AI in bozza il decreto attuativo: AI e polizia e responsabilità civile

Schema di decreto legislativo: adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 del parlamento europeo e del consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale, in materia di utilizzo dei sistemi di intelligenza artificiale per l’attività di polizia e di responsabilità civile e penale

IL PRESIDENTE DELLA REPUBBLICA

VISTI gli articoli 76 e 87 della Costituzione;

VISTA la legge 23 agosto 1988, n. 400 recante «Disciplina dell'attività di Governo e ordinamento della Presidenza del Consiglio dei Ministri» e, in particolare, l’articolo 14;

VISTA la legge 24 dicembre 2012, n. 234, recante «Norme generali sulla partecipazione dell’Italia all’attuazione della normativa e delle politiche dell’Unione europea»;

VISTA la legge 23 settembre 2025, n. 132, recante «Disposizioni e deleghe al Governo in materia di intelligenza artificiale» e, in particolare, l’articolo 24, comma 1, comma 2, lettera h), comma 3 e comma 5;

VISTO il Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale e modifica i regolamenti (CE) n. 300/2008, (UE) n. 167/2013, (UE) n. 168/2013, (UE) 2018/858, (UE) 2018/1139 e (UE) 2019/2144 e le direttive 2014/90/UE, (UE) 2016/797 e (UE) 2020/1828 (regolamento sull’intelligenza artificiale);

VISTO il regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE concernente regolamento generale sulla protezione dei dati;

VISTA la direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei Dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati;

VISTA la direttiva (UE) 2024/2853 del Parlamento europeo e del Consiglio, del 23 ottobre 2024, sulla responsabilità per danno da prodotti difettosi e che abroga la direttiva 85/374/CEE del Consiglio;

VISTO il codice in materia di protezione dei Dati personali adottato con decreto legislativo 30 giugno 2003, n. 196;

VISTO il decreto legislativo 18 maggio 2018, n. 51, di attuazione della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei Dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio;

VISTO il decreto del Presidente della Repubblica 15 gennaio 2018, n. 15, concernente «regolamento a norma dell'articolo 57 del decreto legislativo 30 giugno 2003, n. 196, recante l'individuazione delle modalità di attuazione dei principi del Codice in materia di protezione dei Dati personali relativamente al trattamento dei dati effettuato, per le finalità di polizia, da organi, uffici e comandi di polizia»;

VISTA la legge 1° aprile 1981, n. 121, recante il nuovo ordinamento dell’Amministrazione della pubblica sicurezza;

VISTO il decreto legislativo 19 agosto 2016, n. 177, recante «disposizioni in materia di razionalizzazione delle funzioni di polizia e assorbimento del Corpo forestale dello Stato, ai sensi dell'articolo 8, comma 1, lettera a), della legge 7 agosto 2015, n. 124, in materia di riorganizzazione delle amministrazioni pubbliche»;

VISTO il decreto legislativo 15 marzo 2010, n. 66, recante «Codice dell’ordinamento militare» e, in particolare, il Libro primo, Titolo IV, Capo V, in materia di compiti e attribuzioni dell’Arma dei carabinieri;

VISTA la legge 23 aprile 1959, n. 189, recante «Ordinamento del corpo della Guardia di finanza»;

VISTO il decreto del Presidente della Repubblica 29 gennaio 1999, n. 34, recante «Regolamento recante norme per la determinazione della struttura ordinativa del Corpo della Guardia di finanza, ai sensi dell’articolo 27, commi 3 e 4, della legge 27 dicembre 1997, n. 449»;

VISTO il decreto legislativo 19 marzo 2001, n. 68, recante adeguamento dei compiti del Corpo della Guardia di finanza, a norma dell'articolo 4 della legge 31 marzo 2000, n. 78;

VISTO il regio decreto 19 ottobre 1930, n. 1398, recante «Approvazione del testo definitivo del codice penale»;

VISTO il regio decreto 16 marzo 1942, n. 262, recante «Approvazione del testo del Codice civile», e in particolare gli articoli 2050 e 2051;

VISTO il regio decreto 28 ottobre 1940, n. 1443, recante «Codice di procedura civile», e in particolare l'articolo 116;

VISTO il decreto del Presidente della Repubblica 22 settembre 1988, n. 447, recante «Approvazione del codice di procedura penale»;

VISTO il decreto legislativo 28 luglio 1989, n. 271, recante «Norme di attuazione, di coordinamento e transitorie del codice di procedura penale»;

VISTO il decreto legislativo 8 giugno 2001, n. 231, recante «Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica, a norma dell'articolo 11 della legge 29 settembre 2000, n. 300»;

VISTA la preliminare deliberazione del Consiglio dei ministri, adottata nella riunione del ...;

ACQUISITO il parere del Garante per la protezione dei dati personali;

ACQUISITO il parere della Conferenza unificata di cui all’articolo 8 del decreto legislativo 28 agosto 1997, n. 281;

ACQUISITI i pareri delle competenti Commissioni parlamentari della Camera dei deputati e del Senato della Repubblica;

VISTA la deliberazione del Consiglio dei ministri, adottata nella riunione del …;

SULLA PROPOSTA del Presidente del Consiglio dei ministri e dei Ministri per gli affari europei, il PNRR e le politiche di coesione, dell’interno e della giustizia, di concerto con i Ministri degli affari esteri, della difesa, dell’economia e delle finanze;

Emana

il seguente decreto legislativo:

Titolo I

Utilizzo dei sistemi di intelligenza artificiale per l’attività di polizia

Capo I

Disposizioni generali

ART. 1

(Oggetto e finalità)

1. Il presente titolo reca disposizioni in materia di utilizzo di sistemi di intelligenza artificiale da parte degli organi, uffici e comandi delle Forze di Polizia, in relazione alle specifiche funzioni esercitate, coerentemente con le norme e i principi del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, e della legge 23 settembre 2025, n. 132.

2. Le disposizioni del presente titolo si applicano nel rispetto dei diritti fondamentali e delle libertà garantite dalla Costituzione, dalla Carta dei diritti fondamentali dell’Unione europea e dalla Convenzione per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, nonché dei principi di proporzionalità, di non discriminazione, di sorveglianza umana e di trasparenza di cui all’articolo 3 della legge 23 settembre 2025, n. 132.

3. Il presente titolo non produce nuovi obblighi rispetto a quelli previsti dal regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, per i sistemi e i modelli di intelligenza artificiale utilizzati nelle attività e per le finalità di polizia.

ART. 2

(Definizioni)

1. Ai fini del presente titolo, si intende per:

1. «regolamento IA»: il regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024;

2. «legge IA»: la legge 23 settembre 2025, n. 132, recante: «Disposizioni e deleghe al Governo in materia di intelligenza artificiale»;

3. «sistema di IA»: un sistema di intelligenza artificiale definito dall’articolo 3, punto 1), del regolamento (UE) 2024/1689;

4. «pratiche vietate»: le pratiche di IA vietate a norma dell’articolo 5 del regolamento (UE) 2024/1689;

5. «sistema di IA ad alto rischio»: un sistema di IA classificato ad alto rischio, conformemente all’articolo 6 del regolamento (UE) 2024/1689 in combinato disposto con il suo allegato III;

6. «categorie particolari di dati personali»: le categorie di dati di cui all’articolo 3, punto 37), del regolamento (UE) 2024/1689;

7. «dati relativi a condanne penali e reati»: i Dati personali di cui all’articolo 10 del regolamento (UE) 2016/679;

8. «profilazione»: la Profilazione quale definita all’articolo 3, punto 52), del regolamento (UE) 2024/1689;

9. «dati operativi sensibili»: i dati relativi ad attività di prevenzione, accertamento, indagine o perseguimento di reati, indicati dall’articolo 3, punto 38), del regolamento (UE) 2024/1689;

10. «output»: previsioni, contenuti, raccomandazioni o decisioni generate da un sistema di IA ai sensi dell’articolo 3, punto 1), del regolamento (UE) 2024/1689;

11. «scraping non mirato»: l’estrazione e la raccolta automatizzata e indiscriminata, su larga scala, mediante l’utilizzo di un sistema di intelligenza artificiale, di immagini facciali dalla rete internet o da filmati di telecamere a circuito chiuso, allo scopo di creare o ampliare banche dati di riconoscimento facciale;

12. «direttiva n. 680/2016»: la direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio del 27 aprile 2016;

13. «decreto legislativo n. 51 del 2018»: il decreto legislativo 18 maggio 2018, n. 51, di attuazione della direttiva (UE) 2016/680;

14. «Autorità nazionali per l’intelligenza artificiale»: l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN), ai sensi dell’articolo 20, comma 1, della legge 23 settembre 2025, n. 132;

15. «d.P.R. n. 15 del 2018»: il decreto del Presidente della Repubblica 15 gennaio 2018, n. 15 recante l’individuazione delle modalità di attuazione dei principi del Codice in materia di protezione dei Dati personali relativamente al trattamento dei dati effettuato, per le finalità di polizia, da organi, uffici e comandi di polizia;

16. «Garante»: il Garante per la protezione dei dati personali, istituito dal decreto legislativo 30 giugno 2003, n. 196;

17. «Forze di polizia»: le Forze di polizia di cui all'articolo 16 della legge 1° aprile 1981, n. 121;

18. «attività di polizia»: le attività di contrasto definite dall’articolo 3, punto 46), del regolamento (UE) 1689/2024, svolte, nell’esercizio delle rispettive attribuzioni e funzioni, dagli organi, uffici e comandi delle Forze di polizia;

19. «finalità di polizia»: i fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro le minacce alla sicurezza pubblica e la prevenzione delle stesse, richiamati nei punti 45) e 46) dell’articolo 3 del regolamento (UE) 1689/2024, e per i quali sono svolte le attività di polizia di cui alla lettera r);

2. Per quanto non espressamente previsto, si applicano le definizioni di cui all’articolo 2 della legge 23 settembre 2025, n. 132, e le definizioni di cui al regolamento (UE) 2024/1689.

Capo II

Disposizioni in materia di ricerca, sviluppo, addestramento, formazione, sperimentazione e utilizzo dei sistemi di intelligenza artificiale nelle attività di polizia

ART. 3

(Ricerca, sperimentazione, sviluppo, addestramento, convalida e utilizzo di sistemi e modelli di intelligenza artificiale per le attività di polizia)

1. La ricerca, la sperimentazione, lo sviluppo, l’addestramento, l'adozione, l'applicazione, la convalida e l’utilizzo di sistemi e modelli di intelligenza artificiale per le attività e le finalità delle Forze di polizia avvengono nel rispetto dei diritti fondamentali e delle libertà previste dalla Costituzione, del diritto dell’Unione europea e dei principi di cui all’articolo 3 della legge IA, secondo un approccio antropocentrico, proporzionato e fondato sul rischio, che tenga conto della classificazione dei sistemi di IA e delle diverse categorie di interessati.

2. Le attività di ricerca, sperimentazione, sviluppo e addestramento sono orientate al perseguimento della funzionalità e dell’affidabilità operativa dei sistemi e dei modelli di IA destinati a essere utilizzati dalle Forze di polizia, nella prospettiva di migliorare l’apporto tecnologico dell’intelligenza artificiale alle valutazioni e alle decisioni umane nella relativa attività.

3. Le Forze di polizia, in conformità con l’assetto istituzionale vigente e nell’ambito delle proprie competenze, utilizzano i sistemi e i modelli di intelligenza artificiale e i relativi output in funzione strumentale e di supporto alle relative attività di polizia, allo scopo di incrementarne l’efficacia e l’efficienza.

4. L’utilizzo dei sistemi e dei modelli di IA nell’attività di polizia, conformemente agli obblighi stabiliti dal regolamento IA, deve prevedere adeguate forme di revisione umana qualificata dei risultati delle elaborazioni automatiche prima del loro impiego in atti e provvedimenti incidenti sulla sfera giuridica degli interessati, nel rispetto dell’autonomia e delle sfere di competenza dei procedimenti decisionali degli appartenenti alle Forze di polizia. La revisione è effettuata da personale individuato dalle procedure interne di ciascuna Forza di polizia ed è documentata in modo da assicurarne la tracciabilità.

5. Le Forze di Polizia assicurano che per i sistemi di IA ad alto rischio la sorveglianza umana sia effettiva e conforme a quanto previsto dall'articolo 14 del regolamento (UE) 2024/1689 e che il personale preposto possieda le necessarie competenze e formazione al fine di prevenire e ridurre al minimo i rischi per la salute, la sicurezza e i diritti fondamentali.

6. Il trattamento di Dati personali nelle attività di cui al comma 1, incluse le categorie particolari di dati personali, i dati operativi sensibili e i dati relativi a condanne penali e reati nella disponibilità delle Forze di polizia in forza di norme di legge o regolamentari ovvero di atti amministrativi generali, è svolto nel rispetto della normativa in materia di protezione dei dati personali, di cui al decreto legislativo n. 51 del 2018, ferme restando le specifiche disposizioni dettate dal regolamento IA per i sistemi ad alto rischio e quelle contenute nel Capo III del presente titolo.

7. Le attività di cui al presente articolo sono effettuate senza nuovi od ulteriori obblighi rispetto a quanto disposto dal regolamento IA, ferme restando le esclusioni previste dallo stesso regolamento.

ART. 4

(Collaborazione nell’ambito della ricerca e sperimentazione scientifica finalizzata alla realizzazione di sistemi e modelli di intelligenza artificiale per l’attività di polizia)

1. Le Forze di polizia, nell’ambito di specifici progetti di ricerca e sperimentazione scientifica volti alla realizzazione di sistemi di intelligenza artificiale o di dispositivi che utilizzano tecnologie di intelligenza artificiale per l’attività di polizia, possono attivare collaborazioni con università, enti di ricerca e soggetti pubblici e privati, anche per il tramite di società in house o di società a totale partecipazione pubblica controllate dallo Stato, nel rispetto della disciplina dell’Unione europea in materia di concorrenza e di aiuti di Stato.

2. Il trattamento di dati per le finalità di cui al comma 1 è svolto nel rispetto della normativa in materia di protezione dei dati personali, con la previsione di apposite clausole che escludano, in particolare, la condivisione di dati operativi sensibili e l’acquisizione o l’utilizzazione, anche indirette, da parte dei soggetti con i quali sono attivate le collaborazioni, per finalità commerciali o per altre finalità non previste dalle predette collaborazioni, di sistemi di IA e delle relative risorse hardware e software o di dispositivi integrati con componenti di IA che siano stati addestrati per l’attività di polizia.

3. I rapporti di collaborazione di cui al comma 1 disciplinano espressamente la titolarità dei diritti di proprietà intellettuale, industriale e di sfruttamento economico dei risultati della ricerca, dei modelli derivati, dei dati di addestramento e del software, nel rispetto del codice della proprietà industriale di cui al decreto legislativo 10 febbraio 2005, n. 30, dell’articolo 64 del decreto del Presidente della Repubblica 11 luglio 1980, n. 382, e della normativa di settore applicabile. È in ogni caso assicurata la titolarità in capo alle Forze di polizia dei modelli addestrati su dati operativi sensibili.

ART. 5

(Sviluppo, realizzazione e prova di determinati sistemi di IA per finalità di polizia

nello spazio di sperimentazione normativa)

1. Il presente articolo costituisce base giuridica ai sensi dell’articolo 59, paragrafo 2, del regolamento IA, nonché del decreto legislativo n. 51 del 2018, per il trattamento di dati personali, inclusi i dati relativi a reati e le categorie particolari di dati di cui di cui all’articolo 3, punto 37), dello stesso regolamento, effettuato dalle Forze di polizia nell’ambito di spazi di sperimentazione normativa per l’intelligenza artificiale, quando tale trattamento è necessario per finalità di polizia.

2. La partecipazione delle Forze di polizia agli spazi di sperimentazione di cui al comma 1 è finalizzata allo sviluppo, alla realizzazione e alla prova di sistemi di IA, in particolare ad alto rischio, destinati alle attività di polizia, nel rispetto della protezione dei Dati personali e della tutela dei diritti e delle libertà fondamentali.

3. Negli spazi di cui al presente articolo, la sperimentazione avviene nel rispetto delle condizioni cumulativamente previste dall’articolo 59, paragrafo 1, del regolamento IA, ed è oggetto di collaborazione e raccordo, fermo restando la tutela dei dati operativi sensibili e l’esclusiva titolarità e responsabilità del trattamento degli stessi da parte delle amministrazioni competenti, con le Autorità nazionali per l’intelligenza artificiale.

4. Con regolamento adottato con decreto del Presidente del Consiglio dei ministri, su proposta delle Autorità nazionali per l’intelligenza artificiale, di concerto con il Ministro dell’Interno, sono definite le modalità di coordinamento tra lo spazio di sperimentazione di cui all’articolo 57 del regolamento IA e le attività del presente articolo.

ART. 6

(Formazione del personale di polizia)

1. Le Forze di polizia provvedono ad attivare, presso i rispettivi istituti di formazione, specifici corsi in materia di intelligenza artificiale applicata all’attività di polizia, secondo modalità stabilite da ciascuna amministrazione nell’ambito delle risorse disponibili a legislazione vigente.

2. I corsi di cui al comma 1 assicurano, in attuazione dell’articolo 4 del regolamento IA, il conseguimento dei seguenti risultati formativi minimi:

a) comprensione dei principi di funzionamento e delle potenzialità dei sistemi di intelligenza artificiale, con particolare riferimento alle loro applicazioni nell’attività di polizia;

b) conoscenza dei limiti, dei bias e degli errori dei sistemi di intelligenza artificiale, con specifica attenzione al riconoscimento biometrico ed all’analisi predittiva;

c) capacità di interpretazione critica degli output dei sistemi di intelligenza artificiale e consapevolezza del ruolo della sorveglianza umana qualificata;

d) consapevolezza delle implicazioni giuridiche, etiche e di responsabilità connesse all’utilizzo dei sistemi di intelligenza artificiale a fini di polizia, con specifico riferimento alla disciplina di cui al regolamento IA, al regolamento (UE) 2016/679 ed al decreto legislativo n. 51 del 2018;

e) consapevolezza dei rischi di cybersicurezza connessi all’utilizzo dei sistemi di intelligenza artificiale, anche con riferimento alle indicazioni dell’Agenzia per la cybersicurezza nazionale.

3. I risultati formativi di cui al comma 2, lettere b), c) ed e), sono assicurati nell’ambito degli specifici corsi concernenti i sistemi di IA ad alto rischio in uso nelle attività di polizia ovvero destinati a essere utilizzati nelle medesime attività.

Capo III

Sistemi di intelligenza artificiale utilizzati nell’attività di polizia per l’etichettatura, il filtraggio e la categorizzazione di dati biometrici, per l’identificazione biometrica remota in tempo reale per finalità di prevenzione o di protezione e per il riconoscimento facciale a posteriori a fini di contrasto dei reati

ART. 7

(Etichettatura, filtraggio e categorizzazione di dati biometrici nell'attività di polizia)

1. Nell'ambito dell'attività di polizia, l'etichettatura, il filtraggio o la categorizzazione di set di dati biometrici acquisiti in conformità alla normativa vigente, ai sensi dell'articolo 5, paragrafo 1, lettera g), ultimo periodo, del regolamento IA, sono consentiti a condizione che:

a) non siano finalizzati a inferire o dedurre le caratteristiche di cui all'articolo 5, paragrafo 1, lettera g), primo periodo, del regolamento IA;

b) siano funzionali ad attività di comparazione o ricerca, ovvero ad ulteriori attività comunque effettuate conformemente alla normativa vigente ed esclusivamente per finalità di polizia;

c) non costituiscano l'unico fondamento di decisioni che producono effetti giuridici nei confronti di persone fisiche;

d) il Titolare del trattamento adotti misure idonee a prevenire il reimpiego dei dati e dei risultati per finalità incompatibili con quelle per cui sono stati raccolti.

2. Il trattamento di Dati personali nelle attività di cui al comma 1 tiene conto, ai fini dell’adempimento dei connessi obblighi previsti dal regolamento IA, della classificazione dei sistemi di IA, avuto riguardo anche agli orientamenti della Commissione europea sull’attuazione pratica del regolamento IA, ai sensi degli articoli 6, paragrafo 5, e 96, dello stesso, ed è svolto nel rispetto del decreto legislativo n. 51 del 2018.

ART. 8

(Sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale per finalità di prevenzione, nonché di ricerca delle persone scomparse e delle vittime di specifici reati)

1. Fermo restando quanto previsto dall’articolo 359-ter del codice di procedura penale, l’utilizzo di sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale in luoghi pubblici o aperti al pubblico da parte degli organi, uffici e comandi delle Forze di polizia è ammesso per le finalità di prevenzione di cui all’articolo 5, paragrafo 1, lettera h), punto ii), del regolamento IA. I sistemi di cui al periodo precedente possono essere utilizzati, altresì, per la ricerca di una persona scomparsa o di persone specifiche, vittime dei reati di sequestro di persona, tratta di esseri umani o sfruttamento sessuale, ai sensi dell’articolo 5, paragrafo 1, lettera h), punto i), del regolamento IA.

2. L’utilizzo dei sistemi di IA di cui al comma 1 è consentito esclusivamente per confermare l’identità delle persone specificamente interessate ovvero per la ricerca mirata, anche in modo dinamico e compresa la localizzazione, di persone specificamente individuate o individuabili in relazione alla minaccia da prevenire o alla ricerca da eseguire.

3. Il confronto biometrico avviene esclusivamente con una banca dati di riferimento adeguata per ciascuna delle finalità di cui al comma 1, contenente i dati biometrici e le relative informazioni identificative, ove disponibili, riferiti alle persone, anche non identificate anagraficamente, di cui al comma 2. La banca dati di cui al primo periodo può essere derivata da dati contenuti in banche dati in uso alle Forze di polizia o tenute da altre pubbliche amministrazioni e accessibili alle predette Forze, ovvero da immagini, filmati o altri elementi biometrici acquisiti legalmente nell’ambito dell’attività di polizia. È in ogni caso vietato l’uso di banche dati biometriche alimentate, in tutto o in parte, mediante tecniche di scraping non mirato, ovvero costituite in violazione delle disposizioni vigenti in materia di protezione dei dati personali.

4. L’utilizzo dei sistemi di IA di cui al comma 1 è subordinato a una richiesta del questore o del comandante provinciale dell’Arma dei carabinieri e della Guardia di finanza, ovvero dei responsabili dei Servizi centrali di cui all'articolo 12 del decreto-legge 13 maggio 1991, n. 152, convertito, con modificazioni, dalla legge 12 luglio 1991, n. 203, al procuratore della Repubblica presso il Tribunale del capoluogo del distretto nel quale sono emerse le esigenze di prevenzione ovvero di ricerca, con indicazione della finalità perseguita, della durata prevista, dell’area territoriale interessata, delle persone interessate e ricercate, delle banche dati di riferimento utilizzate e dei sistemi e delle tecnologie impiegati;

5. L’autorizzazione deve essere concessa con riguardo a uno specifico evento o per il tempo strettamente necessario, in ogni caso non superiore a quindici giorni, prorogabili dal pubblico ministero, con decreto motivato per periodi successivi di quindici giorni qualora permangano le condizioni di cui al comma 1, nonché con riferimento ad una area territoriale delimitata e alla indicazione delle persone specificamente interessate e ricercate. La medesima autorizzazione può essere concessa, altresì, soltanto previa effettuazione delle valutazioni di cui all’articolo 5, paragrafo 2, del regolamento IA.

6. Nei casi d’urgenza, quando vi è fondato motivo di ritenere che dal ritardo possa derivare un pregiudizio grave e irreparabile per le finalità di cui al comma 1, l’utilizzo del sistema di IA può essere avviato, su disposizione del questore, dei comandanti o dei responsabili indicati al comma 4, lettera a), dall’organo di polizia procedente, previa comunicazione, anche in forma orale, al pubblico ministero, e a condizione che sia limitato a quanto strettamente necessario, in ogni caso con delimitazione dell’area interessata e indicazione delle persone ricercate.

7. Nei casi di cui al comma 6, la richiesta di autorizzazione è trasmessa al pubblico ministero senza ritardo e in ogni caso entro dodici ore dall’inizio delle operazioni. Il pubblico ministero, ove ritenga sussistenti le condizioni di cui al medesimo comma, provvede nelle successive dodici ore.

8. Se non sono osservate le condizioni e i termini previsti dai commi 4, 5, 6 e 7, ovvero in caso di mancata autorizzazione, l’uso del sistema di intelligenza artificiale oggetto dell’autorizzazione è immediatamente interrotto e tutti i dati personali, i risultati e gli output acquisiti e prodotti sono cancellati, fatti salvi gli elementi acquisiti legittimamente sotto altra base giuridica. I risultati forniti dai sistemi di intelligenza artificiale in violazione delle disposizioni del presente articolo non possono essere utilizzati.

ART. 9

(Valutazione d’impatto sui diritti fondamentali, conservazione delle registrazioni e notifica dell’utilizzo dei sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale)

1. In conformità all’articolo 5, paragrafo 2, del regolamento IA, per l’utilizzo dei sistemi di IA per l’identificazione biometrica remota in tempo reale per le finalità di cui all’articolo 8 del presente decreto o di cui all’articolo 359-ter del codice di procedura penale, il Titolare del trattamento completa in via preventiva una valutazione di impatto sui diritti fondamentali secondo quanto previsto dall’articolo 27 dello stesso regolamento.

2. Ogni utilizzo di sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale per le finalità di cui al comma 1 è registrato automaticamente in appositi file di log, non modificabili, comprendenti necessariamente i dati previsti dall’articolo 12, paragrafo 3, del regolamento IA. I file di log sono conservati per cinque anni dall’accesso e dall’operazione, e resi accessibili esclusivamente alle sole autorità competenti per finalità di verifica della liceità del trattamento, di controllo interno e nell’ambito di un procedimento penale.

3. Restano fermi i termini di conservazione dei Dati personali previsti, per finalità di polizia, dall’articolo 10 del decreto del Presidente della Repubblica 15 gennaio 2018, n. 15.

4. Dopo l’utilizzo dei sistemi di cui al comma 1, il Titolare del trattamento effettua notifica al Garante, in conformità a quanto previsto dall’articolo 5, paragrafo 4, del regolamento IA. La notifica, effettuata previo nulla osta dell’autorità giudiziaria competente che può differirlo per un periodo non superiore a tre mesi, rinnovabile per una sola volta, in presenza di specifiche esigenze di segretezza, contiene le informazioni essenziali sull’autorizzazione rilasciata e sul risultato conseguito con l’utilizzo del sistema, e non include dati operativi sensibili. Nel caso di più attivazioni del sistema di IA per l’identificazione biometrica remota in tempo reale nello stesso contesto operativo ovvero di più utilizzi omogenei del predetto sistema, la notifica di cui al presente comma può essere effettuata in modo periodico e cumulativo, secondo i termini previsti dal decreto di cui al comma 5, ferma la necessità del nulla osta preventivo dell’autorità giudiziaria a termini del periodo precedente.

5. Con decreto del Ministro dell’interno, di concerto con il Ministro della Giustizia, sentiti il Garante e le Autorità nazionali per l’intelligenza artificiale, coerentemente con le norme del regolamento IA, sono individuati, in relazione all’uso dei sistemi di IA per l’identificazione biometrica remota in tempo reale per le finalità di cui all’articolo 8 del presente decreto o di cui all’articolo 359-ter del codice di procedura penale:

1. i requisiti tecnici minimi di affidabilità e Accuratezza dei sistemi di IA per l’identificazione biometrica remota in tempo reale, ivi incluse le soglie operative utilizzabili;

2. le modalità di monitoraggio periodico delle prestazioni dei sistemi, con particolare riguardo alla rilevazione e alla mitigazione di eventuali bias o effetti discriminatori;

3. le misure tecniche e organizzative necessarie a garantire un adeguato livello di sicurezza del trattamento;

4. le misure tecniche e organizzative necessarie ad impedire accessi illeciti ai dati;

5. le informazioni che il Titolare del trattamento è tenuto ad allegare alla richiesta di autorizzazione ai sensi dell’articolo 8 del presente decreto o dell’articolo 359-ter del codice di procedura penale in ordine alle caratteristiche tecniche del sistema, ai risultati delle verifiche di Accuratezza e ai meccanismi di gestione degli errori;

6. le modalità di esecuzione della notifica di cui al comma 4;

7. gli ulteriori adempimenti cui il Titolare del trattamento è tenuto in conformità a quanto previsto dal regolamento IA.

ART. 10

(Disposizioni in materia di sistemi di videosorveglianza dotati della tecnologia di riconoscimento facciale a posteriori, integrata dall’intelligenza artificiale, per il contrasto dei reati)

1. In tutti i casi in cui è consentita da specifiche disposizioni di legge l’installazione di sistemi di videosorveglianza, tali sistemi possono essere integrati, ove ricorrono esigenze di ordine e sicurezza pubblica, con componenti di intelligenza artificiale, in conformità alla normativa sul trattamento dei Dati personali e nel rispetto del regolamento IA, che, in presenza dei presupposti di cui al comma 2, consentono l’attivazione successiva di tecnologie di riconoscimento facciale, con un intervallo di tempo tale da non configurare una identificazione biometrica remota in tempo reale ai sensi del regolamento IA.

2. Le tecnologie di cui al comma 1 sono utilizzate, in conformità con quanto previsto dall’articolo 26, paragrafo 10, primo comma, del regolamento IA, esclusivamente dopo la commissione di un fatto di reato, anche nell’ipotesi tentata, al solo fine della identificazione delle persone già indiziate della commissione del reato sulla base di documentazione video-fotografica e di elementi oggettivi e verificabili. L’utilizzo di tali sistemi è effettuato sotto la diretta ed esclusiva responsabilità dell’ufficiale di pubblica sicurezza Designato dal questore a gestire l’ordine e la sicurezza pubblica.

3. In caso di accesso a luoghi o ad eventi rispetto ai quali sussistono esigenze di ordine e sicurezza pubblica, l’utilizzo dei sistemi di videosorveglianza di cui al comma 1 comporta il trattamento automatizzato dei dati biometrici rilevati dalle immagini del volto delle persone che accedono ai predetti luoghi o eventi, memorizzati a livello locale nella base dati di riferimento di cui al comma 11, lettera a). Nella medesima base dati sono altresì memorizzati, senza l’utilizzo delle tecnologie biometriche di intelligenza artificiale, i corrispondenti dati anagrafici e, ove vi sia un posto assegnato, il relativo identificativo ottenuto con la scansione elettronica dei titoli di accesso. Nell’ipotesi di commissione di un fatto di reato ai sensi del comma 2, l’utilizzo dei sistemi di cui al comma 1 con l’attivazione delle tecnologie di riconoscimento facciale comporta il trattamento automatizzato dei dati biometrici estratti dalle immagini del volto delle persone da identificare poiché indiziate di aver commesso il fatto anzidetto, per il confronto biometrico a posteriori con i dati presenti nella base dati di cui al primo e al secondo periodo.

4. Il Titolare del trattamento dei Dati personali effettuato con l’utilizzo dei sistemi di cui al comma 1 è il Ministero dell’interno – Dipartimento della pubblica sicurezza.

5. Per i trattamenti di Dati personali svolti con i sistemi anzidetti, il Titolare del trattamento di cui al comma 4 effettua in via preventiva la valutazione d’impatto sulla protezione dei dati e consulta il Garante per la protezione dei Dati personali ai sensi degli articoli 23 e 24 del decreto legislativo 18 maggio 2018, n. 51. È possibile effettuare un’unica valutazione d’impatto sulla protezione dei dati valida per tutti i sistemi analoghi.

6. I Dati personali trattati con i sistemi di cui al comma 1 sono conservati nella base dati di riferimento individuata ai sensi del comma 11, lettera a), per sette giorni dalla raccolta e sono cancellati automaticamente decorso tale termine.

7. Gli accessi e le operazioni di trattamento sui sistemi di cui al presente articolo devono essere effettuati esclusivamente dalle persone autorizzate e registrati automaticamente in appositi file di log, non modificabili, conformemente a quanto previsto dall’articolo 12, paragrafo 3, del regolamento IA. I file di log sono conservati per cinque anni dall’accesso e dall’operazione, e resi accessibili per finalità di verifica della liceità del trattamento, di controllo interno e nell’ambito di un procedimento penale.

8. Restano fermi i termini di conservazione dei Dati personali previsti, per finalità di polizia, dall’articolo 10 del decreto del Presidente della Repubblica 15 gennaio 2018, n. 15.

9. Nessuna decisione che produca effetti giuridici negativi sulla persona cui si riferiscono i dati oggetto del trattamento può essere basata unicamente sui risultati forniti dall’applicazione di riconoscimento facciale.

10. I sistemi di cui al comma 1 non possono essere in alcun caso utilizzati con l’attivazione delle tecnologie di riconoscimento facciale in modo non mirato, senza alcun collegamento con un reato o con un procedimento penale, ovvero a fini di controllo e di identificazione biometrica generalizzati o indiscriminati delle persone.

11. Con decreto del Ministro dell’interno, sentito il Garante per la protezione dei dati personali, da emanare entro tre mesi dalla data di entrata in vigore delle disposizioni di cui al presente articolo, sono individuati:

1. le modalità del trattamento automatizzato dei dati biometrici estratti o rilevati dalle immagini del volto delle persone che accedono ai luoghi o agli eventi di cui al comma 3, e della loro memorizzazione a livello locale, ai sensi del primo e del secondo periodo del comma anzidetto, in una base dati di riferimento per il confronto biometrico a posteriori;

2. le misure tecniche e organizzative necessarie a garantire un adeguato livello di sicurezza del trattamento;

3. gli adempimenti cui il Titolare del trattamento è tenuto in conformità a quanto previsto dal regolamento IA.

12. All’installazione e alla manutenzione dei sistemi di cui al comma 1 possono provvedere, senza nuovi o maggiori oneri per la finanza pubblica, i gestori dei luoghi di cui al comma 3, gli organizzatori o promotori degli eventi di cui al medesimo comma, ovvero chi ha la disponibilità delle strutture ove tali eventi si svolgono, in accordo con i proprietari degli stessi luoghi o strutture. Nelle ipotesi di cui al periodo precedente, i predetti sistemi sono concessi in comodato gratuito alla questura, che ne acquisisce la completa ed esclusiva disponibilità.

13. Dall’attuazione delle disposizioni di cui al presente articolo non devono derivare nuovi o maggiori oneri per la finanza pubblica.

Capo IV

Disposizioni transitorie e finali

ART. 11

(Norma transitoria)

1. I sistemi di IA che, alla data di entrata in vigore del presente decreto, formano oggetto di rapporti contrattuali o sono in fase di sviluppo o di sperimentazione per finalità di polizia ovvero sono già in uso nell’attività di polizia, sono resi compatibili con le disposizioni del Capo II, da ciascuna Forza di polizia per quanto di rispettiva competenza, entro un anno dalla predetta data.

2. Per le disposizioni del presente titolo la cui applicazione è prevista direttamente ovvero dipende dal regolamento IA, si osservano i termini di entrata in vigore e di compiuta attuazione dello stesso regolamento.

ART. 12

(Clausola di invarianza finanziaria)

1. Le amministrazioni interessate provvedono alle attività previste dal presente titolo mediante l’utilizzo delle risorse umane, strumentali e finanziarie disponibili a legislazione vigente e, comunque, senza nuovi o maggiori oneri a carico della finanza pubblica.

Titolo II

Disposizioni penali, sostanziali e processuali, in materia di realizzazione e impiego illeciti dei sistemi di intelligenza artificiali e disposizioni processuali civili in materia di risarcimento dei danni cagionati dall'utilizzo dei medesimi sistemi

CAPO I

(Disposizioni sanzionatorie e in materia di procedimento penale)

ART. 13

(Definizioni)

1. Ai fini del presente titolo si applicano le definizioni di cui all'articolo 3 del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024.

ART. 14

(Modifiche al codice penale)

1. Al codice penale, dopo l'articolo 437, è inserito il seguente:

«Art. 437-bis (Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi) - Chiunque, nella progettazione, addestramento, produzione, immissione sul mercato o utilizzo professionale di sistemi di intelligenza artificiale ad alto rischio, omette misure tecniche idonee a prevenire malfunzionamenti o alterazioni del funzionamento dei sistemi ovvero omette misure di sorveglianza umana è punito, qualora dal fatto derivi un pericolo concreto per la vita o l'incolumità individuale, con la reclusione da uno a cinque anni. Qualora dal fatto derivi un pericolo concreto per l’incolumità pubblica o per la sicurezza dello Stato, la pena è della reclusione da due a otto anni.

Salvo che il fatto costituisca più grave reato, chiunque, al di fuori dei casi indicati al comma 1, altera sistemi di intelligenza artificiale ad alto rischio è punito, qualora dal fatto derivi un pericolo concreto per la vita o l'incolumità individuale, con la reclusione da due a sei anni. Qualora dal fatto derivi un pericolo concreto per l’incolumità pubblica o per la sicurezza dello Stato, la pena è della reclusione da tre a dieci anni.

Se taluno dei fatti previsti dal comma primo è commesso per colpa grave, la pena è ridotta da un Terzo a un sesto.».

ART. 15

(Modifiche al codice di procedura penale)

1. Al codice di procedura penale, dopo l'articolo 359-bis, è inserito il seguente:

«Art. 359-ter (Identificazione e localizzazione mediante sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale) - 1. Quando occorre confermare l'identificazione di una persona nei confronti della quale vi sono sufficienti indizi della commissione di uno dei delitti di cui all'allegato II del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, ovvero procedere alla ricerca mirata, ivi compresa la localizzazione, di una persona indiziata dei medesimi delitti, può essere Autorizzato l'impiego di sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale.

2. Quando occorre procedere alla ricerca di un latitante ai fini dell'esecuzione di un'ordinanza che dispone una misura cautelare coercitiva per uno dei delitti indicati al comma 1, ovvero di un ordine di esecuzione non sospeso che dispone la carcerazione per i medesimi delitti, può essere autorizzata la localizzazione della persona ricercata tramite identificazione biometrica remota in tempo reale con l'uso di sistemi di intelligenza artificiale, procedendo al confronto dei suoi dati biometrici con quelli di individui memorizzati in una banca dati di riferimento.

3. Nei casi di cui ai commi 1 e 2, il confronto biometrico avviene esclusivamente con una banca dati di riferimento adeguata per ciascuna delle finalità di cui ai medesimi commi, contenente i dati biometrici e le relative informazioni identificative, ove disponibili, riferiti alle persone, anche non identificate, di cui ai commi anzidetti. La banca dati di cui al primo periodo può essere derivata da dati contenuti in banche dati in uso alla polizia giudiziaria o tenute da altre pubbliche amministrazioni e accessibili alla stessa o all’autorità giudiziaria, ovvero da immagini, filmati o altri elementi biometrici acquisiti legalmente nell’ambito delle indagini.

4. Con le stesse modalità di cui ai commi 1, 2 e 3 può essere autorizzata la ricerca mirata, nell'ambito di un procedimento penale, di specifiche vittime di sottrazione, tratta di esseri umani o sfruttamento sessuale di esseri umani.

5. Nei casi di cui ai commi da 1 a 4 il pubblico ministero richiede l'autorizzazione all'impiego del sistema di intelligenza artificiale per l'identificazione biometrica remota in tempo reale al giudice per le indagini preliminari.

6. Il giudice per le indagini preliminari autorizza l'impiego del sistema di intelligenza artificiale di cui al comma 5 con decreto motivato. Nel provvedimento di autorizzazione sono delimitata l'area geografica di applicazione, indicate le persone specificamente ricercate e determinato il tempo strettamente necessario, che non può in ogni caso superare i quindici giorni, prorogabili dal giudice, con decreto motivato, su richiesta del pubblico ministero, per periodi successivi di quindici giorni, qualora permangano le condizioni. L'autorizzazione può essere concessa soltanto previa effettuazione delle valutazioni di cui all'articolo 5, paragrafo 2, del regolamento (UE) 2024/1689.

7. Quando ricorrono ragioni di urgenza e vi è fondato motivo di ritenere che dal ritardo possa derivare pregiudizio grave e irreparabile per le finalità di cui ai commi da 1 a 4, il pubblico ministero, se ricorrono le condizioni indicate al comma 6, primo periodo, dispone l'utilizzo del sistema di intelligenza artificiale per l'identificazione biometrica remota in tempo reale con decreto motivato. Il decreto è comunicato immediatamente e comunque non oltre ventiquattro ore al giudice per le indagini preliminari, il quale, se ne ricorrono i presupposti, nelle successive quarantotto ore, convalida il provvedimento e autorizza la prosecuzione. Negli stessi casi di cui al primo periodo, se non sia possibile, per la situazione di urgenza, attendere il provvedimento del pubblico ministero, all'attivazione del sistema di identificazione biometrica remota in tempo reale provvedono gli ufficiali di polizia giudiziaria, i quali, senza ritardo e comunque entro le successive dodici ore, trasmettono la richiesta di autorizzazione al pubblico ministero, il quale, se ne ricorrono i presupposti, richiede al giudice la convalida entro ventiquattro ore dall'avvio del sistema. Il giudice, se ne ricorrono i presupposti, nelle successive quarantotto ore, convalida il provvedimento e autorizza la prosecuzione dell'attività, con le indicazioni di cui al comma 6.

8. I risultati forniti dai sistemi di intelligenza artificiale non possono essere utilizzati qualora gli stessi siano stati impiegati fuori dei casi consentiti dalla legge o qualora non siano state osservate le disposizioni previste dai commi 6 e 7.»

ART. 16

(Modifiche alle norme di attuazione, di coordinamento e transitorie del codice di procedura penale)

1. All'articolo 104, comma 1, delle norme di attuazione, di coordinamento e transitorie del codice di procedura penale, di cui al decreto legislativo 28 luglio 1989, n. 271, sono apportate le seguenti modificazioni:

a) alla lettera e), il segno di interpunzione «.» è sostituito dal seguente: «;»;

b) alla lettera e-bis), le parole: «del profilo personale» sono sostituite dalle seguenti: «generati anche con sistemi di intelligenza artificiale».

ART. 17

(Modifiche al decreto legislativo 8 giugno 2001, n. 231)

1. Al decreto legislativo 8 giugno 2001, n. 231, dopo l'articolo 25-undevicies, è inserito il seguente:

«Art. 25-vicies (Reati commessi con l'uso di sistemi di intelligenza artificiale) - 1.In relazione al delitto di cui all'articolo 437-bis del codice penale, si applica all'ente la sanzione pecuniaria da seicento a mille quote.

2. In relazione al delitto di cui all'articolo 612-quater del codice penale, si applica all'ente la sanzione pecuniaria da duecento a settecento quote.

3. Nei casi previsti dai commi 1 e 2 si applicano all’ente le sanzioni interdittive previste dall’articolo 9, comma 2, lettere b), c), d) ed e). ».

CAPO II

(Strumenti processuali civili per il risarcimento dei danni cagionati dall'utilizzo di sistemi di intelligenza artificiale)

ART. 18

(Ambito di applicazione e foro del consumatore)

1. Le disposizioni dell'articolo 19 si applicano alle azioni di risarcimento del danno, sia contrattuale sia extracontrattuale, cagionato nell'utilizzo di un sistema di intelligenza artificiale.

2. Le disposizioni degli articoli 20 e 21 si applicano alle azioni di cui al comma 1 quando il danno deriva dalla violazione di uno o più obblighi previsti dal regolamento (UE) 2024/1689.

3. Restano ferme le disposizioni dell'articolo 82 del regolamento (UE) 2016/679 e della normativa nazionale di recepimento della direttiva (UE) 2024/2853 del Parlamento europeo e del Consiglio, del 23 ottobre 2024.

4. Nelle azioni di cui al comma 1 e 2, quando il danneggiato è una persona fisica che agisce per scopi estranei all'attività imprenditoriale, commerciale, artigianale o professionale eventualmente svolta, è altresì competente il giudice del luogo in cui il danneggiato ha la residenza o il domicilio.

ART. 19

(Accesso alle prove)

1. Nelle azioni di risarcimento del danno di cui all'articolo 18, comma 1, il giudice, su istanza della parte che allega di avere subito il danno, ordina all'altra parte o al Terzo che ne dispone, l'esibizione degli elementi di prova specificamente pertinenti relativi al funzionamento del sistema di intelligenza artificiale, quando l'istante presenta fatti ed elementi idonei a rendere verosimile la fondatezza della domanda, anche con riferimento al collegamento tra il risultato prodotto dal sistema di intelligenza artificiale e il danno lamentato.

2. Tra gli elementi di prova di cui al comma 1 rientrano:

a) i registri di cui all'articolo 12 del regolamento (UE) 2024/1689;

b) la documentazione relativa al sistema di gestione dei rischi di cui all'articolo 9 del medesimo regolamento;

c) le informazioni pertinenti contenute nella documentazione tecnica di cui all'articolo 11 del medesimo regolamento;

d) le informazioni relative ai parametri e alle modalità di supervisione umana di cui all'articolo 14 del medesimo regolamento.

3. L'ordine di esibizione è limitato a quanto necessario e proporzionato rispetto alla domanda. Il giudice tiene conto degli interessi di tutte le parti, con particolare riguardo alla tutela dei segreti commerciali e delle informazioni riservate.

4. Quando l'esecuzione dell'ordine di cui al comma 1 comporta il rischio di divulgazione di segreti commerciali o di altre informazioni riservate, il giudice adotta le misure idonee a garantirne la tutela. Si applica l'articolo 121-ter del codice della proprietà industriale, di cui al decreto legislativo 10 febbraio 2005, n. 30.

5. Se la parte, senza giustificato motivo, non adempie, anche parzialmente, all'ordine di esibizione, il giudice può desumere argomenti di prova ai sensi dell'articolo 116 del codice di procedura civile. Quando l'inadempimento riguarda la documentazione di cui al comma 2, il giudice, valutato ogni altro elemento di prova, ritiene come ammessi i fatti allegati dall'istante.

6. Se il terzo, senza giustificato motivo, non adempie, anche parzialmente, all’ordine di esibizione, il giudice lo condanna a una pena pecuniaria da euro 250 a euro 1500.

ART. 20

(Presunzione del nesso di causalità)

1. Quando il danno deriva dalla violazione di uno o più obblighi previsti dal regolamento (UE) 2024/1689, il nesso di causalità tra la violazione e il danno è presunto, salvo prova contraria.

ART. 21

(Rilevanza della conformità al regolamento (UE) 2024/1689)

1. La conformità del sistema di intelligenza artificiale agli obblighi previsti dal regolamento (UE) 2024/1689, anche se certificata ai sensi del capo III, sezione 5, del medesimo regolamento, non esclude di per sé la responsabilità del convenuto.

ART. 22

(Azione diretta nei confronti dell'impresa di assicurazione)

1. Chi intende promuovere l'azione di cui all'articolo 18 può chiedere preventivamente al soggetto a cui ritiene che sia imputabileil danno se è assistito da un contratto di assicurazione della responsabilità civile relativo al danno medesimo.La richiesta di cui al primo periodo non costituisce condizione di procedibilità della domanda.Il soggetto nei cui confronti è formulata la richiestacomunica entro trenta giorni dalla suaricezione, l'esistenza di un contratto di assicurazione della responsabilità civile relativo al danno dedotto, gli estremi del contratto e la denominazione dell'impresa di assicurazione. In caso di omessa o incompleta comunicazione, il giudice può desumere argomenti di prova ai sensi dell'articolo 116 del codice di procedura civile.

2. Il danneggiato ha azione diretta per il risarcimento del danno nei confronti dell'impresa di assicurazione che presta la copertura della responsabilità civile al convenuto, nei limiti delle somme per le quali è stipulato il contratto di assicurazione.

3. Sono opponibili al danneggiato le eccezioni derivanti dal contratto di assicurazione, purché anteriori al sinistro.

4. L'impresa di assicurazione che effettua il pagamento ha diritto di rivalsa verso l'assicurato, nella misura in cui avrebbe avuto titolo contrattuale per rifiutare o ridurre la propria prestazione.

5. Nel giudizio promosso ai sensi del comma 2 è litisconsorte necessario il soggetto individuato quale Responsabile del danno.

6. L'azione diretta di cui al comma 2 è soggetta al medesimo termine di prescrizione dell'azione nei confronti del soggetto individuato quale Responsabile del danno.

ART. 23

(Clausola di invarianza finanziaria)

1. Dall'attuazione del presente titolo non devono derivare nuovi o maggiori oneri a carico della finanza pubblica. Le amministrazioni interessate provvedono ai relativi adempimenti con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente.

Il presente decreto, munito del sigillo dello Stato, sarà inserito nella Raccolta ufficiale degli atti normativi della Repubblica italiana. È fatto obbligo a chiunque spetti di osservarlo e farlo osservare.

Schema di decreto legislativo: adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 del parlamento europeo e del consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale, in materia di utilizzo dei sistemi di intelligenza artificiale per l’attività di polizia e di responsabilità civile e penale

IL PRESIDENTE DELLA REPUBBLICA

VISTI gli articoli 76 e 87 della Costituzione;

VISTA la legge 23 agosto 1988, n. 400 recante «Disciplina dell'attività di Governo e ordinamento della Presidenza del Consiglio dei Ministri» e, in particolare, l’articolo 14;

VISTA la legge 24 dicembre 2012, n. 234, recante «Norme generali sulla partecipazione dell’Italia all’attuazione della normativa e delle politiche dell’Unione europea»;

VISTA la legge 23 settembre 2025, n. 132, recante «Disposizioni e deleghe al Governo in materia di intelligenza artificiale» e, in particolare, l’articolo 24, comma 1, comma 2, lettera h), comma 3 e comma 5;

VISTO il Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale e modifica i regolamenti (CE) n. 300/2008, (UE) n. 167/2013, (UE) n. 168/2013, (UE) 2018/858, (UE) 2018/1139 e (UE) 2019/2144 e le direttive 2014/90/UE, (UE) 2016/797 e (UE) 2020/1828 (regolamento sull’intelligenza artificiale);

VISTO il regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE concernente regolamento generale sulla protezione dei dati;

VISTA la direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei Dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati;

VISTA la direttiva (UE) 2024/2853 del Parlamento europeo e del Consiglio, del 23 ottobre 2024, sulla responsabilità per danno da prodotti difettosi e che abroga la direttiva 85/374/CEE del Consiglio;

VISTO il codice in materia di protezione dei Dati personali adottato con decreto legislativo 30 giugno 2003, n. 196;

VISTO il decreto legislativo 18 maggio 2018, n. 51, di attuazione della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei Dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio;

VISTO il decreto del Presidente della Repubblica 15 gennaio 2018, n. 15, concernente «regolamento a norma dell'articolo 57 del decreto legislativo 30 giugno 2003, n. 196, recante l'individuazione delle modalità di attuazione dei principi del Codice in materia di protezione dei Dati personali relativamente al trattamento dei dati effettuato, per le finalità di polizia, da organi, uffici e comandi di polizia»;

VISTA la legge 1° aprile 1981, n. 121, recante il nuovo ordinamento dell’Amministrazione della pubblica sicurezza;

VISTO il decreto legislativo 19 agosto 2016, n. 177, recante «disposizioni in materia di razionalizzazione delle funzioni di polizia e assorbimento del Corpo forestale dello Stato, ai sensi dell'articolo 8, comma 1, lettera a), della legge 7 agosto 2015, n. 124, in materia di riorganizzazione delle amministrazioni pubbliche»;

VISTO il decreto legislativo 15 marzo 2010, n. 66, recante «Codice dell’ordinamento militare» e, in particolare, il Libro primo, Titolo IV, Capo V, in materia di compiti e attribuzioni dell’Arma dei carabinieri;

VISTA la legge 23 aprile 1959, n. 189, recante «Ordinamento del corpo della Guardia di finanza»;

VISTO il decreto del Presidente della Repubblica 29 gennaio 1999, n. 34, recante «Regolamento recante norme per la determinazione della struttura ordinativa del Corpo della Guardia di finanza, ai sensi dell’articolo 27, commi 3 e 4, della legge 27 dicembre 1997, n. 449»;

VISTO il decreto legislativo 19 marzo 2001, n. 68, recante adeguamento dei compiti del Corpo della Guardia di finanza, a norma dell'articolo 4 della legge 31 marzo 2000, n. 78;

VISTO il regio decreto 19 ottobre 1930, n. 1398, recante «Approvazione del testo definitivo del codice penale»;

VISTO il regio decreto 16 marzo 1942, n. 262, recante «Approvazione del testo del Codice civile», e in particolare gli articoli 2050 e 2051;

VISTO il regio decreto 28 ottobre 1940, n. 1443, recante «Codice di procedura civile», e in particolare l'articolo 116;

VISTO il decreto del Presidente della Repubblica 22 settembre 1988, n. 447, recante «Approvazione del codice di procedura penale»;

VISTO il decreto legislativo 28 luglio 1989, n. 271, recante «Norme di attuazione, di coordinamento e transitorie del codice di procedura penale»;

VISTO il decreto legislativo 8 giugno 2001, n. 231, recante «Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica, a norma dell'articolo 11 della legge 29 settembre 2000, n. 300»;

VISTA la preliminare deliberazione del Consiglio dei ministri, adottata nella riunione del ...;

ACQUISITO il parere del Garante per la protezione dei dati personali;

ACQUISITO il parere della Conferenza unificata di cui all’articolo 8 del decreto legislativo 28 agosto 1997, n. 281;

ACQUISITI i pareri delle competenti Commissioni parlamentari della Camera dei deputati e del Senato della Repubblica;

VISTA la deliberazione del Consiglio dei ministri, adottata nella riunione del …;

SULLA PROPOSTA del Presidente del Consiglio dei ministri e dei Ministri per gli affari europei, il PNRR e le politiche di coesione, dell’interno e della giustizia, di concerto con i Ministri degli affari esteri, della difesa, dell’economia e delle finanze;

Emana

il seguente decreto legislativo:

Titolo I

Utilizzo dei sistemi di intelligenza artificiale per l’attività di polizia

Capo I

Disposizioni generali

ART. 1

(Oggetto e finalità)

1. Il presente titolo reca disposizioni in materia di utilizzo di sistemi di intelligenza artificiale da parte degli organi, uffici e comandi delle Forze di Polizia, in relazione alle specifiche funzioni esercitate, coerentemente con le norme e i principi del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, e della legge 23 settembre 2025, n. 132.

2. Le disposizioni del presente titolo si applicano nel rispetto dei diritti fondamentali e delle libertà garantite dalla Costituzione, dalla Carta dei diritti fondamentali dell’Unione europea e dalla Convenzione per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, nonché dei principi di proporzionalità, di non discriminazione, di sorveglianza umana e di trasparenza di cui all’articolo 3 della legge 23 settembre 2025, n. 132.

3. Il presente titolo non produce nuovi obblighi rispetto a quelli previsti dal regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, per i sistemi e i modelli di intelligenza artificiale utilizzati nelle attività e per le finalità di polizia.

ART. 2

(Definizioni)

1. Ai fini del presente titolo, si intende per:

1. «regolamento IA»: il regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024;

2. «legge IA»: la legge 23 settembre 2025, n. 132, recante: «Disposizioni e deleghe al Governo in materia di intelligenza artificiale»;

3. «sistema di IA»: un sistema di intelligenza artificiale definito dall’articolo 3, punto 1), del regolamento (UE) 2024/1689;

4. «pratiche vietate»: le pratiche di IA vietate a norma dell’articolo 5 del regolamento (UE) 2024/1689;

5. «sistema di IA ad alto rischio»: un sistema di IA classificato ad alto rischio, conformemente all’articolo 6 del regolamento (UE) 2024/1689 in combinato disposto con il suo allegato III;

6. «categorie particolari di dati personali»: le categorie di dati di cui all’articolo 3, punto 37), del regolamento (UE) 2024/1689;

7. «dati relativi a condanne penali e reati»: i Dati personali di cui all’articolo 10 del regolamento (UE) 2016/679;

8. «profilazione»: la Profilazione quale definita all’articolo 3, punto 52), del regolamento (UE) 2024/1689;

9. «dati operativi sensibili»: i dati relativi ad attività di prevenzione, accertamento, indagine o perseguimento di reati, indicati dall’articolo 3, punto 38), del regolamento (UE) 2024/1689;

10. «output»: previsioni, contenuti, raccomandazioni o decisioni generate da un sistema di IA ai sensi dell’articolo 3, punto 1), del regolamento (UE) 2024/1689;

11. «scraping non mirato»: l’estrazione e la raccolta automatizzata e indiscriminata, su larga scala, mediante l’utilizzo di un sistema di intelligenza artificiale, di immagini facciali dalla rete internet o da filmati di telecamere a circuito chiuso, allo scopo di creare o ampliare banche dati di riconoscimento facciale;

12. «direttiva n. 680/2016»: la direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio del 27 aprile 2016;

13. «decreto legislativo n. 51 del 2018»: il decreto legislativo 18 maggio 2018, n. 51, di attuazione della direttiva (UE) 2016/680;

14. «Autorità nazionali per l’intelligenza artificiale»: l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN), ai sensi dell’articolo 20, comma 1, della legge 23 settembre 2025, n. 132;

15. «d.P.R. n. 15 del 2018»: il decreto del Presidente della Repubblica 15 gennaio 2018, n. 15 recante l’individuazione delle modalità di attuazione dei principi del Codice in materia di protezione dei Dati personali relativamente al trattamento dei dati effettuato, per le finalità di polizia, da organi, uffici e comandi di polizia;

16. «Garante»: il Garante per la protezione dei dati personali, istituito dal decreto legislativo 30 giugno 2003, n. 196;

17. «Forze di polizia»: le Forze di polizia di cui all'articolo 16 della legge 1° aprile 1981, n. 121;

18. «attività di polizia»: le attività di contrasto definite dall’articolo 3, punto 46), del regolamento (UE) 1689/2024, svolte, nell’esercizio delle rispettive attribuzioni e funzioni, dagli organi, uffici e comandi delle Forze di polizia;

19. «finalità di polizia»: i fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro le minacce alla sicurezza pubblica e la prevenzione delle stesse, richiamati nei punti 45) e 46) dell’articolo 3 del regolamento (UE) 1689/2024, e per i quali sono svolte le attività di polizia di cui alla lettera r);

2. Per quanto non espressamente previsto, si applicano le definizioni di cui all’articolo 2 della legge 23 settembre 2025, n. 132, e le definizioni di cui al regolamento (UE) 2024/1689.

Capo II

Disposizioni in materia di ricerca, sviluppo, addestramento, formazione, sperimentazione e utilizzo dei sistemi di intelligenza artificiale nelle attività di polizia

ART. 3

(Ricerca, sperimentazione, sviluppo, addestramento, convalida e utilizzo di sistemi e modelli di intelligenza artificiale per le attività di polizia)

1. La ricerca, la sperimentazione, lo sviluppo, l’addestramento, l'adozione, l'applicazione, la convalida e l’utilizzo di sistemi e modelli di intelligenza artificiale per le attività e le finalità delle Forze di polizia avvengono nel rispetto dei diritti fondamentali e delle libertà previste dalla Costituzione, del diritto dell’Unione europea e dei principi di cui all’articolo 3 della legge IA, secondo un approccio antropocentrico, proporzionato e fondato sul rischio, che tenga conto della classificazione dei sistemi di IA e delle diverse categorie di interessati.

2. Le attività di ricerca, sperimentazione, sviluppo e addestramento sono orientate al perseguimento della funzionalità e dell’affidabilità operativa dei sistemi e dei modelli di IA destinati a essere utilizzati dalle Forze di polizia, nella prospettiva di migliorare l’apporto tecnologico dell’intelligenza artificiale alle valutazioni e alle decisioni umane nella relativa attività.

3. Le Forze di polizia, in conformità con l’assetto istituzionale vigente e nell’ambito delle proprie competenze, utilizzano i sistemi e i modelli di intelligenza artificiale e i relativi output in funzione strumentale e di supporto alle relative attività di polizia, allo scopo di incrementarne l’efficacia e l’efficienza.

4. L’utilizzo dei sistemi e dei modelli di IA nell’attività di polizia, conformemente agli obblighi stabiliti dal regolamento IA, deve prevedere adeguate forme di revisione umana qualificata dei risultati delle elaborazioni automatiche prima del loro impiego in atti e provvedimenti incidenti sulla sfera giuridica degli interessati, nel rispetto dell’autonomia e delle sfere di competenza dei procedimenti decisionali degli appartenenti alle Forze di polizia. La revisione è effettuata da personale individuato dalle procedure interne di ciascuna Forza di polizia ed è documentata in modo da assicurarne la tracciabilità.

5. Le Forze di Polizia assicurano che per i sistemi di IA ad alto rischio la sorveglianza umana sia effettiva e conforme a quanto previsto dall'articolo 14 del regolamento (UE) 2024/1689 e che il personale preposto possieda le necessarie competenze e formazione al fine di prevenire e ridurre al minimo i rischi per la salute, la sicurezza e i diritti fondamentali.

6. Il trattamento di Dati personali nelle attività di cui al comma 1, incluse le categorie particolari di dati personali, i dati operativi sensibili e i dati relativi a condanne penali e reati nella disponibilità delle Forze di polizia in forza di norme di legge o regolamentari ovvero di atti amministrativi generali, è svolto nel rispetto della normativa in materia di protezione dei dati personali, di cui al decreto legislativo n. 51 del 2018, ferme restando le specifiche disposizioni dettate dal regolamento IA per i sistemi ad alto rischio e quelle contenute nel Capo III del presente titolo.

7. Le attività di cui al presente articolo sono effettuate senza nuovi od ulteriori obblighi rispetto a quanto disposto dal regolamento IA, ferme restando le esclusioni previste dallo stesso regolamento.

ART. 4

(Collaborazione nell’ambito della ricerca e sperimentazione scientifica finalizzata alla realizzazione di sistemi e modelli di intelligenza artificiale per l’attività di polizia)

1. Le Forze di polizia, nell’ambito di specifici progetti di ricerca e sperimentazione scientifica volti alla realizzazione di sistemi di intelligenza artificiale o di dispositivi che utilizzano tecnologie di intelligenza artificiale per l’attività di polizia, possono attivare collaborazioni con università, enti di ricerca e soggetti pubblici e privati, anche per il tramite di società in house o di società a totale partecipazione pubblica controllate dallo Stato, nel rispetto della disciplina dell’Unione europea in materia di concorrenza e di aiuti di Stato.

2. Il trattamento di dati per le finalità di cui al comma 1 è svolto nel rispetto della normativa in materia di protezione dei dati personali, con la previsione di apposite clausole che escludano, in particolare, la condivisione di dati operativi sensibili e l’acquisizione o l’utilizzazione, anche indirette, da parte dei soggetti con i quali sono attivate le collaborazioni, per finalità commerciali o per altre finalità non previste dalle predette collaborazioni, di sistemi di IA e delle relative risorse hardware e software o di dispositivi integrati con componenti di IA che siano stati addestrati per l’attività di polizia.

3. I rapporti di collaborazione di cui al comma 1 disciplinano espressamente la titolarità dei diritti di proprietà intellettuale, industriale e di sfruttamento economico dei risultati della ricerca, dei modelli derivati, dei dati di addestramento e del software, nel rispetto del codice della proprietà industriale di cui al decreto legislativo 10 febbraio 2005, n. 30, dell’articolo 64 del decreto del Presidente della Repubblica 11 luglio 1980, n. 382, e della normativa di settore applicabile. È in ogni caso assicurata la titolarità in capo alle Forze di polizia dei modelli addestrati su dati operativi sensibili.

ART. 5

(Sviluppo, realizzazione e prova di determinati sistemi di IA per finalità di polizia

nello spazio di sperimentazione normativa)

1. Il presente articolo costituisce base giuridica ai sensi dell’articolo 59, paragrafo 2, del regolamento IA, nonché del decreto legislativo n. 51 del 2018, per il trattamento di dati personali, inclusi i dati relativi a reati e le categorie particolari di dati di cui di cui all’articolo 3, punto 37), dello stesso regolamento, effettuato dalle Forze di polizia nell’ambito di spazi di sperimentazione normativa per l’intelligenza artificiale, quando tale trattamento è necessario per finalità di polizia.

2. La partecipazione delle Forze di polizia agli spazi di sperimentazione di cui al comma 1 è finalizzata allo sviluppo, alla realizzazione e alla prova di sistemi di IA, in particolare ad alto rischio, destinati alle attività di polizia, nel rispetto della protezione dei Dati personali e della tutela dei diritti e delle libertà fondamentali.

3. Negli spazi di cui al presente articolo, la sperimentazione avviene nel rispetto delle condizioni cumulativamente previste dall’articolo 59, paragrafo 1, del regolamento IA, ed è oggetto di collaborazione e raccordo, fermo restando la tutela dei dati operativi sensibili e l’esclusiva titolarità e responsabilità del trattamento degli stessi da parte delle amministrazioni competenti, con le Autorità nazionali per l’intelligenza artificiale.

4. Con regolamento adottato con decreto del Presidente del Consiglio dei ministri, su proposta delle Autorità nazionali per l’intelligenza artificiale, di concerto con il Ministro dell’Interno, sono definite le modalità di coordinamento tra lo spazio di sperimentazione di cui all’articolo 57 del regolamento IA e le attività del presente articolo.

ART. 6

(Formazione del personale di polizia)

1. Le Forze di polizia provvedono ad attivare, presso i rispettivi istituti di formazione, specifici corsi in materia di intelligenza artificiale applicata all’attività di polizia, secondo modalità stabilite da ciascuna amministrazione nell’ambito delle risorse disponibili a legislazione vigente.

2. I corsi di cui al comma 1 assicurano, in attuazione dell’articolo 4 del regolamento IA, il conseguimento dei seguenti risultati formativi minimi:

a) comprensione dei principi di funzionamento e delle potenzialità dei sistemi di intelligenza artificiale, con particolare riferimento alle loro applicazioni nell’attività di polizia;

b) conoscenza dei limiti, dei bias e degli errori dei sistemi di intelligenza artificiale, con specifica attenzione al riconoscimento biometrico ed all’analisi predittiva;

c) capacità di interpretazione critica degli output dei sistemi di intelligenza artificiale e consapevolezza del ruolo della sorveglianza umana qualificata;

d) consapevolezza delle implicazioni giuridiche, etiche e di responsabilità connesse all’utilizzo dei sistemi di intelligenza artificiale a fini di polizia, con specifico riferimento alla disciplina di cui al regolamento IA, al regolamento (UE) 2016/679 ed al decreto legislativo n. 51 del 2018;

e) consapevolezza dei rischi di cybersicurezza connessi all’utilizzo dei sistemi di intelligenza artificiale, anche con riferimento alle indicazioni dell’Agenzia per la cybersicurezza nazionale.

3. I risultati formativi di cui al comma 2, lettere b), c) ed e), sono assicurati nell’ambito degli specifici corsi concernenti i sistemi di IA ad alto rischio in uso nelle attività di polizia ovvero destinati a essere utilizzati nelle medesime attività.

Capo III

Sistemi di intelligenza artificiale utilizzati nell’attività di polizia per l’etichettatura, il filtraggio e la categorizzazione di dati biometrici, per l’identificazione biometrica remota in tempo reale per finalità di prevenzione o di protezione e per il riconoscimento facciale a posteriori a fini di contrasto dei reati

ART. 7

(Etichettatura, filtraggio e categorizzazione di dati biometrici nell'attività di polizia)

1. Nell'ambito dell'attività di polizia, l'etichettatura, il filtraggio o la categorizzazione di set di dati biometrici acquisiti in conformità alla normativa vigente, ai sensi dell'articolo 5, paragrafo 1, lettera g), ultimo periodo, del regolamento IA, sono consentiti a condizione che:

a) non siano finalizzati a inferire o dedurre le caratteristiche di cui all'articolo 5, paragrafo 1, lettera g), primo periodo, del regolamento IA;

b) siano funzionali ad attività di comparazione o ricerca, ovvero ad ulteriori attività comunque effettuate conformemente alla normativa vigente ed esclusivamente per finalità di polizia;

c) non costituiscano l'unico fondamento di decisioni che producono effetti giuridici nei confronti di persone fisiche;

d) il Titolare del trattamento adotti misure idonee a prevenire il reimpiego dei dati e dei risultati per finalità incompatibili con quelle per cui sono stati raccolti.

2. Il trattamento di Dati personali nelle attività di cui al comma 1 tiene conto, ai fini dell’adempimento dei connessi obblighi previsti dal regolamento IA, della classificazione dei sistemi di IA, avuto riguardo anche agli orientamenti della Commissione europea sull’attuazione pratica del regolamento IA, ai sensi degli articoli 6, paragrafo 5, e 96, dello stesso, ed è svolto nel rispetto del decreto legislativo n. 51 del 2018.

ART. 8

(Sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale per finalità di prevenzione, nonché di ricerca delle persone scomparse e delle vittime di specifici reati)

1. Fermo restando quanto previsto dall’articolo 359-ter del codice di procedura penale, l’utilizzo di sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale in luoghi pubblici o aperti al pubblico da parte degli organi, uffici e comandi delle Forze di polizia è ammesso per le finalità di prevenzione di cui all’articolo 5, paragrafo 1, lettera h), punto ii), del regolamento IA. I sistemi di cui al periodo precedente possono essere utilizzati, altresì, per la ricerca di una persona scomparsa o di persone specifiche, vittime dei reati di sequestro di persona, tratta di esseri umani o sfruttamento sessuale, ai sensi dell’articolo 5, paragrafo 1, lettera h), punto i), del regolamento IA.

2. L’utilizzo dei sistemi di IA di cui al comma 1 è consentito esclusivamente per confermare l’identità delle persone specificamente interessate ovvero per la ricerca mirata, anche in modo dinamico e compresa la localizzazione, di persone specificamente individuate o individuabili in relazione alla minaccia da prevenire o alla ricerca da eseguire.

3. Il confronto biometrico avviene esclusivamente con una banca dati di riferimento adeguata per ciascuna delle finalità di cui al comma 1, contenente i dati biometrici e le relative informazioni identificative, ove disponibili, riferiti alle persone, anche non identificate anagraficamente, di cui al comma 2. La banca dati di cui al primo periodo può essere derivata da dati contenuti in banche dati in uso alle Forze di polizia o tenute da altre pubbliche amministrazioni e accessibili alle predette Forze, ovvero da immagini, filmati o altri elementi biometrici acquisiti legalmente nell’ambito dell’attività di polizia. È in ogni caso vietato l’uso di banche dati biometriche alimentate, in tutto o in parte, mediante tecniche di scraping non mirato, ovvero costituite in violazione delle disposizioni vigenti in materia di protezione dei dati personali.

4. L’utilizzo dei sistemi di IA di cui al comma 1 è subordinato a una richiesta del questore o del comandante provinciale dell’Arma dei carabinieri e della Guardia di finanza, ovvero dei responsabili dei Servizi centrali di cui all'articolo 12 del decreto-legge 13 maggio 1991, n. 152, convertito, con modificazioni, dalla legge 12 luglio 1991, n. 203, al procuratore della Repubblica presso il Tribunale del capoluogo del distretto nel quale sono emerse le esigenze di prevenzione ovvero di ricerca, con indicazione della finalità perseguita, della durata prevista, dell’area territoriale interessata, delle persone interessate e ricercate, delle banche dati di riferimento utilizzate e dei sistemi e delle tecnologie impiegati;

5. L’autorizzazione deve essere concessa con riguardo a uno specifico evento o per il tempo strettamente necessario, in ogni caso non superiore a quindici giorni, prorogabili dal pubblico ministero, con decreto motivato per periodi successivi di quindici giorni qualora permangano le condizioni di cui al comma 1, nonché con riferimento ad una area territoriale delimitata e alla indicazione delle persone specificamente interessate e ricercate. La medesima autorizzazione può essere concessa, altresì, soltanto previa effettuazione delle valutazioni di cui all’articolo 5, paragrafo 2, del regolamento IA.

6. Nei casi d’urgenza, quando vi è fondato motivo di ritenere che dal ritardo possa derivare un pregiudizio grave e irreparabile per le finalità di cui al comma 1, l’utilizzo del sistema di IA può essere avviato, su disposizione del questore, dei comandanti o dei responsabili indicati al comma 4, lettera a), dall’organo di polizia procedente, previa comunicazione, anche in forma orale, al pubblico ministero, e a condizione che sia limitato a quanto strettamente necessario, in ogni caso con delimitazione dell’area interessata e indicazione delle persone ricercate.

7. Nei casi di cui al comma 6, la richiesta di autorizzazione è trasmessa al pubblico ministero senza ritardo e in ogni caso entro dodici ore dall’inizio delle operazioni. Il pubblico ministero, ove ritenga sussistenti le condizioni di cui al medesimo comma, provvede nelle successive dodici ore.

8. Se non sono osservate le condizioni e i termini previsti dai commi 4, 5, 6 e 7, ovvero in caso di mancata autorizzazione, l’uso del sistema di intelligenza artificiale oggetto dell’autorizzazione è immediatamente interrotto e tutti i dati personali, i risultati e gli output acquisiti e prodotti sono cancellati, fatti salvi gli elementi acquisiti legittimamente sotto altra base giuridica. I risultati forniti dai sistemi di intelligenza artificiale in violazione delle disposizioni del presente articolo non possono essere utilizzati.

ART. 9

(Valutazione d’impatto sui diritti fondamentali, conservazione delle registrazioni e notifica dell’utilizzo dei sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale)

1. In conformità all’articolo 5, paragrafo 2, del regolamento IA, per l’utilizzo dei sistemi di IA per l’identificazione biometrica remota in tempo reale per le finalità di cui all’articolo 8 del presente decreto o di cui all’articolo 359-ter del codice di procedura penale, il Titolare del trattamento completa in via preventiva una valutazione di impatto sui diritti fondamentali secondo quanto previsto dall’articolo 27 dello stesso regolamento.

2. Ogni utilizzo di sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale per le finalità di cui al comma 1 è registrato automaticamente in appositi file di log, non modificabili, comprendenti necessariamente i dati previsti dall’articolo 12, paragrafo 3, del regolamento IA. I file di log sono conservati per cinque anni dall’accesso e dall’operazione, e resi accessibili esclusivamente alle sole autorità competenti per finalità di verifica della liceità del trattamento, di controllo interno e nell’ambito di un procedimento penale.

3. Restano fermi i termini di conservazione dei Dati personali previsti, per finalità di polizia, dall’articolo 10 del decreto del Presidente della Repubblica 15 gennaio 2018, n. 15.

4. Dopo l’utilizzo dei sistemi di cui al comma 1, il Titolare del trattamento effettua notifica al Garante, in conformità a quanto previsto dall’articolo 5, paragrafo 4, del regolamento IA. La notifica, effettuata previo nulla osta dell’autorità giudiziaria competente che può differirlo per un periodo non superiore a tre mesi, rinnovabile per una sola volta, in presenza di specifiche esigenze di segretezza, contiene le informazioni essenziali sull’autorizzazione rilasciata e sul risultato conseguito con l’utilizzo del sistema, e non include dati operativi sensibili. Nel caso di più attivazioni del sistema di IA per l’identificazione biometrica remota in tempo reale nello stesso contesto operativo ovvero di più utilizzi omogenei del predetto sistema, la notifica di cui al presente comma può essere effettuata in modo periodico e cumulativo, secondo i termini previsti dal decreto di cui al comma 5, ferma la necessità del nulla osta preventivo dell’autorità giudiziaria a termini del periodo precedente.

5. Con decreto del Ministro dell’interno, di concerto con il Ministro della Giustizia, sentiti il Garante e le Autorità nazionali per l’intelligenza artificiale, coerentemente con le norme del regolamento IA, sono individuati, in relazione all’uso dei sistemi di IA per l’identificazione biometrica remota in tempo reale per le finalità di cui all’articolo 8 del presente decreto o di cui all’articolo 359-ter del codice di procedura penale:

1. i requisiti tecnici minimi di affidabilità e Accuratezza dei sistemi di IA per l’identificazione biometrica remota in tempo reale, ivi incluse le soglie operative utilizzabili;

2. le modalità di monitoraggio periodico delle prestazioni dei sistemi, con particolare riguardo alla rilevazione e alla mitigazione di eventuali bias o effetti discriminatori;

3. le misure tecniche e organizzative necessarie a garantire un adeguato livello di sicurezza del trattamento;

4. le misure tecniche e organizzative necessarie ad impedire accessi illeciti ai dati;

5. le informazioni che il Titolare del trattamento è tenuto ad allegare alla richiesta di autorizzazione ai sensi dell’articolo 8 del presente decreto o dell’articolo 359-ter del codice di procedura penale in ordine alle caratteristiche tecniche del sistema, ai risultati delle verifiche di Accuratezza e ai meccanismi di gestione degli errori;

6. le modalità di esecuzione della notifica di cui al comma 4;

7. gli ulteriori adempimenti cui il Titolare del trattamento è tenuto in conformità a quanto previsto dal regolamento IA.

ART. 10

(Disposizioni in materia di sistemi di videosorveglianza dotati della tecnologia di riconoscimento facciale a posteriori, integrata dall’intelligenza artificiale, per il contrasto dei reati)

1. In tutti i casi in cui è consentita da specifiche disposizioni di legge l’installazione di sistemi di videosorveglianza, tali sistemi possono essere integrati, ove ricorrono esigenze di ordine e sicurezza pubblica, con componenti di intelligenza artificiale, in conformità alla normativa sul trattamento dei Dati personali e nel rispetto del regolamento IA, che, in presenza dei presupposti di cui al comma 2, consentono l’attivazione successiva di tecnologie di riconoscimento facciale, con un intervallo di tempo tale da non configurare una identificazione biometrica remota in tempo reale ai sensi del regolamento IA.

2. Le tecnologie di cui al comma 1 sono utilizzate, in conformità con quanto previsto dall’articolo 26, paragrafo 10, primo comma, del regolamento IA, esclusivamente dopo la commissione di un fatto di reato, anche nell’ipotesi tentata, al solo fine della identificazione delle persone già indiziate della commissione del reato sulla base di documentazione video-fotografica e di elementi oggettivi e verificabili. L’utilizzo di tali sistemi è effettuato sotto la diretta ed esclusiva responsabilità dell’ufficiale di pubblica sicurezza Designato dal questore a gestire l’ordine e la sicurezza pubblica.

3. In caso di accesso a luoghi o ad eventi rispetto ai quali sussistono esigenze di ordine e sicurezza pubblica, l’utilizzo dei sistemi di videosorveglianza di cui al comma 1 comporta il trattamento automatizzato dei dati biometrici rilevati dalle immagini del volto delle persone che accedono ai predetti luoghi o eventi, memorizzati a livello locale nella base dati di riferimento di cui al comma 11, lettera a). Nella medesima base dati sono altresì memorizzati, senza l’utilizzo delle tecnologie biometriche di intelligenza artificiale, i corrispondenti dati anagrafici e, ove vi sia un posto assegnato, il relativo identificativo ottenuto con la scansione elettronica dei titoli di accesso. Nell’ipotesi di commissione di un fatto di reato ai sensi del comma 2, l’utilizzo dei sistemi di cui al comma 1 con l’attivazione delle tecnologie di riconoscimento facciale comporta il trattamento automatizzato dei dati biometrici estratti dalle immagini del volto delle persone da identificare poiché indiziate di aver commesso il fatto anzidetto, per il confronto biometrico a posteriori con i dati presenti nella base dati di cui al primo e al secondo periodo.

4. Il Titolare del trattamento dei Dati personali effettuato con l’utilizzo dei sistemi di cui al comma 1 è il Ministero dell’interno – Dipartimento della pubblica sicurezza.

5. Per i trattamenti di Dati personali svolti con i sistemi anzidetti, il Titolare del trattamento di cui al comma 4 effettua in via preventiva la valutazione d’impatto sulla protezione dei dati e consulta il Garante per la protezione dei Dati personali ai sensi degli articoli 23 e 24 del decreto legislativo 18 maggio 2018, n. 51. È possibile effettuare un’unica valutazione d’impatto sulla protezione dei dati valida per tutti i sistemi analoghi.

6. I Dati personali trattati con i sistemi di cui al comma 1 sono conservati nella base dati di riferimento individuata ai sensi del comma 11, lettera a), per sette giorni dalla raccolta e sono cancellati automaticamente decorso tale termine.

7. Gli accessi e le operazioni di trattamento sui sistemi di cui al presente articolo devono essere effettuati esclusivamente dalle persone autorizzate e registrati automaticamente in appositi file di log, non modificabili, conformemente a quanto previsto dall’articolo 12, paragrafo 3, del regolamento IA. I file di log sono conservati per cinque anni dall’accesso e dall’operazione, e resi accessibili per finalità di verifica della liceità del trattamento, di controllo interno e nell’ambito di un procedimento penale.

8. Restano fermi i termini di conservazione dei Dati personali previsti, per finalità di polizia, dall’articolo 10 del decreto del Presidente della Repubblica 15 gennaio 2018, n. 15.

9. Nessuna decisione che produca effetti giuridici negativi sulla persona cui si riferiscono i dati oggetto del trattamento può essere basata unicamente sui risultati forniti dall’applicazione di riconoscimento facciale.

10. I sistemi di cui al comma 1 non possono essere in alcun caso utilizzati con l’attivazione delle tecnologie di riconoscimento facciale in modo non mirato, senza alcun collegamento con un reato o con un procedimento penale, ovvero a fini di controllo e di identificazione biometrica generalizzati o indiscriminati delle persone.

11. Con decreto del Ministro dell’interno, sentito il Garante per la protezione dei dati personali, da emanare entro tre mesi dalla data di entrata in vigore delle disposizioni di cui al presente articolo, sono individuati:

1. le modalità del trattamento automatizzato dei dati biometrici estratti o rilevati dalle immagini del volto delle persone che accedono ai luoghi o agli eventi di cui al comma 3, e della loro memorizzazione a livello locale, ai sensi del primo e del secondo periodo del comma anzidetto, in una base dati di riferimento per il confronto biometrico a posteriori;

2. le misure tecniche e organizzative necessarie a garantire un adeguato livello di sicurezza del trattamento;

3. gli adempimenti cui il Titolare del trattamento è tenuto in conformità a quanto previsto dal regolamento IA.

12. All’installazione e alla manutenzione dei sistemi di cui al comma 1 possono provvedere, senza nuovi o maggiori oneri per la finanza pubblica, i gestori dei luoghi di cui al comma 3, gli organizzatori o promotori degli eventi di cui al medesimo comma, ovvero chi ha la disponibilità delle strutture ove tali eventi si svolgono, in accordo con i proprietari degli stessi luoghi o strutture. Nelle ipotesi di cui al periodo precedente, i predetti sistemi sono concessi in comodato gratuito alla questura, che ne acquisisce la completa ed esclusiva disponibilità.

13. Dall’attuazione delle disposizioni di cui al presente articolo non devono derivare nuovi o maggiori oneri per la finanza pubblica.

Capo IV

Disposizioni transitorie e finali

ART. 11

(Norma transitoria)

1. I sistemi di IA che, alla data di entrata in vigore del presente decreto, formano oggetto di rapporti contrattuali o sono in fase di sviluppo o di sperimentazione per finalità di polizia ovvero sono già in uso nell’attività di polizia, sono resi compatibili con le disposizioni del Capo II, da ciascuna Forza di polizia per quanto di rispettiva competenza, entro un anno dalla predetta data.

2. Per le disposizioni del presente titolo la cui applicazione è prevista direttamente ovvero dipende dal regolamento IA, si osservano i termini di entrata in vigore e di compiuta attuazione dello stesso regolamento.

ART. 12

(Clausola di invarianza finanziaria)

1. Le amministrazioni interessate provvedono alle attività previste dal presente titolo mediante l’utilizzo delle risorse umane, strumentali e finanziarie disponibili a legislazione vigente e, comunque, senza nuovi o maggiori oneri a carico della finanza pubblica.

Titolo II

Disposizioni penali, sostanziali e processuali, in materia di realizzazione e impiego illeciti dei sistemi di intelligenza artificiali e disposizioni processuali civili in materia di risarcimento dei danni cagionati dall'utilizzo dei medesimi sistemi

CAPO I

(Disposizioni sanzionatorie e in materia di procedimento penale)

ART. 13

(Definizioni)

1. Ai fini del presente titolo si applicano le definizioni di cui all'articolo 3 del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024.

ART. 14

(Modifiche al codice penale)

1. Al codice penale, dopo l'articolo 437, è inserito il seguente:

«Art. 437-bis (Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi) - Chiunque, nella progettazione, addestramento, produzione, immissione sul mercato o utilizzo professionale di sistemi di intelligenza artificiale ad alto rischio, omette misure tecniche idonee a prevenire malfunzionamenti o alterazioni del funzionamento dei sistemi ovvero omette misure di sorveglianza umana è punito, qualora dal fatto derivi un pericolo concreto per la vita o l'incolumità individuale, con la reclusione da uno a cinque anni. Qualora dal fatto derivi un pericolo concreto per l’incolumità pubblica o per la sicurezza dello Stato, la pena è della reclusione da due a otto anni.

Salvo che il fatto costituisca più grave reato, chiunque, al di fuori dei casi indicati al comma 1, altera sistemi di intelligenza artificiale ad alto rischio è punito, qualora dal fatto derivi un pericolo concreto per la vita o l'incolumità individuale, con la reclusione da due a sei anni. Qualora dal fatto derivi un pericolo concreto per l’incolumità pubblica o per la sicurezza dello Stato, la pena è della reclusione da tre a dieci anni.

Se taluno dei fatti previsti dal comma primo è commesso per colpa grave, la pena è ridotta da un Terzo a un sesto.».

ART. 15

(Modifiche al codice di procedura penale)

1. Al codice di procedura penale, dopo l'articolo 359-bis, è inserito il seguente:

«Art. 359-ter (Identificazione e localizzazione mediante sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale) - 1. Quando occorre confermare l'identificazione di una persona nei confronti della quale vi sono sufficienti indizi della commissione di uno dei delitti di cui all'allegato II del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, ovvero procedere alla ricerca mirata, ivi compresa la localizzazione, di una persona indiziata dei medesimi delitti, può essere Autorizzato l'impiego di sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale.

2. Quando occorre procedere alla ricerca di un latitante ai fini dell'esecuzione di un'ordinanza che dispone una misura cautelare coercitiva per uno dei delitti indicati al comma 1, ovvero di un ordine di esecuzione non sospeso che dispone la carcerazione per i medesimi delitti, può essere autorizzata la localizzazione della persona ricercata tramite identificazione biometrica remota in tempo reale con l'uso di sistemi di intelligenza artificiale, procedendo al confronto dei suoi dati biometrici con quelli di individui memorizzati in una banca dati di riferimento.

3. Nei casi di cui ai commi 1 e 2, il confronto biometrico avviene esclusivamente con una banca dati di riferimento adeguata per ciascuna delle finalità di cui ai medesimi commi, contenente i dati biometrici e le relative informazioni identificative, ove disponibili, riferiti alle persone, anche non identificate, di cui ai commi anzidetti. La banca dati di cui al primo periodo può essere derivata da dati contenuti in banche dati in uso alla polizia giudiziaria o tenute da altre pubbliche amministrazioni e accessibili alla stessa o all’autorità giudiziaria, ovvero da immagini, filmati o altri elementi biometrici acquisiti legalmente nell’ambito delle indagini.

4. Con le stesse modalità di cui ai commi 1, 2 e 3 può essere autorizzata la ricerca mirata, nell'ambito di un procedimento penale, di specifiche vittime di sottrazione, tratta di esseri umani o sfruttamento sessuale di esseri umani.

5. Nei casi di cui ai commi da 1 a 4 il pubblico ministero richiede l'autorizzazione all'impiego del sistema di intelligenza artificiale per l'identificazione biometrica remota in tempo reale al giudice per le indagini preliminari.

6. Il giudice per le indagini preliminari autorizza l'impiego del sistema di intelligenza artificiale di cui al comma 5 con decreto motivato. Nel provvedimento di autorizzazione sono delimitata l'area geografica di applicazione, indicate le persone specificamente ricercate e determinato il tempo strettamente necessario, che non può in ogni caso superare i quindici giorni, prorogabili dal giudice, con decreto motivato, su richiesta del pubblico ministero, per periodi successivi di quindici giorni, qualora permangano le condizioni. L'autorizzazione può essere concessa soltanto previa effettuazione delle valutazioni di cui all'articolo 5, paragrafo 2, del regolamento (UE) 2024/1689.

7. Quando ricorrono ragioni di urgenza e vi è fondato motivo di ritenere che dal ritardo possa derivare pregiudizio grave e irreparabile per le finalità di cui ai commi da 1 a 4, il pubblico ministero, se ricorrono le condizioni indicate al comma 6, primo periodo, dispone l'utilizzo del sistema di intelligenza artificiale per l'identificazione biometrica remota in tempo reale con decreto motivato. Il decreto è comunicato immediatamente e comunque non oltre ventiquattro ore al giudice per le indagini preliminari, il quale, se ne ricorrono i presupposti, nelle successive quarantotto ore, convalida il provvedimento e autorizza la prosecuzione. Negli stessi casi di cui al primo periodo, se non sia possibile, per la situazione di urgenza, attendere il provvedimento del pubblico ministero, all'attivazione del sistema di identificazione biometrica remota in tempo reale provvedono gli ufficiali di polizia giudiziaria, i quali, senza ritardo e comunque entro le successive dodici ore, trasmettono la richiesta di autorizzazione al pubblico ministero, il quale, se ne ricorrono i presupposti, richiede al giudice la convalida entro ventiquattro ore dall'avvio del sistema. Il giudice, se ne ricorrono i presupposti, nelle successive quarantotto ore, convalida il provvedimento e autorizza la prosecuzione dell'attività, con le indicazioni di cui al comma 6.

8. I risultati forniti dai sistemi di intelligenza artificiale non possono essere utilizzati qualora gli stessi siano stati impiegati fuori dei casi consentiti dalla legge o qualora non siano state osservate le disposizioni previste dai commi 6 e 7.»

ART. 16

(Modifiche alle norme di attuazione, di coordinamento e transitorie del codice di procedura penale)

1. All'articolo 104, comma 1, delle norme di attuazione, di coordinamento e transitorie del codice di procedura penale, di cui al decreto legislativo 28 luglio 1989, n. 271, sono apportate le seguenti modificazioni:

a) alla lettera e), il segno di interpunzione «.» è sostituito dal seguente: «;»;

b) alla lettera e-bis), le parole: «del profilo personale» sono sostituite dalle seguenti: «generati anche con sistemi di intelligenza artificiale».

ART. 17

(Modifiche al decreto legislativo 8 giugno 2001, n. 231)

1. Al decreto legislativo 8 giugno 2001, n. 231, dopo l'articolo 25-undevicies, è inserito il seguente:

«Art. 25-vicies (Reati commessi con l'uso di sistemi di intelligenza artificiale) - 1.In relazione al delitto di cui all'articolo 437-bis del codice penale, si applica all'ente la sanzione pecuniaria da seicento a mille quote.

2. In relazione al delitto di cui all'articolo 612-quater del codice penale, si applica all'ente la sanzione pecuniaria da duecento a settecento quote.

3. Nei casi previsti dai commi 1 e 2 si applicano all’ente le sanzioni interdittive previste dall’articolo 9, comma 2, lettere b), c), d) ed e). ».

CAPO II

(Strumenti processuali civili per il risarcimento dei danni cagionati dall'utilizzo di sistemi di intelligenza artificiale)

ART. 18

(Ambito di applicazione e foro del consumatore)

1. Le disposizioni dell'articolo 19 si applicano alle azioni di risarcimento del danno, sia contrattuale sia extracontrattuale, cagionato nell'utilizzo di un sistema di intelligenza artificiale.

2. Le disposizioni degli articoli 20 e 21 si applicano alle azioni di cui al comma 1 quando il danno deriva dalla violazione di uno o più obblighi previsti dal regolamento (UE) 2024/1689.

3. Restano ferme le disposizioni dell'articolo 82 del regolamento (UE) 2016/679 e della normativa nazionale di recepimento della direttiva (UE) 2024/2853 del Parlamento europeo e del Consiglio, del 23 ottobre 2024.

4. Nelle azioni di cui al comma 1 e 2, quando il danneggiato è una persona fisica che agisce per scopi estranei all'attività imprenditoriale, commerciale, artigianale o professionale eventualmente svolta, è altresì competente il giudice del luogo in cui il danneggiato ha la residenza o il domicilio.

ART. 19

(Accesso alle prove)

1. Nelle azioni di risarcimento del danno di cui all'articolo 18, comma 1, il giudice, su istanza della parte che allega di avere subito il danno, ordina all'altra parte o al Terzo che ne dispone, l'esibizione degli elementi di prova specificamente pertinenti relativi al funzionamento del sistema di intelligenza artificiale, quando l'istante presenta fatti ed elementi idonei a rendere verosimile la fondatezza della domanda, anche con riferimento al collegamento tra il risultato prodotto dal sistema di intelligenza artificiale e il danno lamentato.

2. Tra gli elementi di prova di cui al comma 1 rientrano:

a) i registri di cui all'articolo 12 del regolamento (UE) 2024/1689;

b) la documentazione relativa al sistema di gestione dei rischi di cui all'articolo 9 del medesimo regolamento;

c) le informazioni pertinenti contenute nella documentazione tecnica di cui all'articolo 11 del medesimo regolamento;

d) le informazioni relative ai parametri e alle modalità di supervisione umana di cui all'articolo 14 del medesimo regolamento.

3. L'ordine di esibizione è limitato a quanto necessario e proporzionato rispetto alla domanda. Il giudice tiene conto degli interessi di tutte le parti, con particolare riguardo alla tutela dei segreti commerciali e delle informazioni riservate.

4. Quando l'esecuzione dell'ordine di cui al comma 1 comporta il rischio di divulgazione di segreti commerciali o di altre informazioni riservate, il giudice adotta le misure idonee a garantirne la tutela. Si applica l'articolo 121-ter del codice della proprietà industriale, di cui al decreto legislativo 10 febbraio 2005, n. 30.

5. Se la parte, senza giustificato motivo, non adempie, anche parzialmente, all'ordine di esibizione, il giudice può desumere argomenti di prova ai sensi dell'articolo 116 del codice di procedura civile. Quando l'inadempimento riguarda la documentazione di cui al comma 2, il giudice, valutato ogni altro elemento di prova, ritiene come ammessi i fatti allegati dall'istante.

6. Se il terzo, senza giustificato motivo, non adempie, anche parzialmente, all’ordine di esibizione, il giudice lo condanna a una pena pecuniaria da euro 250 a euro 1500.

ART. 20

(Presunzione del nesso di causalità)

1. Quando il danno deriva dalla violazione di uno o più obblighi previsti dal regolamento (UE) 2024/1689, il nesso di causalità tra la violazione e il danno è presunto, salvo prova contraria.

ART. 21

(Rilevanza della conformità al regolamento (UE) 2024/1689)

1. La conformità del sistema di intelligenza artificiale agli obblighi previsti dal regolamento (UE) 2024/1689, anche se certificata ai sensi del capo III, sezione 5, del medesimo regolamento, non esclude di per sé la responsabilità del convenuto.

ART. 22

(Azione diretta nei confronti dell'impresa di assicurazione)

1. Chi intende promuovere l'azione di cui all'articolo 18 può chiedere preventivamente al soggetto a cui ritiene che sia imputabileil danno se è assistito da un contratto di assicurazione della responsabilità civile relativo al danno medesimo.La richiesta di cui al primo periodo non costituisce condizione di procedibilità della domanda.Il soggetto nei cui confronti è formulata la richiestacomunica entro trenta giorni dalla suaricezione, l'esistenza di un contratto di assicurazione della responsabilità civile relativo al danno dedotto, gli estremi del contratto e la denominazione dell'impresa di assicurazione. In caso di omessa o incompleta comunicazione, il giudice può desumere argomenti di prova ai sensi dell'articolo 116 del codice di procedura civile.

2. Il danneggiato ha azione diretta per il risarcimento del danno nei confronti dell'impresa di assicurazione che presta la copertura della responsabilità civile al convenuto, nei limiti delle somme per le quali è stipulato il contratto di assicurazione.

3. Sono opponibili al danneggiato le eccezioni derivanti dal contratto di assicurazione, purché anteriori al sinistro.

4. L'impresa di assicurazione che effettua il pagamento ha diritto di rivalsa verso l'assicurato, nella misura in cui avrebbe avuto titolo contrattuale per rifiutare o ridurre la propria prestazione.

5. Nel giudizio promosso ai sensi del comma 2 è litisconsorte necessario il soggetto individuato quale Responsabile del danno.

6. L'azione diretta di cui al comma 2 è soggetta al medesimo termine di prescrizione dell'azione nei confronti del soggetto individuato quale Responsabile del danno.

ART. 23

(Clausola di invarianza finanziaria)

1. Dall'attuazione del presente titolo non devono derivare nuovi o maggiori oneri a carico della finanza pubblica. Le amministrazioni interessate provvedono ai relativi adempimenti con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente.

Il presente decreto, munito del sigillo dello Stato, sarà inserito nella Raccolta ufficiale degli atti normativi della Repubblica italiana. È fatto obbligo a chiunque spetti di osservarlo e farlo osservare.

 ema di decreto legislativo: adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 del parlamento europeo e del consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale, in materia di utilizzo dei sistemi di intelligenza artificiale per l’attività di polizia e di responsabilità civile e penale

IL PRESIDENTE DELLA REPUBBLICA

VISTI gli articoli 76 e 87 della Costituzione;

VISTA la legge 23 agosto 1988, n. 400 recante «Disciplina dell'attività di Governo e ordinamento della Presidenza del Consiglio dei Ministri» e, in particolare, l’articolo 14;

VISTA la legge 24 dicembre 2012, n. 234, recante «Norme generali sulla partecipazione dell’Italia all’attuazione della normativa e delle politiche dell’Unione europea»;

VISTA la legge 23 settembre 2025, n. 132, recante «Disposizioni e deleghe al Governo in materia di intelligenza artificiale» e, in particolare, l’articolo 24, comma 1, comma 2, lettera h), comma 3 e comma 5;

VISTO il Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale e modifica i regolamenti (CE) n. 300/2008, (UE) n. 167/2013, (UE) n. 168/2013, (UE) 2018/858, (UE) 2018/1139 e (UE) 2019/2144 e le direttive 2014/90/UE, (UE) 2016/797 e (UE) 2020/1828 (regolamento sull’intelligenza artificiale);

VISTO il regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE concernente regolamento generale sulla protezione dei dati;

VISTA la direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei Dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati;

VISTA la direttiva (UE) 2024/2853 del Parlamento europeo e del Consiglio, del 23 ottobre 2024, sulla responsabilità per danno da prodotti difettosi e che abroga la direttiva 85/374/CEE del Consiglio;

VISTO il codice in materia di protezione dei Dati personali adottato con decreto legislativo 30 giugno 2003, n. 196;

VISTO il decreto legislativo 18 maggio 2018, n. 51, di attuazione della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei Dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio;

VISTO il decreto del Presidente della Repubblica 15 gennaio 2018, n. 15, concernente «regolamento a norma dell'articolo 57 del decreto legislativo 30 giugno 2003, n. 196, recante l'individuazione delle modalità di attuazione dei principi del Codice in materia di protezione dei Dati personali relativamente al trattamento dei dati effettuato, per le finalità di polizia, da organi, uffici e comandi di polizia»;

VISTA la legge 1° aprile 1981, n. 121, recante il nuovo ordinamento dell’Amministrazione della pubblica sicurezza;

VISTO il decreto legislativo 19 agosto 2016, n. 177, recante «disposizioni in materia di razionalizzazione delle funzioni di polizia e assorbimento del Corpo forestale dello Stato, ai sensi dell'articolo 8, comma 1, lettera a), della legge 7 agosto 2015, n. 124, in materia di riorganizzazione delle amministrazioni pubbliche»;

VISTO il decreto legislativo 15 marzo 2010, n. 66, recante «Codice dell’ordinamento militare» e, in particolare, il Libro primo, Titolo IV, Capo V, in materia di compiti e attribuzioni dell’Arma dei carabinieri;

VISTA la legge 23 aprile 1959, n. 189, recante «Ordinamento del corpo della Guardia di finanza»;

VISTO il decreto del Presidente della Repubblica 29 gennaio 1999, n. 34, recante «Regolamento recante norme per la determinazione della struttura ordinativa del Corpo della Guardia di finanza, ai sensi dell’articolo 27, commi 3 e 4, della legge 27 dicembre 1997, n. 449»;

VISTO il decreto legislativo 19 marzo 2001, n. 68, recante adeguamento dei compiti del Corpo della Guardia di finanza, a norma dell'articolo 4 della legge 31 marzo 2000, n. 78;

VISTO il regio decreto 19 ottobre 1930, n. 1398, recante «Approvazione del testo definitivo del codice penale»;

VISTO il regio decreto 16 marzo 1942, n. 262, recante «Approvazione del testo del Codice civile», e in particolare gli articoli 2050 e 2051;

VISTO il regio decreto 28 ottobre 1940, n. 1443, recante «Codice di procedura civile», e in particolare l'articolo 116;

VISTO il decreto del Presidente della Repubblica 22 settembre 1988, n. 447, recante «Approvazione del codice di procedura penale»;

VISTO il decreto legislativo 28 luglio 1989, n. 271, recante «Norme di attuazione, di coordinamento e transitorie del codice di procedura penale»;

VISTO il decreto legislativo 8 giugno 2001, n. 231, recante «Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica, a norma dell'articolo 11 della legge 29 settembre 2000, n. 300»;

VISTA la preliminare deliberazione del Consiglio dei ministri, adottata nella riunione del ...;

ACQUISITO il parere del Garante per la protezione dei dati personali;

ACQUISITO il parere della Conferenza unificata di cui all’articolo 8 del decreto legislativo 28 agosto 1997, n. 281;

ACQUISITI i pareri delle competenti Commissioni parlamentari della Camera dei deputati e del Senato della Repubblica;

VISTA la deliberazione del Consiglio dei ministri, adottata nella riunione del …;

SULLA PROPOSTA del Presidente del Consiglio dei ministri e dei Ministri per gli affari europei, il PNRR e le politiche di coesione, dell’interno e della giustizia, di concerto con i Ministri degli affari esteri, della difesa, dell’economia e delle finanze;

Emana

il seguente decreto legislativo:

Titolo I

Utilizzo dei sistemi di intelligenza artificiale per l’attività di polizia

Capo I

Disposizioni generali

ART. 1

(Oggetto e finalità)

1. Il presente titolo reca disposizioni in materia di utilizzo di sistemi di intelligenza artificiale da parte degli organi, uffici e comandi delle Forze di Polizia, in relazione alle specifiche funzioni esercitate, coerentemente con le norme e i principi del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, e della legge 23 settembre 2025, n. 132.

2. Le disposizioni del presente titolo si applicano nel rispetto dei diritti fondamentali e delle libertà garantite dalla Costituzione, dalla Carta dei diritti fondamentali dell’Unione europea e dalla Convenzione per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, nonché dei principi di proporzionalità, di non discriminazione, di sorveglianza umana e di trasparenza di cui all’articolo 3 della legge 23 settembre 2025, n. 132.

3. Il presente titolo non produce nuovi obblighi rispetto a quelli previsti dal regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, per i sistemi e i modelli di intelligenza artificiale utilizzati nelle attività e per le finalità di polizia.

ART. 2

(Definizioni)

1. Ai fini del presente titolo, si intende per:

1. «regolamento IA»: il regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024;

2. «legge IA»: la legge 23 settembre 2025, n. 132, recante: «Disposizioni e deleghe al Governo in materia di intelligenza artificiale»;

3. «sistema di IA»: un sistema di intelligenza artificiale definito dall’articolo 3, punto 1), del regolamento (UE) 2024/1689;

4. «pratiche vietate»: le pratiche di IA vietate a norma dell’articolo 5 del regolamento (UE) 2024/1689;

5. «sistema di IA ad alto rischio»: un sistema di IA classificato ad alto rischio, conformemente all’articolo 6 del regolamento (UE) 2024/1689 in combinato disposto con il suo allegato III;

6. «categorie particolari di dati personali»: le categorie di dati di cui all’articolo 3, punto 37), del regolamento (UE) 2024/1689;

7. «dati relativi a condanne penali e reati»: i Dati personali di cui all’articolo 10 del regolamento (UE) 2016/679;

8. «profilazione»: la Profilazione quale definita all’articolo 3, punto 52), del regolamento (UE) 2024/1689;

9. «dati operativi sensibili»: i dati relativi ad attività di prevenzione, accertamento, indagine o perseguimento di reati, indicati dall’articolo 3, punto 38), del regolamento (UE) 2024/1689;

10. «output»: previsioni, contenuti, raccomandazioni o decisioni generate da un sistema di IA ai sensi dell’articolo 3, punto 1), del regolamento (UE) 2024/1689;

11. «scraping non mirato»: l’estrazione e la raccolta automatizzata e indiscriminata, su larga scala, mediante l’utilizzo di un sistema di intelligenza artificiale, di immagini facciali dalla rete internet o da filmati di telecamere a circuito chiuso, allo scopo di creare o ampliare banche dati di riconoscimento facciale;

12. «direttiva n. 680/2016»: la direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio del 27 aprile 2016;

13. «decreto legislativo n. 51 del 2018»: il decreto legislativo 18 maggio 2018, n. 51, di attuazione della direttiva (UE) 2016/680;

14. «Autorità nazionali per l’intelligenza artificiale»: l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN), ai sensi dell’articolo 20, comma 1, della legge 23 settembre 2025, n. 132;

15. «d.P.R. n. 15 del 2018»: il decreto del Presidente della Repubblica 15 gennaio 2018, n. 15 recante l’individuazione delle modalità di attuazione dei principi del Codice in materia di protezione dei Dati personali relativamente al trattamento dei dati effettuato, per le finalità di polizia, da organi, uffici e comandi di polizia;

16. «Garante»: il Garante per la protezione dei dati personali, istituito dal decreto legislativo 30 giugno 2003, n. 196;

17. «Forze di polizia»: le Forze di polizia di cui all'articolo 16 della legge 1° aprile 1981, n. 121;

18. «attività di polizia»: le attività di contrasto definite dall’articolo 3, punto 46), del regolamento (UE) 1689/2024, svolte, nell’esercizio delle rispettive attribuzioni e funzioni, dagli organi, uffici e comandi delle Forze di polizia;

19. «finalità di polizia»: i fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro le minacce alla sicurezza pubblica e la prevenzione delle stesse, richiamati nei punti 45) e 46) dell’articolo 3 del regolamento (UE) 1689/2024, e per i quali sono svolte le attività di polizia di cui alla lettera r);

2. Per quanto non espressamente previsto, si applicano le definizioni di cui all’articolo 2 della legge 23 settembre 2025, n. 132, e le definizioni di cui al regolamento (UE) 2024/1689.

Capo II

Disposizioni in materia di ricerca, sviluppo, addestramento, formazione, sperimentazione e utilizzo dei sistemi di intelligenza artificiale nelle attività di polizia

ART. 3

(Ricerca, sperimentazione, sviluppo, addestramento, convalida e utilizzo di sistemi e modelli di intelligenza artificiale per le attività di polizia)

1. La ricerca, la sperimentazione, lo sviluppo, l’addestramento, l'adozione, l'applicazione, la convalida e l’utilizzo di sistemi e modelli di intelligenza artificiale per le attività e le finalità delle Forze di polizia avvengono nel rispetto dei diritti fondamentali e delle libertà previste dalla Costituzione, del diritto dell’Unione europea e dei principi di cui all’articolo 3 della legge IA, secondo un approccio antropocentrico, proporzionato e fondato sul rischio, che tenga conto della classificazione dei sistemi di IA e delle diverse categorie di interessati.

2. Le attività di ricerca, sperimentazione, sviluppo e addestramento sono orientate al perseguimento della funzionalità e dell’affidabilità operativa dei sistemi e dei modelli di IA destinati a essere utilizzati dalle Forze di polizia, nella prospettiva di migliorare l’apporto tecnologico dell’intelligenza artificiale alle valutazioni e alle decisioni umane nella relativa attività.

3. Le Forze di polizia, in conformità con l’assetto istituzionale vigente e nell’ambito delle proprie competenze, utilizzano i sistemi e i modelli di intelligenza artificiale e i relativi output in funzione strumentale e di supporto alle relative attività di polizia, allo scopo di incrementarne l’efficacia e l’efficienza.

4. L’utilizzo dei sistemi e dei modelli di IA nell’attività di polizia, conformemente agli obblighi stabiliti dal regolamento IA, deve prevedere adeguate forme di revisione umana qualificata dei risultati delle elaborazioni automatiche prima del loro impiego in atti e provvedimenti incidenti sulla sfera giuridica degli interessati, nel rispetto dell’autonomia e delle sfere di competenza dei procedimenti decisionali degli appartenenti alle Forze di polizia. La revisione è effettuata da personale individuato dalle procedure interne di ciascuna Forza di polizia ed è documentata in modo da assicurarne la tracciabilità.

5. Le Forze di Polizia assicurano che per i sistemi di IA ad alto rischio la sorveglianza umana sia effettiva e conforme a quanto previsto dall'articolo 14 del regolamento (UE) 2024/1689 e che il personale preposto possieda le necessarie competenze e formazione al fine di prevenire e ridurre al minimo i rischi per la salute, la sicurezza e i diritti fondamentali.

6. Il trattamento di Dati personali nelle attività di cui al comma 1, incluse le categorie particolari di dati personali, i dati operativi sensibili e i dati relativi a condanne penali e reati nella disponibilità delle Forze di polizia in forza di norme di legge o regolamentari ovvero di atti amministrativi generali, è svolto nel rispetto della normativa in materia di protezione dei dati personali, di cui al decreto legislativo n. 51 del 2018, ferme restando le specifiche disposizioni dettate dal regolamento IA per i sistemi ad alto rischio e quelle contenute nel Capo III del presente titolo.

7. Le attività di cui al presente articolo sono effettuate senza nuovi od ulteriori obblighi rispetto a quanto disposto dal regolamento IA, ferme restando le esclusioni previste dallo stesso regolamento.

ART. 4

(Collaborazione nell’ambito della ricerca e sperimentazione scientifica finalizzata alla realizzazione di sistemi e modelli di intelligenza artificiale per l’attività di polizia)

1. Le Forze di polizia, nell’ambito di specifici progetti di ricerca e sperimentazione scientifica volti alla realizzazione di sistemi di intelligenza artificiale o di dispositivi che utilizzano tecnologie di intelligenza artificiale per l’attività di polizia, possono attivare collaborazioni con università, enti di ricerca e soggetti pubblici e privati, anche per il tramite di società in house o di società a totale partecipazione pubblica controllate dallo Stato, nel rispetto della disciplina dell’Unione europea in materia di concorrenza e di aiuti di Stato.

2. Il trattamento di dati per le finalità di cui al comma 1 è svolto nel rispetto della normativa in materia di protezione dei dati personali, con la previsione di apposite clausole che escludano, in particolare, la condivisione di dati operativi sensibili e l’acquisizione o l’utilizzazione, anche indirette, da parte dei soggetti con i quali sono attivate le collaborazioni, per finalità commerciali o per altre finalità non previste dalle predette collaborazioni, di sistemi di IA e delle relative risorse hardware e software o di dispositivi integrati con componenti di IA che siano stati addestrati per l’attività di polizia.

3. I rapporti di collaborazione di cui al comma 1 disciplinano espressamente la titolarità dei diritti di proprietà intellettuale, industriale e di sfruttamento economico dei risultati della ricerca, dei modelli derivati, dei dati di addestramento e del software, nel rispetto del codice della proprietà industriale di cui al decreto legislativo 10 febbraio 2005, n. 30, dell’articolo 64 del decreto del Presidente della Repubblica 11 luglio 1980, n. 382, e della normativa di settore applicabile. È in ogni caso assicurata la titolarità in capo alle Forze di polizia dei modelli addestrati su dati operativi sensibili.

ART. 5

(Sviluppo, realizzazione e prova di determinati sistemi di IA per finalità di polizia

nello spazio di sperimentazione normativa)

1. Il presente articolo costituisce base giuridica ai sensi dell’articolo 59, paragrafo 2, del regolamento IA, nonché del decreto legislativo n. 51 del 2018, per il trattamento di dati personali, inclusi i dati relativi a reati e le categorie particolari di dati di cui di cui all’articolo 3, punto 37), dello stesso regolamento, effettuato dalle Forze di polizia nell’ambito di spazi di sperimentazione normativa per l’intelligenza artificiale, quando tale trattamento è necessario per finalità di polizia.

2. La partecipazione delle Forze di polizia agli spazi di sperimentazione di cui al comma 1 è finalizzata allo sviluppo, alla realizzazione e alla prova di sistemi di IA, in particolare ad alto rischio, destinati alle attività di polizia, nel rispetto della protezione dei Dati personali e della tutela dei diritti e delle libertà fondamentali.

3. Negli spazi di cui al presente articolo, la sperimentazione avviene nel rispetto delle condizioni cumulativamente previste dall’articolo 59, paragrafo 1, del regolamento IA, ed è oggetto di collaborazione e raccordo, fermo restando la tutela dei dati operativi sensibili e l’esclusiva titolarità e responsabilità del trattamento degli stessi da parte delle amministrazioni competenti, con le Autorità nazionali per l’intelligenza artificiale.

4. Con regolamento adottato con decreto del Presidente del Consiglio dei ministri, su proposta delle Autorità nazionali per l’intelligenza artificiale, di concerto con il Ministro dell’Interno, sono definite le modalità di coordinamento tra lo spazio di sperimentazione di cui all’articolo 57 del regolamento IA e le attività del presente articolo.

ART. 6

(Formazione del personale di polizia)

1. Le Forze di polizia provvedono ad attivare, presso i rispettivi istituti di formazione, specifici corsi in materia di intelligenza artificiale applicata all’attività di polizia, secondo modalità stabilite da ciascuna amministrazione nell’ambito delle risorse disponibili a legislazione vigente.

2. I corsi di cui al comma 1 assicurano, in attuazione dell’articolo 4 del regolamento IA, il conseguimento dei seguenti risultati formativi minimi:

a) comprensione dei principi di funzionamento e delle potenzialità dei sistemi di intelligenza artificiale, con particolare riferimento alle loro applicazioni nell’attività di polizia;

b) conoscenza dei limiti, dei bias e degli errori dei sistemi di intelligenza artificiale, con specifica attenzione al riconoscimento biometrico ed all’analisi predittiva;

c) capacità di interpretazione critica degli output dei sistemi di intelligenza artificiale e consapevolezza del ruolo della sorveglianza umana qualificata;

d) consapevolezza delle implicazioni giuridiche, etiche e di responsabilità connesse all’utilizzo dei sistemi di intelligenza artificiale a fini di polizia, con specifico riferimento alla disciplina di cui al regolamento IA, al regolamento (UE) 2016/679 ed al decreto legislativo n. 51 del 2018;

e) consapevolezza dei rischi di cybersicurezza connessi all’utilizzo dei sistemi di intelligenza artificiale, anche con riferimento alle indicazioni dell’Agenzia per la cybersicurezza nazionale.

3. I risultati formativi di cui al comma 2, lettere b), c) ed e), sono assicurati nell’ambito degli specifici corsi concernenti i sistemi di IA ad alto rischio in uso nelle attività di polizia ovvero destinati a essere utilizzati nelle medesime attività.

Capo III

Sistemi di intelligenza artificiale utilizzati nell’attività di polizia per l’etichettatura, il filtraggio e la categorizzazione di dati biometrici, per l’identificazione biometrica remota in tempo reale per finalità di prevenzione o di protezione e per il riconoscimento facciale a posteriori a fini di contrasto dei reati

ART. 7

(Etichettatura, filtraggio e categorizzazione di dati biometrici nell'attività di polizia)

1. Nell'ambito dell'attività di polizia, l'etichettatura, il filtraggio o la categorizzazione di set di dati biometrici acquisiti in conformità alla normativa vigente, ai sensi dell'articolo 5, paragrafo 1, lettera g), ultimo periodo, del regolamento IA, sono consentiti a condizione che:

a) non siano finalizzati a inferire o dedurre le caratteristiche di cui all'articolo 5, paragrafo 1, lettera g), primo periodo, del regolamento IA;

b) siano funzionali ad attività di comparazione o ricerca, ovvero ad ulteriori attività comunque effettuate conformemente alla normativa vigente ed esclusivamente per finalità di polizia;

c) non costituiscano l'unico fondamento di decisioni che producono effetti giuridici nei confronti di persone fisiche;

d) il Titolare del trattamento adotti misure idonee a prevenire il reimpiego dei dati e dei risultati per finalità incompatibili con quelle per cui sono stati raccolti.

2. Il trattamento di Dati personali nelle attività di cui al comma 1 tiene conto, ai fini dell’adempimento dei connessi obblighi previsti dal regolamento IA, della classificazione dei sistemi di IA, avuto riguardo anche agli orientamenti della Commissione europea sull’attuazione pratica del regolamento IA, ai sensi degli articoli 6, paragrafo 5, e 96, dello stesso, ed è svolto nel rispetto del decreto legislativo n. 51 del 2018.

ART. 8

(Sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale per finalità di prevenzione, nonché di ricerca delle persone scomparse e delle vittime di specifici reati)

1. Fermo restando quanto previsto dall’articolo 359-ter del codice di procedura penale, l’utilizzo di sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale in luoghi pubblici o aperti al pubblico da parte degli organi, uffici e comandi delle Forze di polizia è ammesso per le finalità di prevenzione di cui all’articolo 5, paragrafo 1, lettera h), punto ii), del regolamento IA. I sistemi di cui al periodo precedente possono essere utilizzati, altresì, per la ricerca di una persona scomparsa o di persone specifiche, vittime dei reati di sequestro di persona, tratta di esseri umani o sfruttamento sessuale, ai sensi dell’articolo 5, paragrafo 1, lettera h), punto i), del regolamento IA.

2. L’utilizzo dei sistemi di IA di cui al comma 1 è consentito esclusivamente per confermare l’identità delle persone specificamente interessate ovvero per la ricerca mirata, anche in modo dinamico e compresa la localizzazione, di persone specificamente individuate o individuabili in relazione alla minaccia da prevenire o alla ricerca da eseguire.

3. Il confronto biometrico avviene esclusivamente con una banca dati di riferimento adeguata per ciascuna delle finalità di cui al comma 1, contenente i dati biometrici e le relative informazioni identificative, ove disponibili, riferiti alle persone, anche non identificate anagraficamente, di cui al comma 2. La banca dati di cui al primo periodo può essere derivata da dati contenuti in banche dati in uso alle Forze di polizia o tenute da altre pubbliche amministrazioni e accessibili alle predette Forze, ovvero da immagini, filmati o altri elementi biometrici acquisiti legalmente nell’ambito dell’attività di polizia. È in ogni caso vietato l’uso di banche dati biometriche alimentate, in tutto o in parte, mediante tecniche di scraping non mirato, ovvero costituite in violazione delle disposizioni vigenti in materia di protezione dei dati personali.

4. L’utilizzo dei sistemi di IA di cui al comma 1 è subordinato a una richiesta del questore o del comandante provinciale dell’Arma dei carabinieri e della Guardia di finanza, ovvero dei responsabili dei Servizi centrali di cui all'articolo 12 del decreto-legge 13 maggio 1991, n. 152, convertito, con modificazioni, dalla legge 12 luglio 1991, n. 203, al procuratore della Repubblica presso il Tribunale del capoluogo del distretto nel quale sono emerse le esigenze di prevenzione ovvero di ricerca, con indicazione della finalità perseguita, della durata prevista, dell’area territoriale interessata, delle persone interessate e ricercate, delle banche dati di riferimento utilizzate e dei sistemi e delle tecnologie impiegati;

5. L’autorizzazione deve essere concessa con riguardo a uno specifico evento o per il tempo strettamente necessario, in ogni caso non superiore a quindici giorni, prorogabili dal pubblico ministero, con decreto motivato per periodi successivi di quindici giorni qualora permangano le condizioni di cui al comma 1, nonché con riferimento ad una area territoriale delimitata e alla indicazione delle persone specificamente interessate e ricercate. La medesima autorizzazione può essere concessa, altresì, soltanto previa effettuazione delle valutazioni di cui all’articolo 5, paragrafo 2, del regolamento IA.

6. Nei casi d’urgenza, quando vi è fondato motivo di ritenere che dal ritardo possa derivare un pregiudizio grave e irreparabile per le finalità di cui al comma 1, l’utilizzo del sistema di IA può essere avviato, su disposizione del questore, dei comandanti o dei responsabili indicati al comma 4, lettera a), dall’organo di polizia procedente, previa comunicazione, anche in forma orale, al pubblico ministero, e a condizione che sia limitato a quanto strettamente necessario, in ogni caso con delimitazione dell’area interessata e indicazione delle persone ricercate.

7. Nei casi di cui al comma 6, la richiesta di autorizzazione è trasmessa al pubblico ministero senza ritardo e in ogni caso entro dodici ore dall’inizio delle operazioni. Il pubblico ministero, ove ritenga sussistenti le condizioni di cui al medesimo comma, provvede nelle successive dodici ore.

8. Se non sono osservate le condizioni e i termini previsti dai commi 4, 5, 6 e 7, ovvero in caso di mancata autorizzazione, l’uso del sistema di intelligenza artificiale oggetto dell’autorizzazione è immediatamente interrotto e tutti i dati personali, i risultati e gli output acquisiti e prodotti sono cancellati, fatti salvi gli elementi acquisiti legittimamente sotto altra base giuridica. I risultati forniti dai sistemi di intelligenza artificiale in violazione delle disposizioni del presente articolo non possono essere utilizzati.

ART. 9

(Valutazione d’impatto sui diritti fondamentali, conservazione delle registrazioni e notifica dell’utilizzo dei sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale)

1. In conformità all’articolo 5, paragrafo 2, del regolamento IA, per l’utilizzo dei sistemi di IA per l’identificazione biometrica remota in tempo reale per le finalità di cui all’articolo 8 del presente decreto o di cui all’articolo 359-ter del codice di procedura penale, il Titolare del trattamento completa in via preventiva una valutazione di impatto sui diritti fondamentali secondo quanto previsto dall’articolo 27 dello stesso regolamento.

2. Ogni utilizzo di sistemi di intelligenza artificiale per l’identificazione biometrica remota in tempo reale per le finalità di cui al comma 1 è registrato automaticamente in appositi file di log, non modificabili, comprendenti necessariamente i dati previsti dall’articolo 12, paragrafo 3, del regolamento IA. I file di log sono conservati per cinque anni dall’accesso e dall’operazione, e resi accessibili esclusivamente alle sole autorità competenti per finalità di verifica della liceità del trattamento, di controllo interno e nell’ambito di un procedimento penale.

3. Restano fermi i termini di conservazione dei Dati personali previsti, per finalità di polizia, dall’articolo 10 del decreto del Presidente della Repubblica 15 gennaio 2018, n. 15.

4. Dopo l’utilizzo dei sistemi di cui al comma 1, il Titolare del trattamento effettua notifica al Garante, in conformità a quanto previsto dall’articolo 5, paragrafo 4, del regolamento IA. La notifica, effettuata previo nulla osta dell’autorità giudiziaria competente che può differirlo per un periodo non superiore a tre mesi, rinnovabile per una sola volta, in presenza di specifiche esigenze di segretezza, contiene le informazioni essenziali sull’autorizzazione rilasciata e sul risultato conseguito con l’utilizzo del sistema, e non include dati operativi sensibili. Nel caso di più attivazioni del sistema di IA per l’identificazione biometrica remota in tempo reale nello stesso contesto operativo ovvero di più utilizzi omogenei del predetto sistema, la notifica di cui al presente comma può essere effettuata in modo periodico e cumulativo, secondo i termini previsti dal decreto di cui al comma 5, ferma la necessità del nulla osta preventivo dell’autorità giudiziaria a termini del periodo precedente.

5. Con decreto del Ministro dell’interno, di concerto con il Ministro della Giustizia, sentiti il Garante e le Autorità nazionali per l’intelligenza artificiale, coerentemente con le norme del regolamento IA, sono individuati, in relazione all’uso dei sistemi di IA per l’identificazione biometrica remota in tempo reale per le finalità di cui all’articolo 8 del presente decreto o di cui all’articolo 359-ter del codice di procedura penale:

1. i requisiti tecnici minimi di affidabilità e Accuratezza dei sistemi di IA per l’identificazione biometrica remota in tempo reale, ivi incluse le soglie operative utilizzabili;

2. le modalità di monitoraggio periodico delle prestazioni dei sistemi, con particolare riguardo alla rilevazione e alla mitigazione di eventuali bias o effetti discriminatori;

3. le misure tecniche e organizzative necessarie a garantire un adeguato livello di sicurezza del trattamento;

4. le misure tecniche e organizzative necessarie ad impedire accessi illeciti ai dati;

5. le informazioni che il Titolare del trattamento è tenuto ad allegare alla richiesta di autorizzazione ai sensi dell’articolo 8 del presente decreto o dell’articolo 359-ter del codice di procedura penale in ordine alle caratteristiche tecniche del sistema, ai risultati delle verifiche di Accuratezza e ai meccanismi di gestione degli errori;

6. le modalità di esecuzione della notifica di cui al comma 4;

7. gli ulteriori adempimenti cui il Titolare del trattamento è tenuto in conformità a quanto previsto dal regolamento IA.

ART. 10

(Disposizioni in materia di sistemi di videosorveglianza dotati della tecnologia di riconoscimento facciale a posteriori, integrata dall’intelligenza artificiale, per il contrasto dei reati)

1. In tutti i casi in cui è consentita da specifiche disposizioni di legge l’installazione di sistemi di videosorveglianza, tali sistemi possono essere integrati, ove ricorrono esigenze di ordine e sicurezza pubblica, con componenti di intelligenza artificiale, in conformità alla normativa sul trattamento dei Dati personali e nel rispetto del regolamento IA, che, in presenza dei presupposti di cui al comma 2, consentono l’attivazione successiva di tecnologie di riconoscimento facciale, con un intervallo di tempo tale da non configurare una identificazione biometrica remota in tempo reale ai sensi del regolamento IA.

2. Le tecnologie di cui al comma 1 sono utilizzate, in conformità con quanto previsto dall’articolo 26, paragrafo 10, primo comma, del regolamento IA, esclusivamente dopo la commissione di un fatto di reato, anche nell’ipotesi tentata, al solo fine della identificazione delle persone già indiziate della commissione del reato sulla base di documentazione video-fotografica e di elementi oggettivi e verificabili. L’utilizzo di tali sistemi è effettuato sotto la diretta ed esclusiva responsabilità dell’ufficiale di pubblica sicurezza Designato dal questore a gestire l’ordine e la sicurezza pubblica.

3. In caso di accesso a luoghi o ad eventi rispetto ai quali sussistono esigenze di ordine e sicurezza pubblica, l’utilizzo dei sistemi di videosorveglianza di cui al comma 1 comporta il trattamento automatizzato dei dati biometrici rilevati dalle immagini del volto delle persone che accedono ai predetti luoghi o eventi, memorizzati a livello locale nella base dati di riferimento di cui al comma 11, lettera a). Nella medesima base dati sono altresì memorizzati, senza l’utilizzo delle tecnologie biometriche di intelligenza artificiale, i corrispondenti dati anagrafici e, ove vi sia un posto assegnato, il relativo identificativo ottenuto con la scansione elettronica dei titoli di accesso. Nell’ipotesi di commissione di un fatto di reato ai sensi del comma 2, l’utilizzo dei sistemi di cui al comma 1 con l’attivazione delle tecnologie di riconoscimento facciale comporta il trattamento automatizzato dei dati biometrici estratti dalle immagini del volto delle persone da identificare poiché indiziate di aver commesso il fatto anzidetto, per il confronto biometrico a posteriori con i dati presenti nella base dati di cui al primo e al secondo periodo.

4. Il Titolare del trattamento dei Dati personali effettuato con l’utilizzo dei sistemi di cui al comma 1 è il Ministero dell’interno – Dipartimento della pubblica sicurezza.

5. Per i trattamenti di Dati personali svolti con i sistemi anzidetti, il Titolare del trattamento di cui al comma 4 effettua in via preventiva la valutazione d’impatto sulla protezione dei dati e consulta il Garante per la protezione dei Dati personali ai sensi degli articoli 23 e 24 del decreto legislativo 18 maggio 2018, n. 51. È possibile effettuare un’unica valutazione d’impatto sulla protezione dei dati valida per tutti i sistemi analoghi.

6. I Dati personali trattati con i sistemi di cui al comma 1 sono conservati nella base dati di riferimento individuata ai sensi del comma 11, lettera a), per sette giorni dalla raccolta e sono cancellati automaticamente decorso tale termine.

7. Gli accessi e le operazioni di trattamento sui sistemi di cui al presente articolo devono essere effettuati esclusivamente dalle persone autorizzate e registrati automaticamente in appositi file di log, non modificabili, conformemente a quanto previsto dall’articolo 12, paragrafo 3, del regolamento IA. I file di log sono conservati per cinque anni dall’accesso e dall’operazione, e resi accessibili per finalità di verifica della liceità del trattamento, di controllo interno e nell’ambito di un procedimento penale.

8. Restano fermi i termini di conservazione dei Dati personali previsti, per finalità di polizia, dall’articolo 10 del decreto del Presidente della Repubblica 15 gennaio 2018, n. 15.

9. Nessuna decisione che produca effetti giuridici negativi sulla persona cui si riferiscono i dati oggetto del trattamento può essere basata unicamente sui risultati forniti dall’applicazione di riconoscimento facciale.

10. I sistemi di cui al comma 1 non possono essere in alcun caso utilizzati con l’attivazione delle tecnologie di riconoscimento facciale in modo non mirato, senza alcun collegamento con un reato o con un procedimento penale, ovvero a fini di controllo e di identificazione biometrica generalizzati o indiscriminati delle persone.

11. Con decreto del Ministro dell’interno, sentito il Garante per la protezione dei dati personali, da emanare entro tre mesi dalla data di entrata in vigore delle disposizioni di cui al presente articolo, sono individuati:

1. le modalità del trattamento automatizzato dei dati biometrici estratti o rilevati dalle immagini del volto delle persone che accedono ai luoghi o agli eventi di cui al comma 3, e della loro memorizzazione a livello locale, ai sensi del primo e del secondo periodo del comma anzidetto, in una base dati di riferimento per il confronto biometrico a posteriori;

2. le misure tecniche e organizzative necessarie a garantire un adeguato livello di sicurezza del trattamento;

3. gli adempimenti cui il Titolare del trattamento è tenuto in conformità a quanto previsto dal regolamento IA.

12. All’installazione e alla manutenzione dei sistemi di cui al comma 1 possono provvedere, senza nuovi o maggiori oneri per la finanza pubblica, i gestori dei luoghi di cui al comma 3, gli organizzatori o promotori degli eventi di cui al medesimo comma, ovvero chi ha la disponibilità delle strutture ove tali eventi si svolgono, in accordo con i proprietari degli stessi luoghi o strutture. Nelle ipotesi di cui al periodo precedente, i predetti sistemi sono concessi in comodato gratuito alla questura, che ne acquisisce la completa ed esclusiva disponibilità.

13. Dall’attuazione delle disposizioni di cui al presente articolo non devono derivare nuovi o maggiori oneri per la finanza pubblica.

Capo IV

Disposizioni transitorie e finali

ART. 11

(Norma transitoria)

1. I sistemi di IA che, alla data di entrata in vigore del presente decreto, formano oggetto di rapporti contrattuali o sono in fase di sviluppo o di sperimentazione per finalità di polizia ovvero sono già in uso nell’attività di polizia, sono resi compatibili con le disposizioni del Capo II, da ciascuna Forza di polizia per quanto di rispettiva competenza, entro un anno dalla predetta data.

2. Per le disposizioni del presente titolo la cui applicazione è prevista direttamente ovvero dipende dal regolamento IA, si osservano i termini di entrata in vigore e di compiuta attuazione dello stesso regolamento.

ART. 12

(Clausola di invarianza finanziaria)

1. Le amministrazioni interessate provvedono alle attività previste dal presente titolo mediante l’utilizzo delle risorse umane, strumentali e finanziarie disponibili a legislazione vigente e, comunque, senza nuovi o maggiori oneri a carico della finanza pubblica.

Titolo II

Disposizioni penali, sostanziali e processuali, in materia di realizzazione e impiego illeciti dei sistemi di intelligenza artificiali e disposizioni processuali civili in materia di risarcimento dei danni cagionati dall'utilizzo dei medesimi sistemi

CAPO I

(Disposizioni sanzionatorie e in materia di procedimento penale)

ART. 13

(Definizioni)

1. Ai fini del presente titolo si applicano le definizioni di cui all'articolo 3 del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024.

ART. 14

(Modifiche al codice penale)

1. Al codice penale, dopo l'articolo 437, è inserito il seguente:

«Art. 437-bis (Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi) - Chiunque, nella progettazione, addestramento, produzione, immissione sul mercato o utilizzo professionale di sistemi di intelligenza artificiale ad alto rischio, omette misure tecniche idonee a prevenire malfunzionamenti o alterazioni del funzionamento dei sistemi ovvero omette misure di sorveglianza umana è punito, qualora dal fatto derivi un pericolo concreto per la vita o l'incolumità individuale, con la reclusione da uno a cinque anni. Qualora dal fatto derivi un pericolo concreto per l’incolumità pubblica o per la sicurezza dello Stato, la pena è della reclusione da due a otto anni.

Salvo che il fatto costituisca più grave reato, chiunque, al di fuori dei casi indicati al comma 1, altera sistemi di intelligenza artificiale ad alto rischio è punito, qualora dal fatto derivi un pericolo concreto per la vita o l'incolumità individuale, con la reclusione da due a sei anni. Qualora dal fatto derivi un pericolo concreto per l’incolumità pubblica o per la sicurezza dello Stato, la pena è della reclusione da tre a dieci anni.

Se taluno dei fatti previsti dal comma primo è commesso per colpa grave, la pena è ridotta da un Terzo a un sesto.».

ART. 15

(Modifiche al codice di procedura penale)

1. Al codice di procedura penale, dopo l'articolo 359-bis, è inserito il seguente:

«Art. 359-ter (Identificazione e localizzazione mediante sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale) - 1. Quando occorre confermare l'identificazione di una persona nei confronti della quale vi sono sufficienti indizi della commissione di uno dei delitti di cui all'allegato II del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, ovvero procedere alla ricerca mirata, ivi compresa la localizzazione, di una persona indiziata dei medesimi delitti, può essere Autorizzato l'impiego di sistemi di intelligenza artificiale per l'identificazione biometrica remota in tempo reale.

2. Quando occorre procedere alla ricerca di un latitante ai fini dell'esecuzione di un'ordinanza che dispone una misura cautelare coercitiva per uno dei delitti indicati al comma 1, ovvero di un ordine di esecuzione non sospeso che dispone la carcerazione per i medesimi delitti, può essere autorizzata la localizzazione della persona ricercata tramite identificazione biometrica remota in tempo reale con l'uso di sistemi di intelligenza artificiale, procedendo al confronto dei suoi dati biometrici con quelli di individui memorizzati in una banca dati di riferimento.

3. Nei casi di cui ai commi 1 e 2, il confronto biometrico avviene esclusivamente con una banca dati di riferimento adeguata per ciascuna delle finalità di cui ai medesimi commi, contenente i dati biometrici e le relative informazioni identificative, ove disponibili, riferiti alle persone, anche non identificate, di cui ai commi anzidetti. La banca dati di cui al primo periodo può essere derivata da dati contenuti in banche dati in uso alla polizia giudiziaria o tenute da altre pubbliche amministrazioni e accessibili alla stessa o all’autorità giudiziaria, ovvero da immagini, filmati o altri elementi biometrici acquisiti legalmente nell’ambito delle indagini.

4. Con le stesse modalità di cui ai commi 1, 2 e 3 può essere autorizzata la ricerca mirata, nell'ambito di un procedimento penale, di specifiche vittime di sottrazione, tratta di esseri umani o sfruttamento sessuale di esseri umani.

5. Nei casi di cui ai commi da 1 a 4 il pubblico ministero richiede l'autorizzazione all'impiego del sistema di intelligenza artificiale per l'identificazione biometrica remota in tempo reale al giudice per le indagini preliminari.

6. Il giudice per le indagini preliminari autorizza l'impiego del sistema di intelligenza artificiale di cui al comma 5 con decreto motivato. Nel provvedimento di autorizzazione sono delimitata l'area geografica di applicazione, indicate le persone specificamente ricercate e determinato il tempo strettamente necessario, che non può in ogni caso superare i quindici giorni, prorogabili dal giudice, con decreto motivato, su richiesta del pubblico ministero, per periodi successivi di quindici giorni, qualora permangano le condizioni. L'autorizzazione può essere concessa soltanto previa effettuazione delle valutazioni di cui all'articolo 5, paragrafo 2, del regolamento (UE) 2024/1689.

7. Quando ricorrono ragioni di urgenza e vi è fondato motivo di ritenere che dal ritardo possa derivare pregiudizio grave e irreparabile per le finalità di cui ai commi da 1 a 4, il pubblico ministero, se ricorrono le condizioni indicate al comma 6, primo periodo, dispone l'utilizzo del sistema di intelligenza artificiale per l'identificazione biometrica remota in tempo reale con decreto motivato. Il decreto è comunicato immediatamente e comunque non oltre ventiquattro ore al giudice per le indagini preliminari, il quale, se ne ricorrono i presupposti, nelle successive quarantotto ore, convalida il provvedimento e autorizza la prosecuzione. Negli stessi casi di cui al primo periodo, se non sia possibile, per la situazione di urgenza, attendere il provvedimento del pubblico ministero, all'attivazione del sistema di identificazione biometrica remota in tempo reale provvedono gli ufficiali di polizia giudiziaria, i quali, senza ritardo e comunque entro le successive dodici ore, trasmettono la richiesta di autorizzazione al pubblico ministero, il quale, se ne ricorrono i presupposti, richiede al giudice la convalida entro ventiquattro ore dall'avvio del sistema. Il giudice, se ne ricorrono i presupposti, nelle successive quarantotto ore, convalida il provvedimento e autorizza la prosecuzione dell'attività, con le indicazioni di cui al comma 6.

8. I risultati forniti dai sistemi di intelligenza artificiale non possono essere utilizzati qualora gli stessi siano stati impiegati fuori dei casi consentiti dalla legge o qualora non siano state osservate le disposizioni previste dai commi 6 e 7.»

ART. 16

(Modifiche alle norme di attuazione, di coordinamento e transitorie del codice di procedura penale)

1. All'articolo 104, comma 1, delle norme di attuazione, di coordinamento e transitorie del codice di procedura penale, di cui al decreto legislativo 28 luglio 1989, n. 271, sono apportate le seguenti modificazioni:

a) alla lettera e), il segno di interpunzione «.» è sostituito dal seguente: «;»;

b) alla lettera e-bis), le parole: «del profilo personale» sono sostituite dalle seguenti: «generati anche con sistemi di intelligenza artificiale».

ART. 17

(Modifiche al decreto legislativo 8 giugno 2001, n. 231)

1. Al decreto legislativo 8 giugno 2001, n. 231, dopo l'articolo 25-undevicies, è inserito il seguente:

«Art. 25-vicies (Reati commessi con l'uso di sistemi di intelligenza artificiale) - 1.In relazione al delitto di cui all'articolo 437-bis del codice penale, si applica all'ente la sanzione pecuniaria da seicento a mille quote.

2. In relazione al delitto di cui all'articolo 612-quater del codice penale, si applica all'ente la sanzione pecuniaria da duecento a settecento quote.

3. Nei casi previsti dai commi 1 e 2 si applicano all’ente le sanzioni interdittive previste dall’articolo 9, comma 2, lettere b), c), d) ed e). ».

CAPO II

(Strumenti processuali civili per il risarcimento dei danni cagionati dall'utilizzo di sistemi di intelligenza artificiale)

ART. 18

(Ambito di applicazione e foro del consumatore)

1. Le disposizioni dell'articolo 19 si applicano alle azioni di risarcimento del danno, sia contrattuale sia extracontrattuale, cagionato nell'utilizzo di un sistema di intelligenza artificiale.

2. Le disposizioni degli articoli 20 e 21 si applicano alle azioni di cui al comma 1 quando il danno deriva dalla violazione di uno o più obblighi previsti dal regolamento (UE) 2024/1689.

3. Restano ferme le disposizioni dell'articolo 82 del regolamento (UE) 2016/679 e della normativa nazionale di recepimento della direttiva (UE) 2024/2853 del Parlamento europeo e del Consiglio, del 23 ottobre 2024.

4. Nelle azioni di cui al comma 1 e 2, quando il danneggiato è una persona fisica che agisce per scopi estranei all'attività imprenditoriale, commerciale, artigianale o professionale eventualmente svolta, è altresì competente il giudice del luogo in cui il danneggiato ha la residenza o il domicilio.

ART. 19

(Accesso alle prove)

1. Nelle azioni di risarcimento del danno di cui all'articolo 18, comma 1, il giudice, su istanza della parte che allega di avere subito il danno, ordina all'altra parte o al Terzo che ne dispone, l'esibizione degli elementi di prova specificamente pertinenti relativi al funzionamento del sistema di intelligenza artificiale, quando l'istante presenta fatti ed elementi idonei a rendere verosimile la fondatezza della domanda, anche con riferimento al collegamento tra il risultato prodotto dal sistema di intelligenza artificiale e il danno lamentato.

2. Tra gli elementi di prova di cui al comma 1 rientrano:

a) i registri di cui all'articolo 12 del regolamento (UE) 2024/1689;

b) la documentazione relativa al sistema di gestione dei rischi di cui all'articolo 9 del medesimo regolamento;

c) le informazioni pertinenti contenute nella documentazione tecnica di cui all'articolo 11 del medesimo regolamento;

d) le informazioni relative ai parametri e alle modalità di supervisione umana di cui all'articolo 14 del medesimo regolamento.

3. L'ordine di esibizione è limitato a quanto necessario e proporzionato rispetto alla domanda. Il giudice tiene conto degli interessi di tutte le parti, con particolare riguardo alla tutela dei segreti commerciali e delle informazioni riservate.

4. Quando l'esecuzione dell'ordine di cui al comma 1 comporta il rischio di divulgazione di segreti commerciali o di altre informazioni riservate, il giudice adotta le misure idonee a garantirne la tutela. Si applica l'articolo 121-ter del codice della proprietà industriale, di cui al decreto legislativo 10 febbraio 2005, n. 30.

5. Se la parte, senza giustificato motivo, non adempie, anche parzialmente, all'ordine di esibizione, il giudice può desumere argomenti di prova ai sensi dell'articolo 116 del codice di procedura civile. Quando l'inadempimento riguarda la documentazione di cui al comma 2, il giudice, valutato ogni altro elemento di prova, ritiene come ammessi i fatti allegati dall'istante.

6. Se il terzo, senza giustificato motivo, non adempie, anche parzialmente, all’ordine di esibizione, il giudice lo condanna a una pena pecuniaria da euro 250 a euro 1500.

ART. 20

(Presunzione del nesso di causalità)

1. Quando il danno deriva dalla violazione di uno o più obblighi previsti dal regolamento (UE) 2024/1689, il nesso di causalità tra la violazione e il danno è presunto, salvo prova contraria.

ART. 21

(Rilevanza della conformità al regolamento (UE) 2024/1689)

1. La conformità del sistema di intelligenza artificiale agli obblighi previsti dal regolamento (UE) 2024/1689, anche se certificata ai sensi del capo III, sezione 5, del medesimo regolamento, non esclude di per sé la responsabilità del convenuto.

ART. 22

(Azione diretta nei confronti dell'impresa di assicurazione)

1. Chi intende promuovere l'azione di cui all'articolo 18 può chiedere preventivamente al soggetto a cui ritiene che sia imputabileil danno se è assistito da un contratto di assicurazione della responsabilità civile relativo al danno medesimo.La richiesta di cui al primo periodo non costituisce condizione di procedibilità della domanda.Il soggetto nei cui confronti è formulata la richiestacomunica entro trenta giorni dalla suaricezione, l'esistenza di un contratto di assicurazione della responsabilità civile relativo al danno dedotto, gli estremi del contratto e la denominazione dell'impresa di assicurazione. In caso di omessa o incompleta comunicazione, il giudice può desumere argomenti di prova ai sensi dell'articolo 116 del codice di procedura civile.

2. Il danneggiato ha azione diretta per il risarcimento del danno nei confronti dell'impresa di assicurazione che presta la copertura della responsabilità civile al convenuto, nei limiti delle somme per le quali è stipulato il contratto di assicurazione.

3. Sono opponibili al danneggiato le eccezioni derivanti dal contratto di assicurazione, purché anteriori al sinistro.

4. L'impresa di assicurazione che effettua il pagamento ha diritto di rivalsa verso l'assicurato, nella misura in cui avrebbe avuto titolo contrattuale per rifiutare o ridurre la propria prestazione.

5. Nel giudizio promosso ai sensi del comma 2 è litisconsorte necessario il soggetto individuato quale Responsabile del danno.

6. L'azione diretta di cui al comma 2 è soggetta al medesimo termine di prescrizione dell'azione nei confronti del soggetto individuato quale Responsabile del danno.

ART. 23

(Clausola di invarianza finanziaria)

1. Dall'attuazione del presente titolo non devono derivare nuovi o maggiori oneri a carico della finanza pubblica. Le amministrazioni interessate provvedono ai relativi adempimenti con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente.

Il presente decreto, munito del sigillo dello Stato, sarà inserito nella Raccolta ufficiale degli atti normativi della Repubblica italiana. È fatto obbligo a chiunque spetti di osservarlo e farlo osservare.