| Settore: | Normativa nazionale |
| Materia: | 81. Pubblica sicurezza |
| Capitolo: | 81.1 disciplina generale |
| Data: | 09/09/2026 |
| Numero: | 160 |
| Sommario |
| Art. 1. Oggetto e finalità |
| Art. 2. Definizioni |
| Art. 3. Ricerca, sperimentazione, sviluppo, addestramento, convalida e utilizzo di sistemi e modelli di intelligenza artificiale per le attività di polizia |
| Art. 4. Collaborazione nell'ambito della ricerca e sperimentazione scientifica finalizzata alla realizzazione di sistemi e modelli di intelligenza artificiale per l'attività di polizia |
| Art. 5. Sviluppo, realizzazione e prova di determinati sistemi di IA per finalità di polizia negli spazi di sperimentazione normativa |
| Art. 6. Formazione del personale di polizia |
| Art. 7. Etichettatura, filtraggio e categorizzazione di dati biometrici nell'attività di polizia |
| Art. 8. Sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale per finalità di prevenzione, nonchè di ricerca delle persone scomparse e delle vittime di specifici [...] |
| Art. 9. Valutazione d'impatto sui diritti fondamentali, conservazione delle registrazioni e notifica dell'utilizzo dei sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo [...] |
| Art. 10. Disposizioni in materia di sistemi di videosorveglianza dotati della tecnologia di riconoscimento facciale a posteriori, integrata dall'intelligenza artificiale, per il contrasto dei reati |
| Art. 11. Definizioni |
| Art. 12. Modifiche al codice penale |
| Art. 13. Modifiche al codice di procedura penale |
| Art. 14. Modifica alle norme di attuazione, di coordinamento e transitorie del codice di procedura penale |
| Art. 15. Modifiche al decreto legislativo 8 giugno 2001, n. 231 |
| Art. 16. Ambito di applicazione e foro del consumatore |
| Art. 17. Accesso alle prove |
| Art. 18. Presunzione del nesso di causalità |
| Art. 19. Rilevanza della conformità al regolamento (UE) 2024/1689 |
| Art. 20. Azione diretta nei confronti dell'impresa di assicurazione |
| Art. 21. Disposizioni transitorie sull'utilizzo dei sistemi di intelligenza artificiale per l'attività di polizia |
| Art. 22. Clausola di invarianza finanziaria |
§ 81.1.130 - D.Lgs. 9 settembre 2026, n. 160.
Adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull'intelligenza artificiale, in materia di utilizzo dei sistemi di intelligenza artificiale per l'attività di polizia e di responsabilità civile e penale.
(G.U. 15 settembre 2026, n. 214)
IL PRESIDENTE DELLA REPUBBLICA
Visti gli articoli 76 e 87, quinto comma, della Costituzione;
Vista la
Vista la
Vista la
Visto il
Visto il
Vista la
Vista la
Visto il
Visto il
Visto il
Vista la
Vista la legge 1° aprile 1981, n. 121, recante «Nuovo ordinamento dell'Amministrazione della pubblica sicurezza»;
Visto il
Visto il
Visto il
Visto il
Visto il
Visto il
Visto il
Visto il
Visto il
Visto il
Vista la preliminare deliberazione del Consiglio dei ministri, adottata nella riunione del 10 giugno 2026;
Acquisito il parere del Garante per la protezione dei dati personali;
Acquisito il parere della Conferenza unificata di cui all'articolo 8 del decreto legislativo 28 agosto 1997, n. 281, espresso nella seduta del 20 luglio 2026;
Acquisiti i pareri delle competenti Commissioni parlamentari della Camera dei deputati e del Senato della Repubblica;
Vista la deliberazione del Consiglio dei ministri, adottata nella riunione del 4 agosto 2026;
Sulla proposta del Presidente del Consiglio dei ministri e dei Ministri per gli affari europei, il PNRR e le politiche di coesione, dell'interno e della giustizia, di concerto con i Ministri degli affari esteri e della cooperazione internazionale, della difesa e dell'economia e delle finanze;
Emana
il seguente decreto legislativo:
Titolo I
UTILIZZO DEI SISTEMI DI INTELLIGENZA ARTIFICIALE PER L'ATTIVITÀ DI POLIZIA
Capo I
Disposizioni generali
Art. 1. Oggetto e finalità
1. Il presente titolo reca disposizioni in materia di utilizzo di sistemi di intelligenza artificiale da parte degli organi, uffici e comandi delle Forze di Polizia, in relazione alle specifiche funzioni esercitate, coerentemente con le norme e i principi del
2. Le disposizioni del presente titolo si applicano nel rispetto dei diritti fondamentali e delle libertà garantite dalla Costituzione, dalla Carta dei diritti fondamentali dell'Unione europea e dalla Convenzione per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali, nonchè dei principi di proporzionalità, di non discriminazione, di sorveglianza umana e di trasparenza di cui all'articolo 3 della
3. Il presente titolo non comporta nuovi obblighi rispetto a quelli previsti dal
Art. 2. Definizioni
1. Ai fini del presente titolo, si intende per:
a) «regolamento IA»: il
b) «legge IA»: la
c) «sistema di IA»: un sistema di intelligenza artificiale definito dall'articolo 3, punto 1), del
d) «pratiche vietate»: le pratiche di IA vietate a norma dell'articolo 5 del
e) «sistema di IA ad alto rischio»: un sistema di IA classificato ad alto rischio, conformemente all'articolo 6 del
f) «categorie particolari di dati personali»: le categorie di dati di cui all'articolo 3, punto 37), del
g) «dati relativi a condanne penali e reati»: i dati personali di cui all'articolo 10 del
h) «dati operativi sensibili»: i dati relativi ad attività di prevenzione, accertamento, indagine o perseguimento di reati, indicati dall'articolo 3, punto 38), del
i) «output»: previsioni, contenuti, raccomandazioni o decisioni generate da un sistema di IA ai sensi dell'articolo 3, punto 1), del
l) «scraping non mirato»: l'estrazione e la raccolta automatizzata e indiscriminata, su larga scala, mediante l'utilizzo di un sistema di intelligenza artificiale, di immagini facciali dalla rete internet o da filmati di telecamere a circuito chiuso, allo scopo di creare o ampliare banche dati di riconoscimento facciale;
m) «Autorità nazionali per l'intelligenza artificiale»: l'Agenzia per l'Italia digitale (AgID) e l'Agenzia per la cybersicurezza nazionale (ACN), ai sensi dell'articolo 20, comma 1, della
n) «Garante»: il Garante per la protezione dei dati personali, istituito dal codice in materia di protezione dei dati personali, di cui al
o) «Forze di polizia»: le Forze di polizia di cui all'articolo 16 della
p) «attività di polizia»: le attività di contrasto definite dall'articolo 3, punto 46), del
q) «finalità di polizia»: i fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro le minacce alla sicurezza pubblica e la prevenzione delle stesse, richiamati nei punti 45) e 46) dell'articolo 3 del
2. Per quanto non espressamente previsto dal presente decreto, si applicano le definizioni di cui all'articolo 2 della
Capo II
Disposizioni in materia di ricerca, sviluppo, addestramento, formazione, sperimentazione e utilizzo dei sistemi di intelligenza artificiale nelle attività di polizia
Art. 3. Ricerca, sperimentazione, sviluppo, addestramento, convalida e utilizzo di sistemi e modelli di intelligenza artificiale per le attività di polizia
1. La ricerca, la sperimentazione, lo sviluppo, l'addestramento, l'adozione, l'applicazione, la convalida e l'utilizzo di sistemi e modelli di intelligenza artificiale per le attività e le finalità delle Forze di polizia avvengono nel rispetto dei diritti fondamentali e delle libertà previste dalla Costituzione, del diritto dell'Unione europea e dei principi di cui all'articolo 3 della legge IA, secondo un approccio antropocentrico, proporzionato e fondato sul rischio, che tenga conto della classificazione dei sistemi di IA e delle diverse categorie di interessati.
2. Le attività di ricerca, sperimentazione, sviluppo e addestramento sono orientate al perseguimento della funzionalità e dell'affidabilità operativa dei sistemi e dei modelli di IA destinati a essere utilizzati dalle Forze di polizia, nella prospettiva di migliorare l'apporto tecnologico dell'intelligenza artificiale alle valutazioni e alle decisioni umane nella relativa attività.
3. Le Forze di polizia, in conformità con l'assetto istituzionale vigente e nell'ambito delle proprie competenze, utilizzano i sistemi e i modelli di intelligenza artificiale e i relativi output in funzione strumentale e di supporto alle relative attività di polizia, allo scopo di incrementarne l'efficacia e l'efficienza.
4. L'utilizzo dei sistemi e dei modelli di IA nell'attività di polizia, conformemente agli obblighi stabiliti dal regolamento IA e fermo restando quanto previsto dal comma 5 in ordine alla sorveglianza umana sui sistemi di IA ad alto rischio, deve prevedere adeguate forme di revisione umana qualificata dei risultati delle elaborazioni automatiche prima del loro impiego in atti e provvedimenti incidenti sulla sfera giuridica degli interessati, nel rispetto dell'autonomia e delle sfere di competenza dei procedimenti decisionali degli appartenenti alle Forze di polizia. La revisione è effettuata da personale individuato dalle procedure interne di ciascuna Forza di polizia ed è documentata in modo da assicurarne la tracciabilità.
5. Le Forze di Polizia assicurano che per i sistemi di IA ad alto rischio la sorveglianza umana sia effettiva e conforme a quanto previsto dall'articolo 14 del regolamento IA e che il personale preposto possieda le necessarie competenze e formazione al fine di prevenire e ridurre al minimo i rischi per la salute, la sicurezza e i diritti fondamentali.
6. Il trattamento di dati personali nelle attività di cui al comma 1, incluse le categorie particolari di dati personali, i dati operativi sensibili e i dati relativi a condanne penali e reati nella disponibilità delle Forze di polizia in forza di norme di legge o regolamentari ovvero di atti amministrativi generali, è svolto nel rispetto della normativa in materia di protezione dei dati personali, di cui al
7. Le attività di cui al presente articolo sono effettuate senza nuovi od ulteriori obblighi rispetto a quanto disposto dal regolamento IA, ferme restando le esclusioni previste dallo stesso regolamento.
Art. 4. Collaborazione nell'ambito della ricerca e sperimentazione scientifica finalizzata alla realizzazione di sistemi e modelli di intelligenza artificiale per l'attività di polizia
1. Le Forze di polizia, nell'ambito di specifici progetti di ricerca e sperimentazione scientifica volti alla realizzazione di sistemi di intelligenza artificiale o di dispositivi che utilizzano tecnologie di intelligenza artificiale per l'attività di polizia, possono attivare collaborazioni con università, enti di ricerca e soggetti pubblici e privati, anche per il tramite di società in house o di società a totale partecipazione pubblica controllate dallo Stato, nel rispetto della disciplina dell'Unione europea in materia di concorrenza e di aiuti di Stato.
2. Il trattamento di dati per le finalità di cui al comma 1 è svolto nel rispetto della normativa in materia di protezione dei dati personali, con la previsione di apposite clausole che escludano, in particolare, la condivisione di dati operativi sensibili e l'acquisizione o l'utilizzazione, anche indirette, da parte dei soggetti con i quali sono attivate le collaborazioni, di sistemi di IA e delle relative risorse hardware e software o di dispositivi integrati con componenti di IA che siano stati addestrati per l'attività di polizia, fatto salvo il ricorso a dati sintetici ovvero a dati reali sottoposti a tecniche di mascheramento o di pseudonimizzazione.
3. I rapporti di collaborazione di cui al comma 1 disciplinano espressamente la titolarità dei diritti di proprietà intellettuale, industriale e di sfruttamento economico dei risultati della ricerca, dei modelli derivati, dei dati di addestramento e del software, nel rispetto del codice della proprietà industriale di cui al
Art. 5. Sviluppo, realizzazione e prova di determinati sistemi di IA per finalità di polizia negli spazi di sperimentazione normativa
1. Il presente articolo costituisce base giuridica ai sensi dell'articolo 59, paragrafo 2, del regolamento IA, nonchè del
2. La partecipazione delle Forze di polizia agli spazi di sperimentazione di cui al comma 1 è finalizzata allo sviluppo, alla realizzazione e alla prova di sistemi di IA, in particolare ad alto rischio, destinati alle attività di polizia, nel rispetto della protezione dei dati personali e della tutela dei diritti e delle libertà fondamentali.
3. Negli spazi di cui al presente articolo, la sperimentazione avviene nel rispetto delle condizioni cumulativamente previste dall'articolo 59, paragrafo 1, del regolamento IA, prevede il coinvolgimento del Garante laddove la stessa comporti, per il suo funzionamento, il trattamento di dati personali, ed è oggetto di collaborazione e raccordo con le Autorità nazionali per l'intelligenza artificiale, fermo restando la tutela dei dati operativi sensibili e l'esclusiva titolarità e responsabilità del trattamento degli stessi da parte delle amministrazioni competenti.
4. Con regolamento adottato con decreto del Presidente del Consiglio dei ministri, ai sensi dell'articolo 17, comma 3, della
Art. 6. Formazione del personale di polizia
1. Le Forze di polizia provvedono ad attivare, presso i rispettivi istituti di formazione, specifici corsi in materia di intelligenza artificiale applicata alle attività di polizia, secondo modalità stabilite da ciascuna amministrazione nell'ambito delle risorse disponibili a legislazione vigente.
2. I corsi di cui al comma 1 assicurano, in attuazione dell'articolo 4 del regolamento IA, il conseguimento dei seguenti risultati formativi minimi:
a) comprensione dei principi di funzionamento e delle potenzialità dei sistemi di intelligenza artificiale, con particolare riferimento alle loro applicazioni nelle attività di polizia;
b) conoscenza dei limiti, dei bias e degli errori dei sistemi di intelligenza artificiale, con specifica attenzione al riconoscimento biometrico e all'analisi predittiva;
c) capacità di interpretazione critica degli output dei sistemi di intelligenza artificiale e consapevolezza del ruolo della sorveglianza umana qualificata;
d) consapevolezza delle implicazioni giuridiche, etiche e di responsabilità connesse all'utilizzo dei sistemi di intelligenza artificiale a fini di polizia, con specifico riferimento alla disciplina di cui al regolamento IA, al
e) consapevolezza dei rischi di cybersicurezza connessi all'utilizzo dei sistemi di intelligenza artificiale, anche con riferimento alle indicazioni dell'Agenzia per la cybersicurezza nazionale.
3. I risultati formativi di cui al comma 2, lettere b), c) ed e), sono assicurati nell'ambito degli specifici corsi concernenti i sistemi di IA ad alto rischio in uso nelle attività di polizia ovvero destinati a essere utilizzati nelle medesime attività.
Capo III
Sistemi di intelligenza artificiale utilizzati nelle attività di polizia per l'etichettatura, il filtraggio e la categorizzazione di dati biometrici, per l'identificazione biometrica remota in tempo reale per finalità di prevenzione o di protezione e per il riconoscimento facciale a posteriori a fini di contrasto dei reati
Art. 7. Etichettatura, filtraggio e categorizzazione di dati biometrici nell'attività di polizia
1. Nell'ambito delle attività di polizia, l'etichettatura, il filtraggio o la categorizzazione di set di dati biometrici acquisiti in conformità alla normativa vigente, ai sensi dell'articolo 5, paragrafo 1, lettera g), del regolamento IA, sono consentiti a condizione che:
a) non siano finalizzati a inferire o dedurre le caratteristiche di cui all'articolo 5, paragrafo 1, lettera g), del regolamento IA;
b) siano funzionali ad attività di comparazione o ricerca ovvero ad ulteriori attività, comunque effettuate conformemente alla normativa vigente ed esclusivamente per finalità di polizia;
c) non costituiscano l'unico fondamento di decisioni che producono effetti giuridici nei confronti di persone fisiche;
d) il titolare del trattamento adotti misure idonee a prevenire il reimpiego dei dati e dei risultati per finalità incompatibili con quelle per cui sono stati raccolti.
2. Il trattamento di dati personali nelle attività di cui al comma 1 tiene conto, ai fini dell'adempimento dei connessi obblighi previsti dal regolamento IA, della classificazione dei sistemi di IA, avuto riguardo anche agli orientamenti della Commissione europea sull'attuazione pratica del regolamento IA, ai sensi degli articoli 6, paragrafo 5, e 96, dello stesso regolamento, ed è svolto nel rispetto di quanto previsto dal
Art. 8. Sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale per finalità di prevenzione, nonchè di ricerca delle persone scomparse e delle vittime di specifici reati
1. Fermo restando quanto previsto dall'articolo 359-ter del codice di procedura penale, introdotto dall'articolo 13 del presente decreto, l'utilizzo di sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale in luoghi pubblici o aperti al pubblico da parte degli organi, uffici e comandi delle Forze di polizia è ammesso per le finalità di prevenzione di cui all'articolo 5, paragrafo 1, primo comma, lettera h), punto ii), del regolamento IA. I sistemi di cui al primo periodo possono essere utilizzati, altresì, per la ricerca di una persona scomparsa o di persone specifiche, vittime dei reati di sequestro di persona, tratta di esseri umani o sfruttamento sessuale, ai sensi dell'articolo 5, paragrafo 1, primo comma, lettera h), punto i), del regolamento IA.
2. L'utilizzo dei sistemi di IA di cui al comma 1 è consentito esclusivamente per confermare l'identità delle persone di cui al medesimo comma 1 specificamente interessate ovvero per la ricerca mirata, anche in modo dinamico e compresa la localizzazione, di persone specificamente individuate o individuabili in relazione alla minaccia da prevenire o alla ricerca da eseguire.
3. Il confronto biometrico avviene esclusivamente con una banca dati di riferimento adeguata per ciascuna delle finalità di cui al comma 1, contenente i dati biometrici e le relative informazioni identificative, ove disponibili, riferiti alle persone, anche non identificate anagraficamente, di cui al comma 2. La banca dati di cui al primo periodo può essere derivata da dati contenuti in banche dati in uso alle Forze di polizia o tenute da altre pubbliche amministrazioni e accessibili alle predette Forze, ovvero da immagini, filmati o altri elementi biometrici acquisiti legalmente nell'ambito delle attività di polizia. Il contenuto della banca dati di cui al primo periodo è formato appositamente per ciascun utilizzo, con i soli dati biometrici pertinenti alla specifica finalità, che sono cancellati al termine della validità dell'autorizzazione, in modo da garantire che il set di confronto sia specifico per ciascuna autorizzazione e non sia suscettibile di alimentazione incrementale rispetto alle autorizzazioni pregresse. È in ogni caso vietato l'uso di banche dati biometriche alimentate, in tutto o in parte, mediante tecniche di scraping non mirato ovvero costituite in violazione delle disposizioni vigenti in materia di protezione dei dati personali.
4. L'utilizzo dei sistemi di IA di cui al comma 1 è subordinato a una richiesta del questore o del comandante provinciale dell'Arma dei carabinieri e della Guardia di finanza, ovvero dei responsabili dei Servizi centrali di cui all'articolo 12 del
5. L'autorizzazione deve essere concessa con riguardo a uno specifico evento o per il tempo strettamente necessario, in ogni caso non superiore a quindici giorni, prorogabili dal procuratore della Repubblica, con decreto motivato per periodi successivi di quindici giorni qualora permangano le condizioni di cui al comma 1, nonchè con riferimento ad una area territoriale delimitata e alla indicazione delle persone specificamente interessate e ricercate. La medesima autorizzazione può essere concessa, altresì, soltanto previa effettuazione delle valutazioni di cui all'articolo 5, paragrafo 2, del regolamento IA.
6. Nei casi d'urgenza, quando vi è fondato motivo di ritenere che dal ritardo possa derivare un pregiudizio grave e irreparabile per le finalità di cui al comma 1, l'utilizzo del sistema di IA può essere avviato, su disposizione del questore, dei comandanti o dei responsabili indicati al comma 4, dall'organo di polizia procedente, previa comunicazione, anche in forma orale, al procuratore della Repubblica, e a condizione che sia limitato a quanto strettamente necessario, in ogni caso con delimitazione dell'area interessata e indicazione delle persone ricercate.
7. Nei casi di cui al comma 6, la richiesta di autorizzazione è trasmessa al procuratore della Repubblica senza ritardo e in ogni caso entro ventiquattro ore dall'inizio delle operazioni. Il procuratore della Repubblica, ove ritenga sussistenti le condizioni di cui al medesimo comma 6, provvede nelle successive ventiquattro ore.
8. Se non sono osservate le condizioni e i termini previsti dai commi 4, 5, 6 e 7, ovvero in caso di mancata autorizzazione, l'uso del sistema di intelligenza artificiale oggetto dell'autorizzazione è immediatamente interrotto e tutti i dati personali, i risultati e gli output acquisiti e prodotti sono cancellati, fatti salvi gli elementi acquisiti legittimamente sotto altra base giuridica conforme al
9. Si applicano le disposizioni di cui all'articolo 226, comma 5, delle norme di attuazione, di coordinamento e transitorie del codice di procedura penale, di cui all'allegato al
Art. 9. Valutazione d'impatto sui diritti fondamentali, conservazione delle registrazioni e notifica dell'utilizzo dei sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale
1. In conformità all'articolo 5, paragrafo 2, del regolamento IA, per l'utilizzo dei sistemi di IA per l'identificazione biometrica remota in tempo reale per le finalità di cui all'articolo 8 del presente decreto o di cui all'articolo 359-ter del codice di procedura penale, introdotto dall'articolo 13 del presente decreto, il titolare del trattamento completa in via preventiva una valutazione di impatto sui diritti fondamentali secondo quanto previsto dall'articolo 27 dello stesso regolamento IA, ed effettua la valutazione d'impatto sulla protezione dei dati di cui agli articoli 23 e 24 del
2. Ogni utilizzo di sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale per le finalità di cui al comma 1 è registrato automaticamente in appositi file di log, non modificabili, comprendenti necessariamente i dati previsti dall'articolo 12, paragrafo 3, del regolamento IA. I file di log sono conservati per cinque anni dall'accesso e dall'operazione, e resi accessibili esclusivamente alle sole autorità competenti per finalità di verifica della liceità del trattamento, di controllo interno e nell'ambito di un procedimento penale.
3. Restano fermi i termini di conservazione dei dati personali previsti, per finalità di polizia, dall'articolo 10 del regolamento, di cui al
4. Dopo l'utilizzo dei sistemi di cui al comma 1, il titolare del trattamento effettua notifica al Garante, in conformità a quanto previsto dall'articolo 5, paragrafo 4, del regolamento IA. La notifica, effettuata previo nulla osta dell'autorità giudiziaria competente che può differirlo per un periodo non superiore a tre mesi, rinnovabile per una sola volta, in presenza di specifiche esigenze di segretezza, contiene le informazioni essenziali sull'autorizzazione rilasciata e sul risultato conseguito con l'utilizzo del sistema, e non include dati operativi sensibili. Nel caso di più attivazioni del sistema di IA per l'identificazione biometrica remota in tempo reale nello stesso contesto operativo ovvero di più utilizzi omogenei del predetto sistema, la notifica di cui al presente comma può essere effettuata in modo periodico e cumulativo, secondo i termini previsti dal decreto di cui al comma 5, ferma restando la necessità del nulla osta preventivo dell'autorità giudiziaria nei termini di cui al secondo periodo.
5. Con decreto del Ministro dell'interno, di concerto con il Ministro della giustizia, sentiti il Garante e le Autorità nazionali per l'intelligenza artificiale, coerentemente con le norme del regolamento IA, sono individuati, in relazione all'uso dei sistemi di IA per l'identificazione biometrica remota in tempo reale per le finalità di cui all'articolo 8 del presente decreto o di cui all'articolo 359-ter del codice di procedura penale, introdotto dall'articolo 13 del presente decreto:
a) i requisiti tecnici minimi di affidabilità e accuratezza dei sistemi di IA per l'identificazione biometrica remota in tempo reale;
b) le modalità di monitoraggio periodico delle prestazioni dei sistemi, con particolare riguardo alla rilevazione e alla mitigazione di eventuali bias o effetti discriminatori;
c) i requisiti tecnici minimi delle banche dati di riferimento impiegate per il confronto biometrico, anche con riferimento alle relative misure di sicurezza, ai tempi e alle modalità di cancellazione dei dati e alle garanzie di non incrementalità del set di confronto per ogni singolo utilizzo autorizzato;
d) le misure tecniche e organizzative necessarie a garantire un adeguato livello di sicurezza del trattamento;
e) le misure tecniche e organizzative necessarie a impedire accessi illeciti ai dati;
f) le informazioni che il titolare del trattamento è tenuto ad allegare alla richiesta di autorizzazione ai sensi dell'articolo 8 del presente decreto o dell'articolo 359-ter del codice di procedura penale, introdotto dall'articolo 13 del presente decreto, in ordine alle caratteristiche tecniche del sistema, ai risultati delle verifiche di accuratezza e ai meccanismi di gestione degli errori;
g) le modalità di esecuzione della notifica di cui al comma 4;
h) gli ulteriori adempimenti cui il titolare del trattamento è tenuto in conformità a quanto previsto dal regolamento IA.
Art. 10. Disposizioni in materia di sistemi di videosorveglianza dotati della tecnologia di riconoscimento facciale a posteriori, integrata dall'intelligenza artificiale, per il contrasto dei reati
1. In tutti i casi in cui specifiche disposizioni di legge consentono l'installazione di sistemi di videosorveglianza, tali sistemi possono essere integrati con componenti di intelligenza artificiale, nel rispetto della normativa in materia di protezione dei dati personali e del regolamento IA. Le componenti di intelligenza artificiale, destinate al riconoscimento facciale, non possono essere attivate se non nei casi, alle condizioni e con le modalità previste dai commi 2 e 3. L'attivazione è effettuata successivamente all'acquisizione delle immagini, con un intervallo di tempo tale da non configurare un'identificazione biometrica remota in tempo reale ai sensi del regolamento IA.
2. Per procedere al riconoscimento facciale a posteriori, mediante i sistemi integrati di cui al comma 1 di una persona oggetto di ricerca mirata in quanto indiziata della commissione di un reato, il pubblico ministero, su istanza degli ufficiali di polizia giudiziaria che hanno avviato i predetti sistemi, chiede al giudice per le indagini preliminari l'autorizzazione all'utilizzo dei medesimi sistemi senza ritardo e comunque entro quarantotto ore dal loro avvio. Il giudice, qualora ne ricorrano i presupposti, autorizza l'utilizzo con decreto motivato entro le successive quarantotto ore. Se non sono osservati i termini previsti dal primo periodo ovvero in caso di mancata autorizzazione, l'uso delle tecnologie di riconoscimento facciale collegato alla richiesta di autorizzazione è immediatamente interrotto e tutti i dati personali, i risultati e gli output acquisiti e prodotti sono cancellati, salvo che costituiscano corpo del reato.
3. In conformità all'articolo 26, paragrafo 10, primo comma, del regolamento IA, l'autorizzazione di cui al comma 2 non è richiesta quando le tecnologie di riconoscimento facciale di cui al comma 1 sono utilizzate esclusivamente dopo la commissione di un reato al solo fine dell'identificazione iniziale di una persona potenzialmente indiziata della commissione del reato, sulla base di elementi oggettivi e verificabili direttamente connessi al fatto di reato. Nei casi di cui al primo periodo, l'utilizzo delle tecnologie è effettuato sotto la diretta ed esclusiva responsabilità dell'ufficiale di pubblica sicurezza designato dal questore per la gestione dell'ordine e della sicurezza pubblica ovvero, fuori da tale ipotesi, dell'ufficiale di polizia giudiziaria di cui all'articolo 57, comma 1, lettere a) e b), del codice di procedura penale che procede in relazione al reato. Se non è osservato quanto previsto dal presente comma, i risultati ottenuti mediante le tecnologie di riconoscimento facciale di cui al comma 1 non possono essere utilizzati e tutti i dati personali, i risultati e gli output acquisiti o prodotti sono cancellati, salvo che costituiscano corpo del reato.
4. Sulla base dei criteri di cui al comma 12, lettera a), l'utilizzo dei sistemi di videosorveglianza previsti dal comma 1, nei casi ivi contemplati, comporta il trattamento automatizzato, delle immagini del volto delle persone che accedono a luoghi o a eventi per i quali sussistono particolari esigenze di ordine e sicurezza pubblica, senza elaborazione dei relativi dati biometrici. Le immagini sono memorizzate, a livello locale, nella base dati di riferimento di cui al comma 12, lettera b). Nella medesima base dati sono altresì memorizzati, senza ricorrere a tecnologie di riconoscimento biometrico, i corrispondenti dati anagrafici e, ove previsto un posto assegnato, il relativo identificativo, acquisiti mediante la scansione elettronica dei titoli di accesso. Successivamente alla commissione di un fatto di reato, l'attivazione delle tecnologie di riconoscimento facciale comporta l'elaborazione dei dati biometrici delle immagini presenti nella base dati locale di cui al primo periodo, cui sono associati i dati memorizzati ai sensi del secondo periodo, per l'effettuazione del confronto a posteriori con i dati biometrici estratti dalle immagini del volto della persona indiziata del reato.
5. Il titolare del trattamento dei dati personali effettuato con l'utilizzo dei sistemi integrati dalle componenti di IA e dalle tecnologie di cui al comma 1 è il Ministero dell'interno - Dipartimento della pubblica sicurezza.
6. Per i trattamenti di dati personali svolti con i sistemi integrati di cui al comma 1, il titolare del trattamento di cui al comma 5 effettua in via preventiva la valutazione d'impatto sulla protezione dei dati e consulta il Garante ai sensi degli articoli 23 e 24 del
7. I dati personali trattati con i sistemi integrati ai sensi del comma 1 sono conservati nella base di dati di riferimento individuata ai sensi del comma 12, lettera b), per sette giorni dalla raccolta e sono cancellati automaticamente decorso tale termine.
8. Gli accessi e le operazioni di trattamento sui sistemi di cui al presente articolo devono essere effettuati esclusivamente dalle persone autorizzate e registrati automaticamente in appositi file di log, non modificabili, conformemente a quanto previsto dall'articolo 12, paragrafo 3, del regolamento IA. I file di log sono conservati per cinque anni dall'accesso e dall'operazione, e resi accessibili per finalità di verifica della liceità del trattamento, di controllo interno e nell'ambito di un procedimento penale.
9. Restano fermi i termini di conservazione dei dati personali previsti, per finalità di polizia, dall'articolo 10 del regolamento di cui al
10. Nessuna decisione che produca effetti giuridici negativi sulla persona cui si riferiscono i dati oggetto del trattamento può essere basata unicamente sui risultati forniti dall'applicazione di riconoscimento facciale. Si osservano, altresì, le garanzie e i limiti di cui all'articolo 8 del
11. I sistemi di cui al comma 1 non possono essere in alcun caso utilizzati con l'attivazione delle tecnologie di riconoscimento facciale in modo non mirato, senza alcun collegamento con un reato o con un procedimento penale, ovvero a fini di controllo e di identificazione biometrica generalizzati o indiscriminati delle persone.
12. Con decreto del Ministro dell'interno, sentito il Garante, sono indicati:
a) i criteri per l'individuazione dei luoghi e degli eventi di cui al comma 4;
b) le modalità del trattamento automatizzato delle immagini del volto, senza elaborazione dei dati biometrici, delle persone che accedono ai luoghi o agli eventi di cui al comma 4, e della loro memorizzazione a livello locale, ai sensi del primo e del secondo periodo del comma anzidetto, in una base dati di riferimento, per l'elaborazione e il confronto, esclusivamente a posteriori rispetto alla commissione di un fatto di reato, dei dati biometrici;
c) le misure tecniche e organizzative necessarie a garantire un adeguato livello di sicurezza del trattamento;
d) gli adempimenti cui il titolare del trattamento è tenuto in conformità a quanto previsto dal regolamento IA.
13. All'installazione e alla manutenzione delle componenti di IA e delle tecnologie biometriche di cui al comma 1 possono provvedere, senza nuovi o maggiori oneri per la finanza pubblica, i gestori dei luoghi di cui al comma 4, gli organizzatori o promotori degli eventi di cui al medesimo comma, ovvero chi ha la disponibilità delle strutture ove tali eventi si svolgono, in accordo con i proprietari degli stessi luoghi o strutture, con particolare riferimento agli enti locali per le rispettive piattaforme di videosorveglianza, nonchè, fermo quanto previsto al comma 5, in relazione ai ruoli svolti nel trattamento dei dati personali, nel rispetto del
14. Dall'attuazione delle disposizioni di cui al presente articolo non devono derivare nuovi o maggiori oneri per la finanza pubblica.
Titolo II
DISPOSIZIONI PENALI, SOSTANZIALI E PROCESSUALI, IN MATERIA DI REALIZZAZIONE E IMPIEGO ILLECITI DEI SISTEMI DI INTELLIGENZA ARTIFICIALE E DISPOSIZIONI PROCESSUALI CIVILI IN MATERIA DI RISARCIMENTO DEI DANNI CAGIONATI DALL'UTILIZZO DEI MEDESIMI SISTEMI
Capo I
Disposizioni sanzionatorie e in materia di procedimento penale
Art. 11. Definizioni
1. Ai fini del presente titolo si applicano le definizioni di cui all'articolo 3 del
Art. 12. Modifiche al codice penale
1. Al codice penale, dopo l'articolo 437 è inserito il seguente:
«Art. 437 bis. (Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi). - Chiunque omette di adottare le misure tecniche di sicurezza, previste per la progettazione, l'addestramento, la produzione, l'immissione sul mercato di sistemi di intelligenza artificiale ad alto rischio, idonee a prevenire malfunzionamenti o alterazioni del funzionamento dei sistemi ovvero omette di adottare misure di sorveglianza umana è punito con la reclusione da uno a cinque anni, quando da tali omissioni derivi pericolo per la vita o l'incolumità pubblica o individuale. Qualora dal fatto derivi un pericolo per la sicurezza dello Stato, la pena è della reclusione da due a otto anni.
Salvo che il fatto costituisca più grave reato, chiunque, al di fuori dei casi indicati al primo comma, altera sistemi di intelligenza artificiale ad alto rischio è punito, qualora dal fatto derivi un pericolo per la vita o l'incolumità pubblica o individuale, con la reclusione da due a sei anni. Qualora dal fatto derivi un pericolo per la sicurezza dello Stato, la pena è della reclusione da tre a dieci anni.
Se taluno dei fatti previsti dal comma primo è commesso per colpa grave, la pena è ridotta da un terzo a un sesto.
L'utilizzatore professionale di sistemi di intelligenza artificiale ad alto rischio che omette intenzionalmente di adottare misure di sorveglianza umana è punito con le pene previste dal primo comma, primo e secondo periodo, qualora da tale omissione derivi, rispettivamente, pericolo per la vita o l'incolumità pubblica o individuale oppure un pericolo per la sicurezza dello Stato».
Art. 13. Modifiche al codice di procedura penale
1. Al codice di procedura penale, dopo l'articolo 359-bis è inserito il seguente:
«Art. 359 ter. (Identificazione e localizzazione mediante sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale) - 1. Quando occorre confermare l'identificazione di una persona nei confronti della quale vi sono sufficienti indizi della commissione di uno dei delitti di cui all'allegato II al
2. Quando occorre procedere alla ricerca di un latitante ai fini dell'esecuzione di un'ordinanza che dispone una misura cautelare coercitiva per uno dei delitti indicati al comma 1, ovvero di un ordine di esecuzione non sospeso che dispone la carcerazione per i medesimi delitti, può essere autorizzata la localizzazione della persona ricercata tramite identificazione biometrica remota in tempo reale con l'uso di sistemi di intelligenza artificiale, procedendo al confronto dei suoi dati biometrici con quelli di individui memorizzati in una banca dati di riferimento.
3. Nei casi di cui ai commi 1 e 2, il confronto biometrico avviene esclusivamente con una banca dati di riferimento adeguata per ciascuna delle finalità di cui ai medesimi commi, contenente i dati biometrici e le relative informazioni identificative, ove disponibili, riferiti alle persone, anche non identificate, di cui ai medesimi commi 1 e 2. La banca dati di cui al primo periodo può essere derivata da dati contenuti in banche dati in uso alla polizia giudiziaria o tenute da altre pubbliche amministrazioni e accessibili alla stessa o all'autorità giudiziaria, ovvero da immagini, filmati o altri elementi biometrici acquisiti legalmente nell'ambito delle indagini. Il contenuto della banca dati di cui al primo periodo è formato appositamente per ciascun utilizzo, con i soli dati biometrici pertinenti alla specifica finalità, che sono cancellati al termine della validità dell'autorizzazione, in modo da garantire che il set di confronto sia specifico per ciascuna autorizzazione e non sia suscettibile di alimentazione incrementale rispetto alle autorizzazioni pregresse. È in ogni caso vietato l'uso di banche dati biometriche alimentate, in tutto o in parte, mediante tecniche di scraping non mirato, ovvero costituite in violazione delle disposizioni vigenti in materia di protezione dei dati personali.
4. Con le stesse modalità di cui ai commi 1, 2 e 3 può essere autorizzata la ricerca mirata, nell'ambito di un procedimento penale, di specifiche vittime di sottrazione, tratta di esseri umani o sfruttamento sessuale di esseri umani.
5. Nei casi di cui ai commi da 1 a 4 il pubblico ministero richiede l'autorizzazione all'impiego del sistema di intelligenza artificiale per l'identificazione biometrica remota in tempo reale al giudice per le indagini preliminari.
6. Il giudice per le indagini preliminari autorizza l'impiego del sistema di intelligenza artificiale di cui al comma 5 con decreto motivato. Nel provvedimento di autorizzazione è delimitata l'area geografica di applicazione, sono indicate le persone specificamente ricercate ed è determinato il tempo strettamente necessario, che non può in ogni caso superare i quindici giorni, prorogabili dal giudice, con decreto motivato, su richiesta del pubblico ministero, per periodi successivi di quindici giorni, qualora permangano le condizioni. L'autorizzazione può essere concessa soltanto previa effettuazione delle valutazioni di cui all'articolo 5, paragrafo 2, del
7. Quando ricorrono ragioni di urgenza e vi è fondato motivo di ritenere che dal ritardo possa derivare pregiudizio grave e irreparabile per le finalità di cui ai commi da 1 a 4, il pubblico ministero, con provvedimento adottato nel rispetto delle indicazioni di cui al comma 6, secondo periodo, dispone l'utilizzo del sistema di intelligenza artificiale per l'identificazione biometrica remota in tempo reale con decreto motivato. Il decreto è comunicato immediatamente e comunque non oltre ventiquattro ore al giudice per le indagini preliminari, il quale, se ne ricorrono i presupposti, nelle successive quarantotto ore, convalida il provvedimento e autorizza la prosecuzione. Negli stessi casi di cui al primo periodo, se non sia possibile, per la situazione di urgenza, attendere il provvedimento del pubblico ministero, all'attivazione del sistema di identificazione biometrica remota in tempo reale provvedono gli ufficiali di polizia giudiziaria, i quali, senza ritardo e comunque entro le successive dodici ore, trasmettono la richiesta di autorizzazione al pubblico ministero, il quale, se ne ricorrono i presupposti, richiede al giudice la convalida entro ventiquattro ore dall'avvio del sistema. Il giudice, se ne ricorrono i presupposti, nelle successive quarantotto ore, convalida il provvedimento e autorizza la prosecuzione dell'attività, con le indicazioni di cui al comma 6.
8. I risultati forniti dai sistemi di intelligenza artificiale non possono essere utilizzati qualora gli stessi siano stati impiegati fuori dei casi consentiti dalla legge o qualora non siano state osservate le disposizioni previste dai commi 6 e 7. In questi casi, tutti i dati personali, i risultati e gli output acquisiti e prodotti sono cancellati, salvo che costituiscano corpo del reato.».
Art. 14. Modifica alle norme di attuazione, di coordinamento e transitorie del codice di procedura penale
1. All'articolo 104, comma 1, delle norme di attuazione, di coordinamento e transitorie del codice di procedura penale, di cui all'allegato al
Art. 15. Modifiche al
1. Al
«Art. 25 vicies. (Reati commessi con l'uso di sistemi di intelligenza artificiale). - 1. In relazione al delitto di cui all'articolo 437-bis del codice penale, si applica all'ente la sanzione pecuniaria da seicento a mille quote.
2. In relazione al delitto di cui all'articolo 612-quater del codice penale, si applica all'ente la sanzione pecuniaria da duecento a settecento quote.
3. Nei casi previsti dai commi 1 e 2 si applicano all'ente le sanzioni interdittive previste dall'articolo 9, comma 2, lettere b), c), d) ed e).».
Capo II
Strumenti processuali civili per il risarcimento dei danni cagionati dall'utilizzo di sistemi di intelligenza artificiale
Art. 16. Ambito di applicazione e foro del consumatore
1. Le disposizioni di cui all'articolo 17 si applicano alle azioni di risarcimento del danno, sia contrattuale sia extracontrattuale, cagionato nell'utilizzo di un sistema di intelligenza artificiale.
2. Le disposizioni di cui agli articoli 18 e 19 si applicano alle azioni di risarcimento del danno di cui al comma 1 quando il danno deriva dalla violazione di uno o più obblighi previsti dal
3. Restano ferme le disposizioni di cui all'articolo 82 del
4. Nelle azioni di cui ai commi 1 e 2, quando il danneggiato è una persona fisica che agisce per scopi estranei all'attività imprenditoriale, commerciale, artigianale o professionale eventualmente svolta, è altresì competente il giudice del luogo in cui il danneggiato ha la residenza o il domicilio.
Art. 17. Accesso alle prove
1. Nelle azioni di risarcimento del danno di cui all'articolo 16, comma 1, il giudice, su istanza della parte che allega di avere subito il danno, ordina all'altra parte o al terzo che ne dispone, l'esibizione degli elementi di prova specificamente pertinenti relativi al funzionamento del sistema di intelligenza artificiale, quando l'istante presenta fatti ed elementi idonei a rendere verosimile la fondatezza della domanda, anche con riferimento al collegamento tra il risultato prodotto dal sistema di intelligenza artificiale e il danno lamentato.
2. Tra gli elementi di prova di cui al comma 1 rientrano:
a) i registri di cui all'articolo 12 del
b) la documentazione relativa al sistema di gestione dei rischi di cui all'articolo 9 del
c) le informazioni pertinenti contenute nella documentazione tecnica di cui all'articolo 11 del
d) le informazioni relative ai parametri e alle modalità di supervisione umana di cui all'articolo 14 del
3. L'ordine di esibizione è limitato a quanto necessario e proporzionato rispetto alla domanda. Il giudice tiene conto degli interessi di tutte le parti, con particolare riguardo alla tutela dei segreti commerciali e delle informazioni riservate.
4. Quando l'esecuzione dell'ordine di cui al comma 1 comporta il rischio di divulgazione di segreti commerciali o di altre informazioni riservate, il giudice adotta le misure idonee a garantirne la tutela. Si applica l'articolo 121-ter del codice della proprietà industriale, di cui al
5. Se la parte, senza giustificato motivo, non adempie, anche parzialmente, all'ordine di esibizione, il giudice può desumere argomenti di prova ai sensi dell'articolo 116 del codice di procedura civile. Quando l'inadempimento riguarda la documentazione di cui al comma 2, il giudice, valutato ogni altro elemento di prova, ritiene come ammessi i fatti allegati dall'istante.
6. Se il terzo, senza giustificato motivo, non adempie, anche parzialmente, all'ordine di esibizione, il giudice lo condanna a una pena pecuniaria da euro 1.500 a euro 10.000.
Art. 18. Presunzione del nesso di causalità
1. Quando il danno deriva dalla violazione di uno o più obblighi previsti dal
Art. 19. Rilevanza della conformità al
1. Fermo quanto previsto dalla normativa nazionale di recepimento della
Art. 20. Azione diretta nei confronti dell'impresa di assicurazione
1. Chi intende promuovere l'azione di cui all'articolo 16 può chiedere preventivamente al soggetto a cui ritiene che sia imputabile il danno se è assistito da un contratto di assicurazione della responsabilità civile relativo al danno medesimo. La richiesta di cui al primo periodo non costituisce condizione di procedibilità della domanda. Il soggetto nei cui confronti è formulata la richiesta comunica entro trenta giorni dalla sua ricezione, l'esistenza di un contratto di assicurazione della responsabilità civile relativo al danno dedotto, gli estremi del contratto e la denominazione dell'impresa di assicurazione. In caso di omessa o incompleta comunicazione, il giudice può desumere argomenti di prova ai sensi dell'articolo 116 del codice di procedura civile.
2. Il danneggiato ha azione diretta per il risarcimento del danno nei confronti dell'impresa di assicurazione che presta la copertura della responsabilità civile al convenuto, nei limiti delle somme per le quali è stipulato il contratto di assicurazione.
3. Sono opponibili al danneggiato le eccezioni derivanti dal contratto di assicurazione, purchè anteriori al sinistro.
4. L'impresa di assicurazione che effettua il pagamento ha diritto di rivalsa verso l'assicurato, nella misura in cui avrebbe avuto titolo contrattuale per rifiutare o ridurre la propria prestazione.
5. Nel giudizio promosso ai sensi del comma 2 è litisconsorte necessario il soggetto individuato quale responsabile del danno.
6. L'azione diretta di cui al comma 2 è soggetta al medesimo termine di prescrizione dell'azione nei confronti del soggetto individuato quale responsabile del danno.
Titolo III
DISPOSIZIONI FINALI
Capo I
Disposizioni transitorie e finanziarie
Art. 21. Disposizioni transitorie sull'utilizzo dei sistemi di intelligenza artificiale per l'attività di polizia
1. I sistemi di IA che, alla data di entrata in vigore del presente decreto, formano oggetto di rapporti contrattuali o sono in fase di sviluppo o di sperimentazione per finalità di polizia ovvero sono già in uso nell'attività di polizia, sono resi compatibili con le disposizioni del capo II del titolo I, da ciascuna Forza di polizia per quanto di rispettiva competenza, entro un anno dalla predetta data.
2. Per le disposizioni del titolo I la cui applicazione è prevista direttamente ovvero dipende dal regolamento IA, si osservano i termini di entrata in vigore e di compiuta attuazione dello stesso regolamento.
Art. 22. Clausola di invarianza finanziaria
1. Le amministrazioni interessate provvedono alle attività previste dal presente decreto mediante l'utilizzo delle risorse umane, strumentali e finanziarie disponibili a legislazione vigente e, comunque, senza nuovi o maggiori oneri a carico della finanza pubblica.