Biometria, riconoscimento facciale e IA: le regole per le imprese

Presenze: prima i mezzi semplici. Badge, firma o appello bastano a verificare la presenza a un corso o al lavoro. Il Garante ha sanzionato un ateneo che usava il riconoscimento facciale per oltre 450 corsisti a lezione, proprio perché c'erano alternative meno invasive.

Valutazione d'impatto prima di partire. Un sistema biometrico richiede una valutazione d'impatto sulla protezione dei dati prima dell'attivazione, non dopo.

I modelli del volto sotto il controllo della persona. Conservare in un archivio centrale i modelli biometrici di tutti aumenta il rischio. Le autorità europee preferiscono soluzioni in cui il modello resta sotto il controllo esclusivo della persona, cifrato e per il tempo strettamente necessario.

Esami e corsi online senza «indici di rischio». Si può registrare l'esame, anche riprendendo il volto senza estrarre dati biometrici. Non sono ammessi sistemi che analizzano movimenti, clic, tastiera o navigazione per segnalare possibili imbrogli.

Decisioni automatiche. Una persona ha diritto di non essere sottoposta a una decisione basata unicamente su un trattamento automatizzato che produce effetti giuridici o la riguarda in modo significativo (articolo 22 del GDPR). Il Garante ha chiesto di estendere il divieto alle valutazioni sul lavoro fatte solo dall'IA.

AI Act. Il Regolamento (UE) 2024/1689 si aggiunge al GDPR e non lo sostituisce. Lo schema di decreto italiano che lo attua, su cui il Garante ha dato parere favorevole nel luglio 2026, gli affida la vigilanza sui sistemi di IA ad alto rischio usati in alcuni settori sensibili, come giustizia e immigrazione.