I dati biometrici permettono di riconoscere o verificare l’identità di una persona attraverso caratteristiche come volto, impronte, iride o voce, e trovano oggi applicazione anche nei processi di onboarding e identificazione a distanza.

La novità principale per il settore è rappresentata dal D.Lgs. 160/2026, in vigore dal 30 settembre e adottato in attuazione della delega di cui alla L. 132/2025in materia di Intelligenza Artificiale.

La norma adegua l’ordinamento italiano all’AI Act (Regolamento (UE) 2024/1689) e introduce disposizioni specifiche, tra le altre cose, per l’impiego dell’Intelligenza Artificiale nelle attività di polizia e per il riconoscimento biometrico.

Cosa sono i dati biometrici e come li tutela il GDPR

L’articolo 4 del GDPR li definisce come dati personali ottenuti da un trattamento tecnico specifico, relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona, che consentono o confermano la sua identificazione univoca.

L’articolo 9 li colloca tra le categorie particolari di dati personali, il cui trattamento è vietato salvo specifiche condizioni previste dalla norma, tra cui il consenso esplicito dell’interessato o una previsione normativa che autorizzi espressamente il trattamento e stabilisca adeguate garanzie.

Ogni dato biometrico ha una caratteristica che lo rende delicato: una password compromessa si cambia, mentre un volto o un’impronta restano gli stessi per tutta la vita.

Il titolare del trattamento deve quindi individuare una base giuridica, applicare i principi di minimizzazione e limitazione della conservazione e, nei trattamenti su larga scala, condurre una valutazione d’impatto sulla protezione dei dati prima di iniziare.

AI Act: quali sistemi biometrici sono ad alto rischio

L’AI Act classifica i sistemi di Intelligenza Artificiale in base al livello di rischio.

Tra le pratiche vietate rientrano la categorizzazione biometrica che deduce caratteristiche sensibili (come origine etnica, opinioni politiche od orientamento sessuale) e la creazione di banche dati di riconoscimento facciale tramite la raccolta indiscriminata (scraping) di immagini da Internet o da telecamere a circuito chiuso.

L’identificazione biometrica remota (RBI) in tempo reale in spazi pubblici per scopi di polizia è vietata in linea generale, salvo casi eccezionali strettamente regolamentati per le forze dell’ordine, come la ricerca mirata di specifiche vittime di reati (es. sequestri o tratta), la prevenzione di minacce imminenti per la vita e l’identificazione di sospetti di reati gravi.

I sistemi di identificazione biometrica remota, compresi quelli usati a posteriori, rientrano invece tra i sistemi ad alto rischio, quando il loro impiego è consentito dalla normativa applicabile.

Viceversa, non sono considerati ad alto rischio i sistemi destinati alla sola verifica biometrica one-to-one, finalizzata a confermare che una determinata persona sia chi dichiara di essere.

D.Lgs. 160/2026: l’adeguamento italiano all’AI Act

Il D.Lgs. 160/2026 adegua l’ordinamento nazionale all’AI Act UE, definendo le condizioni operative per le forze dell’ordine e fissando un rigido quadro di responsabilità civili, penali e amministrative per gli operatori pubblici e privati.

Utilizzo dei sistemi biometrici nelle attività di polizia

Nelle attività di polizia, l’uso dell’IA è improntato ai principi di proporzionalità, assenza di discriminazioni e indispensabile supervisione umana:

  • autorizzazione e limiti: nel procedimento penale, l’art. 359-ter c.p.p. consente l’identificazione biometrica remota in tempo reale nei casi previsti dalla norma, con autorizzazione del GIP, delimitazione dell’area, delle persone ricercate e della durata dell’utilizzo. Sono previste procedure specifiche per le situazioni d’urgenza;
  • uso di banche dati temporanee: i dati devono essere pertinenti e la banca dati creata ad hoc va cancellata al termine delle operazioni;
  • identificazione a posteriori: il riconoscimento facciale può essere utilizzato, dopo la commissione di un reato anche tentato, per individuare una persona sospettata sulla base di immagini o filmati e di elementi oggettivi e verificabili direttamente collegati al reato. Nei casi previsti dalla legge, l’attivazione del sistema richiede l’autorizzazione dell’autorità giudiziaria;
  • divieti specifici: è tassativamente vietato l’uso di banche dati alimentate mediante lo scraping non mirato.

Responsabilità, reati e sanzioni per enti e aziende

Il decreto introduce inoltre specifiche fattispecie penali collegate all’impiego illecito di sistemi di IA ad alto rischio, oltre a estendere la responsabilità amministrativa degli enti in relazione ad alcuni reati connessi all’IA:

  • responsabilità penale (art. 437-bis c.p.): sul piano penale, l’introduzione dell’art. 437-bis c.p. sanziona la mancata adozione delle misure di sicurezza o della sorveglianza umana sui sistemi di AI ad alto rischio, oltre alla loro alterazione illecita:
  • omessa adozione di misure di sicurezza o sorveglianza umana: reclusione da 1 a 5 anni in caso di pericolo per la vita o l’incolumità pubblica o individuale; la pena sale da 2 a 8 anni se il pericolo riguarda la sicurezza dello Stato;
  • alterazione illecita dei sistemi: reclusione da 2 a 6 anni per pericolo all’incolumità pubblica o individuale, e da 3 a 10 anni se il pericolo riguarda la sicurezza dello Stato;
  • responsabilità amministrativa dell’ente (D.Lgs. 231/2001, art. 25-vicies): inserimento dei reati legati all’IA tra i reati presupposto del D.Lgs. 231/2001, con sanzioni pecuniarie da 600 a 1.000 quote e l’applicazione di misure interdittive per l’azienda;
  • sanzioni per deepfake illeciti: il decreto estende la responsabilità amministrativa degli enti anche al reato di diffusione illecita di contenuti generati o alterati con l’IA, prevedendo sanzioni da 200 a 700 quote;
  • responsabilità civile e risarcimento (art. 18): prevede, nei casi stabiliti dalla legge, una presunzione del nesso causale tra la violazione di determinati obblighi dell’AI Act e il danno, salvo prova contraria.

Cosa cambia per le aziende: identità digitale sicura e tracciabile

Per un’azienda che gestisce l’onboarding, il primo passo consiste nel distinguere tra verifica e identificazione.

Il confronto one-to-one tra il volto dell’utente e la foto del documento rientra nella semplice verifica biometrica. Pur escluso dalle restrizioni ad alto rischio dell’AI Act, questo trattamento resta pienamente soggetto alle tutele dell’articolo 9 del GDPR.

Sono quindi necessari una base giuridica, un’informativa chiara, la minimizzazione dei dati, tempi di conservazione definiti e, nei trattamenti su larga scala, la valutazione d’impatto.

Per i sistemi soggetti agli specifici obblighi dell’AI Act, assumono inoltre rilievo la documentazione, la registrazione delle operazioni, la supervisione umana e le misure di sicurezza previste dalla disciplina applicabile.

Verifica biometrica e identità digitale: le soluzioni InfoCert

Un’identità digitale sicura richiede la certezza che il documento sia autentico, che il volto appartenga al titolare e che davanti alla telecamera ci sia una persona reale, dato che deepfake, foto manipolate e video sintetici vengono usati per superare i controlli.

Un processo a più livelli di verifica produce piena tracciabilità e riduce i tentativi di frode.

Tinexta Infocert mette a disposizione tecnologie basate sull’Intelligenza Artificiale che permettono di verificare l’identità dei clienti in modo rapido, con sistemi anti-tampering e anti-frode.

L’analisi documentale automatica comprende l’OCR, che estrae il testo da immagini e documenti e riduce gli errori nella raccolta dei dati personali, l’NFC, che legge le informazioni dal chip dei documenti elettronici con dati non manipolabili, e la Presentation Attack Detection, che genera un punteggio di attendibilità del documento a tutela dalle frodi.

Per quanto riguarda la verifica biometrica, la passive liveness detection basata su AI accerta che il volto analizzato sia reale senza richiedere alcuna azione, mentre l’active liveness detection guida la persona nell’esecuzione di semplici movimenti per rilevare e contrastare tentativi di frode basati su foto, video o riproduzioni digitali. A questo processo si affianca il face matching, che confronta le caratteristiche del volto con il documento di riconoscimento dell’utente.

L’architettura si completa con TOP AI-KNOW per una verifica avanzata dell’identità tramite algoritmi di deep learning e con la piattaforma proprietaria di video identificazione e collaborazione remota, integrabile nei sistemi aziendali tramite API.

In questo modo, TOP – Trusted Onboarding Platform™ consente di configurare l’onboarding su misura per ciascuna organizzazione, permettendo di identificare gli utenti nella modalità preferita: da remoto, dal vivo o utilizzando un’identità già esistente, con processi personalizzabili in base alle specifiche esigenze operative.

FAQ – Dati biometrici e AI: nuove regole per sicurezza e privacy

Qual è la differenza tra identificazione e verifica biometrica?

L’identificazione biometrica confronta un dato con una banca dati per stabilire l’identità di una persona sconosciuta. La verifica biometrica confronta invece i dati dell’utente con un modello di riferimento, al solo fine di confermare che la persona sia effettivamente chi dichiara di essere.

I sistemi biometrici remoti sono sempre vietati dall’AI Act?

No. L’AI Act vieta l’identificazione biometrica remota in tempo reale negli spazi pubblici usata dalle forze dell’ordine, salvo eccezioni giudiziarie. L’identificazione remota a posteriori e in altri contesti ammessi è classificata ad alto rischio, mentre la semplice verifica biometrica non rientra tra i sistemi ad alto rischio.

Quali sono le novità del D.Lgs. 160/2026 per la protezione dei dati biometrici?

Il decreto adegua l’ordinamento italiano all’AI Act regolando l’uso dell’IA nella polizia e definendo rigide responsabilità. Introduce l’art. 437-bis c.p. che sanziona, con la reclusione fino a 8 anni, l’omessa adozione di misure di sicurezza sui sistemi ad alto rischio e integra la responsabilità amministrativa degli enti ex D.Lgs. 231/2001.

In che modo il GDPR tutela il trattamento dei dati biometrici?

Inquadrati dall’articolo 9 come categorie particolari di dati, i dati biometrici sono soggetti a divieto generale di trattamento, salvo specifiche eccezioni come il consenso o norme di legge. L’azienda deve individuare la base giuridica, applicare la minimizzazione dei dati e svolgere una valutazione d’impatto (DPIA) per i trattamenti su larga scala.

Quali soluzioni offre Tinexta Infocert per la verifica dell’identità in sicurezza?

Tinexta Infocert mette a disposizione TOP (Trusted Onboarding Platform™), un ecosistema basato su IA che combina OCR, verifica chip NFC, liveness detection, face matching e algoritmi di deep learning (TOP AI-KNOW) per prevenire le frodi e garantire onboarding sicuri da remoto e dal vivo.