Il riconoscimento facciale nell'AI Act, dal divieto alle eccezioni

Il riconoscimento facciale è stato tra i temi più controversi durante l'iter della legge europea sull'intelligenza artificiale, oggetto di scontro tra chi chiede il divieto della sorveglianza biometrica negli spazi pubblici e chi ritiene necessario mantenere margini di utilizzo per esigenze di sicurezza.

Il Parlamento europeo aveva sollecitato un divieto permanente del riconoscimento automatizzato delle persone negli spazi pubblici. Durante il negoziato sull'AI Act il tema è rimasto uno dei principali punti di scontro tra Parlamento, Commissione e Stati membri, fino al compromesso raggiunto nel testo definitivo del regolamento. L'AI Act, entrato in vigore il 2 agosto 2024 - ma le norme sull'identificazione biometrica sono divenute attuabili nel febbraio del 2025 - adotta un approccio basato sul livello di rischio dei sistemi di IA. Tra le pratiche considerate a rischio inaccettabile e quindi vietate rientra il riconoscimento facciale. In particolare, il regolamento vieta come regola generale l'identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico per finalità di contrasto alla criminalità. Il divieto però non è assoluto.

Gli Stati membri possono introdurre per legge delle eccezioni che ne consentano l'uso nei seguenti casi: attività di contrasto alla criminalità relative a 16 reati gravissimi specificati dalla norma Ue; ricerca mirata di vittime specifiche, sequestri di persona, tratta e sfruttamento sessuale di esseri umani, e persone scomparse; prevenzione di minacce alla vita o all'incolumità fisica delle persone o di attacchi terroristici.

L'uso eccezionale deve essere necessario e proporzionato e soggetto ad autorizzazione preventiva da parte di un'autorità giudiziaria o amministrativa indipendente, la cui decisione è vincolante. In caso di urgenza, l'autorizzazione può essere richiesta entro 24 ore. In caso di diniego dell'autorizzazione, tutti i dati e i risultati devono essere cancellati. L'uso dell'identificazione biometrica remota in tempo reale deve essere notificato all'autorità di vigilanza del mercato e all'autorità garante della protezione dei dati competenti.

Diversa è la disciplina dell'identificazione biometrica remota di soggetti indagati, cioè effettuata su materiale raccolto in precedenza. L'AI Act la classifica come sistema ad alto rischio quindi non la vieta, ma il suo uso richiede l'autorizzazione preventiva da parte di un'autorità giudiziaria o amministrativa, nonché la notifica all'autorità competente in materia di protezione dei dati e di vigilanza sul mercato. 

Riproduzione riservata © Copyright ANSA