EDITORIALE – L’impiego dell’intelligenza artificiale nelle attività di polizia non appartiene più a un futuro soltanto immaginato.
Mentre leggevo le nuove regole sull’impiego dell’IA nelle attività di polizia, ho ripensato a RoboCop (il remake del 2014). In una delle scene più suggestive, Alex Murphy riceve nel cervello gli aggiornamenti dei database della polizia: dati, immagini e collegamenti investigativi diventano disponibili in modo istantaneo.
La realtà è molto diversa dalla fantascienza, ma la suggestione cinematografica conserva una sua forza.
Anche oggi, infatti, l’IA promette di rendere immediatamente utilizzabili quantità enormi di informazioni.
La domanda decisiva è se, e fino a che punto, la rapidità dell’elaborazione possa convivere con il tempo necessario per verificare, contestualizzare e decidere responsabilmente.
Il d.lgs. 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale del 15 settembre 2026 ed in vigore dal prossimo 30 settembre, disciplina le condizioni entro cui sistemi algoritmici, tecnologie biometriche e strumenti di analisi automatizzata potranno essere utilizzati per prevenzione, sicurezza pubblica e investigazione penale.
La questione, però, non è scegliere semplicemente tra sicurezza e libertà: è stabilire chi controlla l’algoritmo, su quali dati esso opera, per quale finalità, per quanto tempo e con quali rimedi per la persona eventualmente segnalata in modo errato.
Avevo già iniziato a trattare il tema della legislazione sull’IA, su IVL24, con l’articolo “Intelligenza Artificiale: l’Italia traccia la sua ‘terza via’ tra innovazione e diritti”, pubblicato in due parti il 13 e il 14 ottobre 2025, dedicato alla legge 23 settembre 2025, n. 132, intitolata “Disposizioni e deleghe al Governo in materia di intelligenza artificiale”.
Quella legge poneva i principi del modello italiano: innovazione tecnologica, tutela della persona, controllo umano, trasparenza e protezione dei diritti fondamentali.
Il nuovo decreto legislativo che oggi cerco di analizzare in uno dei suoi aspetti specifici è oggetto da tempo di un dibattito ampio, non solo giuridico ma anche politico.
L’intelligenza artificiale può rendere più rapide alcune attività di ricerca e analisi; nello stesso tempo può accrescere in modo significativo la capacità dello Stato di classificare, seguire, riconoscere e valutare le persone. Proprio per questo, quando l’IA entra nello spazio pubblico e nell’attività delle Forze di polizia, il problema non è soltanto tecnico: riguarda il rapporto tra cittadino e potere pubblico in una democrazia costituzionale.
Che cosa cambia dal 30 settembre
Come anticipato, il d.lgs. n. 160/2026 è un decreto di adeguamento della normativa nazionale al Regolamento UE 2024/1689, noto come AI Act.
Il Titolo I è specificamente dedicato all’impiego di sistemi di intelligenza artificiale da parte degli organi, uffici e comandi delle Forze di polizia, nelle attività di prevenzione, indagine, accertamento e repressione dei reati, nell’esecuzione delle sanzioni penali e nelle funzioni connesse alla tutela della sicurezza pubblica.
Il decreto non attribuisce all’algoritmo un potere autonomo di decidere; stabilisce, invece, che i sistemi e i modelli di IA possano essere utilizzati in funzione strumentale e di supporto, con l’obiettivo di rendere l’attività di polizia più efficace ed efficiente.
Questa espressione è molto importante. Significa che l’IA può assistere l’operatore umano, ad esempio, nell’ordinare una grande quantità di immagini o filmati, nel filtrare dati e individuare possibili corrispondenze, nel segnalare elementi che richiedono ulteriori verifiche ma anche nell’agevolare ricerche mirate di persone scomparse, vittime o soggetti ricercati o nell’analizzare informazioni utili per l’attività di prevenzione e investigazione.
Quel che conta, però, è che l’output prodotto dal sistema non può diventare, da solo, una decisione contro una persona.
In buona sostanza: un alert algoritmico, una corrispondenza facciale o un indicatore di rischio non sono prova definitiva, né possono trasformarsi automaticamente in un fermo, in un controllo, in un’iscrizione in una banca dati o in un altro atto pregiudizievole.
Quando il riconoscimento facciale è ammesso
Il punto più discusso dai commentatori riguarda l’identificazione biometrica remota, soprattutto quando avviene in tempo reale in luoghi pubblici o aperti al pubblico.
Qui occorre evitare una semplificazione frequente: il decreto non autorizza una videosorveglianza facciale indiscriminata della popolazione. L’utilizzo del riconoscimento biometrico remoto in tempo reale è ammesso solo in casi specifici, per finalità delimitate e con precise garanzie procedurali.
Il sistema deve servire a una ricerca mirata. Può essere usato, ad esempio, per confermare l’identità di una persona determinata o per ricercare e localizzare una persona specificamente individuata o individuabile in relazione a una minaccia grave, alla ricerca di una persona scomparsa o alla tutela di vittime di sequestro, tratta di esseri umani o sfruttamento sessuale.
La differenza è sostanziale.
Il riconoscimento biometrico non può tradursi in una sorveglianza permanente e indistinta di tutti coloro che transitano in un luogo pubblico.
Anche il confronto automatizzato dei volti non può avvenire utilizzando archivi costruiti raccogliendo indiscriminatamente immagini dal web. La ricerca deve fondarsi su una banca dati pertinente alla singola operazione e coerente con la finalità specifica perseguita.
Infine, l’uso del sistema deve essere autorizzato e delimitato nel tempo e nello spazio.
In altri termini, non è compatibile con le garanzie previste una sorveglianza priva di una finalità definita, di una durata predeterminata o di un perimetro territoriale circoscritto.
In sintesi: l’intelligenza artificiale può assistere un’attività di ricerca concreta e controllabile, ma non può diventare lo strumento per monitorare in modo generalizzato la popolazione.
L’autorizzazione deve indicare la finalità, la durata, l’area geografica, le persone coinvolte o ricercate, le banche dati utilizzate e la tecnologia impiegata. La durata ordinaria non può superare quindici giorni; sono possibili proroghe, ma soltanto se motivate e limitate nel tempo.
Un’ulteriore garanzia riguarda le banche dati.
Il confronto biometrico deve avvenire con una banca dati di riferimento costruita in modo pertinente alla finalità concreta e non può utilizzare archivi formati, anche soltanto in parte, attraverso lo scraping non mirato di immagini da internet o da impianti di videosorveglianza.
Per scraping si intende la raccolta automatizzata e sistematica di dati disponibili online mediante software o bot. Nel caso del riconoscimento facciale, il rischio concreto sarebbe la creazione di archivi biometrici ottenuti rastrellando indiscriminatamente fotografie e immagini pubblicate sul web.
