Italia ha fijado por decreto cómo se puede usar el reconocimiento facial con inteligencia artificial en el acceso a lugares y eventos: siempre después de captar las imágenes, nunca en tiempo real. El mismo artículo dice quién puede pagar los equipos —el gestor del recinto o el organizador del evento— y que luego se ceden en comodato gratuito a la questura, la jefatura provincial de policía, que adquiere su disponibilidad completa y exclusiva.
Qué dice el decreto
La norma es el Decreto Legislativo 9 settembre 2026, n. 160, que adapta la normativa italiana al Reglamento (UE) 2024/1689 en materia de uso de sistemas de inteligencia artificial para la actividad de policía y de responsabilidad civil y penal. Se publicó en la Gazzetta Ufficiale n. 214 del 15 de septiembre de 2026, como acto 26G00179, y está vigente desde el 30 de septiembre de 2026. Las citas que siguen están tomadas del «ATTO COMPLETO» impreso de ese acto.
Lo que afecta a quien organiza eventos cabe en un solo artículo, el 10, dentro del Titolo I, dedicado al uso de sistemas de IA para la actividad de policía. Su rúbrica lo resume: «*Disposizioni in materia di sistemi di videosorveglianza dotati della tecnologia di riconoscimento facciale a posteriori, integrata dall'intelligenza artificiale, per il contrasto dei reati*», disposiciones sobre sistemas de videovigilancia dotados de tecnología de reconocimiento facial a posteriori, integrada por inteligencia artificial, para combatir los delitos.
El comma 1 no autoriza cámaras nuevas: parte de las que ya permite la ley. «*In tutti i casi in cui specifiche disposizioni di legge consentono l'installazione di sistemi di videosorveglianza, tali sistemi possono essere integrati con componenti di intelligenza artificiale*», donde una disposición legal específica consiente instalar videovigilancia, esos sistemas pueden integrarse con componentes de inteligencia artificial, respetando la normativa de protección de datos y el Reglamento de IA.
Esas componentes no se activan salvo en los casos y modalidades de los commi 2 y 3, y siempre con desfase: «*L'attivazione è effettuata successivamente all'acquisizione delle immagini, con un intervallo di tempo tale da non configurare un'identificazione biometrica remota in tempo reale*», la activación se hace después de adquirir las imágenes, con un intervalo tal que no configure una identificación biométrica remota en tiempo real a efectos del Reglamento de IA. Ese intervalo es la bisagra que sostiene el edificio entero.
A partir de ahí hay dos regímenes. El del comma 2 pasa por un juez: para el reconocimiento a posteriori de una persona buscada por estar indiciada de un delito, el pubblico ministero —a instancia de los oficiales de policía judicial que han puesto en marcha los sistemas— pide la autorización al giudice per le indagini preliminari «*senza ritardo e comunque entro quarantotto ore dal loro avvio*», en todo caso dentro de las 48 horas desde la puesta en marcha, y el juez autoriza por decreto motivado «*entro le successive quarantotto ore*», en las 48 horas siguientes. Sin autorización o fuera de plazo, el uso se interrumpe y se cancelan los datos, resultados y outputs, salvo que constituyan cuerpo del delito.
El del comma 3 no pasa por un juez. Conforme al artículo 26, apartado 10, primer párrafo, del Reglamento de IA, no hace falta autorización cuando las tecnologías se usan «*esclusivamente dopo la commissione di un reato al solo fine dell'identificazione iniziale di una persona potenzialmente indiziata*», solo después de cometido un delito y solo para la identificación inicial de un potencial indiciado, sobre elementos objetivos y verificables conectados con el hecho. Ahí responde en directo y en exclusiva el ufficiale di pubblica sicurezza designado por el questore o, fuera de ese supuesto, el oficial de policía judicial del artículo 57 del código de procedimiento penal.
La entrada escaneada es el eslabón
El comma 4 es el que convierte una norma de política criminal en una norma que pasa por la taquilla. Dice que, sobre la base de los criterios del comma 12, letra a), el uso de los sistemas del comma 1 «*comporta il trattamento automatizzato, delle immagini del volto delle persone che accedono a luoghi o a eventi per i quali sussistono particolari esigenze di ordine e sicurezza pubblica, senza elaborazione dei relativi dati biometrici*»: comporta el tratamiento automatizado de las imágenes del rostro de quien accede a lugares o eventos con particulares exigencias de orden y seguridad pública, sin elaboración de sus datos biométricos. La secuencia tiene tres pasos.
En la puerta se capta y se trata de forma automatizada la imagen del rostro de todo el que entra, y esas imágenes se memorizan en local, en la base de datos de referencia del comma 12, letra b). En esa misma base de datos entra algo más: «*Nella medesima base dati sono altresì memorizzati, senza ricorrere a tecnologie di riconoscimento biometrico, i corrispondenti dati anagrafici e, ove previsto un posto assegnato, il relativo identificativo, acquisiti mediante la scansione elettronica dei titoli di accesso*». Se guardan también, sin reconocimiento biométrico, los datos de identidad y, cuando hay asiento asignado, su identificador, adquiridos mediante el escaneo electrónico de los títulos de acceso.
Y solo después del delito entra lo biométrico: «*Successivamente alla commissione di un fatto di reato, l'attivazione delle tecnologie di riconoscimento facciale comporta l'elaborazione dei dati biometrici delle immagini presenti nella base dati locale di cui al primo periodo, cui sono associati i dati memorizzati ai sensi del secondo periodo, per l'effettuazione del confronto a posteriori con i dati biometrici estratti dalle immagini del volto della persona indiziata del reato*». Tras cometerse un hecho delictivo se elaboran los datos biométricos de las imágenes de la base local del primer periodo —a las que están asociados los datos del escaneo— para cotejarlos a posteriori con los extraídos del rostro de la persona indiciada. El eslabón entre una cara y un nombre no lo pone un algoritmo de identidad. Lo pone el escaneo del título de acceso.
Plazos y garantías del artículo 10
| Garantía | Qué dice el artículo 10 |
|---|---|
| Responsable del tratamiento | El Ministero dell'interno – Dipartimento della pubblica sicurezza (comma 5) |
| Evaluación de impacto | Previa y con consulta al Garante, según los artículos 23 y 24 del d.lgs. 51/2018; cabe una única evaluación válida para todos los sistemas análogos (comma 6) |
| Conservación de los datos | Siete días desde la recogida y cancelación automática al vencer el plazo (comma 7) |
| Registro de accesos | Solo personas autorizadas, con los accesos y operaciones registrados en ficheros de log no modificables, conservados cinco años (comma 8) |
| Fines de policía | Siguen vigentes los plazos de conservación del artículo 10 del reglamento del d.P.R. 15 gennaio 2018, n. 15 (comma 9) |
| Decisión automatizada | Ninguna decisión con efectos jurídicos negativos sobre la persona puede basarse únicamente en el resultado del reconocimiento facial (comma 10) |
| Usos prohibidos | Activación no dirigida, sin vínculo con un delito o un procedimiento penal, y control o identificación biométrica generalizados o indiscriminados (comma 11) |
| Autorización judicial | Petición del pubblico ministero en 48 horas desde la puesta en marcha y decreto motivado del giudice per le indagini preliminari en las 48 horas siguientes (comma 2) |
| Coste público | De la aplicación del artículo no deben derivar nuevos ni mayores cargos para la hacienda pública (comma 14) |
Quién paga el equipo
El comma 13 es la otra mitad de la noticia, y la que se lee distinta desde la silla del organizador. De la instalación y el mantenimiento de las componentes de IA y de las tecnologías biométricas del comma 1 «*possono provvedere, senza nuovi o maggiori oneri per la finanza pubblica, i gestori dei luoghi di cui al comma 4, gli organizzatori o promotori degli eventi di cui al medesimo comma, ovvero chi ha la disponibilità delle strutture ove tali eventi si svolgono, in accordo con i proprietari*»: pueden proveer, sin nuevos ni mayores cargos para la hacienda pública, los gestores de los lugares, los organizadores o promotores de los eventos o quien tenga la disponibilidad de las estructuras donde se celebran, de acuerdo con los propietarios. El texto menciona además a los entes locales por sus plataformas de videovigilancia.
La palabra decisiva es «*possono*». Es una facultad, no un deber: el decreto no impone a nadie instalar nada. Deja escrito que, si alguien lo instala, puede ser el privado que gestiona el recinto o monta el evento.
Lo que ocurre después está en la frase siguiente: «*i predetti sistemi sono concessi in comodato gratuito alla questura, che ne acquisisce la completa ed esclusiva disponibilità*», dichos sistemas se conceden en comodato gratuito a la questura, que adquiere su disponibilidad completa y exclusiva. Quien paga el equipo no lo opera: lo entrega en préstamo sin contraprestación y pierde su control. Y el comma 14 remata el diseño: «*Dall'attuazione delle disposizioni di cui al presente articolo non devono derivare nuovi o maggiori oneri per la finanza pubblica*», de la aplicación del artículo no deben derivar nuevos ni mayores cargos para la hacienda pública.
El propio comma 13 añade una coletilla sobre el reparto de papeles en materia de datos —«*in relazione ai ruoli svolti nel trattamento dei dati personali*»—, remite al d.lgs. 51/2018 y deja a salvo el comma 5. Aquí paramos: el responsable del tratamiento es el Ministero dell'interno, y qué consecuencias prácticas tiene esa coletilla para un promotor no lo resuelve el texto ni lo va a interpretar esta pieza.
Lo que todavía no está
El artículo 10 se aplica desde el 30 de septiembre, pero su pieza operativa está pendiente. El comma 12 remite a un decreto del Ministro dell'interno, oído el Garante, que debe fijar cuatro cosas: los criterios para identificar los lugares y los eventos del comma 4; las modalidades del tratamiento automatizado de las imágenes del rostro y de su memorización local; las medidas técnicas y organizativas de seguridad; y los deberes del responsable del tratamiento conforme al Reglamento de IA.
A 13 de octubre de 2026 ese decreto ministerial no consta emitido. Mientras no exista, no hay lista oficial de qué lugares y qué eventos tienen esas particulares exigencias de orden y seguridad pública, ni reglas publicadas sobre cómo se memorizan las imágenes en local. Un organizador no puede saber hoy si su recinto o su evento entran en el perímetro.
Hay un segundo antecedente a la vista. El parere del Garante per la protezione dei dati personali de 14 de julio de 2026, docweb 10275606, examinó el esquema de decreto antes de su aprobación. Sobre lo que entonces era el artículo 10, comma 3 del borrador, la autoridad objetó «*la memorizzazione locale dei dati biometrici delle persone che accedono a luoghi o eventi interessati*», la memorización local de los datos biométricos de quienes acceden a los lugares o eventos afectados, por no encajar con el artículo 26, apartado 10, del Reglamento de IA, que solo admite el reconocimiento facial para «*ricerche mirate ex post di persone sospettate o condannate*», búsquedas dirigidas ex post de sospechosos o condenados. Recomendó que el tratamiento se hiciera solo a posteriori sobre las grabaciones, según necesidades operativas concretas, y no de forma automática durante la captación.
El texto finalmente publicado traslada la previsión al comma 4 y añade cinco palabras: «*senza elaborazione dei relativi dati biometrici*». La coincidencia entre la objeción y la salvaguarda es llamativa y así la contamos, como secuencia de hechos. No hay documento que acredite que una sea causa de la otra.
Por qué importa
Para quien vende entradas, el cambio de fondo es de función. Hasta ahora el escaneo en puerta servía para dos cosas: comprobar que el título es válido y contar gente. El comma 4 le da una tercera, y no la ejerce el promotor: ese escaneo es la operación que vuelca los datos de identidad —y el número de asiento, si lo hay— a una base de datos local, junto a la imagen del rostro de quien acaba de pasar. Lo que en el flujo de producción es un control de accesos se convierte, en el diseño del artículo 10, en el eslabón que permite poner un nombre a una cara cuando haga falta.
La segunda lectura es presupuestaria, y es la que decide cuánto de esto se verá de verdad. El comma 14 impide que el Estado gaste en ello y el comma 13 dice quién puede gastar: el gestor del lugar, el organizador o quien tenga la disponibilidad de la estructura. La capacidad existe en la medida en que alguien privado la pague. Si esto se despliega en el circuito italiano de conciertos y festivales, se desplegará con dinero de recintos y promotores.
La tercera es de gobernanza y la más incómoda: quien paga no manda. El comodato es gratuito y la questura adquiere la disponibilidad completa y exclusiva del sistema. El responsable del tratamiento es el Ministero dell'interno y la activación depende de un juez o de un oficial de seguridad pública, nunca de quien compró el hardware. Financiar el equipo es asumir el coste de una infraestructura que después no se opera ni se controla.
Nada de esto es todavía una obligación, y los criterios para saber a qué eventos alcanza siguen pendientes. Lo que ya está resuelto es la financiación y la cesión del control, así que cuando llegue el decreto del comma 12 la conversación con el recinto no empezará de cero.
El contexto italiano marca la dirección del viaje. Los permisos de espectáculo público ya son un procedimiento denso —ahí está la guía de licencias de pubblico spettacolo—, la emisión de títulos está intervenida desde la biglietteria con sigillo fiscale y SIAE y en 2026 AGCOM ha multado la venta fuera del sistema de emisión a 5.000 euros por evento acreditado. Italia lleva años tratando el título de acceso como un documento nominativo y trazable. El artículo 10 añade a esa traza la cara de quien lo presenta.
Qué hacer con esto
- Mira qué dice el contrato con el recinto sobre videovigilancia e inteligencia artificial. Los contratos de cesión de espacio hablan de cámaras y de seguridad privada, no de componentes de IA acopladas a esas cámaras. Pregunta por escrito si el recinto las tiene o prevé integrarlas, y si durante tu evento el sistema está cedido en comodato a la questura.
- Documenta la salida de datos del escaneo antes del evento. Si el lector de entradas alimenta una base de datos local de un tercero, eso tiene que estar en tu registro de actividades de tratamiento y en la información de privacidad de la compra: la cláusula que firma hoy el comprador está pensada para control de aforo y envío de la entrada, y se queda corta si en el recinto existe un sistema del artículo 10. Deja también por escrito el papel de cada parte en ese flujo: plataforma, personal de puerta, empresa de seguridad y recinto.
- Decide qué haces con la numeración de asiento. El comma 4 memoriza el identificador del posto assegnato cuando lo hay: un evento numerado aporta un dato más que uno de pista libre. Comprueba qué campo exacto expone tu sistema en el escaneo.
- No aceptes cláusulas que invoquen el artículo 10 como si estuviera cerrado. Los criterios para identificar lugares y eventos los debe fijar un decreto del Ministro dell'interno que no consta emitido. Hasta entonces, una exigencia basada en una lista de recintos afectados no tiene norma publicada detrás.
- Ten presentes los dos plazos si una incidencia acaba en un procedimiento. Los datos de la base local se cancelan a los siete días de la recogida; los logs duran cinco años.
- Y antes que la tecnología, el operativo de puerta. Quién escanea, con qué dispositivo y qué pasa si falla: cómo se organiza la entrada de un evento decide más incidentes que cualquier componente de IA.