell’autorità giudiziaria procedente.
Profili irrisolti e questioni aperte
L’analisi tecnica dell’impianto evidenzia alcune asimmetrie operative. La conservazione dei dati biometrici trattati dai sistemi algoritmici resta ancorata ai termini fissati dall’articolo 10 del decreto del Presidente della Repubblica 15 gennaio 2018, n. 15. Tuttavia, la gestione dei falsi positivi generati dai modelli in tempo reale e il grado di trasparenza degli algoritmi proprietari impiegati pongono interrogativi concreti sull’esercizio del diritto di difesa e sulla verificabilità peritale della prova algoritmica.
Trasparenza e base giuridica della documentazione
Il presente dossier documentale si fonda sull’esame degli atti ufficiali relativi all’iter di recepimento e attuazione della legge 23 settembre 2025, n. 132, e sui relativi pareri istituzionali dell’Autorità Garante per la protezione dei dati personali. I testi esaminati rientrano tra gli atti ufficiali dello Stato e delle pubbliche amministrazioni.
Ai sensi dell’articolo 5 della legge 22 aprile 1941, n. 633, i testi degli atti normativi, amministrativi e deliberativi ufficiali dello Stato italiano e delle amministrazioni pubbliche non sono coperti da diritto d’autore e appartengono al pubblico dominio. Le disposizioni normative citate sono riscontrabili nei registri ufficiali e nell’archivio documentale del Garante per la protezione dei dati personali.