Dopo Trento, il Garante ha avviato accertamenti sulla metropolitana di Roma e sulle telecamere “intelligenti” di Torino. Nel frattempo, la moratoria italiana sull’uso del riconoscimento facciale in luoghi pubblici è stata prorogata al 31 dicembre 2027 e l’AI Act ha fissato divieti direttamente applicabili, dallo scraping di immagini facciali all’identificazione biometrica remota in tempo reale. La mappa aggiornata di ciò che le città non possono fare.
Con la sanzione al Comune di Trento per i progetti di sorveglianza “intelligente” (provvedimento dell’11 gennaio 2024), il Garante ha inaugurato una linea di vigilanza destinata a consolidarsi. La videosorveglianza algoritmica negli spazi urbani è un cantiere aperto, e merita una mappa aggiornata delle regole, tenuto conto di un dato che a molti operatori risulta ancora sfuggito: la moratoria italiana non è scaduta alla fine del 2025.
Le istruttorie: Roma e Torino
Il 9 maggio 2024 l’Autorità comunicava di aver «inviato una richiesta di informazioni a Roma Capitale su un progetto di videosorveglianza nelle stazioni della metropolitana», precisando che «l’amministrazione ha 15 giorni per rispondere alla richiesta di informazioni del Garante privacy, fornendo, tra l’altro, una descrizione tecnica delle funzionalità di riconoscimento facciale, la finalità e la base giuridica di tale trattamento di dati biometrici e una copia della valutazione d’impatto sulla protezione dei dati».
Il 19 luglio 2024 era la volta di Torino: il Garante, «riprendendo precedenti interlocuzioni, ha inviato una richiesta di informazioni al Comune di Torino su un nuovo sistema di videosorveglianza che, secondo notizie di stampa, utilizzerebbe anche l’Intelligenza Artificiale», avendo ritenuto, «considerato il potenziale rischio che l’attivazione di tali sistemi di videosorveglianza ‘intelligenti’ potrebbe comportare per la vita privata di migliaia di cittadini», di chiedere al Comune ogni elemento utile, ivi comprese «le funzionalità avanzate di cui sarebbero dotate le telecamere […] e le finalità e la base giuridica del trattamento di dati personali».
Il trittico Trento-Roma-Torino disegna una linea di vigilanza ormai stabile: la sorveglianza urbana potenziata dall’IA è materia di accertamento sistematico, non episodico.
La moratoria italiana: prorogata al 31 dicembre 2027
Sul piano interno, l’architrave resta l’articolo 9 del D.L. 8 ottobre 2021, n. 139, convertito dalla L. 205/2021, per il quale «l’installazione e l’utilizzazione di impianti di videosorveglianza con sistemi di riconoscimento facciale operanti attraverso l’uso dei dati biometrici […] in luoghi pubblici o aperti al pubblico, da parte delle autorità pubbliche o di soggetti privati, sono sospese fino all’entrata in vigore di una disciplina legislativa della materia e comunque non oltre il 31 dicembre 2027».
Ecco il dato da fissare: il termine, originariamente al 2023 e poi portato al 31 dicembre 2025 dal D.L. 51/2023, è stato ulteriormente prorogato al 31 dicembre 2027 dal D.L. 31 dicembre 2025, n. 200, convertito, con modificazioni, dalla L. 27 febbraio 2026, n. 26 (art. 2, comma 6-quater). Restano ferme le eccezioni normativamente previste, tra cui i trattamenti effettuati dalle autorità competenti a fini di prevenzione e repressione dei reati alle condizioni di legge, previo parere favorevole del Garante.
I paletti europei: l’articolo 5 dell’AI Act
Alla moratoria interna si sovrappone, dal 2 febbraio 2025, il regime dei divieti dell’AI Act. Per ciò che attiene agli spazi urbani, quattro previsioni dell’articolo 5, paragrafo 1, meritano menzione: le lettere e), f), g) e h), relative, rispettivamente, allo scraping facciale, al riconoscimento delle emozioni, alla categorizzazione biometrica e all’identificazione biometrica remota “in tempo reale”.
Quanto allo scraping, la lettera e) vieta «l’immissione sul mercato, la messa in servizio per tale finalità specifica o l’uso di sistemi di IA che creano o ampliano le banche dati di riconoscimento facciale mediante scraping non mirato di immagini facciali da internet o da filmati di telecamere a circuito chiuso»: previsione che tocca direttamente il patrimonio informativo generato dalla videosorveglianza urbana.
Quanto all’identificazione biometrica remota, la lettera h) vieta «l’uso di sistemi di identificazione biometrica remota ‘in tempo reale’ in spazi accessibili al pubblico a fini di attività di contrasto, a meno che, e nella misura in cui, tale uso sia strettamente necessario per uno degli obiettivi seguenti»: la ricerca mirata di vittime di sottrazione, tratta o sfruttamento sessuale e di persone scomparse; la prevenzione di una minaccia “specifica, sostanziale e imminente” per la vita o l’incolumità fisica ovvero di un attacco terroristico; la localizzazione o identificazione di sospettati di gravi reati puniti con pena detentiva massima di almeno quattro anni. Anche nelle ipotesi eccezionali, l’uso è circondato da condizioni procedurali stringenti ed è ammesso «solo per confermare l’identità della persona specificamente interessata».
Il quadro d’insieme per gli enti locali
Come può facilmente comprendersi, il combinato disposto è severo: fino al 31 dicembre 2027 la moratoria interna sospende, in via generale, installazione e uso del riconoscimento facciale nei luoghi pubblici; l’AI Act vieta in radice talune pratiche e sottopone l’identificazione biometrica remota in tempo reale a un regime di eccezionalità che non contempla le ordinarie esigenze di sicurezza urbana; e il GDPR continua a esigere base giuridica, valutazione d’impatto e misure efficaci contro la reidentificazione, come la vicenda trentina ha dimostrato. Chi progetta oggi una c.d. città sicura fondata sull’analisi biometrica degli spazi pubblici sta, nella sostanza, progettando fuori dal perimetro della legalità vigente.
Conclusioni
La stagione delle sperimentazioni disinvolte è finita: tra moratoria prorogata, divieti europei direttamente applicabili e vigilanza sistematica del Garante, il riconoscimento facciale negli spazi pubblici italiani è, e resterà almeno fino al 2027, un’eccezione presidiata, non uno strumento ordinario di amministrazione.
Alla luce di quanto esposto, ci si domanda se il triennio che ci separa dalla scadenza della moratoria sarà impiegato dal Legislatore per costruire quella “disciplina legislativa della materia” che la norma attende dal 2021, definendo un bilanciamento trasparente tra sicurezza urbana e libertà fondamentali, anziché limitarsi a rinviare ancora la decisione, così da preservare gli spazi pubblici come luoghi di libertà e non di schedatura.