L’AI Act, il regolamento europeo sull’intelligenza artificiale, è entrato in vigore il 1° agosto 2024, ma la sua applicazione è scaglionata nel tempo. Per chiarirne l’ambito di applicazione, il 4 febbraio 2025 la Commissione europea ha pubblicato le linee guida sulle pratiche vietate, che affrontano temi quali l’identificazione biometrica remota, la manipolazione dannosa, il social scoring e lo sfruttamento delle vulnerabilità delle persone. Per quanto riguarda il riconoscimento facciale, il regolamento, che segue un approccio basato sul rischio, non ne vieta l’utilizzo completamente, ma proibisce l’identificazione biometrica remota in tempo reale da parte delle autorità in luoghi accessibili al pubblico. Con alcune eccezioni. Secondo le linee guida della Commissione, il divieto si applica quando ricorrono contemporaneamente una serie di condizioni: il sistema deve essere un sistema di identificazione biometrica remota, operare in tempo reale, essere utilizzato in uno spazio accessibile al pubblico, essere impiegato in autorità di contrasto e dalle autorità competenti L’obiettivo della norma è evitare forme di sorveglianza biometrica di massa. Le eccezioni riguardano tre ipotesi: la ricerca mirata di vittime di rapimento, tratta di esseri umani, sfruttamento sessuale o persone scomparse; la prevenzione di una minaccia imminente alla vita o all’incolumità delle persone oppure di un attacco terroristico; l’individuazione, la localizzazione o l’identificazione di persone sospettate o condannate per uno dei reati particolarmente gravi elencati dall’AI Act. Anche in questi casi, il sistema può essere utilizzato esclusivamente per identificare o confermare l’identità di persone specifiche e non per effettuare controlli indiscriminati sulla popolazione. E’ richiesta di norma, la preventiva autorizzazione di un’autorità giudiziaria o di un’autorità amministrativa indipendente. Solo in casi di urgenza motivati il sistema può essere attivato prima dell’autorizzazione, che deve comunque essere richiesta entro 24 ore. Se l’autorizzazione viene negata, l’utilizzo deve cessare subito e i dati raccolti devono essere cancellati. Le linee guida precisano inoltre che non rientra nel divieto la verifica biometrica – ad esempio lo sblocco di uno smartphone o l’accesso a un edificio mediante riconoscimento del volto – poiché presuppone la partecipazione attiva dell’interessato. Allo stesso modo, il riconoscimento facciale effettuato a posteriori su immagini o filmati già acquisiti non è vietato dall’AI Act, ma è classificato come sistema di AI ad alto rischio e, come tale, è soggetto a specifici obblighi e garanzie. È infine espressamente vietato utilizzare sistemi di AI per creare o ampliare banche dati di riconoscimento facciale attraverso la raccolta indiscriminata (‘scraping’) di immagini reperite su internet o tramite telecamere a circuito chiuso. Le linee guida riportano anche alcuni esempi pratici. È vietato, ad esempio, utilizzare il riconoscimento facciale “dal vivo” durante una partita di calcio per identificare in modo generalizzato le persone presenti in una lista di controllo, poiché la ricerca non è sufficientemente mirata.
Ue: ecco linee guida sull’AI Act, i limiti al riconoscimento facciale
