L’Intelligenza Artificiale sta trasformando profondamente il modo in cui vengono sviluppati e utilizzati i sistemi di riconoscimento biometrico. Tra questi, il binomio “riconoscimento facciale e AI” rappresenta uno degli ambiti più innovativi ma, allo stesso tempo, più delicati dal punto di vista giuridico ed etico.
Come abbiamo raccontato spesso nel nostro blog, il Garante Privacy italiano, negli ultimi anni, ha assunto un approccio particolarmente prudente nei confronti dell’utilizzo dei dati biometrici, ribadendo ripetutamente la necessità di limitare il ricorso ad essi ai soli casi realmente necessari e proporzionati.
A differenza di una password o di un codice PIN, infatti, questi dati identificano in modo univoco una persona e non possono essere modificati in caso di violazione. Inoltre, le moderne tecnologie di Intelligenza Artificiale consentono di estrarre da un’immagine del volto informazioni ulteriori, come lo stato di salute o l’appartenenza etnica, aumentando sensibilmente il rischio di profilazioni e utilizzi discriminatori.
In questo contesto si inserisce il nuovo schema di decreto legislativo destinato ad adeguare l’ordinamento italiano all’AI Act europeo, con l’obiettivo di disciplinare l’impiego dell’Intelligenza Artificiale anche nell’ambito del riconoscimento facciale.
Il nuovo decreto italiano di adeguamento all’AI Act
Lo schema di decreto legislativo, approvato in via preliminare dal Governo e recentemente accompagnato dal parere favorevole del Garante Privacy, rappresenta il primo tentativo organico di coordinare la normativa nazionale con il nuovo quadro europeo introdotto dall’AI Act.
Pur avendo ricevuto il parere favorevole del Garante Privacy, il testo presenta ancora diversi profili critici, tra cui la base giuridica del trattamento, il rispetto del principio di proporzionalità, i rischi di falsi positivi e la sostenibilità tecnica ed economica del sistema.
Tra le disposizioni più discusse figura, però, quella dedicata all’impiego di sistemi di videosorveglianza dotati di riconoscimento facciale integrato con Intelligenza Artificiale da parte delle Forze dell’Ordine. Si tratta di una previsione destinata ad avere un impatto significativo sul rapporto tra sicurezza collettiva e tutela dei diritti fondamentali, motivo per cui ha acceso un intenso dibattito sia a livello nazionale che europeo.
Riconoscimento facciale e AI negli stadi e nei grandi eventi: i principali nodi giuridici
La disposizione più controversa dello schema di decreto riguarda la possibilità di utilizzare sistemi di riconoscimento facciale a posteriori durante eventi caratterizzati da particolari esigenze di ordine e sicurezza pubblica, come manifestazioni sportive, concerti o altri eventi di grande affluenza.
L’obiettivo dichiarato è consentire alle Forze dell’Ordine di identificare gli eventuali responsabili di reati attraverso il confronto tra le immagini registrate e le impronte biometriche raccolte all’ingresso. La misura, tuttavia, solleva numerose perplessità.
Una base giuridica ancora poco definita
Uno dei primi problemi riguarda la base giuridica del trattamento.
Il GDPR e la Direttiva (UE) 2016/680, sulla base del principio di legalità sostanziale, impongono che ogni limitazione ai diritti fondamentali (quale il trattamento di dati biometrici) debba essere prevista da una normativa sufficientemente chiara, precisa e prevedibile. Nel testo del decreto, invece, i presupposti applicativi risultano formulati in termini molto generici e dunque non coerenti col principio suddetto.
L’espressione “luoghi o eventi rispetto ai quali sussistono esigenze di ordine e sicurezza pubblica” lascia, infatti, un margine di discrezionalità estremamente ampio. Non vengono individuati criteri oggettivi per stabilire quando sia realmente necessario ricorrere alla raccolta dei dati biometrici, né è previsto uno specifico procedimento amministrativo che disciplini tale decisione o un coinvolgimento preventivo del Garante Privacy.
Il principio di proporzionalità
Ancora più delicata appare la questione della proporzionalità.
La raccolta preventiva dei dati biometrici di decine di migliaia di spettatori, che partecipano legittimamente a una partita, a un concerto o a una manifestazione, implica il trattamento di informazioni estremamente sensibili riferite, nella quasi totalità dei casi, a persone che non hanno alcun collegamento con attività criminose. L’eventuale utilità investigativa riguarderebbe quindi solo una percentuale minima degli interessati, rendendo evidentemente sproporzionata tale raccolta massiva e generalizzata di dati biometrici.
Il problema dei falsi positivi
Un ulteriore elemento critico riguarda l’affidabilità degli algoritmi.
I sistemi di riconoscimento facciale hanno raggiunto livelli di accuratezza molto elevati, ma non sono infallibili. Anche nelle migliori condizioni operative continuano a produrre una quota di falsi positivi, ossia identificazioni errate, soprattutto quando operano in ambienti reali, con illuminazione variabile, persone in movimento e angolazioni non ottimali.
Su grandi numeri, anche percentuali di errore apparentemente molto basse possono tradursi in numerosi cittadini erroneamente individuati come possibili responsabili di un illecito.
Il decreto precisa che nessuna decisione potrà basarsi esclusivamente sull’esito del sistema automatizzato, ma questa previsione potrebbe non essere sufficiente.
La letteratura scientifica evidenzia, infatti, il fenomeno dell’automation bias, cioè la naturale tendenza degli operatori umani ad attribuire particolare affidabilità alle decisioni suggerite dagli algoritmi, limitando di fatto la reale efficacia del controllo umano.
Le criticità organizzative ed economiche
Anche la previsione che l’intero sistema venga realizzato senza nuovi o maggiori oneri per la finanza pubblica suscita più di una perplessità.
Infatti, la raccolta, la cifratura, la conservazione e la gestione dei dati biometrici richiedono infrastrutture tecnologiche estremamente sofisticate, standard elevatissimi di cybersecurity, continui aggiornamenti software, controlli di sicurezza e personale altamente qualificato.
Risulta difficile immaginare che un sistema di tale complessità possa essere implementato “a costo zero”, senza incidere sulla qualità delle misure di sicurezza.
Ancora più problematica appare l’ipotesi di utilizzare infrastrutture tecnologiche concesse in uso al Ministero dell’Interno, ma realizzate da soggetti privati, come organizzatori di eventi o gestori degli impianti sportivi. Una soluzione di questo tipo rischia, infatti, di determinare livelli di sicurezza non uniformi – dipendenti dalle differenti capacità economiche dei soggetti coinvolti – aumentando i rischi legati alla protezione di dati particolarmente sensibili.
Le possibili osservazioni dell’Unione Europea
Molte delle criticità evidenziate potrebbero emergere anche durante il confronto con le istituzioni europee.
L’AI Act adotta, infatti, un approccio fondato sul rischio, imponendo particolari limitazioni proprio nei casi in cui l’Intelligenza Artificiale venga impiegata per attività di identificazione biometrica.
Anche la giurisprudenza della Corte di giustizia dell’Unione europea e della Corte europea dei diritti dell’uomo ha più volte ribadito che misure di sorveglianza generalizzata possono risultare incompatibili con i principi di necessità e proporzionalità quando coinvolgono indiscriminatamente persone non sospettate di alcun illecito.
È quindi plausibile che alcune disposizioni dello schema di decreto possano essere oggetto di ulteriori approfondimenti o modifiche prima di trovare una definitiva stabilizzazione nel quadro normativo europeo.
Innovazione sì, ma senza rinunciare ai diritti fondamentali
Il dibattito sul riconoscimento facciale e AI non riguarda soltanto l’introduzione di nuove tecnologie, ma il delicato equilibrio tra sicurezza, innovazione e tutela dei diritti fondamentali. L’AI Act europeo offre un quadro di riferimento basato sul rischio e sulla proporzionalità; spetterà ora al legislatore italiano tradurre questi principi in regole chiare, tecnicamente sostenibili e giuridicamente solide. Solo così sarà possibile sfruttare le potenzialità dell’Intelligenza Artificiale senza compromettere la fiducia dei cittadini e i valori su cui si fonda l’ordinamento europeo.
