Nell’epoca dell’AI, che trasforma le telecamere in strumenti di sicurezza proattiva, la smart city si trova ad affrontare il rischio di un utilizzo indiscriminato delle tecnologie di monitoraggio, a scapito dei diritti fondamentali della persona.
Il paradigma della smart city o città intelligente – che si fonda sull’integrazione di tecnologie digitali e dispositivi connessi (Internet of Things) per raccogliere, analizzare e gestire dati in tempo reale, con l’obiettivo teorico di migliorare la gestione dei servizi pubblici e la sicurezza del territorio urbano – promette da anni di rivoluzionare la vivibilità urbana attraverso una fitta rete di sensori, telecamere intelligenti e sistemi integrati capaci di ottimizzare il traffico, prevenire il degrado e garantire la sicurezza dei cittadini.
Tuttavia, questa transizione da una videosorveglianza di tipo puramente passivo e dissuasivo a un ecosistema di controllo proattivo e automatizzato solleva interrogativi giuridici ed etici di enorme portata. I flussi di dati generati quotidianamente dai dispositivi della città intelligente non rappresentano più una mera sequenza di immagini destinate all’archiviazione temporanea, ma costituiscono la materia prima per sofisticate elaborazioni algoritmiche, spesso all’insaputa dei cittadini che transitano nello spazio pubblico.
L’esperienza derivante dai recenti e severi interventi in materia dell’autorità Garante per la protezione dei dati personali ha tracciato una linea di confine invalicabile, ricordando che l’efficienza tecnologica non può mai espandersi a spese dei diritti fondamentali della persona.
Trattamento dati senza “legittimo interesse”
Una delle incomprensioni più frequenti da parte delle pubbliche amministrazioni riguarda la base giuridica idonea a legittimare l’uso di tecnologie avanzate di monitoraggio. I Comuni tendono spesso a giustificare l’installazione di sistemi di sorveglianza pervasivi richiamando in modo generico le proprie funzioni istituzionali in materia di sicurezza urbana, come quelle delineate dal Decreto Minniti del 2017.
Tuttavia, il quadro normativo europeo e nazionale è rigoroso: i soggetti pubblici possono trattare dati personali solo se il trattamento è strettamente necessario per adempiere a una funzione istituzionale, a un obbligo legale o per l’esecuzione di un compito di interesse pubblico stabilito da una norma di legge di rango primario. Al contrario dei privati, le amministrazioni pubbliche non possono mai invocare la base giuridica del “legittimo interesse” per svolgere le proprie funzioni e questa distinzione è emersa con forza in diverse sanzioni applicate ai Comuni, ritenuti responsabili di aver utilizzato, per esempio, varchi elettronici e sistemi di lettura automatizzata delle targhe (ANPR) su base continuativa.
In un caso specifico, particolarmente rilevante, il Garante ha sanzionato il Comune di Nave (doc. web n. 10213486) per aver memorizzato e trattato per finalità statistiche o di controllo amministrativo (come la verifica di assicurazione e revisione) le targhe di tutti i veicoli in transito sul territorio, in assenza di un preventivo “patto per la sicurezza urbana” formalizzato con la Prefettura o di una normativa di settore specifica che ne legittimasse l’impiego automatico continuativo.
Sospensione all’uso di sistemi biometrici
Il terreno di scontro si fa ancora più scivoloso quando le città intelligenti tentano di implementare sistemi di identificazione biometrica. L’ordinamento italiano ha reagito tempestivamente dinanzi all’estrema intrusività di queste tecnologie, introducendo specifiche sospensioni all’uso di sistemi biometrici (definiti dal GDPR come dati ottenuti da un trattamento tecnico relativo alle caratteristiche fisiche, fisiologiche o comportamentali di una persona, tali da consentirne l’identificazione univoca, come l’impronta digitale o la morfologia del viso) nei luoghi pubblici da parte di autorità pubbliche e soggetti privati, se non in presenza di rigorose esigenze investigative delle forze dell’ordine.
La prassi dell’autorità Garante ha confermato la pericolosità intrinseca di tali strumenti nel celebre caso del Comune di Como: l’amministrazione comunale aveva avviato una sperimentazione installando telecamere con funzioni di riconoscimento facciale in un parco cittadino, con l’obiettivo di rintracciare persone scomparse o identificare soggetti sospetti.
Il Garante ha bloccato l’iniziativa con un parere del 25 marzo 2021 (doc. web n. 9575877), chiarendo che le disposizioni del D.Lgs. 51/2018 (attuazione della Law Enforcement Directive) richiedono una specifica e dettagliata previsione di legge per il trattamento di dati biometrici a fini di sicurezza e prevenzione dei reati, non ritenendo in alcun modo sufficiente il generico richiamo alla sicurezza urbana. La raccolta di tali dati, infatti, trasforma inevitabilmente la sorveglianza mirata in una sorveglianza di massa e indiscriminata di chiunque entri nel raggio d’azione dell’obiettivo.
L’approccio dell’AI Act
L’entrata in vigore del Regolamento Europeo 1689/2024 sull’intelligenza artificiale, noto come AI Act (la prima normativa organica al mondo in materia che pone freni severi alle tecnologie di controllo sociale), unitamente alla recente normativa nazionale di adeguamento dettata dalla Legge n. 132/2025, ha ridefinito radicalmente i confini operativi della pubblica amministrazione, poiché l’impianto normativo dell’AI Act adotta un approccio basato sul rischio, introducendo un divieto assoluto per le pratiche di classificazione biometrica basate su dati sensibili, per i sistemi di polizia predittiva basati sulla profilazione comportamentale e per i sistemi di sorveglianza biometrica remota “in tempo reale” in spazi accessibili al pubblico, salvo ristrettissime eccezioni autorizzate dall’autorità giudiziaria per il contrasto a gravi reati di terrorismo o sequestro.
Questo duplice intervento legislativo costringe i consulenti e i titolari del trattamento dati a ripensare l’intera architettura delle smart city, imponendo prima di qualsiasi monitoraggio sistematico su larga scala l’obbligo di eseguire rigorose valutazioni dell’impatto del trattamento sui diritti e sulle libertà degli interessati (DPIA), focalizzate specificamente sull’uso delle nuove tecnologie algoritmiche.
Oltre che con la DPIA occorre adesso procedere anche con la valutazione d’impatto sui diritti fondamentali dell’individuo (FRIA) che allarga il perimetro di analisi delle conseguenze sull’interessato e lo rende ancora più restrittivo rispetto agli utilizzi realmente ipotizzabili dell’AI.
Per coinvolgere la cittadinanza
Anche la lodevole intenzione di coinvolgere attivamente la cittadinanza nella sicurezza del territorio deve oggi fare i conti con i doveri organizzativi imposti dal principio di responsabilizzazione (accountability), come dimostra la sanzione comminata al Comune di Forlì in relazione al progetto della cosiddetta “sicurezza urbana integrata”, che prevedeva l’utilizzo dell’applicazione mobile Falco.
Attraverso tale applicazione, il cittadino poteva segnalare episodi di degrado o allarme alla polizia locale; il sistema, elaborando la segnalazione, agganciava e trasmetteva automaticamente agli agenti le immagini in tempo reale della telecamera comunale più vicina al segnalante, consentendo un tempestivo intervento. Il Garante ha riscontrato gravi carenze sotto il profilo della protezione dei dati fin dalla progettazione (Privacy by Design), censurando la mancata adozione di una formale valutazione d’impatto preventiva (DPIA), la totale assenza di informative chiare per gli utenti e la mancata regolarizzazione dei contratti con i fornitori tecnologici esterni, illegittimamente designati come contitolari anziché come responsabili del trattamento ai sensi dell’art. 28 del GDPR (doc. web n. 10029393).
Sorveglianza video, ma giudizio umano
La videosorveglianza applicata alle smart city pone di fronte a un bivio fondamentale: la tecnologia non deve essere rifiutata aprioristicamente, giacché si dimostra quotidianamente uno strumento formidabile per tutelare i beni e l’incolumità pubblica, ma spetta ai progettisti, alle amministrazioni e ai professionisti operare con un rigore etico e giuridico intransigente. Il controllo tecnologico dello spazio pubblico non può scivolare silenziosamente verso una classificazione costante del comportamento sociale o, peggio ancora, verso una deriva totalitaria in cui la tecnologia anticipa il crimine sottoponendo a controllo invasivo qualsiasi comportamento umano che l’occhio tecnologico dovesse interpretare come potenzialmente pericoloso per la collettività.
Affinché la città intelligente rimanga un luogo di libertà e non si trasformi in una trappola digitale, ogni videocamera intelligente deve rimanere rigorosamente ancorata ai principi costituzionali di legalità, necessità e trasparenza ed essere sottoposta al giudizio umano prima di adottare qualsiasi decisione con conseguenze giuridiche e materiali che incidono sui cittadini.
Un caso che ha fatto scuola a livello europeo per quanto riguarda l’applicazione dell’intelligenza artificiale ai flussi video e audio cittadini per attività di ricerca scientifica o “sicurezza predittiva” è quello del Comune di Trento, partner in progetti di ricerca dell’Unione Europea denominati Marvel e Protecton.
Questi progetti miravano a sviluppare algoritmi di intelligenza artificiale per identificare automaticamente situazioni di pericolo (come risse, scippi o assembramenti molesti), integrando i flussi delle telecamere comunali con la captazione dell’audio ambientale tramite microfoni installati sulla pubblica via.
Nonostante la tesi difensiva del Comune poggiasse sull’immediata anonimizzazione dei dati e sulla finalità scientifica, il Garante ha ritenuto che anche il mero passaggio temporaneo dei dati grezzi, di immagini e conversazioni audio, all’interno delle memorie RAM del sistema per l’addestramento algoritmico (machine learning, ovvero la fase in cui il sistema apprende dai dataset per compiere previsioni in autonomia) costituisse un trattamento illecito di dati sensibili e giudiziari.
Anche in questo caso, il Garante per la protezione dei dati personali (doc. web n. 9977020) ha ribadito che lo sviluppo e l’addestramento di sistemi di intelligenza artificiale applicati alla sorveglianza di spazi pubblici richiedono una base giuridica nazionale di rango primario espressa, non potendosi considerare l’ambiente urbano un laboratorio a cielo aperto per esperimenti sociali.
