Le forze di polizia potranno procedere alla identificazione biometrica in tempo reale, nei casi previsti e con l’autorizzazione dell’autorità giudiziaria. Vietata la costituzione di banche dati biometriche mediante raccolta massiva e non mirata di informazioni dal web. Il provvedimento introduce inoltre nel Codice penale l’articolo 437-bis, che punisce l’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale ad alto rischio e la loro alterazione illecita, e rafforza la tutela civile del danneggiato attraverso l’accesso alla documentazione tecnica del sistema, la presunzione del nesso di causalità, un foro alternativo prossimo alla residenza del danneggiato e l’azione diretta nei confronti dell’assicurazione. Sono alcune delle novità contenute nel decreto legislativo 9 settembre 2026 n. 160, pubblicato sulla Gazzetta Ufficiale n. 214 del 15 settembre, che adegua l’ordinamento nazionale al regolamento europeo sull’intelligenza artificiale (2024/1689) in materia di attività di polizia e di responsabilità civile e penale.
Il decreto si compone di 22 articoli, suddivisi in tre Titoli. Il primo disciplina l’utilizzo dei sistemi di IA nelle attività di polizia, dalla ricerca e sperimentazione alla formazione del personale, fino all’identificazione biometrica remota e al riconoscimento facciale. Il secondo contiene le disposizioni penali e processuali sull’impiego illecito dell’IA e gli strumenti per il risarcimento dei danni causati dal suo utilizzo. Il terzo detta, infine, le disposizioni transitorie e finanziarie.
Il provvedimento, approvato in via definitiva dal Consiglio dei ministri il 4 agosto scorso, interviene direttamente anche sui codici penale e di procedura penale.
Sul versante penale, nel codice entra il nuovo articolo 437-bis, che punisce l’omessa adozione delle misure tecniche di sicurezza o di sorveglianza umana previste per i sistemi di IA ad alto rischio quando ne derivi un pericolo per la vita o l’incolumità pubblica o individuale. La pena è della reclusione da uno a cinque anni e sale da due a otto anni se il pericolo riguarda la sicurezza dello Stato. Per l’alterazione dei sistemi ad alto rischio la reclusione va invece da due a sei anni, fino a tre-dieci anni in caso di pericolo per la sicurezza dello Stato.
In materia di videosorveglianza, nei luoghi o in occasione di eventi caratterizzati da particolari esigenze di ordine e sicurezza pubblica, le immagini dei volti delle persone che vi accedono potranno essere associate ai corrispondenti dati anagrafici e, ove previsto, anche al posto assegnato, acquisiti attraverso la scansione elettronica dei titoli di accesso. In questa prima fase non vengono elaborati i dati biometrici. Il riconoscimento facciale potrà essere attivato soltanto a posteriori, dopo la commissione di un reato. I dati saranno conservati per sette giorni e poi cancellati automaticamente. I criteri per individuare i luoghi e gli eventi interessati saranno stabiliti con decreto del ministro dell’Interno, sentito il Garante per la privacy.
Novità anche nel codice di procedura penale, dove dopo l’articolo 359-bis viene inserito il nuovo articolo 359-ter, dedicato all’«identificazione e localizzazione mediante sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale». L’IA potrà essere utilizzata per confermare l’identità o ricercare e localizzare persone nei confronti delle quali vi siano sufficienti indizi per determinati delitti individuati dall’AI Act, puniti con una pena non inferiore nel massimo a quattro anni, nonché per la ricerca di latitanti nei casi previsti dalla nuova disposizione.
Il decreto estende inoltre la responsabilità degli enti prevista dal Dlgs 231/2001: il nuovo articolo 25-vicies prevede, per il delitto di cui all’articolo 437-bis, una sanzione da 600 a mille quote, oltre alle sanzioni interdittive previste dalla disciplina sulla responsabilità degli enti.
Sul fronte civile, invece, il legislatore introduce specifici strumenti processuali per le azioni risarcitorie relative ai danni provocati dall’utilizzo di sistemi di IA. Per il consumatore è previsto anche il foro della residenza o del domicilio del danneggiato.
Particolarmente incisive le regole sulla prova. Il danneggiato può ottenere l’esibizione, tra l’altro, dei registri, della documentazione sulla gestione dei rischi e delle informazioni sulla supervisione umana. Se la parte non ottempera all’ordine relativo a questa documentazione, il giudice, valutati gli altri elementi di prova, ritiene ammessi i fatti allegati dall’istante. E quando il danno deriva dalla violazione di uno degli obblighi dell’AI Act, il nesso causale tra violazione e danno si presume, salvo prova contraria.
La conformità del sistema all’AI Act, anche se certificata, non esclude di per sé la responsabilità. Il danneggiato dispone infine di un’azione diretta contro l’impresa di assicurazione che copre la responsabilità civile del convenuto, nei limiti del massimale assicurato.
