Vi spiego tutti i rischi del trattamento preventivo dei dati biometrici. Parla l’avv. Mele

Mentre la maggioranza lima il testo in senso garantista e il governo replica alle opposizioni rivendicando il rispetto dell’AI Act, rimane una domanda di fondo che il dibattito politico tende a non affrontare appieno: che segnale manda l’Italia agli alleati, e ai regimi autoritari, costruendo un’infrastruttura biometrica proprio mentre l’Occidente critica i modelli di sorveglianza su cui quei regimi si fondano? Domanda che assume ancora più rilevanza, considerando che le garanzie procedurali introdotte dalla Camera non toccano il cuore del problema, ovvero la filiera tecnologica, le dipendenze da fornitori extra Ue e la resilienza dell’intero sistema. Formiche.net ne ha discusso con Stefano Mele, avvocato e partner di Gianni & Origoni, presidente della Commissione Sicurezza Cibernetica del Comitato Atlantico Italiano, e tra i massimi esperti italiani di cybersecurity e sicurezza nazionale.

Cosa prevede questo decreto e perché è diventato in pochi giorni un caso politico?

Per comprendere il dibattito politico che si è recentemente acceso sullo schema di decreto legislativo A.G. 418, occorre focalizzarsi su tre diverse attività in esso disciplinate. In particolare, l’articolo 8 consente l’identificazione biometrica remota in tempo reale per prevenire minacce gravi e imminenti, contrastare il terrorismo e ricercare persone scomparse o vittime di determinati reati. L’articolo 13 introduce questa possibilità anche nelle indagini preliminari, normalmente previa autorizzazione del Gip. L’articolo 10, infine, disciplina l’utilizzo dei sistemi di videosorveglianza dotati della tecnologia di riconoscimento facciale a posteriori, integrata dall’intelligenza artificiale, per il contrasto dei reati.

Quale di questi tre articoli ha maggiore rilevanza per quel che concerne il dibattito politico?

Il caso politico trae origine principalmente dal comma 3 dell’articolo 10, ove, nell’attuale bozza di decreto, viene previsto che nei luoghi o negli eventi ove sussistano anche solo generiche esigenze di ordine e sicurezza pubblica, è permesso per le attività di contrasto dei reati l’utilizzo di sistemi di videosorveglianza dotati della tecnologia di riconoscimento facciale a posteriori, integrata dall’IA L’attuale testo normativo, in particolare, autorizza la registrazione, conservazione ed estrazione per sette giorni dei dati biometrici delle immagini del volto di tutte le persone che hanno acceduto ai predetti luoghi o eventi, eventualmente associandoli anche ai dati ricavati dal titolo di accesso. Il successivo trattamento automatizzato finalizzato al confronto biometrico è consentito, tuttavia, soltanto in relazione alla commissione di un fatto di reato. In seguito a tale commissione, le forze di polizia potrebbero procedere al trattamento dei dati biometrici estratti dalle immagini del volto delle persone da identificare, in quanto indiziate di aver commesso il reato, allo scopo di operarne il confronto biometrico a posteriori.

Il punto controverso è dunque il mezzo attraverso cui si potrebbe giungere all’identificazione di un sospettato?

Non solo quello, ma anche il rischio di poter creare preventivamente un archivio biometrico composto anche da persone estranee a qualunque illecito. Il Garante per la Protezione dei Dati Personali, pur esprimendo un parere complessivamente favorevole, ha giudicato questa architettura non coerente con l’articolo 26, paragrafo 10, dell’AI Act, che legittima l’uso del riconoscimento facciale a posteriori esclusivamente per ricerche mirate ex post di persone sospettate o condannate per aver commesso un reato. Pertanto, secondo il Garante, l’elaborazione dei dati biometrici non dovrebbe avvenire automaticamente e indiscriminatamente al momento della ripresa video da parte dei sistemi di videosorveglianza, ma solo sulle tracce registrate e in ragione di una specifica esigenza operativa. A questo rilievo sostanziale si è aggiunto anche lo scontro sul metodo parlamentare.

A cosa si riferisce?

In Commissione Politiche Ue del Senato PD e M5S hanno chiesto un rinvio e abbandonato i lavori dopo il diniego, mentre la maggioranza ha approvato un parere favorevole. Il 30 luglio, inoltre, il voto della Commissione Politiche Ue della Camera è stato invece rinviato, mentre le Commissioni Affari costituzionali e Giustizia hanno approvato, con i voti della maggioranza e il voto contrario delle opposizioni, pareri favorevoli accompagnati dalla richiesta di rafforzare alcune garanzie. Tra queste figurano l’autorizzazione del giudice per il riconoscimento biometrico in tempo reale, una più incisiva sorveglianza umana, una migliore definizione delle banche dati utilizzabili e l’esclusione di un’autonoma valenza probatoria dei risultati prodotti dai sistemi di intelligenza artificiale. Si tratta, tuttavia, di osservazioni rivolte al Governo e non ancora di modifiche apportate al decreto. Da qui la persistente polarizzazione tra accuse di “Stato di polizia” e rivendicazioni delle esigenze operative delle forze dell’ordine.

Il provvedimento nasce come recepimento dell’AI Act, quindi dentro una cornice di garanzie europee. Ma ci sono scostamenti, come l’autorizzazione orale del Pm e la raccolta preventiva dei dati biometrici. Sono piccolezze o differenze radicali che impattano sulla sicurezza generale?

Più precisamente, il decreto non “recepisce” l’AI Act, che è un regolamento direttamente applicabile negli Stati membri, ma adegua la normativa nazionale alle sue disposizioni e attua le deleghe previste. Inoltre, le due questioni vanno distinte perché hanno un peso molto diverso. Nel testo non è prevista, propriamente, una “autorizzazione orale del Pm”. Nell’ipotesi urgente dell’articolo 8, l’attivazione viene disposta dalle autorità di polizia previa comunicazione al procuratore, che può essere anche orale. La richiesta formale di autorizzazione deve essere presentata entro ventiquattro ore e il procuratore deve decidere nelle ventiquattro ore successive. Nelle indagini penali disciplinate dall’articolo 13, invece, la regola è l’autorizzazione del Gip, mentre nei casi urgenti è possibile un avvio provvisorio disposto dal Pm o dalla polizia giudiziaria, seguito dalla convalida giudiziaria. Tuttavia, la procedura d’urgenza non rappresenta di per sé una rottura con l’AI Act. Lo stesso articolo 5 consente, in situazioni debitamente giustificate, di iniziare l’uso del sistema senza autorizzazione preventiva, purché questa venga richiesta entro ventiquattro ore e i dati siano cancellati se negata. Si può discutere, pertanto, se la disciplina italiana debba essere più rigorosa, ma non è questo il principale scostamento.

E qual è invece?

La richiesta formulata il 30 luglio dalle Commissioni Affari costituzionali e Giustizia della Camera di affidare al giudice l’autorizzazione per l’identificazione biometrica in tempo reale conferma, tuttavia, che il regime previsto dallo schema è stato considerato suscettibile di un rafforzamento. Anche in questo caso occorre distinguere il piano politico da quello normativo. Fino all’eventuale recepimento dell’osservazione nel testo definitivo, resta ferma l’architettura autorizzatoria contenuta nello schema originario. Il rafforzamento del controllo giudiziario sarebbe una garanzia significativa, ma non risolverebbe la diversa e più ampia questione della raccolta preventiva disciplinata dall’articolo 10. La differenza realmente strutturale, infatti, è la raccolta preventiva prevista dall’articolo 10. L’AI Act ammette il riconoscimento a posteriori per una ricerca mirata, collegata a uno specifico reato o a una persona determinata. Il testo normativo italiano, invece, aggiunge una “fase” precedente, ovvero l’estrazione automatica e indiscriminata dei dati biometrici di tutti gli ingressi, per renderli ricercabili qualora nei sette giorni successivi emerga un’esigenza investigativa. Siamo di fronte ad un cambiamento dell’architettura del trattamento dei dati personali degli interessati. E anche sul piano della sicurezza il salto è considerevole.  Un archivio temporaneo ma massivo aumenta il numero dei dati da proteggere, l’impatto di un accesso abusivo, la superficie di attacco e il rischio di utilizzi ulteriori. La cancellazione dopo sette giorni limita il rischio nel tempo, ma non elimina né le vulnerabilità durante la conservazione né la particolare irreversibilità del dato biometrico. Una password compromessa può essere sostituita, il dato biometrico del volto di una persona no. Non a caso il Garante per la Protezione dei Dati Personali ha formulato su questo punto una condizione precisa e non una semplice raccomandazione.

Allargando il quadro, come si colloca il modello italiano rispetto ad altri Paesi Ue? È tra i più permissivi o resta nel solco comune?

Non esiste ancora un modello uniforme nei ventisette Stati. L’AI Act stabilisce un livello comune di divieti e garanzie, ma lascia a ciascun Paese la scelta se autorizzare le eccezioni previste per l’identificazione biometrica in tempo reale e consente l’adozione di norme nazionali più restrittive. Il confronto, quindi, deve riguardare non soltanto le finalità ammesse, ma anche durata, autorità competente, gestione dei dati, fornitori e controlli. La parte italiana relativa alla ricerca mirata in tempo reale resta sostanzialmente dentro il perimetro europeo. L’elemento che colloca il testo verso il lato più permissivo, come detto in precedenza, è soprattutto l’articolo 10, con il trattamento preventivo dei dati biometrici di tutti gli ingressi e con una definizione molto ampia dei luoghi interessati. Il confronto con Francia e Germania è indicativo. La sperimentazione francese delle telecamere algoritmiche per le Olimpiadi consentiva l’analisi automatizzata di eventi e comportamenti, ma vietava espressamente il riconoscimento facciale, il trattamento biometrico e l’interconnessione automatica con altre banche dati. Le autorizzazioni erano inoltre circoscritte nel tempo e nello spazio.

E la Germania?

La Germania si sta muovendo anch’essa verso l’attivazione delle eccezioni europee. Il testo approvato nel luglio 2026 dalla Commissione Interni del Bundestag per la polizia federale prevede però autorizzazione giudiziaria, durata massima di settantadue ore rinnovabile, doppia verifica umana dei risultati, registrazione dei falsi positivi, trattamento esclusivamente interno alla polizia, divieto di archiviazione presso terzi, indicazione al giudice del produttore e del prodotto impiegato ed eventuale fornitura da parte di un soggetto dell’Unione o dello spazio Schengen. Prevede inoltre una valutazione scientifica dell’efficacia e dell’impatto sui diritti. Pertanto, non definirei l’Italia “il Paese più permissivo”, anche perché il giudizio definitivo dovrà essere formulato sul testo che il Governo adotterà dopo i pareri parlamentari. Se fossero recepite l’autorizzazione del giudice, la sorveglianza umana rafforzata e le ulteriori garanzie sulle banche dati, il modello italiano si avvicinerebbe maggiormente agli ordinamenti europei più rigorosi. Resterebbe decisivo, tuttavia, il destino dell’articolo 10 della bozza di decreto. Infatti, se fosse mantenuta la raccolta preventiva dei dati biometrici di tutti gli ingressi, lo schema continuerebbe a collocarsi sul versante più “estensivo” degli spazi consentiti dall’AI Act.

Il confronto si è polarizzato tra “Stato di polizia” ed esigenze di ordine pubblico. Non andrebbe affrontato prima come questione di sicurezza nazionale, cioè di chi controlla i dati biometrici e con quali vulnerabilità?

Assolutamente, sì. La tutela dei diritti fondamentali è imprescindibile, ma non esaurisce l’alveo dei problemi da considerare. Un’infrastruttura biometrica delle forze dell’ordine è anche un’infrastruttura critica digitale e deve essere esaminata in termini di sicurezza nazionale. Il dato biometrico percorre una catena composta da telecamere e sensori, firmware, reti di trasmissione, motori di estrazione dei template, algoritmi di confronto, banche dati, console amministrative, credenziali, sistemi di aggiornamento e canali di manutenzione. La sicurezza effettiva corrisponde – come sempre – a quella dell’anello più debole. Un avversario potrebbe essere interessato non soltanto a sottrarre dati, ma anche a manipolare i risultati, produrre falsi negativi, inserire falsi positivi, compromettere le liste di confronto o rendere indisponibile il sistema durante un evento critico. Le domande decisive riguardano chi possiede le chiavi crittografiche, chi può aggiornare il software, quali siano i fornitori, dove siano conservati i backup e i log, chi certifichi la cancellazione e quali componenti dipendano da soggetti sottoposti alla giurisdizione di Paesi terzi. La sicurezza nazionale non è, quindi, un argomento alternativo alla protezione dei diritti. È un’ulteriore ragione per limitare la raccolta, ridurre il numero degli accessi e sottoporre l’intera catena tecnologica a controllo pubblico e indipendente.

Quali potrebbero essere modifiche da apportare al decreto, o quali misure aggiuntive potrebbero essere integrate allo stesso per garantire una maggiore efficienza?

Alcune delle modifiche necessarie sono confluite nei pareri approvati il 30 luglio dalle Commissioni Affari costituzionali e Giustizia della Camera. Mi riferisco all’autorizzazione del giudice per l’identificazione biometrica in tempo reale, alla sorveglianza umana rafforzata, alla definizione delle banche dati utilizzabili, ai requisiti di affidabilità e accuratezza, alle misure di sicurezza, ai tempi di cancellazione e alla precisazione che il risultato algoritmico non possa costituire da solo una prova. Sono correzioni rilevanti e condivisibili, ma saranno effettive soltanto se il Governo le tradurrà in disposizioni puntuali nel testo definitivo. Resta ancora aperta, però, la questione a mio avviso principale.

Quale sarebbe?

Quella che riguarda proprio l’articolo 10. Le telecamere possono conservare le normali registrazioni secondo le regole vigenti, ma l’estrazione dei template biometrici dovrebbe avvenire soltanto dopo un reato, su immagini pertinenti e per ricercare una persona specifica. Eliminare l’archivio preventivo non ridurrebbe necessariamente l’efficacia investigativa, mentre invece ridurrebbe il trattamento di dati non strettamente necessari ai fini investigativi, costi di protezione, falsi confronti e rischio di contenzioso. La seconda area di miglioramento è quella della sicurezza della filiera. Il decreto dovrebbe imporre una valutazione preventiva sul sistema e sui fornitori, comprendente titolarità e controllo societario, sviluppo del software, firmware, componenti, assistenza, localizzazione dei dati e giurisdizioni coinvolte. Dovrebbero essere obbligatori l’inventario dei componenti software, la gestione documentata delle vulnerabilità, i tempi massimi per le patch, così come il divieto di accesso remoto non autorizzato, il completo controllo statale delle chiavi crittografiche, la previsione di test indipendenti, fino alla capacità di sostituire il fornitore senza perdere dati o operatività.

Ha suggerimenti sul piano tecnico?

Sul piano tecnico servono banche dati separate per ciascun impiego, non incrementali, cifrate e automaticamente cancellate al termine dell’autorizzazione. Ogni accesso dovrebbe richiedere il doppio controllo, essere registrato in log immodificabili ed essere sottoposto a verifiche periodiche. I risultati dovrebbero essere confermati da due operatori formati e corroborati anche da altri elementi prima di qualsiasi intervento sulla persona. Infine, l’efficienza dovrebbe essere misurata e non presunta. Suggerirei una fase sperimentale, una clausola di revisione e una relazione annuale al Parlamento con numero di attivazioni, persone ricercate, corrispondenze corrette, falsi positivi, contributo effettivo alle indagini, costi, incidenti di sicurezza e reclami. Un sistema invasivo che non produce risultati verificabili non è soltanto sproporzionato, ma è soprattutto inefficiente.

Sul piano del posizionamento internazionale, che segnale manda l’Italia costruendo capacità di sorveglianza di massa proprio mentre critica i modelli autoritari che su quelle capacità si fondano?

Il problema non può essere risolto sostenendo che ogni tecnologia di riconoscimento facciale sia, in quanto tale, autoritaria. Anche una democrazia può avere esigenze legittime di contrasto al terrorismo, ricerca di persone scomparse e individuazione di responsabili di reati gravi. La differenza tra un sistema democratico e uno autoritario risiede nelle finalità, nella selettività, nella durata, nel controllo giudiziario, nella trasparenza, nell’esistenza di autorità indipendenti e nella possibilità di contestare gli abusi. Lo schema di decreto, peraltro, vieta l’identificazione generalizzata. Tuttavia, l’attuale testo autorizza la preventiva trasformazione in dati biometrici dei volti di tutti coloro che accedono a determinati luoghi. Anche se il confronto identificativo avviene soltanto dopo un reato, la fase di raccolta assume una struttura simile a quella dei sistemi di sorveglianza ad ampia scala (che, però, è un concetto molto diverso da quello di sorveglianza di massa).

Che rischi ci sono sul piano internazionale?

Sul piano internazionale il rischio è duplice. Verso le democrazie alleate, l’Italia può apparire intenzionata a utilizzare al massimo le eccezioni dell’AI Act senza accompagnarle con un analogo livello di controllo sulla filiera e sulla resilienza. Verso i regimi autoritari, offre l’argomento secondo cui anche le democrazie costruiscono le stesse infrastrutture e differiscono soltanto nella narrazione giuridica. Inoltre, se la tecnologia dipendesse da fornitori sottoposti all’influenza di Paesi terzi, la contraddizione diventerebbe anche strategica e non soltanto reputazionale. Tale segnale, però, può essere ancora corretto e migliorato, trasformando il decreto in un modello di capacità selettiva e verificabile, fondandolo sulla raccolta di dati biometrici soltanto in presenza di un obiettivo determinato, sull’autorizzazione giudiziaria effettiva, su una filiera controllata, su audit indipendenti, sulla rendicontazione pubblica aggregata, sulla valutazione dell’efficacia e su clausole di cessazione. Il confronto politico di questi giorni e la richiesta parlamentare di nuove garanzie dimostrano che i meccanismi di controllo propri di una democrazia stanno operando. Il segnale internazionale dipenderà, tuttavia, dalla capacità del Governo di tradurre questi controlli in limiti normativi effettivi, verificabili e non affidati soltanto alla normativa secondaria. Il tratto distintivo di una democrazia moderna, infatti, non è quello di rinunciare a qualsiasi tecnologia di sicurezza in nome dei diritti, ma di impedire che una capacità “eccezionale” come quella resa oggi disponibile dall’intelligenza artificiale diventi non solo ordinaria, ma soprattutto invisibile e irreversibile.