Italië staat gezichtsherkenning achteraf toe bij evenementen, en het besluit laat toe dat de organisator de apparatuur betaalt en die gratis wordt afgestaan aan de politie

Italië heeft bij besluit vastgelegd hoe gezichtsherkenning met kunstmatige intelligentie mag worden gebruikt bij de toegang tot plaatsen en evenementen: altijd pas na het vastleggen van de beelden, nooit in realtime. Datzelfde artikel bepaalt wie de apparatuur mag betalen — de beheerder van de locatie of de organisator van het evenement — en dat die vervolgens kosteloos in bruikleen wordt gegeven aan de questura, het provinciale politiehoofdkwartier, dat er de volledige en exclusieve beschikking over krijgt.

Wat het besluit bepaalt

De regeling is het Decreto Legislativo 9 settembre 2026, n. 160, dat de Italiaanse wetgeving aanpast aan Verordening (EU) 2024/1689 wat betreft het gebruik van AI-systemen voor politiewerk en civiele en strafrechtelijke aansprakelijkheid. Het werd gepubliceerd in de Gazzetta Ufficiale nr. 214 van 15 september 2026, als handeling 26G00179, en is van kracht sinds 30 september 2026. De citaten die hierna volgen zijn overgenomen uit het «ATTO COMPLETO», de afgedrukte versie van die handeling.

Wat relevant is voor wie evenementen organiseert, past in één enkel artikel, artikel 10, binnen Titolo I, gewijd aan het gebruik van AI-systemen voor politiewerk. De titel vat het samen: «*Disposizioni in materia di sistemi di videosorveglianza dotati della tecnologia di riconoscimento facciale a posteriori, integrata dall'intelligenza artificiale, per il contrasto dei reati*», bepalingen over bewakingssystemen uitgerust met technologie voor gezichtsherkenning achteraf, geïntegreerd met kunstmatige intelligentie, om strafbare feiten te bestrijden.

Comma 1 staat geen nieuwe camera's toe: het vertrekt vanuit de camera's die de wet al toestaat. «*In tutti i casi in cui specifiche disposizioni di legge consentono l'installazione di sistemi di videosorveglianza, tali sistemi possono essere integrati con componenti di intelligenza artificiale*», waar een specifieke wettelijke bepaling toestaat videobewaking te installeren, kunnen die systemen worden geïntegreerd met AI-componenten, met inachtneming van de regelgeving inzake gegevensbescherming en de AI-verordening.

Die componenten worden alleen geactiveerd in de gevallen en op de wijze van commi 2 en 3, en altijd met vertraging: «*L'attivazione è effettuata successivamente all'acquisizione delle immagini, con un intervallo di tempo tale da non configurare un'identificazione biometrica remota in tempo reale*», de activering gebeurt na het verkrijgen van de beelden, met een tijdsinterval dat geen realtime biometrische identificatie op afstand vormt in de zin van de AI-verordening. Dat interval is het scharnier waarop het hele bouwwerk steunt.

Vanaf hier zijn er twee regelingen. Die van comma 2 verloopt via een rechter: voor de herkenning achteraf van een persoon die wordt gezocht omdat die van een strafbaar feit wordt verdacht, vraagt de pubblico ministero — op verzoek van de officieren van de gerechtelijke politie die de systemen in werking hebben gesteld — toestemming aan de giudice per le indagini preliminari «*senza ritardo e comunque entro quarantotto ore dal loro avvio*», in elk geval binnen 48 uur na de inwerkingstelling, en de rechter geeft die toestemming bij gemotiveerd besluit «*entro le successive quarantotto ore*», binnen de daaropvolgende 48 uur. Zonder toestemming of buiten de termijn wordt het gebruik stopgezet en worden de gegevens, resultaten en outputs gewist, tenzij ze corpus delicti vormen.

Die van comma 3 verloopt niet via een rechter. Volgens artikel 26, lid 10, eerste alinea, van de AI-verordening is geen toestemming nodig wanneer de technologieën worden gebruikt «*esclusivamente dopo la commissione di un reato al solo fine dell'identificazione iniziale di una persona potenzialmente indiziata*», uitsluitend na het plegen van een strafbaar feit en alleen voor de eerste identificatie van een mogelijke verdachte, op basis van objectieve en verifieerbare elementen die verband houden met het feit. Daarvoor is rechtstreeks en exclusief de ufficiale di pubblica sicurezza verantwoordelijk, aangewezen door de questore, of, buiten dat geval, de officier van de gerechtelijke politie van artikel 57 van het wetboek van strafvordering.

Het gescande ticket is de schakel

Comma 4 is wat een norm van strafrechtelijk beleid omzet in een norm die langs de kassa loopt. Het bepaalt dat, op basis van de criteria van comma 12, letter a), het gebruik van de systemen van comma 1 «*comporta il trattamento automatizzato, delle immagini del volto delle persone che accedono a luoghi o a eventi per i quali sussistono particolari esigenze di ordine e sicurezza pubblica, senza elaborazione dei relativi dati biometrici*» met zich meebrengt: het houdt de geautomatiseerde verwerking in van de gezichtsbeelden van wie toegang krijgt tot plaatsen of evenementen met bijzondere eisen op het gebied van openbare orde en veiligheid, zonder verwerking van de bijbehorende biometrische gegevens. De reeks bestaat uit drie stappen.

Bij de ingang wordt het gezicht van iedereen die binnenkomt vastgelegd en geautomatiseerd verwerkt, en die beelden worden lokaal opgeslagen, in de referentiedatabase van comma 12, letter b). In diezelfde database komt nog iets anders terecht: «*Nella medesima base dati sono altresì memorizzati, senza ricorrere a tecnologie di riconoscimento biometrico, i corrispondenti dati anagrafici e, ove previsto un posto assegnato, il relativo identificativo, acquisiti mediante la scansione elettronica dei titoli di accesso*». Ook worden, zonder biometrische herkenning, de identiteitsgegevens bewaard en, wanneer er een toegewezen zitplaats is, het bijbehorende stoelnummer, verkregen via de elektronische scan van de toegangsbewijzen.

En pas na het strafbare feit komt het biometrische element erbij: «*Successivamente alla commissione di un fatto di reato, l'attivazione delle tecnologie di riconoscimento facciale comporta l'elaborazione dei dati biometrici delle immagini presenti nella base dati locale di cui al primo periodo, cui sono associati i dati memorizzati ai sensi del secondo periodo, per l'effettuazione del confronto a posteriori con i dati biometrici estratti dalle immagini del volto della persona indiziata del reato*». Na het plegen van een strafbaar feit worden de biometrische gegevens van de beelden uit de lokale database van de eerste zin verwerkt — waaraan de gegevens van de scan zijn gekoppeld — om ze achteraf te vergelijken met de gegevens die zijn gehaald uit het gezicht van de verdachte. De schakel tussen een gezicht en een naam wordt niet gelegd door een identiteitsalgoritme. Die wordt gelegd door de scan van het toegangsbewijs.

Termijnen en waarborgen van artikel 10

Wie betaalt de apparatuur

Comma 13 is de andere helft van het verhaal, en degene die er anders uitziet vanuit de stoel van de organisator. Voor de installatie en het onderhoud van de AI-componenten en de biometrische technologieën van comma 1 «*possono provvedere, senza nuovi o maggiori oneri per la finanza pubblica, i gestori dei luoghi di cui al comma 4, gli organizzatori o promotori degli eventi di cui al medesimo comma, ovvero chi ha la disponibilità delle strutture ove tali eventi si svolgono, in accordo con i proprietari*»: kunnen zorgen, zonder nieuwe of hogere lasten voor de overheidsfinanciën, de beheerders van de locaties, de organisatoren of promotors van de evenementen, of wie de beschikking heeft over de structuren waar ze plaatsvinden, in overleg met de eigenaars. De tekst noemt daarnaast ook de lokale overheden voor hun bewakingsplatforms.

Het beslissende woord is «*possono*» (ze kunnen). Het is een mogelijkheid, geen verplichting: het besluit verplicht niemand iets te installeren. Het legt alleen vast dat, als iemand het installeert, dat de private partij kan zijn die de locatie beheert of het evenement organiseert.

Wat daarna gebeurt, staat in de volgende zin: «*i predetti sistemi sono concessi in comodato gratuito alla questura, che ne acquisisce la completa ed esclusiva disponibilità*», die systemen worden kosteloos in bruikleen gegeven aan de questura, die er de volledige en exclusieve beschikking over krijgt. Wie de apparatuur betaalt, bedient die niet: hij geeft ze in bruikleen zonder tegenprestatie en verliest de controle erover. En comma 14 maakt het ontwerp af: «*Dall'attuazione delle disposizioni di cui al presente articolo non devono derivare nuovi o maggiori oneri per la finanza pubblica*», uit de toepassing van het artikel mogen geen nieuwe of hogere lasten voor de overheidsfinanciën voortvloeien.

Comma 13 zelf voegt een zinsnede toe over de verdeling van rollen op het gebied van gegevens — «*in relazione ai ruoli svolti nel trattamento dei dati personali*» —, verwijst naar het d.lgs. 51/2018 en laat comma 5 onverlet. Hier houden we op: de verwerkingsverantwoordelijke is het Ministero dell'interno, en welke praktische gevolgen die zinsnede heeft voor een promotor, lost de tekst niet op en dat gaat dit stuk ook niet interpreteren.

Wat er nog ontbreekt

Artikel 10 geldt sinds 30 september, maar het operationele onderdeel ervan is nog niet ingevuld. Comma 12 verwijst naar een besluit van de Ministro dell'interno, na raadpleging van de Garante, dat vier zaken moet vastleggen: de criteria om de plaatsen en evenementen van comma 4 te identificeren; de wijze waarop de gezichtsbeelden geautomatiseerd worden verwerkt en lokaal worden opgeslagen; de technische en organisatorische veiligheidsmaatregelen; en de verplichtingen van de verwerkingsverantwoordelijke volgens de AI-verordening.

Op 13 oktober 2026 is dat ministerieel besluit nog niet uitgevaardigd. Zolang het niet bestaat, is er geen officiële lijst van welke plaatsen en evenementen die bijzondere eisen op het gebied van openbare orde en veiligheid hebben, en evenmin gepubliceerde regels over hoe de beelden lokaal worden opgeslagen. Een organisator kan vandaag niet weten of zijn locatie of evenement binnen het toepassingsgebied valt.

Er is nog een tweede voorgeschiedenis. Het parere del Garante per la protezione dei dati personali, docweb 10275606, onderzocht het ontwerpbesluit vóór de goedkeuring ervan. Over wat destijds artikel 10, comma 3 van het ontwerp was, maakte de autoriteit bezwaar tegen «*la memorizzazione locale dei dati biometrici delle persone che accedono a luoghi o eventi interessati*», de lokale opslag van de biometrische gegevens van wie toegang krijgt tot de betrokken plaatsen of evenementen, omdat dit niet strookte met artikel 26, lid 10, van de AI-verordening, dat gezichtsherkenning alleen toestaat voor «*ricerche mirate ex post di persone sospettate o condannate*», gerichte zoekacties achteraf naar verdachten of veroordeelden. Ze beval aan dat de verwerking alleen achteraf op de opnames zou gebeuren, op basis van concrete operationele behoeften, en niet automatisch tijdens het vastleggen.

De uiteindelijk gepubliceerde tekst verplaatst de bepaling naar comma 4 en voegt vijf woorden toe: «*senza elaborazione dei relativi dati biometrici*». De overeenkomst tussen het bezwaar en de waarborg is opvallend, en zo vertellen we het, als een opeenvolging van feiten. Er is geen document dat aantoont dat het ene de oorzaak is van het andere.

Waarom het ertoe doet

Voor wie tickets verkoopt, zit de fundamentele verandering in de functie. Tot nu toe diende het scannen aan de deur voor twee dingen: controleren of het ticket geldig is en mensen tellen. Comma 4 geeft er een derde functie aan, en die wordt niet door de promotor uitgeoefend: die scan is de handeling die de identiteitsgegevens — en het stoelnummer, indien van toepassing — overzet naar een lokale database, samen met het gezicht van wie net is binnengekomen. Wat in het productieproces toegangscontrole is, wordt in het ontwerp van artikel 10 de schakel die het mogelijk maakt een naam aan een gezicht te koppelen wanneer dat nodig is.

De tweede invalshoek is budgettair, en die bepaalt hoeveel hiervan in de praktijk werkelijk zichtbaar wordt. Comma 14 verhindert dat de staat eraan uitgeeft, en comma 13 bepaalt wie dat wel mag doen: de beheerder van de locatie, de organisator of wie de beschikking heeft over de structuur. De capaciteit bestaat voor zover een private partij ervoor betaalt. Als dit wordt uitgerold in het Italiaanse concert- en festivalcircuit, gebeurt dat met geld van locaties en promotors.

De derde invalshoek gaat over governance, en is de ongemakkelijkste: wie betaalt, heeft niet het laatste woord. Het bruikleen is kosteloos en de questura krijgt de volledige en exclusieve beschikking over het systeem. De verwerkingsverantwoordelijke is het Ministero dell'interno en de activering hangt af van een rechter of een ambtenaar van de openbare veiligheid, nooit van wie de hardware heeft gekocht. De apparatuur financieren betekent de kosten dragen van een infrastructuur die men daarna niet bedient en niet controleert.

Niets hiervan is vooralsnog een verplichting, en de criteria om te weten voor welke evenementen het geldt, zijn nog niet vastgesteld. Wat al wel geregeld is, is de financiering en de afstand van de controle, zodat het gesprek met de locatie niet bij nul begint zodra het besluit van comma 12 er komt.

De Italiaanse context geeft de richting aan. Vergunningen voor openbare evenementen zijn al een zware procedure — zie de gids over pubblico spettacolo-vergunningen —, de uitgifte van tickets wordt gereguleerd via de biglietteria met sigillo fiscale en SIAE en in 2026 heeft AGCOM verkoop buiten het uitgiftesysteem beboet met 5.000 euro per geaccrediteerd evenement. Italië behandelt het toegangsbewijs al jaren als een persoonsgebonden en traceerbaar document. Artikel 10 voegt aan dat spoor het gezicht toe van wie het toont.

Wat hiermee te doen

• Kijk wat het contract met de locatie zegt over videobewaking en kunstmatige intelligentie. Contracten voor ruimtehuur gaan over camera's en particuliere beveiliging, niet over AI-componenten die aan die camera's zijn gekoppeld. Vraag schriftelijk na of de locatie die heeft of van plan is te integreren, en of het systeem tijdens je evenement in bruikleen is gegeven aan de questura.
• Documenteer vóór het evenement waar de scangegevens naartoe gaan. Als de ticketscanner een lokale database van een derde partij voedt, moet dat in je register van verwerkingsactiviteiten staan en in de privacyinformatie bij de aankoop: de clausule die de koper vandaag ondertekent, is bedoeld voor capaciteitscontrole en verzending van het ticket, en schiet tekort als er in de locatie een systeem uit artikel 10 bestaat. Leg ook schriftelijk vast welke rol elke partij in die keten speelt: platform, deurpersoneel, beveiligingsbedrijf en locatie.
• Bepaal wat je doet met de stoelnummering. Comma 4 slaat het stoelnummer op wanneer er een posto assegnato is: een genummerd evenement levert één gegeven meer op dan een evenement met vrije opstelling. Controleer welk precieze veld je systeem bij het scannen toont.
• Accepteer geen clausules die artikel 10 inroepen alsof het al volledig is ingevuld. De criteria om plaatsen en evenementen te identificeren moeten worden vastgesteld door een besluit van de Ministro dell'interno dat nog niet is uitgevaardigd. Tot die tijd heeft een eis op basis van een lijst van betrokken locaties geen gepubliceerde norm als grondslag.
• Houd de twee termijnen in gedachten als een incident in een procedure terechtkomt. De gegevens in de lokale database worden zeven dagen na verzameling verwijderd; de logs blijven vijf jaar bewaard.
• En vóór de technologie komt de organisatie aan de deur. Wie scant, met welk apparaat en wat er gebeurt als het misgaat: hoe de toegang van een evenement wordt georganiseerd bepaalt meer incidenten dan welke AI-component ook.