INTELLIGENZA ARTIFICIALE: ENTRATO IN VIGORE IL D. LGS. 160/2026 SULL’ATTIVITÀ DELLA POLIZIA

Con il decreto la normativa nazionale si adegua alle disposizioni del Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, recante norme armonizzate in materia di Intelligenza Artificiale, con particolare riferimento all’utilizzo dei sistemi di IA nell’attività di polizia e ai profili di responsabilità civile e penale.

Prosegue la regolamentazione normativa dell’utilizzo dell’Intelligenza Artificiale nei diversi settori professionali. 

Con il Decreto Legislativo n. 160 del 9 settembre 2026, pubblicato nella Gazzetta Ufficiale n. 214 del 15 settembre 2026, il legislatore interviene sulla disciplina relativa all’utilizzo dei sistemi di Intelligenza Artificiale nelle attività di polizia e nell’ambito della responsabilità civile e penale.

Il decreto è entrato in vigore il 30 settembre 2026. Vediamo di seguito gli aspetti principali della nuova disciplina.

PRINCIPI GENERALI

Il Capo I individua i criteri generali che devono orientare l’utilizzo dell’intelligenza artificiale, secondo un approccio “antropocentrico, proporzionato e fondato sul rischio”, applicabile alle attività di ricerca, sperimentazione, sviluppo, addestramento, adozione, applicazione, convalida e utilizzo di sistemi e modelli di IA per le attività e le finalità proprie delle Forze di polizia.

L’impiego dei sistemi di IA è concepito quale strumento volto a incrementare l’efficacia e l’efficienza delle attività di polizia. Qualora tali sistemi siano utilizzati nell’adozione di atti o provvedimenti suscettibili di incidere sulla sfera giuridica degli interessati, deve essere garantita la previsione di “adeguate forme di revisione umana qualificata e tracciabile”.

COLLABORAZIONE CON ALTRI ENTI

Le Forze di polizia possono, inoltre, nell’ambito di specifici progetti di ricerca e sperimentazione scientifica finalizzati allo sviluppo di sistemi di intelligenza artificiale o di dispositivi che impiegano tali tecnologie per le attività di polizia, instaurare forme di collaborazione con università, enti di ricerca e soggetti pubblici o privati. Tali collaborazioni possono essere realizzate anche attraverso società in house o società a totale partecipazione pubblica sottoposte al controllo dello Stato, nel rispetto della normativa dell’Unione europea in materia di concorrenza e di aiuti di Stato

LE PRINCIPALI NOVITÀ

Le novità principali del decreto riguardano: l’identificazione biometrica, il riconoscimento facciale, lo scraping, le modifiche al codice penale e al decreto legislativo 8 giugno 2001, n. 231 relativo alla Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni. 

L’IDENTIFICAZIONE BIOMETRICA

L’articolo 8 del decreto disciplina i “Sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale per finalità di prevenzione, nonché di ricerca delle persone scomparse e delle vittime di specifici reati”. In particolare, ne prevede l’impiego in tempo reale per le seguenti finalità:

• la ricerca di una persona scomparsa o di persone specifiche, vittime dei reati di sequestro di persona, tratta di esseri umani o sfruttamento sessuale; 
• la conferma dell’identità delle persone sopraindicate, nonché per la ricerca mirata, anche in modo dinamico e compresa la localizzazione, di persone specificamente individuate o individuabili in relazione alla minaccia da prevenire o alla ricerca da eseguire.

L’utilizzo di tali sistemi è subordinato all’autorizzazione del Procuratore della Repubblica competente, nella quale devono essere specificati la finalità perseguita, la durata prevista dell’impiego, l’area territoriale interessata, le persone oggetto della ricerca, le banche dati di riferimento utilizzate, nonché i sistemi e le tecnologie impiegati.

Il nuovo articolo 359-ter c.p.p., introdotto dall’art. 13 del Decreto, consente il ricorso all’identificazione o alla localizzazione biometrica in tempo reale in specifiche ipotesi. In particolare, tale strumento può essere utilizzato:

• quando sia necessario confermare l’identità di una persona nei cui confronti sussistano sufficienti indizi della commissione di determinati delitti;
• quando occorre procedere alla ricerca di un latitante ai fini dell’esecuzione di un’ordinanza che dispone una misura cautelare coercitiva;
• per la ricerca mirata, nell’ambito di un procedimento penale, di specifiche vittime di sottrazione, tratta di esseri umani o sfruttamento sessuale di esseri umani.

In tali ipotesi, l’impiego è autorizzato dal Giudice per le indagini preliminari.

L’articolo 10 disciplina, inoltre, i sistemi di videosorveglianza dotati di tecnologie di riconoscimento facciale a posteriori, supportate dall’intelligenza artificiale, destinati al contrasto della criminalità.

L’impiego di tali tecnologie può avvenire solo successivamente all’acquisizione delle immagini e, nel caso di persone oggetto di ricerca mirata in quanto indiziate della commissione di un reato, è subordinato alla richiesta del Pubblico Ministero e all’autorizzazione del Giudice per le indagini preliminari.

L’autorizzazione non è invece necessaria qualora le tecnologie di riconoscimento facciale siano impiegate dopo la commissione di un reato, al solo fine di procedere all’identificazione iniziale di una persona potenzialmente indiziata, purché tale identificazione sia fondata su elementi oggettivi e verificabili, direttamente connessi al fatto di reato.

SCRAPING

Il decreto disciplina anche il fenomeno dello scraping, ossia l’estrazione automatica di dati e la raccolta di informazioni disponibili online mediante l’impiego di software o bot.

L’articolo 2 introduce la nozione di “scraping non mirato” inteso come “l’estrazione e la raccolta automatizzata e indiscriminata, su larga scala, mediante l’utilizzo di un sistema di intelligenza artificiale, di immagini facciali dalla rete internet o da filmati di telecamere a circuito chiuso, allo scopo di creare o ampliare banche dati di riconoscimento facciale”.

A tale previsione si affianca l’articolo 8, comma 3, che vieta espressamente “l’uso di banche dati biometriche alimentate, in tutto o in parte, mediante tecniche di scraping non mirato ovvero costituite in violazione delle disposizioni vigenti in materia di protezione dei dati personali”.

LE MODIFICHE AL CODICE PENALE

L’articolo 12 del Decreto interviene sul Codice penale introducendo il nuovo articolo 437-bis, rubricato «Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi». La disposizione introduce specifiche fattispecie di reato connesse all’impiego di sistemi di intelligenza artificiale ad alto rischio, individuando quattro distinte ipotesi e le relative sanzioni.

• 1) L’omissione dolosa di misure di sicurezza o di sorveglianza: “Chiunque omette di adottare le misure tecniche di sicurezza, previste per la progettazione, l’addestramento, la produzione, l’immissione sul mercato di sistemi di intelligenza artificiale ad alto rischio, idonee a prevenire malfunzionamenti o alterazioni del funzionamento dei sistemi ovvero omette di adottare misure di sorveglianza umana è punito con la reclusione da uno a cinque anni, quando da tali omissioni derivi pericolo per la vita o l’incolumità pubblica o individuale. Qualora dal fatto derivi un pericolo per la sicurezza dello Stato, la pena è della reclusione da due a otto anni”. 

• 2) L’alterazione illecita dei sistemi di i.a: “Salvo che il fatto costituisca più grave reato, chiunque, al di fuori dei casi indicati al primo comma, altera sistemi di intelligenza artificiale ad alto rischio è punito, qualora dal fatto derivi un pericolo per la vita o l’incolumità pubblica o individuale, con la reclusione da due a sei anni. Qualora dal fatto derivi un pericolo per la sicurezza dello Stato, la pena è della reclusione da tre a dieci anni”. 

• 3) L’omissione colposa di misure di sicurezza o di sorveglianza: “Se taluno dei fatti previsti dal comma primo è commesso per colpa grave, la pena è ridotta da un terzo a un sesto”. 

• 4) L’omissione intenzionale di misure di sorveglianza da parte dell’utilizzatore professionale: “L’utilizzatore professionale di sistemi di intelligenza artificiale ad alto rischio che omette intenzionalmente di adottare misure di sorveglianza umana è punito con le pene previste dal primo comma, primo e secondo periodo, qualora da tale omissione derivi, rispettivamente, pericolo per la vita o l’incolumità pubblica o individuale oppure un pericolo per la sicurezza dello Stato”.

La disposizione mira, pertanto, a rafforzare la tutela penale con riferimento ai sistemi di intelligenza artificiale ad alto rischio, sanzionando sia l’omessa predisposizione delle necessarie misure di sicurezza e supervisione, sia le condotte di alterazione illecita dei sistemi, quando da tali comportamenti derivino specifici pericoli per la vita, l’incolumità pubblica o individuale ovvero per la sicurezza dello Stato.

LE MODIFICHE AL D. LGS 231/2001

L’articolo 15 del Decreto interviene, inoltre, sulla disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni, introducendo il nuovo articolo 25-vicies, rubricato «Reati commessi con l’uso di sistemi di intelligenza artificiale».

La nuova disposizione prevede specifiche sanzioni a carico degli enti in relazione ai reati commessi mediante l’utilizzo di sistemi di intelligenza artificiale. In particolare:

• in relazione al delitto previsto dall’articolo 437-bis del Codice penale, all’ente si applica una sanzione pecuniaria da 600 a 1.000 quote;
• in relazione al delitto previsto dall’articolo 612-quater del Codice penale, si applica una sanzione pecuniaria da 200 a 700 quote.

Nei casi sopra indicati, oltre alla sanzione pecuniaria, possono essere applicate all’ente anche le sanzioni interdittive previste dall’articolo 9, comma 2, lettere b), c), d) ed e). 

COSA DEVONO FARE LE IMPRESE

Il Decreto stabilisce, dunque, un collegamento diretto tra l’utilizzo dei sistemi di intelligenza artificiale e i profili di responsabilità penale e amministrativa degli enti ai sensi del d.lgs. 231/2001.

Alla luce di tale quadro normativo, le imprese sono chiamate ad adottare specifiche misure organizzative e di controllo, tra cui:

• effettuare un censimento dei sistemi IA utilizzati, soprattutto quelli ad alto rischio;

• verificare il ciclo di vita dei sistemi, individuando ruoli e responsabilità;

• verificare e documentare le misure di sicurezza e di supervisione umana

• coordinare l’utilizzo dell’AI con i protocolli del Modello 231.

—

Lo studio è a disposizione per verifiche e adeguamenti al D. Lgs n. 160 del 9 settembre 2026.

LEGGI ANCHE QUI