Dal 30 settembre l’Italia avrà nuove regole per affrontare alcune delle conseguenze più delicate dell’intelligenza artificiale. Entra infatti in vigore il decreto legislativo 160/2026, che interviene sull’uso dell’IA da parte delle forze di polizia, sul riconoscimento facciale, sui reati legati ai sistemi ad alto rischio e sul risarcimento dei danni.
La novità non riguarda soltanto le aziende tecnologiche. Le disposizioni coinvolgono investigatori, magistrati, avvocati, imprese e cittadini. Per la prima volta viene costruito un collegamento diretto fra gli obblighi dell’AI Act europeo e gli strumenti dei processi penali e civili italiani.
Quando la polizia potrà usare il riconoscimento facciale
Le forze dell’ordine potranno utilizzare sistemi di identificazione biometrica in tempo reale per cercare persone sospettate di determinati reati gravi, localizzare latitanti e rintracciare vittime di sequestro, tratta o sfruttamento sessuale.
Nell’ambito delle indagini, il pubblico ministero deve normalmente chiedere l’autorizzazione al giudice per le indagini preliminari. Il giudice deve indicare la persona ricercata, la zona nella quale può essere impiegato il sistema e la durata dell’operazione, che non può superare quindici giorni salvo proroghe motivate.
In situazioni urgenti il sistema può essere attivato prima dell’autorizzazione definitiva, ma il decreto stabilisce termini molto brevi per sottoporre la decisione al pubblico ministero e al giudice. Se le procedure non vengono rispettate, i risultati non possono essere utilizzati e i dati devono essere cancellati.
Il riconoscimento biometrico potrà essere impiegato anche per prevenire specifiche minacce o ricercare persone scomparse. Non è però consentito confrontare indiscriminatamente i volti di chiunque passi in una strada o in una piazza. La banca dati deve essere costruita per la singola operazione e contenere soltanto i dati pertinenti alle persone ricercate.
Il decreto vieta inoltre gli archivi biometrici creati raccogliendo in maniera indiscriminata fotografie da internet e dai social network.
Il riconoscimento sulle immagini già registrate
Regole specifiche riguardano le telecamere di videosorveglianza integrate con l’intelligenza artificiale. Dopo la commissione di un reato, le immagini potranno essere analizzate per ricercare il volto di una determinata persona.
In luoghi ed eventi caratterizzati da particolari esigenze di sicurezza potranno essere memorizzate localmente, per un massimo di sette giorni, le immagini dei volti e le informazioni associate ai titoli di ingresso. Soltanto dopo un reato potrà essere attivato il confronto biometrico.
Il decreto precisa che nessuna decisione negativa può essere fondata esclusivamente sul risultato fornito dal sistema e vieta l’identificazione generalizzata o indiscriminata. Gli accessi e le operazioni effettuate dovranno inoltre essere registrati in file non modificabili, conservati per cinque anni.
La sicurezza dell’IA diventa anche un obbligo penale
Il nuovo articolo 437-bis del codice penale punisce chi omette le misure di sicurezza o la sorveglianza umana previste per i sistemi di intelligenza artificiale ad alto rischio, quando da questa omissione derivi un pericolo per la vita o l’incolumità delle persone.
La pena va da uno a cinque anni di reclusione e può arrivare a otto anni quando è messa in pericolo la sicurezza dello Stato. È punito anche chi altera illecitamente un sistema ad alto rischio provocando un pericolo concreto.
La responsabilità può coinvolgere anche l’utilizzatore professionale che omette intenzionalmente la supervisione umana. Il principio è chiaro: non è possibile attribuire ogni errore alla macchina. Il diritto cerca la persona o l’organizzazione che avrebbe dovuto controllarla e intervenire.
Le imprese possono rispondere anche ai sensi del decreto legislativo 231. Oltre alle sanzioni economiche sono possibili misure interdittive. Per chi utilizza sistemi ad alto rischio diventa quindi essenziale stabilire chi li controlla, come vengono documentate le operazioni e in quali casi devono essere bloccati.
Chi subisce un danno potrà ottenere le prove
Uno degli ostacoli principali per chi subisce una decisione algoritmica sbagliata è dimostrare cosa sia accaduto all’interno del sistema. Il decreto cerca di ridurre questa disparità.
Il danneggiato che presenta elementi capaci di rendere verosimile la propria domanda può chiedere al giudice di ordinare l’esibizione dei registri del sistema, della documentazione tecnica, delle valutazioni dei rischi e delle informazioni sulla supervisione umana.
Se la parte non consegna ingiustificatamente la documentazione, il giudice può trarne conseguenze sfavorevoli e, in determinati casi, considerare ammessi i fatti sostenuti dal danneggiato. Il provvedimento tutela comunque i segreti commerciali e limita l’accesso alle informazioni necessarie per il giudizio.
La violazione dell’AI Act può ribaltare l’onere della prova
La novità più forte riguarda il rapporto fra violazione e danno. Quando vengono violati gli obblighi previsti dall’AI Act, il collegamento causale tra quella violazione e il danno viene presunto fino a prova contraria.
Questo non significa che ogni errore dell’intelligenza artificiale darà automaticamente diritto a un risarcimento. Il cittadino dovrà indicare il danno e l’obbligo violato. Sarà però il produttore o l’utilizzatore del sistema a dover dimostrare che quella violazione non ha provocato il pregiudizio.
Neppure un certificato di conformità mette automaticamente al riparo dalla responsabilità. Un sistema può rispettare formalmente le procedure previste e causare ugualmente un danno che deve essere valutato dal giudice.
Il danneggiato potrà inoltre rivolgersi direttamente alla compagnia che assicura il responsabile, entro i limiti della copertura. Chi viene interpellato dovrà comunicare entro trenta giorni se possiede una polizza e indicarne gli estremi.
Le regole ci sono, ora bisogna renderle concrete
Il decreto segna un passaggio importante, ma la disciplina non è ancora completa. Alcuni aspetti tecnici del riconoscimento biometrico dovranno essere definiti con successivi decreti ministeriali. I sistemi di polizia già in uso o in sperimentazione avranno un anno per adeguarsi, mentre altre regole seguiranno il calendario dell’AI Act.
La direzione, però, è ormai definita. L’intelligenza artificiale non è considerata un soggetto autonomo al quale attribuire errori e responsabilità. Dietro ogni sistema il diritto continua a cercare chi lo ha progettato, immesso sul mercato, utilizzato o controllato.
La prova decisiva arriverà nell’applicazione quotidiana: bisognerà evitare che il riconoscimento facciale diventi sorveglianza indiscriminata e che la complessità degli algoritmi impedisca ai cittadini di ottenere spiegazioni e risarcimenti.
