A Itália fixou por decreto como se pode usar o reconhecimento facial com inteligência artificial no acesso a locais e eventos: sempre depois de captar as imagens, nunca em tempo real. O próprio artigo diz quem pode pagar os equipamentos — o gestor do recinto ou o organizador do evento — e que depois são cedidos em comodato gratuito à questura, a chefia provincial da polícia, que adquire a sua disponibilidade completa e exclusiva.
O que diz o decreto
A norma é o Decreto Legislativo 9 settembre 2026, n. 160, que adapta a legislação italiana ao Regulamento (UE) 2024/1689 em matéria de uso de sistemas de inteligência artificial para a atividade policial e de responsabilidade civil e penal. Foi publicado na Gazzetta Ufficiale n. 214 de 15 de setembro de 2026, como ato 26G00179, e está em vigor desde 30 de setembro de 2026. As citações que se seguem foram retiradas do «ATTO COMPLETO» impresso desse ato.
O que afeta quem organiza eventos cabe num único artigo, o 10.º, dentro do Titolo I, dedicado ao uso de sistemas de IA para a atividade policial. A sua epígrafe resume-o: «*Disposizioni in materia di sistemi di videosorveglianza dotati della tecnologia di riconoscimento facciale a posteriori, integrata dall'intelligenza artificiale, per il contrasto dei reati*», disposições sobre sistemas de videovigilância dotados de tecnologia de reconhecimento facial a posteriori, integrada por inteligência artificial, para combater os crimes.
O comma 1 não autoriza câmaras novas: parte das que a lei já permite. «*In tutti i casi in cui specifiche disposizioni di legge consentono l'installazione di sistemi di videosorveglianza, tali sistemi possono essere integrati con componenti di intelligenza artificiale*», onde uma disposição legal específica permite instalar videovigilância, esses sistemas podem ser integrados com componentes de inteligência artificial, respeitando a legislação de proteção de dados e o Regulamento de IA.
Esses componentes não se ativam exceto nos casos e modalidades dos commi 2 e 3, e sempre com desfasamento: «*L'attivazione è effettuata successivamente all'acquisizione delle immagini, con un intervallo di tempo tale da non configurare un'identificazione biometrica remota in tempo reale*», a ativação faz-se depois de adquiridas as imagens, com um intervalo tal que não configure uma identificação biométrica remota em tempo real para efeitos do Regulamento de IA. Esse intervalo é a dobradiça que sustenta todo o edifício.
A partir daqui há dois regimes. O do comma 2 passa por um juiz: para o reconhecimento a posteriori de uma pessoa procurada por ser suspeita de um crime, o pubblico ministero — a pedido dos oficiais de polícia judiciária que puseram em funcionamento os sistemas — solicita a autorização ao giudice per le indagini preliminari «*senza ritardo e comunque entro quarantotto ore dal loro avvio*», em todo caso dentro de 48 horas desde o início do funcionamento, e o juiz autoriza por decreto fundamentado «*entro le successive quarantotto ore*», nas 48 horas seguintes. Sem autorização ou fora do prazo, o uso é interrompido e os dados, resultados e outputs são eliminados, salvo se constituírem corpo de delito.
O do comma 3 não passa por um juiz. Nos termos do artigo 26.º, n.º 10, primeiro parágrafo, do Regulamento de IA, não é necessária autorização quando as tecnologias são usadas «*esclusivamente dopo la commissione di un reato al solo fine dell'identificazione iniziale di una persona potenzialmente indiziata*», só depois de cometido um crime e apenas para a identificação inicial de um potencial suspeito, com base em elementos objetivos e verificáveis relacionados com o facto. Nesse caso responde direta e exclusivamente o ufficiale di pubblica sicurezza designado pelo questore ou, fora desse caso, o oficial de polícia judiciária do artigo 57.º do código de processo penal.
O bilhete digitalizado é o elo
O comma 4 é o que transforma uma norma de política criminal numa norma que passa pela bilheteira. Diz que, com base nos critérios do comma 12, alínea a), o uso dos sistemas do comma 1 «*comporta il trattamento automatizzato, delle immagini del volto delle persone che accedono a luoghi o a eventi per i quali sussistono particolari esigenze di ordine e sicurezza pubblica, senza elaborazione dei relativi dati biometrici*»: implica o tratamento automatizado das imagens do rosto de quem acede a locais ou eventos com exigências particulares de ordem e segurança pública, sem elaboração dos respetivos dados biométricos. A sequência tem três passos.
Na porta capta-se e trata-se de forma automatizada a imagem do rosto de todos os que entram, e essas imagens são memorizadas localmente, na base de dados de referência do comma 12, alínea b). Nessa mesma base de dados entra mais uma coisa: «*Nella medesima base dati sono altresì memorizzati, senza ricorrere a tecnologie di riconoscimento biometrico, i corrispondenti dati anagrafici e, ove previsto un posto assegnato, il relativo identificativo, acquisiti mediante la scansione elettronica dei titoli di accesso*». Guardam-se também, sem reconhecimento biométrico, os dados de identidade e, quando há lugar atribuído, o respetivo identificador, obtidos através da digitalização eletrónica dos títulos de acesso.
E só depois do crime entra o elemento biométrico: «*Successivamente alla commissione di un fatto di reato, l'attivazione delle tecnologie di riconoscimento facciale comporta l'elaborazione dei dati biometrici delle immagini presenti nella base dati locale di cui al primo periodo, cui sono associati i dati memorizzati ai sensi del secondo periodo, per l'effettuazione del confronto a posteriori con i dati biometrici estratti dalle immagini del volto della persona indiziata del reato*». Depois de cometido um facto delituoso, elaboram-se os dados biométricos das imagens da base local do primeiro período — às quais estão associados os dados da digitalização — para os cotejar a posteriori com os extraídos do rosto da pessoa suspeita. O elo entre um rosto e um nome não é criado por um algoritmo de identidade. É criado pela digitalização do título de acesso.
Prazos e garantias do artigo 10.º
| Garantia | O que diz o artigo 10.º |
|---|---|
| Responsável pelo tratamento | O Ministero dell'interno – Dipartimento della pubblica sicurezza (comma 5) |
| Avaliação de impacto | Prévia e com consulta ao Garante, nos termos dos artigos 23.º e 24.º do d.lgs. 51/2018; é possível uma única avaliação válida para todos os sistemas análogos (comma 6) |
| Conservação dos dados | Sete dias a partir da recolha e eliminação automática ao expirar o prazo (comma 7) |
| Registo de acessos | Apenas pessoas autorizadas, com os acessos e operações registados em ficheiros de log não modificáveis, conservados durante cinco anos (comma 8) |
| Fins de polícia | Continuam em vigor os prazos de conservação do artigo 10.º do regulamento do d.P.R. 15 gennaio 2018, n. 15 (comma 9) |
| Decisão automatizada | Nenhuma decisão com efeitos jurídicos negativos sobre a pessoa pode basear-se exclusivamente no resultado do reconhecimento facial (comma 10) |
| Usos proibidos | Ativação não dirigida, sem vínculo com um crime ou um procedimento penal, e controlo ou identificação biométrica generalizados ou indiscriminados (comma 11) |
| Autorização judicial | Pedido do pubblico ministero em 48 horas desde o início do funcionamento e decreto fundamentado do giudice per le indagini preliminari nas 48 horas seguintes (comma 2) |
| Custo público | Da aplicação do artigo não devem derivar novos nem maiores encargos para a fazenda pública (comma 14) |
Quem paga o equipamento
O comma 13 é a outra metade da notícia, e a que se lê de forma diferente a partir da cadeira do organizador. Da instalação e da manutenção dos componentes de IA e das tecnologias biométricas do comma 1 «*possono provvedere, senza nuovi o maggiori oneri per la finanza pubblica, i gestori dei luoghi di cui al comma 4, gli organizzatori o promotori degli eventi di cui al medesimo comma, ovvero chi ha la disponibilità delle strutture ove tali eventi si svolgono, in accordo con i proprietari*»: podem ocupar-se disso, sem novos nem maiores encargos para a fazenda pública, os gestores dos locais, os organizadores ou promotores dos eventos ou quem tenha a disponibilidade das estruturas onde se realizam, de acordo com os proprietários. O texto menciona ainda as entidades locais pelas suas plataformas de videovigilância.
A palavra decisiva é «*possono*». É uma faculdade, não um dever: o decreto não impõe a ninguém instalar nada. Deixa escrito que, se alguém o instalar, pode ser o privado que gere o recinto ou organiza o evento.
O que acontece depois está na frase seguinte: «*i predetti sistemi sono concessi in comodato gratuito alla questura, che ne acquisisce la completa ed esclusiva disponibilità*», os referidos sistemas são cedidos em comodato gratuito à questura, que adquire a sua disponibilidade completa e exclusiva. Quem paga o equipamento não o opera: entrega-o em comodato sem contrapartida e perde o seu controlo. E o comma 14 remata o desenho: «*Dall'attuazione delle disposizioni di cui al presente articolo non devono derivare nuovi o maggiori oneri per la finanza pubblica*», da aplicação do artigo não devem derivar novos nem maiores encargos para a fazenda pública.
O próprio comma 13 acrescenta uma ressalva sobre a repartição de papéis em matéria de dados — «*in relazione ai ruoli svolti nel trattamento dei dati personali*» —, remete para o d.lgs. 51/2018 e ressalva o comma 5. Paramos aqui: o responsável pelo tratamento é o Ministero dell'interno, e que consequências práticas tem essa ressalva para um promotor não é algo que o texto resolva, nem que esta peça vá interpretar.
O que ainda falta
O artigo 10.º aplica-se desde 30 de setembro, mas a sua peça operacional está pendente. O comma 12 remete para um decreto do Ministro dell'interno, ouvido o Garante, que deve fixar quatro coisas: os critérios para identificar os locais e os eventos do comma 4; as modalidades do tratamento automatizado das imagens do rosto e da sua memorização local; as medidas técnicas e organizativas de segurança; e os deveres do responsável pelo tratamento nos termos do Regulamento de IA.
A 13 de outubro de 2026, esse decreto ministerial não consta ter sido emitido. Enquanto não existir, não há lista oficial de que locais e que eventos têm essas exigências particulares de ordem e segurança pública, nem regras publicadas sobre como se memorizam as imagens localmente. Um organizador não pode saber hoje se o seu recinto ou o seu evento entram no perímetro.
Há um segundo antecedente à vista. O parere del Garante per la protezione dei dati personali de 14 de julho de 2026, docweb 10275606, examinou o esquema de decreto antes da sua aprovação. Sobre o que então era o artigo 10.º, comma 3 do anteprojeto, a autoridade objetou «*la memorizzazione locale dei dati biometrici delle persone che accedono a luoghi o eventi interessati*», a memorização local dos dados biométricos de quem acede aos locais ou eventos afetados, por não se encaixar no artigo 26.º, n.º 10, do Regulamento de IA, que só admite o reconhecimento facial para «*ricerche mirate ex post di persone sospettate o condannate*», buscas dirigidas ex post de suspeitos ou condenados. Recomendou que o tratamento fosse feito apenas a posteriori sobre as gravações, segundo necessidades operacionais concretas, e não de forma automática durante a captação.
O texto finalmente publicado transfere a previsão para o comma 4 e acrescenta cinco palavras: «*senza elaborazione dei relativi dati biometrici*». A coincidência entre a objeção e a salvaguarda é notória, e assim a contamos, como sequência de factos. Não há documento que comprove que uma seja causa da outra.
Por que importa
Para quem vende bilhetes, a mudança de fundo é de função. Até agora, a digitalização à porta servia para duas coisas: verificar que o título é válido e contar pessoas. O comma 4 dá-lhe uma terceira, e não é o promotor que a exerce: essa digitalização é a operação que transfere os dados de identidade — e o número do lugar, se houver — para uma base de dados local, juntamente com a imagem do rosto de quem acabou de passar. O que no fluxo de produção é um controlo de acessos transforma-se, no desenho do artigo 10.º, no elo que permite associar um nome a um rosto quando for necessário.
A segunda leitura é orçamental, e é a que decide quanto disto se vai realmente ver. O comma 14 impede que o Estado gaste nisso e o comma 13 diz quem pode gastar: o gestor do local, o organizador ou quem tenha a disponibilidade da estrutura. A capacidade existe na medida em que alguém privado a pague. Se isto se implementar no circuito italiano de concertos e festivais, será implementado com dinheiro de recintos e promotores.
A terceira é de governação e é a mais incómoda: quem paga não manda. O comodato é gratuito e a questura adquire a disponibilidade completa e exclusiva do sistema. O responsável pelo tratamento é o Ministero dell'interno e a ativação depende de um juiz ou de um agente de segurança pública, nunca de quem comprou o hardware. Financiar o equipamento é assumir o custo de uma infraestrutura que depois não se opera nem se controla.
Nada disto é ainda uma obrigação, e os critérios para saber a que eventos se aplica continuam pendentes. O que já está resolvido é o financiamento e a cessão do controlo, por isso, quando chegar o decreto do comma 12, a conversa com o recinto não começará do zero.
O contexto italiano marca a direção da viagem. As licenças de espetáculo público já são um procedimento denso — aí está o guia de licenças de pubblico spettacolo —, a emissão de títulos está intervencionada desde a biglietteria com sigillo fiscale e SIAE e em 2026 a AGCOM multou a venda fora do sistema de emissão em 5.000 euros por evento acreditado. A Itália há anos que trata o título de acesso como um documento nominativo e rastreável. O artigo 10.º acrescenta a esse rasto o rosto de quem o apresenta.
O que fazer com isto
- Veja o que diz o contrato com o recinto sobre videovigilância e inteligência artificial. Os contratos de cedência de espaço falam de câmaras e de segurança privada, não de componentes de IA acoplados a essas câmaras. Pergunte por escrito se o recinto as tem ou prevê integrá-las, e se durante o seu evento o sistema está cedido em comodato à questura.
- Documente antes do evento para onde vão os dados da digitalização. Se o leitor de bilhetes alimenta uma base de dados local de terceiros, isso tem de constar do seu registo de atividades de tratamento e na informação de privacidade da compra: a cláusula que o comprador assina hoje está pensada para controlo de aforo e envio do bilhete, e fica curta se no recinto existir um sistema do artigo 10.º. Deixe também por escrito o papel de cada parte nesse fluxo: plataforma, pessoal da porta, empresa de segurança e recinto.
- Decida o que fazer com a numeração de lugares. O comma 4 memoriza o identificador do posto assegnato quando existe: um evento numerado fornece um dado a mais do que um de pista livre. Verifique que campo exato o seu sistema expõe na digitalização.
- Não aceite cláusulas que invoquem o artigo 10.º como se estivesse encerrado. Os critérios para identificar locais e eventos devem ser fixados por um decreto do Ministro dell'interno que não consta ter sido emitido. Até lá, uma exigência baseada numa lista de recintos afetados não tem norma publicada por detrás.
- Tenha presentes os dois prazos se um incidente acabar num procedimento. Os dados da base local são eliminados sete dias após a recolha; os logs duram cinco anos.
- E antes da tecnologia, o operativo da porta. Quem digitaliza, com que dispositivo e o que acontece se falhar: como se organiza a entrada de um evento decide mais incidentes do que qualquer componente de IA.