Decreti AI Act approvati: quali condizioni del Garante sono passate e cosa resta vietato ai Comuni

Aggiornamento. Questo articolo aggiorna il nostro “Riconoscimento facciale nei luoghi pubblici, il governo accelera sul decreto AI Act” del 31 luglio 2026, che dava conto dello schema di decreto e dei pareri del Garante. Il quadro è cambiato con l’approvazione definitiva del 4 agosto e qui ricostruiamo che cosa è stato accolto e che cosa no. I decreti non sono ancora pubblicati in Gazzetta Ufficiale: torneremo ad aggiornare questo articolo appena il testo sarà disponibile, perché diversi punti potranno essere confermati o corretti soltanto allora.

 

Il 4 agosto 2026, nella seduta n. 185, il Consiglio dei ministri ha approvato in esame definitivo i due decreti legislativi che adeguano l’ordinamento italiano al Regolamento (UE) 2024/1689, in attuazione della delega dell’art. 24 della legge 23 settembre 2025, n. 132. Il primo riguarda l’impiego dell’intelligenza artificiale nelle attività di polizia e la responsabilità civile e penale, il secondo i poteri delle autorità nazionali e l’uso dell’IA nella formazione, nel lavoro, nella sanità e nella pubblica amministrazione. I testi erano usciti in esame preliminare il 10 giugno e sono tornati a Palazzo Chigi dopo i pareri parlamentari e quelli del Garante per la protezione dei dati personali.

Prima di entrare nel merito conviene mettere in chiaro una cosa, perché in questi giorni se ne leggono di tutti i colori. I decreti sono approvati ma non ancora pubblicati in Gazzetta Ufficiale, quindi non sono in vigore e il testo integrale non è consultabile. Quello che segue si basa sul comunicato ufficiale del Consiglio dei ministri, sui due pareri del Garante, che invece sono pubblici e leggibili per intero, e su ricostruzioni concordanti. Sul testo definitivo bisognerà tornare, e lo faremo aggiornando questo stesso articolo.

Detto questo, il significato politico e giuridico dell’operazione è più profondo di quanto i titoli lascino intendere. Il Regolamento europeo vieta l’identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico a fini di attività di contrasto, salvo le tre eccezioni tassative dell’art. 5, par. 1, lett. h), e subordina quelle eccezioni a una condizione ulteriore, ovvero che lo Stato membro abbia adottato una legge nazionale che ne definisca procedure di autorizzazione e autorità competenti. L’Italia quella legge non l’aveva, e la conseguenza pratica era che l’identificazione biometrica in tempo reale, da noi, non era utilizzabile in nessun caso. I decreti approvati il 4 agosto sono precisamente quella legge. Non stiamo quindi parlando di un ritocco tecnico, ma dell’atto che apre in Italia una possibilità finora chiusa, e questo spiega perché il confronto in Parlamento sia stato così acceso e perché valga la pena leggere con attenzione quali garanzie il Governo abbia deciso di stringere e quali no.

 

Il metro di giudizio: le condizioni poste dal Garante

Il 14 luglio il Garante si è pronunciato con due distinti pareri, resi pubblici il 29 luglio, entrambi favorevoli ma condizionati. Il parere n. 531 riguarda i Titoli I e III dello schema sull’attività di polizia, trasmesso alle Camere come Atto del Governo n. 418, ed è reso ai sensi dell’art. 24, comma 2, del d.lgs. 18 maggio 2018, n. 51; il parere n. 532 riguarda lo schema su poteri delle autorità e formazione, Atto del Governo n. 421, ed è reso ai sensi dell’art. 36, par. 4, del Regolamento. Sono pareri obbligatori ma non vincolanti, il che li rende un ottimo termometro, perché ciò che il Governo ha scelto di accogliere e ciò che ha lasciato cadere dice più di qualunque commento.

Una avvertenza di metodo, però, è doverosa. Il confronto è possibile soltanto sulla base di ciò che il comunicato ufficiale dichiara di aver modificato, e un comunicato non elenca quello che ha lasciato com’era. Dove nella tabella si legge che una richiesta non è desumibile dal comunicato, quindi, non si sta dicendo che sia stata respinta, ma solo che oggi non è possibile stabilirlo.

 

Richiesta del Garante	Contenuto	Esito ricostruibile
Sostituire la “revisione umana qualificata” con la “sorveglianza umana” (parere n. 531, condizione a)	Allineamento all’art. 14 del Regolamento, che comprende tecniche ulteriori rispetto alla mera revisione	ACCOLTA. Il comunicato descrive il decreto come fondato sulla sorveglianza e sulla responsabilità umana, e dà atto di una previsione autonoma dedicata all’utilizzatore professionale che ometta intenzionalmente di adottare misure di sorveglianza umana
Vietare anche il semplice utilizzo di dati operativi sensibili per ricerca e sperimentazione, ammettendo dati sintetici o mascherati (parere n. 531, condizione b)	La sostituzione con dati sintetici presuppone una valutazione della loro rappresentatività; per i dati reali servono masking o pseudonimizzazione sotto opportune garanzie	ACCOLTA. Il comunicato dà atto della precisazione delle modalità di trattamento dei dati operativi sensibili per le attività di ricerca e sperimentazione. Se la soluzione adottata sia quella suggerita dall’Autorità si vedrà sul testo
Chiarire i ruoli privacy dei soggetti coinvolti nel flusso informativo e di quelli cui sono attribuite installazione e manutenzione dei sistemi (parere n. 531, condizione b)	Il Garante rileva che lo schema omette di disciplinare titolarità e responsabilità dei trattamenti ai sensi degli artt. 24 e 28 del GDPR	NON DESUMIBILE dal comunicato, che sul punto si limita ad assicurare la partecipazione degli enti territoriali con modalità pattizie proprie, senza dire nulla sui ruoli privacy. È la questione più rilevante per gli enti locali
Requisiti di qualità della banca dati di riferimento, misure di sicurezza, tempi di cancellazione e non incrementalità del set di confronto per l’identificazione in tempo reale (parere n. 531, condizione d)	Il set di confronto deve essere specifico per ciascun utilizzo autorizzato e non può crescere di autorizzazione in autorizzazione	ACCOLTA, ma su un istituto diverso. Il comunicato colloca requisiti minimi, obblighi di cancellazione e garanzie di non incrementabilità nella disciplina del riconoscimento facciale a posteriori. Se la stessa garanzia valga anche per l’identificazione in tempo reale va verificato sul testo
Circoscrivere le deroghe all’obbligo di cancellazione dei dati acquisiti illegittimamente (parere n. 531, condizione d)	La deroga generica fondata su un’altra base giuridica depotenzia le tutele del d.lgs. n. 51/2018	NON DESUMIBILE dal comunicato
Affiancare alla valutazione d’impatto dell’art. 27 del Regolamento quella prevista dagli artt. 23 e 24 del d.lgs. n. 51/2018 (parere n. 531, condizione e)	I due adempimenti sono distinti e il richiamo alla sola norma europea non copre quello nazionale	NON DESUMIBILE dal comunicato
Elaborazione dei dati biometrici solo ex post sulle tracce registrate, e richiamo espresso alle garanzie antidiscriminatorie dell’art. 8 del d.lgs. n. 51/2018 (parere n. 531, condizione f)	Serve a evitare la profilazione di tutti i presenti in luoghi affollati come stadi, concerti, stazioni e grandi eventi	ACCOLTA nella sostanza, quanto al primo profilo, secondo ricostruzioni concordanti: nei luoghi con esigenze di ordine pubblico le immagini si registrano senza elaborazione biometrica preventiva e il riconoscimento si attiva solo dopo un reato, per confermare l’identità di persone già indiziate. Sul richiamo antidiscriminatorio nulla risulta
Divieto espresso di banche dati ottenute mediante scraping non mirato anche nel nuovo mezzo di ricerca della prova (parere n. 531, condizione g)	Pratica già vietata dall’art. 5, par. 1, lett. e), del Regolamento	INDICAZIONI CONCORDANTI di recepimento. È stato dichiarato il divieto di utilizzare banche dati alimentate con immagini raccolte online; l’estensione alla norma processuale va verificata sul testo
Estendere al Garante il potere di adottare linee guida, raccomandazioni e buone pratiche (parere n. 532, condizione 1)	Il potere è riconosciuto alle autorità per l’IA e a quelle finanziarie, non all’Autorità di protezione dei dati	ACCOLTA IN PARTE. Il comunicato dà atto in entrambi i decreti che i poteri del Garante sono stati esplicitati, nel secondo limitatamente ai sistemi impiegati nelle attività di contrasto, in materia di migrazione e asilo e nella gestione del controllo delle frontiere. Del potere di adottare linee guida e raccomandazioni non si fa però menzione
Associare il Garante agli spazi di sperimentazione che comportano trattamento di dati personali (pareri n. 531, condizione c, e n. 532, condizione 4)	Richiesta fondata sull’art. 57, par. 10, del Regolamento, con l’ulteriore suggerimento di attribuire all’Autorità il potere di istituirli negli ambiti di sua competenza	ACCOLTA. Il comunicato dà espressamente atto del coinvolgimento del Garante negli spazi di sperimentazione normativa. Resta da verificare sul testo se il coinvolgimento riguardi entrambi i decreti e se all’Autorità sia stato attribuito anche il potere di istituirli
Rinviare all’art. 166 del Codice privacy per il procedimento sanzionatorio, compresa la destinazione dei proventi (parere n. 532, condizione 2)	Evita sovrapposizioni fra la disciplina sanzionatoria dell’IA e quella in materia di dati personali	NON DESUMIBILE dal comunicato
Precisare quale opzione dell’art. 31, par. 9, del Regolamento si intenda adottare quanto alla responsabilità per la valutazione di conformità (parere n. 532, condizione 3)	La questione nasce dal fatto che il Garante, per effetto dell’art. 74, par. 8, si trova ad operare come organismo notificato	NON DESUMIBILE dal comunicato
Estendere il divieto di decisione unicamente automatizzata anche alle decisioni valutative sul lavoro (parere n. 532, osservazione)	Valutazioni di performance, punteggi, avanzamenti e assegnazione di mansioni incidono sul rapporto anche quando non lo risolvono	NON ACCOLTA. Il testo definitivo si muove in direzione opposta, precisando che non rientrano fra le decisioni finali sulla costituzione del rapporto le attività di ricerca e selezione delle candidature, anche quando comportino la mancata ammissione alle fasi successive

Fonte: pareri del Garante n. 531 e n. 532 del 14 luglio 2026, doc. web 10275606 e 10275626, resi pubblici con la newsletter n. 550 del 29 luglio 2026; comunicato stampa del Consiglio dei ministri n. 185 del 4 agosto 2026; Regolamento (UE) 2024/1689.

 

Se ne ricava un disegno abbastanza leggibile, e più generoso verso l’Autorità di quanto la cronaca abbia raccontato. Il Governo ha stretto le maglie dove il rischio di sorveglianza indiscriminata era più visibile, cioè sulle banche dati di confronto e sull’elaborazione biometrica preventiva nei luoghi affollati, ma ha anche accolto due richieste di sistema che il Garante teneva molto, ovvero il proprio coinvolgimento negli spazi di sperimentazione e la disciplina dei dati operativi sensibili usati per ricerca e addestramento. Restano fuori, almeno stando al comunicato, le richieste che avrebbero ampliato i poteri dell’Autorità, a partire da quella di poter adottare linee guida e raccomandazioni. Sul lavoro, invece, la distanza è netta e va detta senza giri di parole, perché il decreto esclude espressamente dalle decisioni finali la ricerca e selezione dei candidati, mentre il Garante chiedeva esattamente il contrario, cioè di allargare il divieto anche alle valutazioni.

Sarebbe però un errore trarne la conclusione che lo screening automatizzato dei curricula sia ora terreno libero. Non ricadere nel divieto posto dal decreto non significa uscire dal GDPR, che continua a chiedere informativa, base giuridica, valutazione d’impatto quando il trattamento è sistematico e su larga scala, e che all’art. 22 pone una disciplina delle decisioni automatizzate che vive per conto proprio. La differenza è di perimetro, non di sostanza.

Chi si occupa di modelli organizzativi farà bene a fermarsi su un altro punto, che nella cronaca è passato sotto silenzio. Lo schema estende il catalogo dei reati presupposto della responsabilità degli enti, introducendo nel d.lgs. 8 giugno 2001, n. 231, un articolo dedicato ai reati commessi con l’uso di sistemi di intelligenza artificiale, che comprende il nuovo art. 437-bis del Codice penale e il reato di illecita diffusione di contenuti generati o manipolati artificialmente introdotto dalla legge n. 132/2025. Per chi ha un Modello 231 significa rimettere mano all’analisi dei rischi e alle procedure, ed è probabilmente l’adempimento più costoso fra quelli in arrivo.

 

Il punto che riguarda davvero i Comuni

Qui si concentra l’aspetto più delicato e, curiosamente, il meno raccontato. Fra le modifiche introdotte nel decreto sulle attività di polizia dopo i pareri, il comunicato del Consiglio dei ministri ne segnala una che riguarda direttamente gli enti locali, e vale la pena riportarla alla lettera. È stata assicurata «la partecipazione degli enti territoriali, con modalità pattizie proprie, all’installazione e alla manutenzione delle componenti di intelligenza artificiale e delle tecnologie biometriche dei sistemi di videosorveglianza impiegati per il contrasto dei reati».

Tre parole reggono l’intero passaggio. La prima è “assicurata”, che dice come non si tratti di una possibilità eventuale, ma di un ruolo riconosciuto. La seconda è “enti territoriali”, formula che comprende i Comuni ed è più ampia di quella usata nell’altro decreto, dove il coinvolgimento è riferito alle sole Regioni e Province autonome. La terza è l’inciso “con modalità pattizie proprie”, che rimanda a strumenti convenzionali e quindi sposta la definizione concreta dell’assetto fuori dal decreto. E chi conosce le convenzioni fra Comuni e forze dell’ordine sa che è lì, in quelle poche pagine, che si decide davvero chi risponde di che cosa.

Il rischio, prevedibile, è che il passaggio venga letto come un via libera. Non lo è. La distinzione che regge tutto è quella fra chi possiede e mantiene l’impianto e chi decide finalità e mezzi del trattamento biometrico: un Comune che installa e manutiene le componenti non diventa per questo titolare del trattamento di riconoscimento facciale, né acquisisce il diritto di attivarlo per proprie finalità di sicurezza urbana. Vale la pena notare che è esattamente il nodo che il Garante aveva già segnalato nel parere n. 531, dove rilevava che lo schema ometteva di disciplinare titolarità e responsabilità dei trattamenti in capo ai soggetti cui sono attribuite installazione e manutenzione. Chi si troverà a negoziare quelle intese farebbe bene a partire proprio da lì, perché il Garante ha già scritto quale sia la domanda giusta.

Restano poi due limiti che nulla di questi giorni ha rimosso. Il primo è la moratoria dell’art. 9, comma 9, del d.l. 8 ottobre 2021, n. 139, che sospende installazione e utilizzo di impianti di videosorveglianza con sistemi di riconoscimento facciale operanti attraverso dati biometrici in luoghi pubblici o aperti al pubblico, tanto per le autorità pubbliche quanto per i privati. Il termine è stato riportato al 31 dicembre 2027 dalla legge di conversione del decreto Milleproroghe, pubblicata in Gazzetta Ufficiale il 28 febbraio 2026, dopo che era spirato a fine 2025. Ma la data, presa da sola, è fuorviante, perché la sospensione opera fino all’entrata in vigore di una disciplina legislativa della materia e comunque non oltre il 31 dicembre 2027. Sono due termini alternativi e vale il primo che si verifica.

La conseguenza è una domanda che diventerà presto ineludibile. I decreti approvati il 4 agosto sono, con ogni evidenza, la disciplina legislativa che la moratoria attendeva, ed è ragionevole attendersi che la loro entrata in vigore incida su di essa; in quale misura, però, lo diranno soltanto il testo e le sue disposizioni di coordinamento. Chi assiste amministrazioni metta questa verifica in cima all’agenda per il giorno della pubblicazione, senza allarmismi e senza entusiasmi. Va anche sgombrato il campo da un equivoco frequente: la sospensione riguarda i sistemi di riconoscimento facciale, non la videosorveglianza in quanto tale, tanto che il comma successivo esclude espressamente gli impianti che quei sistemi non li usano.

C’è infine l’eccezione, ed è la parte che a un Comune interessa di più. La sospensione non si applica ai trattamenti delle autorità competenti a fini di prevenzione e repressione dei reati o di esecuzione di sanzioni penali ai sensi del d.lgs. n. 51/2018, ma non è un’esenzione gratuita: serve il parere favorevole del Garante, reso ai sensi dell’art. 24, comma 1, lettera b), del medesimo decreto, mentre restano fuori dal meccanismo i trattamenti dell’autorità giudiziaria nell’esercizio delle funzioni giurisdizionali e di quelle giudiziarie del pubblico ministero. È un presupposto che nelle presentazioni commerciali di queste tecnologie non compare quasi mai, e che in caso di ispezione è la prima cosa che verrà chiesta.

Il secondo limite è quello che il Garante ha già scritto nero su bianco, con una sequenza ormai nutrita di ordinanze ingiunzione verso i Comuni. I casi che abbiamo commentato su queste pagine come Curtarolo e Orte fino alla recente vicenda di Vasto sulle telecamere semaforiche raccontano sempre la stessa storia: impianti installati senza una base giuridica adeguata, cartelli inidonei, valutazioni d’impatto arrivate tardi o mai fatte, finalità dichiarate diverse da quelle realmente perseguite. Nessuna di queste criticità viene sanata dai decreti del 4 agosto, e chi sperava che l’AI Act mettesse una pezza su vecchi problemi di conformità resterà deluso.

 

Chi può fare cosa, oggi

Soggetto	Cosa può fare	Cosa non può fare
Comune, come titolare della videosorveglianza urbana	Riprendere aree pubbliche per le finalità istituzionali previste dalla legge, con base giuridica individuata, informativa conforme, valutazione d’impatto e tempi di conservazione definiti e rispettati. La sospensione non tocca gli impianti privi di riconoscimento facciale	Installare o utilizzare impianti con riconoscimento facciale operante mediante dati biometrici in luoghi pubblici o aperti al pubblico, salvo che ricorra l’eccezione riservata alle autorità competenti e assistita dal parere favorevole del Garante; usare le riprese per finalità ulteriori non dichiarate
Comune, come proprietario e manutentore dell’impianto	Partecipare all’installazione e alla manutenzione delle componenti di IA e delle tecnologie biometriche collegate ai sistemi impiegati per il contrasto dei reati, secondo le modalità pattizie che dovranno essere definite	Assumere di poter accedere ai dati biometrici o attivare le funzioni di riconoscimento in assenza di una disciplina convenzionale che lo preveda e che individui ruoli e responsabilità ai sensi degli artt. 24 e 28 del GDPR
Polizia locale	Operare secondo le regole ordinarie della videosorveglianza urbana e, quando agisce come autorità competente, nel quadro del d.lgs. n. 51/2018	Utilizzare in autonomia sistemi di riconoscimento facciale al di fuori dei presupposti, delle autorizzazioni e del parere favorevole previsti dalla legge
Forze di polizia, nel nuovo quadro	Impiegare l’identificazione biometrica remota in tempo reale nei soli casi previsti dall’art. 5, par. 1, lett. h), del Regolamento, previa autorizzazione, e il riconoscimento facciale a posteriori dopo un reato per confermare l’identità di persone già indiziate	Costituire banche dati biometriche mediante raccolta massiva e non mirata dal web; alimentare il set di confronto in modo incrementale; elaborare biometricamente in via preventiva le immagini di tutti i presenti

Fonte: Regolamento (UE) 2024/1689, art. 5; art. 9, commi 9, 10 e 12, del d.l. 8 ottobre 2021, n. 139, nel testo vigente; comunicato del Consiglio dei ministri n. 185 del 4 agosto 2026; provvedimenti del Garante in materia di videosorveglianza comunale. Il quadro va aggiornato alla pubblicazione dei decreti in Gazzetta Ufficiale.

 

Un ultimo elemento aiuta a misurare la temperatura del dibattito. Il 30 luglio un portavoce della Commissione europea ha ricordato pubblicamente, rispondendo a una domanda sul provvedimento italiano, che il riconoscimento facciale negli spazi accessibili al pubblico è una pratica vietata dall’AI Act, e nelle stesse ore la commissione Politiche dell’Unione europea della Camera rinviava il voto sul parere. Il quadro europeo, in effetti, resta di divieto con eccezioni tassative, quelle dell’art. 5, par. 1, lett. h), assistite dalle garanzie dei paragrafi successivi, fra cui l’autorizzazione preventiva di un’autorità giudiziaria o di un’autorità amministrativa indipendente e l’obbligo di notifica. La scelta italiana di affidare l’autorizzazione al pubblico ministero nella fase preventiva, e al giudice per le indagini preliminari nel procedimento penale, si muove dentro quello schema. Se il pubblico ministero soddisfi la nozione europea di autorità giudiziaria ai fini di quella norma è però esattamente ciò di cui si discute, e sarebbe imprudente darlo per pacifico oggi.

 

Le altre novità utili a chi si occupa di compliance

Novità	Perché conta
Governance nazionale: AgID autorità di notifica, ACN autorità di vigilanza del mercato, competenze settoriali di Banca d’Italia, Consob e IVASS sui sistemi ad alto rischio in ambito finanziario e del Garante, nei limiti dell’art. 74, par. 8, del Regolamento, sui sistemi impiegati nelle attività di contrasto, nella gestione delle frontiere, nella giustizia e nei processi democratici	Definisce a chi rivolgersi e chi potrà esercitare poteri ispettivi e sanzionatori, superando l’incertezza dei mesi scorsi
Posizione autonoma dell’utilizzatore professionale di sistemi ad alto rischio che ometta intenzionalmente di adottare misure di sorveglianza umana	Sposta il baricentro dalla teoria alla prova: occorre poter dimostrare, con documentazione tracciabile, chi sorveglia il sistema e come
Nuovo art. 437-bis del Codice penale su omessa adozione di misure di sicurezza e alterazione illecita dei sistemi ad alto rischio	Introduce un rischio penale che si somma a quello amministrativo e che riguarda anche l’utilizzo professionale, non solo la produzione
Estensione del catalogo dei reati presupposto del d.lgs. n. 231/2001 ai reati commessi con l’uso di sistemi di intelligenza artificiale, fra cui il nuovo art. 437-bis c.p. e l’illecita diffusione di contenuti generati o manipolati artificialmente	Impone la revisione dell’analisi dei rischi e delle procedure nei Modelli 231 già adottati, con impatto organizzativo probabilmente superiore a quello di ogni altra novità del pacchetto
Rafforzamento della tutela civile del danneggiato, con accesso alla documentazione tecnica, presunzione del nesso di causalità, foro alternativo e azione diretta verso l’assicurazione	La documentazione tecnica del sistema diventa materiale processuale: va prodotta e conservata pensando che qualcuno potrà chiederla in giudizio
Divieto di decisioni unicamente automatizzate su costituzione, modifica e risoluzione del rapporto di lavoro, con nullità del licenziamento adottato in violazione	Obbligo immediato di verifica dei processi HR, anche là dove l’automazione è nascosta in uno strumento gestionale
Quadro sanzionatorio graduato, con limiti massimi inferiori a quelli europei e misure non pecuniarie per le violazioni di scarsa offensività	Riduce l’esposizione economica ma non l’onere organizzativo, perché le misure non pecuniarie incidono comunque sull’operatività
Spazi di sperimentazione anticipati, con trattamento preferenziale per PMI e imprese in fase di avvio	Apre una strada concreta per sperimentare in sicurezza, che vale la pena valutare prima che i posti si esauriscano

Fonte: comunicato stampa del Consiglio dei ministri n. 185 del 4 agosto 2026.

 

Cosa fare adesso

Azione	Chi la governa	Quando
Censire i sistemi di IA in uso, distinguendo finalità, ruolo dell’ente o dell’impresa e classe di rischio	Titolare, con DPO e IT	Subito
Nei Comuni, rivedere il progetto di videosorveglianza e verificare se l’impianto abbia o possa avere funzioni di riconoscimento facciale, anche solo attivabili da remoto dal fornitore	Comando di polizia locale e ufficio tecnico, con il DPO	Subito, e comunque prima di ogni nuovo affidamento
Prima di sottoscrivere intese sull’installazione o la manutenzione di componenti biometriche, definire per iscritto ruoli, titolarità, profili di accesso e tracciamento ai sensi degli artt. 24 e 28 del GDPR	Segretario o dirigente competente, con il DPO	Prima della firma di qualsiasi convenzione
Verificare che nessuna decisione su assunzione, modifica o cessazione del rapporto sia adottata unicamente su base automatizzata, e documentare l’intervento umano	Direzione del personale	Subito
Aggiornare informative, registro dei trattamenti e valutazioni d’impatto per gli usi di IA, inclusi gli strumenti di selezione dei candidati. Per le autorità competenti, ricordare che la valutazione del d.lgs. n. 51/2018 è adempimento distinto da quella dell’art. 27 del Regolamento	DPO e uffici titolari	Entro la prossima campagna di selezione
Formalizzare la sorveglianza umana sui sistemi ad alto rischio, con tracciabilità delle verifiche e individuazione nominativa dei responsabili	Responsabile del sistema e IT	Prima dell’entrata in vigore dei decreti
Avviare la revisione del Modello 231 in vista dell’ingresso dei reati commessi con l’uso di sistemi di intelligenza artificiale fra i reati presupposto	Organismo di vigilanza e direzione	Dalla pubblicazione dei decreti
Nei capitolati di gara, inserire clausole che vietino l’attivazione di funzioni biometriche non autorizzate e che impongano al fornitore la conformità all’AI Act	Stazione appaltante	Da subito, su ogni nuova procedura
Monitorare la pubblicazione in Gazzetta Ufficiale, i termini di adeguamento dei sistemi già in uso e l’effetto dei decreti sulla moratoria	DPO	Verifica mensile

Fonte: elaborazione iSimply.

 

Il filo che tiene insieme tutte queste voci è sempre lo stesso. La conformità non si dimostra dichiarando di usare l’intelligenza artificiale in modo responsabile, ma esibendo le carte che provano chi ha deciso, sulla base di quali informazioni e con quali controlli. Per un Comune questo si traduce in un’indicazione molto concreta: la partecipazione all’installazione di infrastrutture biometriche va regolata per iscritto prima di firmare, stabilendo chi accede a cosa, con quali profili e con quale tracciamento. Perché la mancata definizione dei ruoli non fa sparire le responsabilità, le rende soltanto incerte, e l’incertezza, quando arriva un reclamo, non ha mai giocato a favore dell’ente. Chi ha già impostato un sistema di gestione strutturato, per esempio secondo la ISO/IEC 42001, parte avvantaggiato, perché buona parte della documentazione richiesta è la stessa.

 

Come seguiremo la vicenda. Questo articolo è il seguito del nostro approfondimento del 31 luglio sullo schema di decreto e sui pareri del Garante, e non è l’ultima parola. Alla pubblicazione dei decreti in Gazzetta Ufficiale torneremo qui per verificare i punti oggi ricostruiti dal solo comunicato, in particolare la sorte delle condizioni che non risultano accolte, la disciplina dei ruoli privacy nelle convenzioni con gli enti locali e l’effetto dei decreti sulla moratoria. Chi vuole essere avvisato dell’aggiornamento può iscriversi alla nostra newsletter.

 

Enrico Capirone – Presidente iSimply srl, DPO

 

Fonte ufficiale: Presidenza del Consiglio dei ministri, comunicato stampa del Consiglio dei ministri n. 185 del 4 agosto 2026 – https://www.governo.it/it/articolo/comunicato-stampa-del-consiglio-dei-ministri-n-185/32468

Garante per la protezione dei dati personali, parere n. 531 del 14 luglio 2026 – https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10275606

Garante per la protezione dei dati personali, parere sullo schema in materia di poteri delle autorità nazionali e formazione, 14 luglio 2026 – https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10275626

 

 

Nota di trasparenza sull’uso dell’intelligenza artificiale (art. 50 del Regolamento (UE) 2024/1689). Questo contenuto è redatto con il supporto di strumenti di IA generativa (attualmente ChatGPT, NotebookLM, Claude). Ogni contenuto è sottoposto a revisione umana sostanziale, con notizie selezionate dalla redazione di iSimply, che verifica riferimenti, provvedimenti, importi, date e link sulle fonti ufficiali prima della pubblicazione. La responsabilità editoriale è di iSimply srl, nella persona del presidente Enrico Capirone. Ricorrendo revisione umana e responsabilità editoriale, il testo rientra nell’eccezione prevista dall’art. 50, par. 4, del Regolamento; rendiamo comunque nota questa informazione come scelta volontaria di trasparenza. La stessa chiarezza che dal 2 agosto 2026 la norma chiede a chi usa l’intelligenza artificiale è quella che vogliamo offrire per primi ai nostri lettori.