NOTA EDITORIALE 04 · 18 AGOSTO 2026
Il riconoscimento biometrico remoto amplia la capacità operativa e, insieme, il costo potenziale dell’errore. Il nodo tecnico è la qualità dei dati, delle soglie e della supervisione umana.
Fatti verificati
L’AI Act distingue i sistemi di identificazione biometrica remota in tempo reale da quelli a posteriori. Per l’uso in tempo reale negli spazi accessibili al pubblico a fini di contrasto, l’articolo 5 stabilisce un divieto generale e deroghe tassative, esercitabili nei limiti del diritto nazionale. Ogni impiego deve essere necessario, proporzionato e circoscritto nel tempo, nello spazio e alle persone interessate ed è soggetto ad autorizzazione preventiva. In un’urgenza debitamente giustificata può iniziare prima dell’autorizzazione, che deve essere richiesta senza indebito ritardo e al più tardi entro 24 ore.
Per l’identificazione biometrica remota a posteriori, l’articolo 26, paragrafo 10, prevede, nel quadro di un’indagine su una persona sospettata o condannata, una ricerca mirata e limitata a quanto strettamente necessario per uno specifico reato; vieta inoltre decisioni con effetti giuridici negativi basate unicamente sull’output del sistema. Trattandosi di sistemi ad alto rischio dell’Allegato III, questi obblighi si applicheranno dal 2 dicembre 2027, dopo il rinvio disposto dal regolamento (UE) 2026/1744. Nel parere del 14 luglio 2026, il Garante ha inoltre chiesto di evitare raccolte biometriche massive e preventive.
Analisi tecnica di Matteo Emanuele Fiasca
Un sistema biometrico non formula una verità assoluta: confronta rappresentazioni biometriche e produce un punteggio di similarità, valutato rispetto a una soglia operativa. Qualità delle immagini, algoritmo, composizione della banca dati, soglia e contesto d’uso incidono sui tassi di falsi positivi e falsi negativi.
L’IA può confrontare, correlare e segnalare, ma il risultato deve restare un elemento sottoposto a revisione umana qualificata. Un falso positivo, qui, non è soltanto un falso allarme: può contribuire ad associare una persona all’identità sbagliata.
“Nella sicurezza non basta misurare quanto è intelligente un algoritmo. Dobbiamo misurare quanto può costare il suo errore.”
Principi operativi
- Output, non sentenza — Una corrispondenza biometrica è un’indicazione tecnica da verificare, non una decisione automatica sull’individuo.
- Controllo umano — La supervisione deve essere competente, effettiva e documentabile, soprattutto quando l’esito può incidere sulla persona.
- Governance verificabile — Accuratezza, proporzionalità, tracciabilità e responsabilità devono poter essere dimostrate e documentate.
Autore
Matteo Emanuele Fiasca · Founder & CEO, NetCom Security Group
Fonti verificate
- Unione europea. Regolamento (UE) 2024/1689, artt. 3, nn. 41-43; 5, par. 1, lett. h) e parr. 2-3; 26, par. 10; Regolamento (UE) 2026/1744, art. 1, punto 40, lett. b).
- Garante Privacy, 14 e 29 luglio 2026. Parere n. 531/2026, doc. web 10275606; Newsletter n. 550, doc. web 10275843. Consultazione: 18 agosto 2026.
