A Itália fixou por decreto como se pode usar o reconhecimento facial com inteligência artificial no acesso a locais e eventos: sempre depois de captar as imagens, nunca em tempo real. O mesmo artigo diz quem pode pagar os equipamentos — o gestor do recinto ou o organizador do evento — e que depois eles são cedidos em comodato gratuito à questura, a delegacia provincial de polícia, que adquire sua disponibilidade completa e exclusiva.
O que diz o decreto
A norma é o Decreto Legislativo 9 settembre 2026, n. 160, que adapta a legislação italiana ao Regulamento (UE) 2024/1689 em matéria de uso de sistemas de inteligência artificial para a atividade policial e de responsabilidade civil e penal. Foi publicado na Gazzetta Ufficiale n. 214 de 15 de setembro de 2026, como ato 26G00179, e está em vigor desde 30 de setembro de 2026. As citações que seguem foram retiradas do «ATTO COMPLETO» impresso desse ato.
O que afeta quem organiza eventos cabe em um único artigo, o 10, dentro do Titolo I, dedicado ao uso de sistemas de IA para a atividade policial. Sua rubrica resume isso: «*Disposizioni in materia di sistemi di videosorveglianza dotati della tecnologia di riconoscimento facciale a posteriori, integrata dall'intelligenza artificiale, per il contrasto dei reati*», disposições sobre sistemas de videovigilância dotados de tecnologia de reconhecimento facial a posteriori, integrada por inteligência artificial, para o combate aos delitos.
O comma 1 não autoriza câmeras novas: parte das que a lei já permite. «*In tutti i casi in cui specifiche disposizioni di legge consentono l'installazione di sistemi di videosorveglianza, tali sistemi possono essere integrati con componenti di intelligenza artificiale*», ou seja, onde uma disposição legal específica permite instalar videovigilância, esses sistemas podem ser integrados com componentes de inteligência artificial, respeitando a legislação de proteção de dados e o Regulamento de IA.
Esses componentes não se ativam exceto nos casos e modalidades dos commi 2 e 3, e sempre com defasagem: «*L'attivazione è effettuata successivamente all'acquisizione delle immagini, con un intervallo di tempo tale da non configurare un'identificazione biometrica remota in tempo reale*», ou seja, a ativação ocorre depois de adquiridas as imagens, com um intervalo tal que não configure uma identificação biométrica remota em tempo real para os efeitos do Regulamento de IA. Esse intervalo é a dobradiça que sustenta todo o edifício.
A partir daí há dois regimes. O do comma 2 passa por um juiz: para o reconhecimento a posteriori de uma pessoa procurada por indícios de um delito, o pubblico ministero — a pedido dos oficiais de polícia judiciária que colocaram os sistemas em funcionamento — solicita a autorização ao giudice per le indagini preliminari «*senza ritardo e comunque entro quarantotto ore dal loro avvio*», ou seja, em todo caso dentro de 48 horas desde o início do funcionamento, e o juiz autoriza por decreto motivado «*entro le successive quarantotto ore*», nas 48 horas seguintes. Sem autorização ou fora do prazo, o uso é interrompido e os dados, resultados e outputs são cancelados, salvo se constituírem corpo de delito.
O do comma 3 não passa por um juiz. Conforme o artigo 26, parágrafo 10, primeiro período, do Regulamento de IA, não é necessária autorização quando as tecnologias são usadas «*esclusivamente dopo la commissione di un reato al solo fine dell'identificazione iniziale di una persona potenzialmente indiziata*», ou seja, somente depois de cometido um delito e somente para a identificação inicial de um potencial indiciado, com base em elementos objetivos e verificáveis conectados ao fato. Nesse caso, responde direta e exclusivamente o ufficiale di pubblica sicurezza designado pelo questore ou, fora dessa hipótese, o oficial de polícia judiciária do artigo 57 do código de processo penal.
O ingresso escaneado é o elo
O comma 4 é o que transforma uma norma de política criminal em uma norma que passa pela bilheteria. Diz que, com base nos critérios do comma 12, letra a), o uso dos sistemas do comma 1 «*comporta il trattamento automatizzato, delle immagini del volto delle persone che accedono a luoghi o a eventi per i quali sussistono particolari esigenze di ordine e sicurezza pubblica, senza elaborazione dei relativi dati biometrici*»: implica o tratamento automatizado das imagens do rosto de quem acessa locais ou eventos com exigências particulares de ordem e segurança pública, sem elaboração de seus dados biométricos. A sequência tem três etapas.
Na porta, capta-se e trata-se de forma automatizada a imagem do rosto de todos que entram, e essas imagens são armazenadas localmente, na base de dados de referência do comma 12, letra b). Nessa mesma base de dados entra mais algo: «*Nella medesima base dati sono altresì memorizzati, senza ricorrere a tecnologie di riconoscimento biometrico, i corrispondenti dati anagrafici e, ove previsto un posto assegnato, il relativo identificativo, acquisiti mediante la scansione elettronica dei titoli di accesso*». Também são guardados, sem reconhecimento biométrico, os dados de identidade e, quando há assento atribuído, seu identificador, obtidos mediante o escaneamento eletrônico dos títulos de acesso.
E só depois do delito entra o biométrico: «*Successivamente alla commissione di un fatto di reato, l'attivazione delle tecnologie di riconoscimento facciale comporta l'elaborazione dei dati biometrici delle immagini presenti nella base dati locale di cui al primo periodo, cui sono associati i dati memorizzati ai sensi del secondo periodo, per l'effettuazione del confronto a posteriori con i dati biometrici estratti dalle immagini del volto della persona indiziata del reato*». Depois de cometido um fato delituoso, são elaborados os dados biométricos das imagens da base local do primeiro período — às quais estão associados os dados do escaneamento — para cotejá-los a posteriori com os extraídos do rosto da pessoa indiciada. O elo entre um rosto e um nome não é criado por um algoritmo de identidade. É criado pelo escaneamento do título de acesso.
Prazos e garantias do artigo 10
| Garantia | O que diz o artigo 10 |
|---|---|
| Responsável pelo tratamento | O Ministero dell'interno – Dipartimento della pubblica sicurezza (comma 5) |
| Avaliação de impacto | Prévia e com consulta ao Garante, segundo os artigos 23 e 24 do d.lgs. 51/2018; cabe uma única avaliação válida para todos os sistemas análogos (comma 6) |
| Conservação dos dados | Sete dias a partir da coleta e cancelamento automático ao vencer o prazo (comma 7) |
| Registro de acessos | Somente pessoas autorizadas, com os acessos e operações registrados em arquivos de log não modificáveis, conservados por cinco anos (comma 8) |
| Fins de policiamento | Seguem vigentes os prazos de conservação do artigo 10 do regulamento do d.P.R. 15 gennaio 2018, n. 15 (comma 9) |
| Decisão automatizada | Nenhuma decisão com efeitos jurídicos negativos sobre a pessoa pode se basear unicamente no resultado do reconhecimento facial (comma 10) |
| Usos proibidos | Ativação não direcionada, sem vínculo com um delito ou um procedimento penal, e controle ou identificação biométrica generalizados ou indiscriminados (comma 11) |
| Autorização judicial | Pedido do pubblico ministero em 48 horas desde o início do funcionamento e decreto motivado do giudice per le indagini preliminari nas 48 horas seguintes (comma 2) |
| Custo público | Da aplicação do artigo não devem decorrer novos ou maiores encargos para a fazenda pública (comma 14) |
Quem paga o equipamento
O comma 13 é a outra metade da notícia, e a que se lê de forma diferente da cadeira do organizador. Da instalação e da manutenção dos componentes de IA e das tecnologias biométricas do comma 1 «*possono provvedere, senza nuovi o maggiori oneri per la finanza pubblica, i gestori dei luoghi di cui al comma 4, gli organizzatori o promotori degli eventi di cui al medesimo comma, ovvero chi ha la disponibilità delle strutture ove tali eventi si svolgono, in accordo con i proprietari*»: podem se encarregar, sem novos ou maiores encargos para a fazenda pública, os gestores dos locais, os organizadores ou promotores dos eventos ou quem tenha a disponibilidade das estruturas onde eles se realizam, de acordo com os proprietários. O texto menciona ainda os entes locais por suas plataformas de videovigilância.
A palavra decisiva é «*possono*». É uma faculdade, não um dever: o decreto não impõe a ninguém instalar nada. Fica registrado que, se alguém instalar, pode ser o privado que gerencia o recinto ou monta o evento.
O que acontece depois está na frase seguinte: «*i predetti sistemi sono concessi in comodato gratuito alla questura, che ne acquisisce la completa ed esclusiva disponibilità*», esses sistemas são cedidos em comodato gratuito à questura, que adquire sua disponibilidade completa e exclusiva. Quem paga o equipamento não o opera: entrega-o em comodato sem contraprestação e perde o controle sobre ele. E o comma 14 arremata o desenho: «*Dall'attuazione delle disposizioni di cui al presente articolo non devono derivare nuovi o maggiori oneri per la finanza pubblica*», da aplicação do artigo não devem decorrer novos ou maiores encargos para a fazenda pública.
O próprio comma 13 acrescenta uma ressalva sobre a divisão de papéis em matéria de dados — «*in relazione ai ruoli svolti nel trattamento dei dati personali*» —, remete ao d.lgs. 51/2018 e deixa resguardado o comma 5. Aqui paramos: o responsável pelo tratamento é o Ministero dell'interno, e quais consequências práticas essa ressalva tem para um promotor não é algo que o texto resolva nem que esta reportagem vá interpretar.
O que ainda não existe
O artigo 10 se aplica desde 30 de setembro, mas sua peça operacional ainda está pendente. O comma 12 remete a um decreto do Ministro dell'interno, ouvido o Garante, que deve fixar quatro coisas: os critérios para identificar os locais e os eventos do comma 4; as modalidades do tratamento automatizado das imagens do rosto e de seu armazenamento local; as medidas técnicas e organizacionais de segurança; e os deveres do responsável pelo tratamento conforme o Regulamento de IA.
Em 13 de outubro de 2026, esse decreto ministerial não consta emitido. Enquanto não existir, não há lista oficial de quais locais e quais eventos têm essas exigências particulares de ordem e segurança pública, nem regras publicadas sobre como as imagens são armazenadas localmente. Um organizador não pode saber hoje se seu recinto ou seu evento entram nesse perímetro.
Há um segundo antecedente à vista. O parere del Garante per la protezione dei dati personali de 14 de julho de 2026, docweb 10275606, examinou o esquema de decreto antes de sua aprovação. Sobre o que então era o artigo 10, comma 3 do rascunho, a autoridade objetou «*la memorizzazione locale dei dati biometrici delle persone che accedono a luoghi o eventi interessati*», o armazenamento local dos dados biométricos de quem acessa os locais ou eventos afetados, por não se encaixar no artigo 26, parágrafo 10, do Regulamento de IA, que só admite o reconhecimento facial para «*ricerche mirate ex post di persone sospettate o condannate*», buscas direcionadas ex post de suspeitos ou condenados. Recomendou que o tratamento fosse feito somente a posteriori sobre as gravações, de acordo com necessidades operacionais concretas, e não de forma automática durante a captação.
O texto finalmente publicado transfere a previsão para o comma 4 e acrescenta cinco palavras: «*senza elaborazione dei relativi dati biometrici*». A coincidência entre a objeção e a salvaguarda chama a atenção, e é assim que a contamos, como sequência de fatos. Não há documento que comprove que uma seja causa da outra.
Por que isso importa
Para quem vende ingressos, a mudança de fundo é de função. Até agora, o escaneamento na porta servia para duas coisas: verificar que o título é válido e contar pessoas. O comma 4 dá a ele uma terceira, e quem a exerce não é o promotor: esse escaneamento é a operação que despeja os dados de identidade — e o número do assento, se houver — em uma base de dados local, junto com a imagem do rosto de quem acabou de passar. O que no fluxo de produção é um controle de acessos se transforma, no desenho do artigo 10, no elo que permite atribuir um nome a um rosto quando for necessário.
A segunda leitura é orçamentária, e é ela que decide quanto disso se verá de fato. O comma 14 impede que o Estado gaste com isso, e o comma 13 diz quem pode gastar: o gestor do local, o organizador ou quem tenha a disponibilidade da estrutura. A capacidade existe na medida em que algum privado a pague. Se isso se espalhar pelo circuito italiano de shows e festivais, vai se espalhar com dinheiro de recintos e promotores.
A terceira é de governança e é a mais incômoda: quem paga não manda. O comodato é gratuito e a questura adquire a disponibilidade completa e exclusiva do sistema. O responsável pelo tratamento é o Ministero dell'interno, e a ativação depende de um juiz ou de um oficial de segurança pública, nunca de quem comprou o hardware. Financiar o equipamento é assumir o custo de uma infraestrutura que depois não se opera nem se controla.
Nada disso é ainda uma obrigação, e os critérios para saber a quais eventos isso se aplica continuam pendentes. O que já está resolvido é o financiamento e a cessão do controle, de modo que, quando chegar o decreto do comma 12, a conversa com o recinto não vai começar do zero.
O contexto italiano marca a direção da viagem. As licenças de espetáculo público já são um procedimento denso — aí está o guia de licenças de pubblico spettacolo —, a emissão de títulos está sob controle desde a biglietteria com sigillo fiscale e SIAE, e em 2026 a AGCOM multou a venda fora do sistema de emissão em 5.000 euros por evento credenciado. A Itália há anos trata o título de acesso como um documento nominal e rastreável. O artigo 10 soma a esse rastro o rosto de quem o apresenta.
O que fazer com isso
- Veja o que diz o contrato com o recinto sobre videovigilância e inteligência artificial. Os contratos de cessão de espaço falam de câmeras e de segurança privada, não de componentes de IA acopladas a essas câmeras. Pergunte por escrito se o recinto as possui ou prevê integrá-las, e se durante seu evento o sistema está cedido em comodato à questura.
- Documente a saída de dados do escaneamento antes do evento. Se o leitor de ingressos alimenta uma base de dados local de terceiros, isso precisa estar no seu registro de atividades de tratamento e nas informações de privacidade da compra: a cláusula que o comprador assina hoje foi pensada para controle de capacidade e envio do ingresso, e fica curta se no recinto existir um sistema do artigo 10. Deixe também por escrito o papel de cada parte nesse fluxo: plataforma, equipe de porta, empresa de segurança e recinto.
- Decida o que fazer com a numeração de assento. O comma 4 armazena o identificador do posto assegnato quando existe: um evento com lugares numerados fornece um dado mais do que um de pista livre. Verifique qual campo exato seu sistema expõe no escaneamento.
- Não aceite cláusulas que invoquem o artigo 10 como se já estivesse fechado. Os critérios para identificar locais e eventos devem ser fixados por um decreto do Ministro dell'interno que não consta emitido. Até então, uma exigência baseada em uma lista de recintos afetados não tem norma publicada por trás.
- Tenha em mente os dois prazos se um incidente acabar em um procedimento. Os dados da base local são cancelados sete dias após a coleta; os logs duram cinco anos.
- E antes da tecnologia, a operação da porta. Quem escaneia, com qual dispositivo e o que acontece se falhar: como se organiza a entrada de um evento decide mais incidentes do que qualquer componente de IA.