Intelligenza artificiale e polizia: riconoscimento facciale, privacy e nuove regole del decreto 160/2026

Telecamere capaci di riconoscere un volto, algoritmi che analizzano informazioni e sistemi di intelligenza artificiale utilizzati nelle attività di polizia. Non è più soltanto uno scenario tecnologico: il legislatore italiano ha definito regole specifiche per stabilire quando e come questi strumenti possono essere utilizzati.

Il decreto legislativo 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026, adegua la normativa nazionale al regolamento europeo sull'intelligenza artificiale e introduce una disciplina specifica per l'impiego dell'IA nelle attività di polizia.

La questione è delicata perché mette insieme due esigenze: utilizzare strumenti tecnologici più avanzati per la sicurezza e, contemporaneamente, proteggere privacy, libertà e diritti fondamentali.

Il principio che attraversa il provvedimento è chiaro: l'intelligenza artificiale può aiutare le Forze di polizia, ma non deve trasformarsi in un sistema incontrollato capace di prendere automaticamente decisioni sulle persone.

L'IA diventa uno strumento di supporto alla polizia

Il decreto stabilisce che ricerca, sperimentazione, sviluppo, addestramento e utilizzo dei sistemi di intelligenza artificiale nelle attività di polizia devono rispettare i diritti fondamentali e seguire un approccio proporzionato, antropocentrico e basato sul rischio.

Approccio antropocentrico significa, in parole semplici, mantenere la persona e il controllo umano al centro dell'utilizzo della tecnologia.

I sistemi di IA e i loro risultati devono essere utilizzati come strumenti di supporto alle attività delle Forze di polizia.

L'obiettivo è aumentare efficacia ed efficienza, senza trasferire automaticamente all'algoritmo il potere decisionale.

L'algoritmo segnala, ma deve esserci il controllo umano

Una delle garanzie più importanti riguarda la revisione umana qualificata.

Quando il risultato di un'elaborazione automatica viene utilizzato in atti o provvedimenti che incidono sulla sfera giuridica di una persona, il decreto prevede adeguate forme di controllo umano prima dell'impiego.

Non basta quindi che il computer produca un risultato.

Una persona qualificata deve poterlo verificare e la revisione deve essere documentata in modo da garantirne la tracciabilità.

Per i sistemi classificati come IA ad alto rischio, la sorveglianza umana deve inoltre essere effettiva e affidata a personale dotato delle competenze necessarie.

Un esempio pratico

Immaginiamo un software che analizza migliaia di immagini e segnala una possibile corrispondenza con una persona ricercata.

La segnalazione dell'algoritmo non dovrebbe essere interpretata come una sentenza digitale del tipo: “È sicuramente lui”.

Il sistema sta dicendo, più semplicemente: “Ho trovato una possibile corrispondenza”.

L'operatore deve quindi valutare il risultato nel quadro delle regole applicabili e degli altri elementi disponibili.

È una distinzione fondamentale, soprattutto quando un errore informatico potrebbe avere conseguenze importanti sulla vita di una persona.

Riconoscimento facciale in tempo reale: non è un via libera generale

Uno dei capitoli più delicati riguarda l'identificazione biometrica remota in tempo reale.

È la tecnologia che permette di confrontare dati biometrici mentre le persone si trovano in un luogo pubblico o aperto al pubblico.

Il decreto non autorizza un riconoscimento generalizzato e indiscriminato di chiunque passi davanti a una telecamera.

L'utilizzo previsto dall'articolo 8 deve essere mirato verso persone specificamente individuate o individuabili in relazione alla minaccia da prevenire o alla ricerca da effettuare.

Tra le finalità previste rientra anche la ricerca di persone scomparse e di specifiche vittime di sequestro di persona, tratta di esseri umani o sfruttamento sessuale.

Le banche dati devono essere costruite per la singola operazione

Anche la banca dati utilizzata per effettuare il confronto biometrico è sottoposta a regole.

Il decreto prevede che il set di confronto sia predisposto appositamente per ciascun utilizzo e contenga soltanto i dati biometrici pertinenti alla specifica finalità.

Alla scadenza dell'autorizzazione quei dati devono essere cancellati.

Questo serve anche a impedire che ogni operazione contribuisca progressivamente alla creazione di un unico gigantesco archivio biometrico.

Vietato rastrellare indiscriminatamente volti da Internet

Il decreto contiene inoltre un divieto particolarmente significativo.

Non possono essere utilizzate banche dati biometriche alimentate, interamente o parzialmente, mediante scraping non mirato.

Lo scraping non mirato è la raccolta automatizzata e indiscriminata, su larga scala, di immagini facciali provenienti da Internet o da filmati di telecamere, allo scopo di creare o ampliare archivi per il riconoscimento facciale.

Per capire la differenza, immaginiamo due situazioni.

Nel primo caso viene predisposto, per un'operazione autorizzata, un insieme specifico di dati necessari a ricercare determinate persone.

Nel secondo caso un sistema raccoglie indiscriminatamente milioni di fotografie disponibili online per costruire un enorme archivio di volti.

Il decreto vieta questa seconda modalità per le banche dati biometriche disciplinate dalla norma.

Chi autorizza il riconoscimento biometrico per finalità preventive

Per l'utilizzo previsto dall'articolo 8 entra in gioco l'autorità giudiziaria.

La richiesta può provenire dal questore, dal comandante provinciale dell'Arma dei carabinieri o della Guardia di finanza e dagli altri responsabili individuati dalla norma.

La richiesta viene presentata al procuratore della Repubblica presso il tribunale del capoluogo del distretto nel quale sono emerse le esigenze di prevenzione o ricerca.

Devono essere specificati, tra l'altro, finalità, durata prevista, territorio interessato, persone ricercate, banche dati utilizzate e tecnologie impiegate.

Quanto può durare l'autorizzazione

L'autorizzazione deve riguardare uno specifico evento oppure durare soltanto per il tempo strettamente necessario.

In ogni caso non può superare 15 giorni.

Il procuratore della Repubblica può concedere proroghe motivate per successivi periodi di 15 giorni quando continuano a sussistere le condizioni richieste.

Non si tratta quindi di un'autorizzazione generica e permanente: deve essere delimitata nel tempo, nel territorio e rispetto alle persone interessate.

Cosa succede nelle emergenze

Il decreto prevede una procedura specifica quando aspettare potrebbe provocare un pregiudizio grave e irreparabile.

In questi casi il sistema può essere avviato secondo la procedura d'urgenza prevista dalla norma, previa comunicazione al procuratore della Repubblica.

La richiesta di autorizzazione deve essere trasmessa senza ritardo e comunque entro 24 ore dall'inizio delle operazioni.

Il procuratore deve pronunciarsi nelle successive 24 ore.

Se condizioni e termini non vengono rispettati oppure manca l'autorizzazione, l'utilizzo deve essere interrotto.

I dati personali, i risultati e gli output prodotti devono essere cancellati, ferme le eccezioni previste dalla legge, e i risultati ottenuti in violazione delle disposizioni non possono essere utilizzati.

Nelle indagini penali interviene il giudice

Il decreto introduce inoltre nel codice di procedura penale il nuovo articolo 359-ter.

Qui il riconoscimento biometrico remoto in tempo reale può essere autorizzato, alle condizioni previste, per identificare o localizzare persone indiziate di determinati delitti.

La norma riguarda anche la ricerca di latitanti nelle ipotesi indicate e la ricerca mirata, nell'ambito di un procedimento penale, di specifiche vittime.

In questo contesto il pubblico ministero chiede l'autorizzazione al giudice per le indagini preliminari (GIP).

Anche in questo caso l'area geografica, le persone ricercate e la durata devono essere delimitate.

Telecamere e riconoscimento facciale “a posteriori”

Il decreto distingue il riconoscimento biometrico in tempo reale dal riconoscimento facciale a posteriori.

Quest'ultimo avviene dopo che le immagini sono già state acquisite.

Quando la legge consente l'installazione di un sistema di videosorveglianza, questo può essere integrato con componenti di IA nel rispetto delle regole sulla protezione dei dati e del regolamento europeo sull'intelligenza artificiale.

Per una ricerca mirata di una persona indiziata della commissione di un reato, il pubblico ministero, su istanza degli ufficiali di polizia giudiziaria che hanno avviato il sistema, deve chiedere al GIP l'autorizzazione senza ritardo e comunque entro 48 ore dall'avvio.

Il giudice deve pronunciarsi nelle successive 48 ore.

Il decreto contempla inoltre una specifica ipotesi nella quale l'autorizzazione non è richiesta: quando il riconoscimento viene utilizzato esclusivamente dopo la commissione di un reato per la sola identificazione iniziale di una persona potenzialmente indiziata, sulla base di elementi oggettivi e verificabili direttamente collegati al fatto.

Privacy: prima dell'utilizzo bisogna valutare i rischi

L'impiego del riconoscimento biometrico in tempo reale richiede una valutazione d'impatto sui diritti fondamentali.

È prevista anche la valutazione d'impatto sulla protezione dei dati.

In sostanza, prima di utilizzare uno strumento particolarmente invasivo bisogna valutare preventivamente quali conseguenze potrebbe produrre sui diritti delle persone e sulla protezione dei loro dati.

Ogni operazione lascia una traccia per cinque anni

Il decreto introduce un altro elemento importante: la tracciabilità.

Ogni utilizzo dei sistemi di identificazione biometrica remota in tempo reale disciplinati dalla norma deve essere automaticamente registrato in appositi file di log non modificabili.

Un file di log è, semplificando, un registro informatico delle operazioni compiute dal sistema.

Questi registri devono essere conservati per cinque anni e sono accessibili alle autorità competenti per le finalità previste dalla legge, tra cui la verifica della liceità del trattamento e il controllo interno.

Dopo l'utilizzo è inoltre prevista una notifica al Garante per la protezione dei dati personali, secondo le condizioni stabilite dal decreto.

Anche gli algoritmi dovranno essere controllati

Non basta autorizzare l'utilizzo di un sistema.

Il decreto prevede che siano stabiliti requisiti tecnici minimi di affidabilità e accuratezza e modalità per monitorare periodicamente le prestazioni.

Particolare attenzione viene dedicata ai bias, cioè alle distorsioni che possono portare un algoritmo a commettere errori sistematici o produrre effetti discriminatori.

Devono essere previste anche misure di sicurezza contro accessi illeciti ai dati e meccanismi per la gestione degli errori.

Gli agenti dovranno essere formati sull'intelligenza artificiale

Una tecnologia complessa richiede persone capaci di comprenderla.

Le Forze di polizia devono quindi attivare specifici corsi sull'intelligenza artificiale applicata alle attività di polizia.

La formazione deve riguardare il funzionamento dei sistemi, le loro potenzialità, i limiti, i bias, gli errori, il riconoscimento biometrico e l'analisi predittiva.

Gli operatori devono inoltre imparare a interpretare criticamente gli output e conoscere le implicazioni giuridiche, etiche, di responsabilità, protezione dei dati e cybersicurezza.

Cosa cambia concretamente per i cittadini

Per un cittadino il cambiamento più importante non consiste semplicemente nel fatto che “la polizia può usare l'intelligenza artificiale”.

La vera novità è che vengono stabilite regole specifiche per il suo impiego in situazioni particolarmente delicate.

Ci sono procedure di autorizzazione, controllo umano, limiti temporali e territoriali, valutazioni preventive, registri informatici, regole sulle banche dati e conseguenze quando le procedure non vengono rispettate.

La tecnologia può quindi diventare uno strumento potente per le attività di polizia, ma il decreto cerca di accompagnare questa possibilità con garanzie giuridiche.

FAQ – Domande frequenti

La polizia può riconoscere automaticamente tutte le persone che camminano per strada?

No. Il decreto non introduce un'autorizzazione generale al riconoscimento indiscriminato della popolazione. L'identificazione biometrica remota in tempo reale disciplinata dalla norma è collegata a finalità e persone specifiche e sottoposta a condizioni e autorizzazioni.

La polizia può cercare una persona scomparsa utilizzando il riconoscimento biometrico?

Sì, nelle condizioni previste dal decreto. L'articolo 8 contempla espressamente la ricerca di persone scomparse e di specifiche vittime di sequestro, tratta o sfruttamento sessuale.

Quanto può durare un'autorizzazione?

Per l'utilizzo preventivo disciplinato dall'articolo 8, il tempo deve essere strettamente necessario e comunque non superiore a 15 giorni. Sono possibili proroghe motivate per successivi periodi di 15 giorni se continuano a esistere le condizioni richieste.

L'intelligenza artificiale può prendere da sola una decisione che riguarda un cittadino?

Il decreto prevede adeguate forme di revisione umana qualificata prima dell'utilizzo dei risultati automatici in atti e provvedimenti che incidono sulla sfera giuridica degli interessati. Inoltre, determinate attività biometriche non possono costituire l'unico fondamento di decisioni che producono effetti giuridici sulle persone.

Si possono prendere milioni di fotografie da Internet e inserirle in un archivio facciale?

Il decreto vieta l'utilizzo delle banche dati biometriche alimentate, anche parzialmente, attraverso tecniche di scraping non mirato.

Cosa succede se manca l'autorizzazione richiesta?

Nei casi disciplinati dalla norma, l'utilizzo viene interrotto e i dati, i risultati e gli output vengono cancellati secondo quanto previsto dal decreto. I risultati ottenuti fuori dai casi consentiti non possono essere utilizzati.

Chi controlla la privacy?

Il decreto attribuisce un ruolo anche al Garante per la protezione dei dati personali e prevede valutazioni preventive e notifiche sull'utilizzo dei sistemi biometrici.

Gli agenti saranno formati prima di utilizzare questi strumenti?

Il decreto prevede corsi specifici sull'intelligenza artificiale, compresi limiti, errori, bias, interpretazione degli output, privacy, responsabilità e cybersicurezza.

Paragone semplice per capire la norma

Immaginiamo che la polizia debba cercare una persona specifica all'interno di una grande stazione.

Senza tecnologia, gli operatori dovrebbero osservare manualmente un'enorme quantità di immagini.

Un sistema di intelligenza artificiale può comportarsi come un assistente velocissimo che controlla le immagini e dice: “Questa persona potrebbe corrispondere a quella che stiamo cercando”.

Ma l'assistente digitale non deve trasformarsi automaticamente nel decisore.

La legge stabilisce quando può essere utilizzato, quale archivio può consultare, per quanto tempo, con quali autorizzazioni e quali controlli devono accompagnarlo.

È questa la chiave per comprendere il decreto: più capacità tecnologica per le attività di polizia, ma dentro un sistema di regole, controlli e responsabilità.