Sistemi di identificazione biometrica e sicurezza pubblica: profili normativi dei decreti attuativi italiani del Regolamento (UE) 2024/1689
Il presente contributo analizza il quadro normativo introdotto dai due decreti attuativi adottati dal governo italiano in recepimento del Regolamento (UE) 2024/1689 sull’intelligenza artificiale (AI Act), con particolare riferimento alle disposizioni concernenti l’impiego di sistemi di identificazione biometrica da parte delle autorità di pubblica sicurezza. Vengono esaminati i presupposti applicativi, il regime autorizzatorio, le garanzie procedimentali e il sistema sanzionatorio, nell’ottica di una valutazione critica del bilanciamento tra esigenze di sicurezza nazionale e tutela dei diritti fondamentali.
1. Inquadramento normativo europeo
Il Regolamento (UE) 2024/1689, adottato dal Parlamento europeo e dal Consiglio nell’ambito del processo di regolamentazione dell’intelligenza artificiale a livello sovranazionale, costituisce il primo strumento normativo organico in materia a livello globale. Il testo introduce una classificazione dei sistemi di IA basata sul livello di rischio, riservando le prescrizioni più stringenti ai cosiddetti sistemi ad alto rischio, tra i quali figurano espressamente le applicazioni impiegate in contesti di contrasto alla criminalità e di salvaguardia dell’ordine pubblico.
In tale cornice, i sistemi di identificazione biometrica remota — ossia quelli in grado di identificare individui a distanza mediante il trattamento di dati biometrici — sono soggetti a un regime di particolare rigore, in ragione del loro elevato potenziale lesivo nei confronti dei diritti alla riservatezza, alla protezione dei dati personali e, più in generale, alla libertà individuale, tutti diritti tutelati dalla Carta dei diritti fondamentali dell’Unione europea (artt. 7, 8 e 6).
2. Il recepimento italiano: struttura e ratio dei decreti attuativi
In attuazione degli obblighi derivanti dal diritto dell’Unione, il governo italiano ha adottato due distinti decreti attuativi, dei quali il secondo assume particolare rilevanza sul piano della sicurezza pubblica, disciplinando le condizioni e le modalità di utilizzo dei sistemi di identificazione biometrica da parte delle forze dell’ordine.
La scelta dello strumento del decreto attuativo — in luogo di una legge ordinaria — rispecchia un orientamento di adempimento rapido agli obblighi europei, ma pone interrogativi non secondari in ordine al grado di coinvolgimento del Parlamento nel processo decisionale e alla conseguente legittimazione democratica delle misure adottate, profilo che merita attenzione nel quadro del principio di riserva di legge in materia di diritti fondamentali.
3. Tipologie di identificazione biometrica: distinzione funzionale e regime giuridico differenziato
Il decreto introduce una distinzione sistematicamente rilevante tra due modalità operative, ciascuna soggetta a un regime giuridico distinto in ragione della diversa incidenza sui diritti individuali.
3.1 Identificazione biometrica in tempo reale
L’utilizzo di sistemi di riconoscimento biometrico in modalità real-time è ammesso in via eccezionale e tassativa, in presenza di minacce concrete e circoscritte alla sicurezza pubblica. Le fattispecie legittimanti comprendono attività di contrasto al terrorismo, ricerca di persone scomparse e localizzazione di indagati per reati di particolare gravità.
Sul piano procedimentale, l’attivazione di tali sistemi è subordinata all’autorizzazione preventiva dell’autorità giudiziaria — nella figura del procuratore competente — su istanza del questore ovvero dei comandanti provinciali delle forze dell’ordine. La durata massima dell’autorizzazione è fissata in quindici giorni, con possibilità di proroga. Tale impostazione richiama i principi di proporzionalità e necessità elaborati dalla giurisprudenza della Corte di giustizia dell’Unione europea in materia di trattamento di dati personali.
3.2 Identificazione biometrica a posteriori
La seconda modalità disciplinata concerne la raccolta e conservazione di dati biometrici relativi a soggetti presenti in luoghi o eventi che presentino specifiche esigenze di ordine pubblico — con riferimento esemplificativo a stadi e grandi manifestazioni. In questo caso, i dati potranno essere conservati per un periodo massimo di sette giorni, decorso il quale dovrà procedersi alla loro cancellazione.
Questa previsione interseca il Regolamento (UE) 2016/679 (GDPR) e il D.Lgs. 51/2018, che disciplina il trattamento dei dati personali in ambito penale e di pubblica sicurezza, con la conseguente applicabilità dei relativi principi di limitazione della finalità e minimizzazione dei dati.
4. Il sistema sanzionatorio: profili di responsabilità penale
Il decreto introduce una fattispecie di responsabilità penale per i soggetti coinvolti nel ciclo di vita dei sistemi di IA ad alto rischio — dalla progettazione all’addestramento, dalla produzione all’immissione sul mercato fino all’utilizzo professionale — qualora omettano l’adozione delle misure di sicurezza prescritte dalla normativa.
La pena edittale è stabilita nella reclusione da uno a cinque anni, con aggravante fino a dieci anni nei casi in cui le omissioni siano idonee a compromettere la sicurezza dello Stato. La scelta di ricorrere allo strumento penale — anziché a sanzioni amministrative, pure previste dall’AI Act— segnala un orientamento di maggiore deterrenza, ma apre questioni interpretative in ordine alla determinatezza delle fattispecie e alla coerenza con il principio di ultima et extrema ratio del diritto penale.
5. Profili critici: bilanciamento tra sicurezza e diritti fondamentali
L’impianto normativo delineato dai decreti italiani si colloca nel solco del framework europeo, pur presentando margini di tensione con alcuni principi cardine dell’ordinamento costituzionale e del diritto dell’Unione.
In primo luogo, la delega sostanziale all’autorità esecutiva e di pubblica sicurezza nella gestione operativa dei sistemi biometrici solleva interrogativi sul rispetto del principio di riserva di legge rinforzata in materia di limitazione dei diritti fondamentali, sancito dall’art. 52 della Carta dei diritti fondamentali dell’UE.
In secondo luogo, l’effettività del controllo giurisdizionale preventivo — condizione strutturale per la legittimità costituzionale delle misure — dipenderà in larga misura dalle prassi applicative delle procure competenti, elemento che sfugge per definizione alla regolamentazione normativa.
Infine, la dichiarazione ministeriale secondo cui “le decisioni restano umane” — pur apprezzabile sul piano politico-comunicativo — non esaurisce la riflessione giuridica sul concetto di meaningful human oversight elaborato in sede europea, che richiede non soltanto la formale presenza di un decisore umano, ma la sua effettiva capacità di comprendere, valutare e, se del caso, disattendere le raccomandazioni del sistema automatizzato
In conclusione i decreti attuativi italiani rappresentano un primo tentativo di traduzione operativa del framework europeo sull’IA nel settore della sicurezza pubblica. L’articolazione tra identificazione in tempo reale e a posteriori, il regime autorizzatorio e l’introduzione di sanzioni penali delineano un sistema che aspira al bilanciamento tra efficacia dell’azione di contrasto e salvaguardia dei diritti fondamentali.
Tuttavia, la solidità di tale equilibrio non potrà essere valutata in astratto, ma dipenderà dall’effettività dei meccanismi di controllo, dalla prassi applicativa delle autorità competenti e dal contributo interpretativo che la giurisprudenza — nazionale ed europea — sarà chiamata a fornire. Il monitoraggio critico di questi sviluppi costituisce un compito ineludibile per la dottrina giuridica e per la scienza politica.