Decreto riconoscimento facciale: cosa prevede e quando entra in vigore

• Il decreto riconoscimento facciale recepisce l’AI Act e disciplina l’uso della biometria da parte delle forze di polizia.
• L’identificazione in tempo reale è ammessa solo in casi eccezionali, con doppio controllo di pubblico ministero e giudice.
• Il provvedimento ha ricevuto l’approvazione definitiva del Consiglio dei ministri il 4 agosto 2026, ma non è ancora in vigore.

Immagina di partecipare a un corteo o di assistere a una partita allo stadio: da qualche settimana questa situazione è al centro di un acceso confronto politico e giuridico. Il governo ha infatti messo a punto le regole con cui la polizia potrà usare i sistemi di riconoscimento facciale basati sull’intelligenza artificiale. Il tema tocca diritti che riguardano ogni cittadino, dalla libertà di movimento alla protezione dei dati personali, e per questo la normativa è stata più volte rivista. Vediamo insieme come funziona il decreto e quali garanzie prevede per chi si muove negli spazi pubblici.

Che cos’è il decreto sul riconoscimento facciale

Il decreto legislativo approvato dal Consiglio dei ministri dà attuazione al Regolamento (UE) 2024/1689, il cosiddetto AI Act, la normativa europea che stabilisce regole armonizzate sull’intelligenza artificiale. Il testo nasce in forza della delega contenuta nell’articolo 24 della legge 23 settembre 2025, n. 132, pubblicata in Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed entrata in vigore il 10 ottobre 2025.

La delega assegna al governo dodici mesi di tempo, quindi fino al 10 ottobre 2026, per adottare uno o più decreti legislativi che adeguino l’ordinamento italiano al regolamento europeo. Il provvedimento riguarda in particolare l’uso dei sistemi di identificazione biometrica da parte delle forze dell’ordine, un ambito che l’AI Act considera a rischio elevato per i diritti fondamentali.

Il testo ha attraversato un percorso articolato:

• approvazione preliminare in Consiglio dei ministri il 10 giugno 2026;
• trasmissione alle commissioni parlamentari competenti per il parere, tra cui Affari costituzionali e Giustizia;
• confronto politico tra i partiti di maggioranza, con posizioni diverse tra Fratelli d’Italia e Forza Italia sul soggetto competente ad autorizzare l’uso della tecnologia;
• approvazione definitiva del Consiglio dei ministri il 4 agosto 2026, dopo un richiamo della Commissione europea sulla compatibilità con l’AI Act.

Scopri di più su AI Act: cosa cambierà dopo l’approvazione del Parlamento europeo

Vuoi una consulenza legale sull'argomento? Chiedi Gratis ad un Avvocato

• +3000 avvocati pronti ad ascoltarti
• Consulenza Legale Online - Telefonica, in webcam, scritta o semplice preventivo gratuito
• Anonimato e Riservatezza - La tua consulenza verrà letta solo dall'avvocato che accetterà di rispondere

Richiedi una Consulenza

Il divieto generale previsto dall’AI Act

Per capire la portata del decreto serve partire dalla regola europea. L’articolo 5 del Regolamento (UE) 2024/1689 vieta, come principio generale, l’uso di sistemi di identificazione biometrica remota “in tempo reale” negli spazi accessibili al pubblico per finalità di attività di contrasto alla criminalità.

Il divieto non è assoluto. L’AI Act ammette eccezioni tassative, quando l’uso è necessario e proporzionato, per:

• la ricerca mirata di vittime di sottrazione, tratta di esseri umani o sfruttamento sessuale, oppure di persone scomparse;
• la prevenzione di una minaccia specifica, grave e imminente per la vita o l’incolumità delle persone, o di un attentato terroristico;
• la localizzazione o l’identificazione di una persona sospettata di aver commesso un reato grave, secondo l’elenco previsto dal regolamento.

In questi casi l’uso deve comunque passare da un’autorizzazione preventiva di un’autorità giudiziaria o amministrativa indipendente, salvo i casi di urgenza motivata, in cui l’autorizzazione può essere richiesta entro 24 ore.

LEGGI ANCHE AI Act e studi legali: cosa cambia dal 2 agosto 2026

Quali sono le regole sull’identificazione in tempo reale

Il decreto italiano recepisce queste indicazioni e le declina in una procedura operativa. La disposizione dedicata all’identificazione in tempo reale consente alle forze di polizia di utilizzare il riconoscimento facciale in luoghi pubblici o aperti al pubblico solo per prevenire le minacce indicate dall’AI Act o per cercare persone scomparse, vittime di sequestro, tratta o sfruttamento sessuale.

L’impiego è ammesso soltanto per confermare l’identità di una persona già individuata, non per cercare un sospetto scandagliando archivi generici di immagini. Il confronto avviene con una banca dati costruita per quella specifica finalità, che deve essere cancellata alla scadenza dell’autorizzazione.

La procedura di autorizzazione prevede questi passaggi:

• il questore o il responsabile delle forze dell’ordine presenta una richiesta motivata al pubblico ministero;
• il PM autorizza modalità, tempi e durata dell’utilizzo del sistema;
• nei casi urgenti la polizia può avviare l’attività prima dell’autorizzazione, avvisando il PM anche solo oralmente e chiedendo conferma scritta entro 24 ore;
• il PM ha altre 24 ore per decidere: se l’autorizzazione non arriva, l’uso si interrompe e i dati raccolti vanno cancellati.

Su questo punto resta un profilo discusso nel dibattito giuridico: l’autorizzazione passa dal pubblico ministero, che nel processo penale rappresenta l’accusa, e non dal giudice per le indagini preliminari (gip), terzo rispetto alle parti. Nella versione preliminare del testo, l’autorizzazione era addirittura affidata al procuratore del capoluogo del distretto di Corte d’appello, sul modello delle intercettazioni preventive dei servizi segreti; il testo definitivo introduce invece, per alcune ipotesi, anche il vaglio del giudice.

Le regole sulla videosorveglianza già installata

Un secondo gruppo di disposizioni riguarda i sistemi di videosorveglianza già attivi in piazze, stadi, cortei o eventi con esigenze di ordine pubblico. Qui il decreto consente di dotare gli impianti esistenti di software di intelligenza artificiale capaci di attivare il riconoscimento facciale, ma solo dopo che sia stato commesso un reato.

La versione iniziale del testo prevedeva la possibilità di trattare automaticamente i dati biometrici di chiunque entrasse in questi luoghi. La versione approvata ad agosto, invece, ha ristretto questa possibilità: le telecamere possono registrare e conservare le immagini, ma il riconoscimento facciale può essere attivato soltanto in un momento successivo, per identificare persone già indiziate di un reato specifico.

Le garanzie previste in questo caso sono:

• nessuna elaborazione biometrica automatica e preventiva su chi partecipa a un evento;
• attivazione del riconoscimento facciale solo dopo un reato, e solo sulle immagini già raccolte;
• richiesta di autorizzazione a un magistrato entro 24 ore dall’avvio del trattamento;
• cancellazione automatica dei dati biometrici trascorsi sette giorni dalla raccolta.

Ti suggeriamo di leggere pure Telecamere di videosorveglianza: quando violano la privacy?

Niente archivi biometrici permanenti né scraping online

Uno dei punti più discussi nella fase di confronto politico riguardava il rischio di creare, nel tempo, un archivio permanente di volti raccolti dalla polizia. Il decreto esclude questa possibilità: le banche dati utilizzate per il confronto biometrico devono essere costruite per una finalità specifica e devono essere cancellate alla scadenza dell’autorizzazione che le ha rese possibili.

Il testo vieta inoltre di alimentare le banche dati con immagini raccolte tramite scraping indiscriminato dal web, o comunque acquisite in violazione della normativa sulla protezione dei dati personali. Le banche dati devono provenire da archivi già in uso alle forze dell’ordine, oppure da immagini acquisite legalmente.

Per lo sviluppo dei sistemi di intelligenza artificiale destinati a questo settore, il decreto ammette l’uso di dati sintetici oppure di dati reali anonimizzati o pseudonimizzati, con l’obiettivo di limitare l’impiego di dati personali identificativi anche nella fase di ricerca e sperimentazione.

Ti potrebbe interessare Posso filmare la polizia o i carabinieri durante un controllo?

Il ruolo del Garante privacy e la formazione delle forze dell’ordine

Il decreto rafforza il presidio del Garante per la protezione dei dati personali, che mantiene un ruolo di controllo sull’impiego di questi sistemi da parte della pubblica amministrazione. È inoltre prevista una formazione specifica per gli operatori delle forze dell’ordine chiamati a utilizzare le tecnologie di riconoscimento facciale, con l’obiettivo di garantire un impiego coerente con le procedure autorizzative descritte.

Quando entra in vigore il decreto

Il decreto ha ricevuto l’approvazione definitiva del Consiglio dei ministri il 4 agosto 2026. Il testo, però, non è ancora stato pubblicato in Gazzetta Ufficiale: prima di entrare in vigore deve completare l’iter di promulgazione e pubblicazione previsto per i decreti legislativi. Fino alla pubblicazione, il quadro normativo di riferimento resta quello ordinario dell’AI Act e delle norme già vigenti su videosorveglianza e trattamento dei dati biometrici.

LEGGI ANCHE Violazione della privacy: articolo 167, esempi, cosa si rischia per il reato, risarcimento

Decreto riconoscimento facciale – Domande frequenti

Riferimenti normativi

• Regolamento (UE) 2024/1689 (AI Act), in particolare l’articolo 5;
• legge 23 settembre 2025, n. 132, articolo 24;
• decreto legislativo di recepimento dell’AI Act in materia di riconoscimento facciale, approvato dal Consiglio dei ministri il 4 agosto 2026 (in attesa di pubblicazione in Gazzetta Ufficiale).

Vuoi una consulenza legale sull'argomento? Chiedi Gratis ad un Avvocato

• +3000 avvocati pronti ad ascoltarti
• Consulenza Legale Online - Telefonica, in webcam, scritta o semplice preventivo gratuito
• Anonimato e Riservatezza - La tua consulenza verrà letta solo dall'avvocato che accetterà di rispondere

Richiedi una Consulenza