L’Italia si avvicina all’attuazione nazionale dell’AI Act europeo, ma il Garante Privacy ha chiesto di rafforzare alcuni punti delicati prima del via libera definitivo: soprattutto sulle tecnologie biometriche, sulla supervisione umana e sui sistemi di intelligenza artificiale ad alto rischio. La notizia riguarda anche le imprese, perché segnala con chiarezza la direzione del regolatore: meno automatismi opachi, più responsabilità documentate e più tutele quando l’AI incide sui diritti delle persone.
Cosa è successo
Il Garante per la protezione dei dati personali ha espresso parere favorevole allo schema di decreto legislativo che deve adeguare la normativa italiana all’AI Act, il regolamento europeo sull’intelligenza artificiale. Il parere, pubblicato il 30 luglio 2026 e ripreso il 31 luglio da Cyber Security 360, non è però un via libera incondizionato: l’Autorità ha accompagnato il proprio assenso con osservazioni e richieste di integrazione.
Il decreto serve a definire il quadro italiano di governance e vigilanza sull’intelligenza artificiale. Tra i punti più rilevanti, attribuisce al Garante un ruolo di vigilanza del mercato per i sistemi di AI ad alto rischio impiegati in ambiti particolarmente sensibili, come giustizia, attività di contrasto, immigrazione, gestione delle frontiere e processi democratici.
Accanto a questo, il testo affronta anche l’uso dei sistemi di AI da parte delle Forze di polizia, con particolare attenzione al trattamento dei dati biometrici e alle tecnologie di identificazione biometrica da remoto. È qui che il Garante ha chiesto le maggiori cautele.
Perché il tema dei dati biometrici è così sensibile
I dati biometrici non sono semplici dati personali. Parliamo di informazioni che permettono di identificare una persona attraverso caratteristiche fisiche o comportamentali, come il volto. Per questo il loro uso richiede una soglia di attenzione molto più alta rispetto ad altri trattamenti.
Nel proprio intervento, il Garante ha sottolineato la necessità di rafforzare le garanzie sulla qualità delle banche dati biometriche utilizzate per l’identificazione. Il punto è cruciale: un sistema di AI può essere tecnicamente sofisticato, ma se lavora su archivi incompleti, non aggiornati o poco affidabili, il rischio di errori e conseguenze ingiuste aumenta.
L’Autorità ha inoltre evidenziato che un trattamento automatizzato e generalizzato dei dati biometrici delle persone che accedono a luoghi o eventi pubblici non sarebbe coerente con l’AI Act. Secondo l’impostazione richiamata dal Garante, il riconoscimento facciale ex post può essere ammesso solo per ricerche specifiche. In termini pratici, ciò significa che non può diventare una forma di raccolta preventiva e indiscriminata di dati biometrici.
Il principio è semplice, anche se le implicazioni sono complesse: l’identificazione biometrica non può essere trattata come uno strumento ordinario di controllo massivo.
Le richieste del Garante al decreto italiano
Il parere favorevole è accompagnato da una serie di richieste che aiutano a capire quali saranno i punti di attenzione anche per chi sviluppa, acquista o usa sistemi di AI in azienda.
Tra le principali osservazioni del Garante emergono alcuni filoni molto chiari.
1. Più chiarezza sulla supervisione umana
L’Autorità chiede chiarimenti sul ruolo della supervisione umana nei sistemi di AI. È un passaggio fondamentale: se una decisione viene formalmente “controllata” da una persona, ma in realtà quel controllo è solo teorico o di facciata, la tutela diventa debole.
Per il regolatore, il presidio umano deve essere reale, comprensibile e documentabile.
2. Regole più precise su responsabilità e sperimentazione
Il Garante chiede di approfondire le responsabilità nei piani di ricerca e sperimentazione e di essere coinvolto nelle attività di sperimentazione normativa che comportano trattamenti di dati personali. Anche questo è un segnale importante: l’innovazione non è esclusa, ma non può svilupparsi in una zona grigia priva di controlli.
3. Ruolo più esplicito nelle verifiche sui sistemi ad alto rischio
Un altro punto riguarda la conformità dei sistemi di AI ad alto rischio. Il Garante chiede che il proprio ruolo sia definito in modo più chiaro ed esplicito nelle procedure di valutazione e vigilanza, in linea con le funzioni che lo stesso AI Act gli attribuisce.
4. Più attenzione all’AI nei rapporti di lavoro
Tra le osservazioni più interessanti per il mondo aziendale c’è la proposta di estendere il divieto di decisioni basate soltanto su sistemi automatizzati anche alle valutazioni con impatto significativo sui rapporti di lavoro. L’esempio richiamato riguarda prestazioni, premi e avanzamenti di carriera.
È un passaggio che merita attenzione da parte di qualsiasi impresa che stia introducendo strumenti di AI nelle risorse umane, nella valutazione del personale o nei processi decisionali interni.
Il messaggio di fondo: l’AI non può sostituire la responsabilità
Al di là del tecnicismo normativo, il messaggio del Garante è molto netto. L’intelligenza artificiale può supportare attività complesse, ma non può diventare un modo per automatizzare scelte sensibili senza controlli, senza trasparenza e senza un perimetro giuridico preciso.
Questo vale in modo evidente per la sicurezza pubblica e per i dati biometrici, ma il principio si estende ben oltre. Ogni volta che un sistema di AI influenza diritti, opportunità, accesso a servizi o valutazioni professionali, il tema non è solo tecnologico: è organizzativo, legale e reputazionale.
Per questo il decreto italiano non è una questione che riguarda soltanto pubbliche amministrazioni, autorità o grandi operatori tecnologici. È un segnale per tutto il mercato.
Cosa significa per la tua azienda
Anche se la notizia nasce nel perimetro dell’attuazione nazionale dell’AI Act e tocca in modo diretto le Forze di polizia, le indicazioni del Garante anticipano criteri che interessano anche le PMI.
Ecco i punti pratici da verificare subito.
Mappa dove usi davvero l’AI
Molte aziende usano già strumenti di AI senza considerarli tali: software per screening dei candidati, assistenti per il customer care, sistemi di scoring, analisi video, controlli accessi, funzioni di monitoraggio o automazioni nei flussi HR e amministrativi. Il primo passo è censire questi utilizzi.
Se non sai con precisione dove l’AI entra nei processi, non puoi valutarne rischi, obblighi e impatti.
Verifica se tratti dati biometrici
Non serve avere un progetto di riconoscimento facciale avanzato per esporsi a criticità. Possono rientrare nel radar anche sistemi di accesso, videosorveglianza evoluta o strumenti che promettono identificazione automatica delle persone.
In questi casi conviene fare una verifica preventiva con particolare attenzione ai profili privacy e di sicurezza, anche in ottica di conformità al GDPR. Un percorso strutturato di sicurezza informatica aiuta a evitare implementazioni frettolose che poi diventano costose da correggere.
Evita decisioni completamente automatiche sui dipendenti
Se stai introducendo AI per valutare performance, turni, premi, selezione del personale o percorsi di carriera, considera il richiamo del Garante come un avviso molto serio. Le decisioni che incidono in modo rilevante sui lavoratori non dovrebbero essere affidate solo a un algoritmo.
Serve sempre un controllo umano effettivo, con criteri comprensibili e possibilità di verifica.
Documenta logiche, responsabilità e controlli
Non basta “avere un software conforme” secondo il fornitore. L’azienda che lo usa deve poter dimostrare chi decide, chi controlla, quali dati vengono trattati, con quali finalità e con quali limiti.
Questo aspetto va gestito insieme agli adempimenti privacy, soprattutto se i sistemi trattano dati personali in modo strutturato. In molti casi è utile rivedere informative, ruoli, basi giuridiche, tempi di conservazione e misure di sicurezza con un supporto dedicato al GDPR.
Prepara governance e continuità operativa
L’AI entra spesso in processi critici. Se un sistema si blocca, produce risultati errati o genera contestazioni, l’impatto può ricadere su clienti, dipendenti e attività operative. Per questo non basta valutare la compliance: bisogna anche presidiare backup, tracciabilità e continuità.
Quando l’AI alimenta documenti, analisi o processi decisionali importanti, una strategia di remote backup resta una misura concreta di prudenza aziendale.
Cosa aspettarsi nei prossimi mesi
Lo schema di decreto conferma che l’Italia sta costruendo il proprio assetto di attuazione dell’AI Act dentro una logica di vigilanza più strutturata. Il ruolo del Garante, in particolare, appare destinato a diventare centrale nei casi in cui l’AI tocca dati personali, diritti fondamentali e trattamenti ad alto impatto.
Per le aziende questo significa una cosa molto pratica: l’era del “provare strumenti intelligenti e capire dopo come regolarizzarli” sta finendo. La direzione opposta è ormai chiara: prima si valutano rischi, ruoli e garanzie, poi si scala il progetto.
Chi si muove per tempo avrà un doppio vantaggio. Da un lato ridurrà il rischio di non conformità; dall’altro potrà adottare l’AI in modo più credibile verso clienti, dipendenti e partner.
Domande frequenti
L’AI Act riguarda anche una PMI che usa strumenti pronti all’uso?
Sì. Anche se non sviluppi l’algoritmo, puoi avere responsabilità come utilizzatore, soprattutto se il sistema incide su persone, dati personali o processi sensibili.
I dati biometrici sono rilevanti solo per chi usa il riconoscimento facciale?
No. Ogni tecnologia che permette identificazione tramite caratteristiche fisiche o comportamentali richiede attenzione particolare, anche quando è integrata in sistemi di accesso o controllo.
Se un fornitore dice che il software è conforme, siamo coperti?
Non del tutto. La conformità del prodotto non sostituisce la responsabilità dell’azienda che lo adotta, lo configura e lo usa nei propri processi.