L’intelligenza artificiale nelle attività di polizia e nel processo penale

Il Decreto legislativo 9 settembre 2026, n. 160, pubblicato nella Gazzetta Ufficiale del 15 settembre ed efficace dal 30 settembre 2026, adegua l’ordinamento nazionale al Regolamento europeo sull’intelligenza artificiale in materia di attività di polizia e responsabilità civile e penale.

Si tratta di un provvedimento che interessa direttamente magistrati, avvocati, forze di polizia, imprese e consulenti tecnici.

Il principio sulla quale il provvedimento si basa è che il risultato prodotto da un sistema di intelligenza artificiale non può essere considerato attendibile per il solo fatto di essere stato generato da una tecnologia avanzata. Deve essere possibile ricostruire il processo che lo ha prodotto, individuare i dati utilizzati, verificare i parametri applicati e accertare quale controllo umano sia stato effettivamente esercitato.

Il decreto interviene sull’attività investigativa e processo penale, con nuove regole in tema di:

- Identificazione biometrica remota in tempo reale con l’articolo 13 che introduce nel codice di procedura penale il nuovo art. 359-ter c.p.p., dedicato all’identificazione e alla localizzazione mediante sistemi di IA per l’identificazione biometrica remota in tempo reale.

- Riconoscimento facciale a posteriori e videosorveglianza con l’articolo 10 che disciplina il riconoscimento facciale effettuato dopo l’acquisizione delle immagini da sistemi di videosorveglianza. La tecnologia può essere attivata per una ricerca mirata, nel rispetto dei presupposti e delle procedure stabilite dal decreto.

- Accesso processuale alle prove sul funzionamento dell’IA con l’articolo 17 che consente al giudice, su istanza del soggetto che afferma di aver subito il danno, di ordinare alla controparte o al terzo che ne abbia la disponibilità l’esibizione degli elementi di prova specificamente pertinenti al funzionamento del sistema. L’istante deve presentare fatti ed elementi idonei a rendere verosimile la fondatezza della domanda e il collegamento fra risultato dell’IA e danno lamentato.

- Presunzione del nesso causale attraverso l’articolo 18 che stabilisce che, quando il danno derivi dalla violazione di uno o più obblighi previsti dall’AI Act, il nesso di causalità fra violazione e danno è presunto, salvo prova contraria.

Il D.Lgs. 160/2026 introduce, inoltre, nel codice penale, il nuovo art. 437-bis, relativo all’omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alla loro alterazione illecita.

La fattispecie riguarda l’omissione delle misure tecniche di sicurezza previste per progettazione, addestramento, produzione o immissione sul mercato di sistemi ad alto rischio, oppure l’omessa adozione della sorveglianza umana, quando ne derivi un pericolo per la vita, l’incolumità pubblica o individuale o la sicurezza dello Stato. La norma considera anche la colpa grave e l’omissione intenzionale della sorveglianza umana da parte dell’utilizzatore professionale.

Il decreto completa il quadro introducendo l’art. 25-vicies nel D.Lgs. 231/2001, con sanzioni pecuniarie e interdittive per gli enti in relazione ai reati indicati dalla nuova disciplina.

Viene, inoltre, modificata l’esecuzione del sequestro preventivo dei contenuti online: l’ordine di rimozione o disabilitazione può riguardare contenuti generati anche mediante sistemi di intelligenza artificiale e i relativi dati, rivolgendosi a prestatori di hosting, piattaforme online, motori di ricerca e altri intermediari.

Il Regolamento UE 2026/1744 ha rinviato al 2 dicembre 2027 l’applicazione di una parte degli obblighi del Capo III dell’AI Act per i sistemi ad alto rischio ricompresi nell’Allegato III. Le disposizioni nazionali specifiche del D.Lgs. 160/2026 entrano invece in vigore il 30 settembre 2026. Nel singolo caso occorrerà quindi distinguere fra obblighi nazionali già operativi, obblighi europei applicabili e disposizioni ancora soggette al calendario transitorio.

Il D.Lgs. 160/2026 segna un passaggio rilevante: l’intelligenza artificiale non viene più considerata soltanto come tecnologia da regolamentare, ma come fonte di dati, decisioni, registrazioni e responsabilità suscettibili di accertamento processuale.

Nel riconoscimento facciale, il match deve essere verificato alla luce della qualità dell’immagine, dell’algoritmo, della soglia e del database utilizzato. Nelle azioni risarcitorie, log e documentazione tecnica possono diventare oggetto di esibizione.

Sul piano penale, le misure tecniche di sicurezza e la supervisione umana assumono una rilevanza diretta e non più mediata.