Il decreto sull'AI Act non riguarda solo le telecamere in piazza

Il governo italiano ha deciso di accelerare. Il decreto legislativo che recepisce l'AI Act europeo, il regolamento dell'Unione che disciplina l'uso dei sistemi di intelligenza artificiale, è arrivato mercoledì alla commissione Politiche europee del Senato con un ritmo che le opposizioni hanno definito un blitz. Pd e M5s hanno lasciato l'aula denunciando il rischio di una sorveglianza generalizzata, come racconta ANSA. Il punto del contendere è il riconoscimento facciale nei luoghi che il testo definisce sensibili, piazze, stadi, cortei, dove i dati biometrici di chi passa davanti a una telecamera potranno essere conservati per sette giorni. Se in quella settimana viene accertato un reato diventano materiale d'indagine, altrimenti vengono cancellati.

È una notizia che merita attenzione, ma non solo per il motivo per cui sta occupando le prime pagine.

Cosa prevede davvero il testo

Il decreto attua la legge delega 132 del 2025 e deve muoversi dentro i paletti del regolamento europeo 2024/1689, l'AI Act, entrato in vigore un anno fa e ancora in fase di applicazione pratica in tutti gli Stati membri. Sul riconoscimento facciale il testo distingue due casi. L'articolo 8 regola l'identificazione in tempo reale, riservata a minacce gravi come il terrorismo o la ricerca di persone scomparse, con un'autorizzazione del giudice che non può superare i quindici giorni, rinnovabili. Una clausola d'urgenza permette però alla polizia di attivare il sistema con un avviso orale al pubblico ministero, formalizzando la richiesta entro ventiquattro ore ed è proprio questa finestra a preoccupare chi teme un uso disinvolto della norma. L'articolo 10 riguarda invece il riconoscimento successivo a un reato già commesso, con la conservazione dei dati per sette giorni.

Il Garante per la protezione dei dati personali ha dato parere favorevole al decreto, ma con osservazioni pesanti. Ha scritto che il trattamento automatizzato e generalizzato dei dati biometrici di chi accede a un luogo pubblico o a un evento non è coerente con l'AI Act, che ammette il riconoscimento facciale ex post solo per ricerche mirate legate a un'indagine specifica, non per una raccolta preventiva indiscriminata. È una distinzione tecnica ma non secondaria, perché sposta il confine tra sorveglianza mirata e sorveglianza di massa.

Due letture della stessa norma

C'è una lettura ottimista di questa vicenda, ed è quella che il governo sta effettivamente proponendo. L'Italia sta recependo un regolamento europeo con tempi certi, una cornice chiara su cosa la polizia può e non può fare con l'intelligenza artificiale, un limite temporale esplicito alla conservazione dei dati e un'autorità indipendente, il Garante, che ha voce in capitolo prima che il testo diventi legge. Rispetto a un vuoto normativo, che è la condizione in cui l'Italia si è trovata finora su questi strumenti, avere una procedura scritta è un progresso, non un arretramento.

C'è poi una lettura critica, ed è quella delle opposizioni. Il decreto si allontana dal regolamento europeo in almeno due punti, secondo le ricostruzioni circolate nei lavori parlamentari, il primo sull'autorizzazione orale d'urgenza del pubblico ministero, il secondo sulla possibilità che sia il questore e non un'autorità giudiziaria a designare l'organo competente per il riconoscimento successivo. Sono margini di discrezionalità che in un sistema con controlli deboli possono trasformarsi in prassi. Il fatto che lo stesso Garante lo dica apertamente, in un parere che di norma è un documento tecnico più che politico, pesa più delle dichiarazioni dei singoli senatori.

Tra le due letture non scelgo la prima per fiducia nell'istituzione né la seconda per riflesso di cautela. Scelgo di guardare a cosa succede dopo l'approvazione, perché un decreto attuativo passa ancora dalle commissioni di Camera e Senato prima di tornare in Consiglio dei ministri, e i punti che il Garante ha segnalato sono esattamente il tipo di rilievo che in Italia porta a modifiche concrete nel testo finale. La lettura critica ha più basi fattuali oggi, ma la partita sulla sorveglianza non è chiusa.

La riga che nessuno sta leggendo

Dentro lo stesso parere del Garante c'è un passaggio che ha ricevuto pochissima attenzione rispetto al tema del riconoscimento facciale, ma che riguarda un pubblico molto più ampio di chi partecipa a un corteo. Come riporta Il Sole 24 Ore, il Garante propone di vietare che una valutazione capace di incidere sul rapporto di lavoro, penso alla progressione di carriera o all'assegnazione di un bonus, venga presa soltanto con strumenti di intelligenza artificiale, senza che una persona la confermi.

Non è ancora una norma. È una raccomandazione dentro un parere su un decreto che tratta principalmente di polizia e ordine pubblico, e potrebbe non entrare nel testo finale nella forma in cui è stata scritta oggi. Si può obiettare che sia prematuro costruirci sopra una riflessione, che un parere non vincolante non cambia nulla nella pratica delle aziende. È un'obiezione ragionevole. La risposta onesta è che ha ragione fino a un certo punto, il testo può ancora cambiare e probabilmente cambierà. Ma il principio che il Garante mette per iscritto non nasce dal nulla. Riflette una preoccupazione che negli ultimi anni è emersa in modo ricorrente, quella di strumenti di selezione del personale o di valutazione delle performance che filtrano candidati o assegnano punteggi senza che nessuno in azienda sappia spiegare perché un risultato è uscito in un modo piuttosto che in un altro.

Il Garante chiede di vietare che una valutazione capace di incidere sul rapporto di lavoro venga presa soltanto con strumenti di intelligenza artificiale, senza che una persona la confermi

Nei progetti che seguo con le piccole e medie imprese questa domanda torna con una frequenza che sorprende chi non lavora nel settore. Un'azienda vuole usare l'intelligenza artificiale per scremare i curriculum, per assegnare priorità ai colloqui, per misurare la produttività di un reparto. Lo strumento funziona, nel senso che produce un output plausibile in tempi rapidi. Il problema non è mai la qualità tecnica del modello, è chi in azienda si assume la responsabilità di quell'output quando incide sulla vita di una persona. Un algoritmo può suggerire, ordinare, evidenziare anomalie. Non dovrebbe mai essere l'unico firmatario di una decisione che riguarda uno stipendio o una carriera.

Cosa cambia per chi adotta l'intelligenza artificiale oggi

La lezione pratica di questa vicenda non riguarda tanto le telecamere quanto il metodo. Le imprese che introducono l'intelligenza artificiale nei processi che riguardano le persone, selezione, valutazione, promozione, non hanno bisogno di aspettare che il principio del controllo umano diventi obbligo di legge per applicarlo. Conviene scriverlo oggi nelle proprie procedure interne, prima che un'ispezione, un ricorso o semplicemente un dipendente insoddisfatto lo chieda in tribunale. La distanza tra un'azienda che adotta l'intelligenza artificiale con metodo e una che la subisce si misura proprio su dettagli come questo, non sulla scelta dello strumento ma su chi resta responsabile della decisione finale. Il decreto sul riconoscimento facciale continuerà a fare notizia per la sorveglianza. La parte che vale la pena portarsi a casa oggi, per chi lavora in un'impresa, è un'altra.