Dal divieto chiesto dal Parlamento europeo al compromesso finale dell'AI Act, il riconoscimento facciale è stato uno dei temi più controversi della legge europea sull'intelligenza artificiale.
L'AI Act, presentato dalla Commissione nell'aprile 2021 ed entrato in vigore nell'agosto 2024, adotta un approccio basato sul rischio, classificando i sistemi di IA in base al livello di rischio per i diritti e la sicurezza. I divieti sono scattati il 2 febbraio 2025, data di applicazione delle prime norme dell'AI Act.
COSA PREVEDE IL TESTO
Tra le pratiche vietate dal regolamento, rientra l'uso di sistemi di identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico per finalità di contrasto alla criminalità. Il divieto non è assoluto. L'articolo 5 consente il ricorso a questi sistemi per tre finalità: la ricerca mirata di vittime di sequestro, tratta o sfruttamento sessuale e di persone scomparse; la prevenzione di una minaccia specifica, sostanziale e imminente alla vita o all'incolumità delle persone, o di un attacco terroristico reale o prevedibile; le attività di contrasto alla criminalità relative a 16 reati gravi, tra cui terrorismo, tratta di esseri umani, sfruttamento sessuale dei minori, traffico di droga e armi, omicidio e stupro. Anche in questi casi l'uso deve essere limitato in termini di durata ed essere preceduto da una valutazione d'impatto sui diritti fondamentali e, di norma, da un'autorizzazione preventiva di un'autorità giudiziaria o di un'autorità amministrativa indipendente. Solo in casi di urgenza debitamente motivati il sistema può essere attivato prima dell'autorizzazione, che deve comunque essere richiesta entro 24 ore. Se viene negata, l'uso deve cessare con effetto immediato e tutti i dati raccolti devono essere cancellati.
L'AI Act vieta inoltre la creazione di banche dati di riconoscimento facciale attraverso la raccolta indiscriminata di immagini da internet o dai sistemi di videosorveglianza. Diversa, infine, è la disciplina dell'identificazione biometrica remota a posteriori, cioè effettuata su immagini già registrate. Questa pratica non rientra tra quelle vietate, ma il suo utilizzo richiede l'autorizzazione preventiva da parte di un'autorità giudiziaria o amministrativa, nonché la notifica all'autorità competente in materia di protezione dei dati e di vigilanza sul mercato.