Le novità del D.Lgs. n. 160/2026 sull'AI: controllo umano sugli algoritmi, limiti al riconoscimento biometrico e nuove regole sulla responsabilità civile e penale.
È stato pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026 il D.Lgs. 9 settembre 2026, n. 160, che adegua la normativa italiana all’AI Act europeo in materia di utilizzo dell’intelligenza artificiale nell’attività di polizia e di responsabilità civile e penale.
Il decreto entra in vigore il 30 settembre 2026.
IA nella polizia: la decisione resta umana
Il principio di fondo è chiaro: l’intelligenza artificiale può supportare l’attività delle Forze di polizia, ma non può sostituire la decisione dell’operatore.
L’impiego dei sistemi deve seguire un approccio antropocentrico, proporzionato e basato sul rischio. Prima che gli output dell’IA siano utilizzati in atti o provvedimenti che incidono sulla posizione degli interessati è richiesta una revisione umana qualificata e tracciabile. Per i sistemi ad alto rischio la sorveglianza deve essere effettiva e affidata a personale adeguatamente formato.
Biometria in tempo reale: limiti e autorizzazioni
Particolari garanzie riguardano l’identificazione biometrica remota in tempo reale nei luoghi pubblici o aperti al pubblico.
Il suo utilizzo è ammesso soltanto nei casi previsti dalla legge, tra cui la prevenzione di specifiche e gravi minacce e la ricerca di persone scomparse o vittime di sequestro, tratta o sfruttamento sessuale.
Il confronto deve essere mirato e avvenire con un set di dati predisposto per il singolo utilizzo: i dati biometrici sono cancellati al termine dell’autorizzazione e la banca dati non può essere alimentata progressivamente attraverso utilizzi precedenti. È inoltre vietato lo scraping non mirato di immagini reperite online o attraverso sistemi di videosorveglianza.
Per le attività di prevenzione serve l’autorizzazione del Procuratore della Repubblica, riferita a uno specifico evento, a un’area delimitata e per un periodo non superiore a quindici giorni, prorogabile se permangono i presupposti.
Nelle indagini penali, invece, il nuovo art. 359-ter c.p.p. consente l’identificazione biometrica in tempo reale per la ricerca mirata di indiziati di determinati reati, latitanti e specifiche vittime. In questo caso il pubblico ministero deve chiedere l’autorizzazione al GIP; nei casi urgenti sono previste procedure accelerate, sempre sottoposte al successivo controllo del giudice.
Riconoscimento facciale: diverso il regime ex post
Il decreto disciplina separatamente il riconoscimento facciale a posteriori.
I sistemi di videosorveglianza già consentiti dalla legge possono essere integrati con componenti di IA, ma queste vengono attivate soltanto dopo l’acquisizione delle immagini, con modalità tali da escludere il riconoscimento in tempo reale.
Se si tratta di ricercare una persona già indiziata, il PM deve chiedere l’autorizzazione del GIP. L’autorizzazione non è invece richiesta quando il riconoscimento viene utilizzato, dopo la commissione del reato, soltanto per l’identificazione iniziale di una persona potenzialmente indiziata sulla base di elementi oggettivi e verificabili.
Il testo definitivo recepisce così alcune delle garanzie richieste dal Garante privacy, che aveva segnalato i rischi di una raccolta preventiva e generalizzata dei dati biometrici e chiesto che l’elaborazione avvenisse ex post, in presenza di una specifica esigenza operativa.
Danni causati dall’IA: accesso alle prove e nesso causale
Novità importanti riguardano anche il risarcimento dei danni provocati dall’utilizzo di sistemi di IA.
Il danneggiato può chiedere al giudice di ordinare l’esibizione della documentazione relativa al funzionamento del sistema, compresi registri, gestione dei rischi, documentazione tecnica e modalità di supervisione umana. L’obiettivo è superare la tipica difficoltà di ricostruire il funzionamento di sistemi tecnologicamente complessi.
Quando il danno deriva dalla violazione di uno degli obblighi previsti dall’AI Act, è inoltre presunto, salvo prova contraria, il nesso causale tra violazione e danno. La presunzione riguarda quindi il rapporto causale, non automaticamente la violazione dell’obbligo o gli altri presupposti della responsabilità.
Per la persona fisica che agisce al di fuori della propria attività imprenditoriale o professionale è previsto anche il foro alternativo della residenza o del domicilio. Il danneggiato può inoltre agire direttamente contro l’impresa che assicura la responsabilità civile del convenuto, nei limiti della copertura.
Nuovo reato e responsabilità delle imprese
Sul piano penale arriva il nuovo art. 437-bis c.p., che punisce l’omessa adozione delle misure tecniche di sicurezza o di sorveglianza umana relative ai sistemi di IA ad alto rischio quando ne derivino pericoli per la vita, l’incolumità o la sicurezza dello Stato.
La norma disciplina anche l’alterazione illecita dei sistemi e prevede una specifica responsabilità dell’utilizzatore professionale che ometta intenzionalmente le misure di sorveglianza umana.
Il decreto interviene inoltre sul D.Lgs. 231/2001, introducendo il nuovo art. 25-vicies: la responsabilità dell’ente viene estesa sia al nuovo delitto dell’art. 437-bis c.p. sia al reato di deepfake previsto dall’art. 612-quater c.p., con sanzioni pecuniarie e interdittive.
Entrata in vigore e regime transitorio
Il D.Lgs. n. 160/2026 entrerà in vigore il 30 settembre 2026, ma per i sistemi di IA già utilizzati, contrattualizzati o in fase di sviluppo o sperimentazione nelle attività di polizia è previsto un anno per l’adeguamento alle disposizioni del Capo II del decreto.
Restano inoltre fermi i diversi termini di applicazione previsti direttamente dall’AI Act.
Il nuovo quadro segna così un passaggio importante nell’attuazione italiana dell’AI Act: l’intelligenza artificiale entra nelle attività di polizia e nelle indagini, ma con autorizzazioni, tracciabilità e controllo umano. E, quando qualcosa va storto, il decreto prova anche a rendere più chiaro chi risponde e come il danneggiato può provarlo.
Documenti correlati:
- DECRETO LEGISLATIVO 9 settembre 2026, n. 160
Adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull'intelligenza artificiale, in materia di utilizzo dei sistemi di intelligenza artificiale per l'attivita' di polizia e di responsabilita' civile e penale (G.U. n.214 del 15-9-2026)