Garante privacy: parere sullo schema di decreto IA per la polizia

Il 14 luglio 2026 il Garante per la protezione dei dati personali ha reso il parere n. 531 sui Titoli I e III dello schema di decreto legislativo che adegua l'ordinamento italiano al Reg. (UE) 2024/1689 (AI Act) per l'uso dell'IA nell'attività di polizia. Il giudizio è di coerenza complessiva con il regolamento, ma con integrazioni richieste. Se fornisci sistemi o software con componenti di IA a pubbliche amministrazioni, o partecipi a progetti di ricerca con le Forze di polizia, i rilievi ti riguardano da vicino.

Il parere è consultabile sul sito del Garante. Lo ha chiesto la Presidenza del Consiglio, Dipartimento per gli affari giuridici e legislativi. Lo schema esercita la delega dell'art. 24, commi 2, lett. h), e 5, lett. a) ed e), della legge 23 settembre 2025, n. 132.

si tratta di uno schema di decreto e di un parere, non di una norma in vigore. Il testo finale può cambiare. Il parere citato non dice quando il decreto sarà adottato.

Cosa prevede lo schema

Il Titolo I disciplina l'uso di sistemi di IA da parte di organi, uffici e comandi delle Forze di polizia. L'art. 3 prevede una funzione solo strumentale e di supporto e una "revisione umana qualificata" dei risultati prima del loro impiego in atti che incidono sugli interessati. L'art. 6 fissa i risultati formativi minimi per il personale, richiamando l'art. 14, par. 4, del Reg. (UE) 2024/1689.

Gli artt. 8 e 9 regolano l'identificazione biometrica remota in tempo reale. Servono richiesta motivata e autorizzazione del Procuratore della Repubblica, per un periodo non superiore a quindici giorni, prorogabili. I log non modificabili si conservano cinque anni. Il Garante va notificato dell'utilizzo.

L'art. 13 introduce l'art. 359-ter c.p.p. per le indagini preliminari. Qui serve l'autorizzazione del g.i.p. In urgenza la richiesta va al pubblico ministero entro dodici ore e il giudice convalida nelle quarantotto ore successive.

L'art. 21 prevede una norma transitoria. I sistemi già oggetto di contratti, sviluppo, sperimentazione o uso alla data di entrata in vigore del decreto devono essere resi compatibili entro un anno.

I rilievi del Garante

Sorveglianza umana. All'art. 3, c. 4, "revisione umana qualificata" andrebbe sostituita con "sorveglianza umana", che comprende tecniche ulteriori alla mera revisione (art. 14, par. 4, lett. d), Reg. (UE) 2024/1689). Serve a coordinare meglio il testo con la fonte europea.

Dati nelle sperimentazioni. L'art. 4, c. 2, vieta la condivisione di dati operativi sensibili. Per il Garante il divieto va esteso al semplice utilizzo. Si potrebbero invece usare dati sintetici, previa valutazione della loro rappresentatività, oppure dati reali con masking o pseudonimizzazione e garanzie adeguate.

Ruoli privacy. Gli artt. 4 e 10 (c. 13) regolano la proprietà intellettuale ma non la titolarità e la responsabilità dei trattamenti (artt. 24 e 28 GDPR). Il Garante chiede di chiarire anche il ruolo di gestori, promotori e organizzatori che, ai sensi dell'art. 10, installano e mantengono i sistemi.

Spazi di sperimentazione. All'art. 5 il Garante chiede di essere associato al funzionamento dello spazio di sperimentazione quando ci sono dati personali (art. 57, par. 10, Reg. (UE) 2024/1689). Propone inoltre di attribuirgli il compito di istituire spazi di sperimentazione nei suoi ambiti di vigilanza (art. 74, par. 8, e art. 57, parr. 1 e 4).

Banca dati di riferimento. Agli artt. 8, c. 3, e 359-ter, c. 3, servono requisiti di qualità dei dati per ridurre gli errori. Va indicato se l'archivio è creato ad hoc per ogni caso autorizzato, con cancellazione a fine esigenza o autorizzazione, oppure stabile ma alimentato solo con dati pertinenti. In entrambi i casi servono requisiti minimi su sicurezza e cancellazione. Serve anche la garanzia di non incrementalità: ogni autorizzazione ha il suo set di confronto, che non cresce sulle precedenti.

Cancellazione dei dati acquisiti illegittimamente. L'art. 8, c. 8, ammette di conservare elementi acquisiti "sotto altra base giuridica". Il Garante teme che la formula generica svuoti le tutele del d.lgs. 18 maggio 2018, n. 51. Chiede di tipizzare i requisiti, altrimenti i dati vanno cancellati.

Valutazioni d'impatto e riconoscimento facciale. L'art. 9 richiama solo la valutazione dell'art. 27 del regolamento IA. Va integrato con gli artt. 23 e 24 del d.lgs. n. 51/2018, come già fa l'art. 10. Sempre all'art. 10, c. 3, il Garante giudica non coerente con l'art. 26, par. 10, del regolamento IA il trattamento automatizzato dei dati biometrici di tutte le persone che accedono a luoghi o eventi.

Cosa significa per te

• Se fornisci IA a enti pubblici, tieni la documentazione in ordine sulla supervisione umana. Il termine di riferimento è "sorveglianza", non solo "revisione".
• Nei progetti di ricerca con Forze di polizia, prepara l'uso di dati sintetici o pseudonimizzati. Non contare su dati operativi sensibili.
• Metti per iscritto i ruoli privacy (titolare, responsabile) nei contratti di collaborazione, installazione e manutenzione. Il Garante li considera una lacuna.
• Se hai sistemi già in sviluppo o in uso, l'art. 21 dello schema prevede un anno per l'adeguamento. Pianifica già ora il censimento.
• Segui il testo finale prima di toccare manuali o specifiche. Cosa dovranno contenere i decreti ministeriali (requisiti tecnici, misure di sicurezza) è ancora da definire.

il parere interviene sui Titoli I e III. Altri titoli dello schema non sono trattati nella parte di fonte che abbiamo consultato.

Se la tua macchina o il tuo software include funzioni di IA, il manuale deve descrivere in modo chiaro supervisione umana, limiti e dati usati: Clausify serve a verificare che sia così.