Da non inviare così com’è. Le Commissioni riunite del Senato hanno espresso il parere il 30 luglio 2026, favorevole con osservazioni: questo testo, indirizzato a loro e al termine del 25 agosto, è superato dai fatti. L’esame è invece ancora aperto alle Commissioni riunite I e II della Camera, a cui il documento va reindirizzato e riscritto — anche perché le osservazioni del Senato e le memorie depositate alla Camera hanno già coperto parte di ciò che qui si chiede. Verificato il 1 agosto 2026.
Documento da adattare e inviare. I campi fra parentesi quadre vanno compilati. Registro volutamente collaborativo: sono osservazioni e proposte, non contestazioni.
Tre modi per usarlo, in ordine di impegno crescente:
destinatari-parere-ag418.csv), testo integrale nel corpo
del messaggio, non in allegatoAi Presidenti delle Commissioni riunite 1ª Affari Costituzionali — sen. Andrea De Priamo 2ª Giustizia — sen. Giulia Bongiorno
e, per conoscenza, ai componenti delle Commissioni riunite
Senato della Repubblica — XIX Legislatura
[Luogo], [data]
Oggetto: osservazioni sull’Atto del Governo n. 418, in materia di utilizzo dei sistemi di intelligenza artificiale per l’attività di polizia — tre proposte di modifica
Gentili Presidenti, gentili Senatrici e Senatori,
mi rivolgo a voi in qualità di [cittadino elettore nella circoscrizione … / rappresentante dell’associazione …], in vista del parere che le Commissioni riunite sono chiamate a esprimere entro il 25 agosto 2026 sull’Atto del Governo n. 418.
Il provvedimento affronta una materia difficile e in larga parte necessaria: dare attuazione al regolamento (UE) 2024/1689 e dotare le Forze di polizia di regole scritte là dove oggi c’è un vuoto. Proprio perché la cornice è opportuna, mi permetto di segnalare tre punti che, se lasciati nella formulazione attuale, rischiano di indebolire l’equilibrio fra efficacia dell’azione di polizia e diritti individuali che lo schema stesso dichiara di voler perseguire. Su ciascuno provo a indicare non solo il problema, ma una possibile soluzione.
Cosa prevede il testo. Il comma 3 stabilisce che l’utilizzo dei sistemi di videosorveglianza con riconoscimento facciale a posteriori per l’accesso a luoghi o eventi connotati da esigenze di ordine e sicurezza pubblica «implica il trattamento automatizzato dei dati biometrici rilevati dalle immagini del volto delle persone che accedono a tali luoghi o eventi, con memorizzazione locale nella base di dati di riferimento per il confronto biometrico a posteriori», unitamente ai dati anagrafici e all’identificativo del posto assegnato, ottenuti dalla scansione dei titoli di accesso.
Perché desta preoccupazione. Mentre l’attivazione del riconoscimento è correttamente subordinata alla commissione di un reato (comma 2), la raccolta disciplinata dal comma 3 avviene prima e riguarda la totalità delle persone presenti, associando il dato biometrico all’identità anagrafica. Il Garante per la protezione dei dati personali, nel parere del 14 luglio 2026, ha osservato che il trattamento automatizzato e generalizzato dei dati biometrici di quanti accedono a luoghi ed eventi non appare compatibile con il regolamento (UE) 2024/1689, che ammette il riconoscimento facciale solo ex post e nell’ambito di ricerche mirate.
Proposta. Sopprimere la costituzione preventiva della base biometrica degli accessi, prevedendo che il confronto a posteriori avvenga fra le tracce video riferibili al fatto di reato e le banche dati di polizia già esistenti e disciplinate. In via subordinata, vietare espressamente l’associazione del dato biometrico ai dati anagrafici desunti dal titolo di accesso, che è ciò che trasforma un fotogramma in un archivio nominativo, e circoscrivere la raccolta ai soli varchi e alle sole occasioni per cui sia stata documentata una specifica necessità operativa.
Cosa prevede il testo. Lo schema disegna tre regimi autorizzatori per la stessa famiglia di tecnologie: il riconoscimento facciale a posteriori (art. 10, comma 2) si svolge sotto la responsabilità dell’ufficiale di pubblica sicurezza designato dal questore, o dell’ufficiale di polizia giudiziaria che procede, senza intervento dell’autorità giudiziaria; l’identificazione biometrica remota in tempo reale a fini di prevenzione (art. 8, comma 4) è autorizzata dal procuratore della Repubblica distrettuale; la stessa identificazione in sede di indagine (art. 359-ter c.p.p., introdotto dall’art. 13) è autorizzata dal giudice per le indagini preliminari su richiesta del pubblico ministero.
Perché desta preoccupazione. La graduazione delle garanzie risulta inversamente proporzionale alla diffusione attesa dello strumento: l’uso destinato a essere più frequente è quello privo di controllo giurisdizionale. La Corte di giustizia dell’Unione europea (sentenza 4 ottobre 2024, causa C-548/21, Landeck), richiamata dalla stessa documentazione parlamentare, afferma che quando l’accesso ai dati comporta il rischio di un’ingerenza grave nei diritti fondamentali è essenziale che esso sia «subordinato a un controllo preventivo effettuato da un giudice o da un organo amministrativo indipendente», salvi i casi di urgenza debitamente comprovati, perché «un controllo successivo non consentirebbe di impedire che sia autorizzato un accesso ai dati che ecceda i limiti dello stretto necessario».
A ciò si aggiunge un profilo di diritto dell’Unione che merita un supplemento di riflessione. L’articolo 26, paragrafo 10, primo comma, del regolamento (UE) 2024/1689 — richiamato dallo stesso articolo 10 comma 2 dello schema — prevede che il deployer di un sistema di identificazione biometrica remota «a posteriori» richieda, per l’uso di tale sistema, «un’autorizzazione, ex ante o senza indebito ritardo ed entro 48 ore, a un’autorità giudiziaria o amministrativa, la cui decisione è vincolante e soggetta a controllo giurisdizionale», con la sola eccezione dell’uso «per l’identificazione iniziale di un potenziale sospetto sulla base di fatti oggettivi e verificabili direttamente connessi al reato». Lo schema si colloca dichiaratamente dentro quell’eccezione, ma non disciplina cosa accada quando l’attività eccede l’identificazione iniziale e diventa ricerca mirata: in quel caso l’autorizzazione entro 48 ore è dovuta, e nel testo non c’è.
Proposta. Introdurre all’articolo 10 la convalida dell’autorità giudiziaria per l’attivazione delle tecnologie di riconoscimento facciale a posteriori — quanto meno per gli usi che eccedono l’identificazione iniziale — entro il termine di 48 ore previsto dal regolamento e a pena di inutilizzabilità dei risultati, sul modello già adottato dallo schema per le ipotesi di urgenza dell’articolo 8. E, all’articolo 8, allineare la competenza autorizzatoria a quella prevista dal nuovo articolo 359-ter c.p.p., attribuendola al giudice per le indagini preliminari: il modello è già presente nel testo, si tratta di renderlo coerente.
Sempre all’articolo 8, comma 5, si segnala che l’autorizzazione, della durata di quindici giorni, è prorogabile «per ulteriori periodi di quindici giorni» senza che sia indicato un limite complessivo: sarebbe utile fissare un tetto massimo cumulativo.
Cosa prevede il testo. Il comma 9 richiama l’articolo 226, comma 5, delle disposizioni di attuazione del codice di procedura penale, dettato per le intercettazioni preventive, che stabilisce l’inutilizzabilità nel procedimento degli elementi acquisiti e il divieto di menzionare tali attività negli atti di indagine, di farne oggetto di deposizione o di altra forma di divulgazione. Lo schema non prevede alcuna forma di informazione successiva alle persone sottoposte a identificazione biometrica.
Perché desta preoccupazione. In assenza di conoscenza, la persona interessata non è nella condizione di esercitare alcun rimedio: né il ricorso al Garante, né la tutela giurisdizionale di cui agli articoli 24 della Costituzione e 47 della Carta dei diritti fondamentali dell’Unione europea. L’articolo 13 della direttiva (UE) 2016/680, recepito dagli articoli 10-12 del d.lgs. 51/2018, pone un obbligo di informazione all’interessato proprio per consentirgli l’esercizio dei suoi diritti, e ammette che gli Stati lo limitino o differiscano quando necessario e proporzionato per non compromettere le indagini o per la sicurezza pubblica. L’articolo 54 della medesima direttiva, insieme alla giurisprudenza della Corte di giustizia, chiarisce però che l’informazione va fornita non appena la sua comunicazione non rischi più di compromettere l’indagine, perché è il presupposto del diritto a un ricorso giurisdizionale effettivo. Un differimento è quindi legittimo; un’esclusione permanente, come quella che risulta dal testo, è di dubbia compatibilità con il diritto dell’Unione.
Proposta, in due parti. La prima: introdurre l’obbligo di informare la persona interessata una volta venute meno le esigenze di segretezza, entro un termine massimo definito dalla legge, con possibilità di differimento motivato dall’autorità giudiziaria. La seconda: prevedere una relazione annuale al Parlamento, con dati aggregati e resi pubblici, sul numero di autorizzazioni richieste e concesse, sugli avvii in urgenza non convalidati, sul numero di corrispondenze biometriche prodotte e su quelle risultate errate, sui dati cancellati. È una misura che non incide sull’efficacia operativa, non espone alcuna indagine e restituisce al Parlamento la possibilità di valutare nel tempo se lo strumento stia funzionando come previsto.
Le tre proposte non mettono in discussione l’impianto del provvedimento né gli strumenti che esso mette a disposizione delle Forze di polizia: intervengono su chi autorizza, su chi viene registrato e su chi può sapere. Sono, credo, i tre punti su cui il parere delle Commissioni riunite può incidere in modo duraturo, considerato che il decreto, una volta adottato, disciplinerà la materia per gli anni a venire e chiuderà la sospensione disposta dall’articolo 9, comma 9, del decreto-legge 139/2021.
Resto a disposizione per ogni approfondimento e ringrazio per l’attenzione.
[Nome Cognome] [qualifica o associazione] [recapito]