L'Italie donne un cadre national à l'utilisation policière de l'identification biométrique à distance en temps réel et renforce les règles de responsabilité liées à l'IA. Publié le 15 septembre, le décret législatif n°160 du 9 septembre 2026 entre en vigueur le 30 septembre. Ses 22 articles organisent les autorisations de police, créent une infraction de mise en danger et facilitent l'accès aux preuves dans les actions civiles.
Le texte ouvre les exceptions que permet le règlement européen sur l'IA, avec des procédures différentes selon qu'il s'agit de prévention ou d'enquête. Il apporte aussi un enjeu direct aux fournisseurs et aux utilisateurs professionnels : les dispositifs de sécurité, le contrôle humain et la documentation technique pourront intervenir dans de nouveaux mécanismes pénaux ou probatoires. Leur application doit toutefois tenir compte du calendrier des obligations européennes.
Le parquet intervient en prévention, le juge dans l'enquête
L'AI Act interdit en principe l'identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives. Il réserve trois catégories d'exceptions strictement nécessaires : rechercher certaines victimes ou des personnes disparues, prévenir des menaces graves définies par le règlement, et identifier ou localiser des suspects de certaines infractions. Chaque État peut décider d'autoriser ces usages dans les limites de l'article 5.
L'article 8 du décret italien couvre la prévention et la recherche de personnes disparues ou de victimes d'enlèvement, de traite ou d'exploitation sexuelle. Les responsables de police habilités adressent une demande au procureur de la République du tribunal du chef-lieu du district concerné. L'autorisation délimite les personnes recherchées, la zone et la durée, fixée au temps nécessaire dans une limite de quinze jours, renouvelable par périodes de quinze jours.
En urgence, la police peut lancer l'opération après une communication, même orale, au procureur. Elle doit transmettre la demande d'autorisation dans les vingt-quatre heures; le procureur dispose des vingt-quatre heures suivantes pour statuer. L'absence d'autorisation ou le non-respect des conditions impose l'interruption, assortie de règles de suppression des données et d'interdiction d'usage des résultats.
L'article 13 crée une procédure distincte pour les enquêtes pénales. Elle vise notamment les suspects des infractions de l'annexe II de l'AI Act passibles d'une peine maximale d'au moins quatre ans, ainsi que certaines recherches de fugitifs ou de victimes. Le ministère public demande l'autorisation au juge des enquêtes préliminaires, qui statue par décision motivée. La durée maximale est là aussi de quinze jours, renouvelable si les conditions persistent.
Le régime d'urgence permet au parquet d'ordonner l'activation avant validation par le juge. Si attendre le parquet est lui-même impossible, des officiers de police judiciaire peuvent démarrer le système : ils transmettent leur demande au parquet dans les douze heures, puis le juge doit être saisi dans les vingt-quatre heures suivant le démarrage. Le texte prévoit ensuite quarante-huit heures pour sa décision. La présentation gouvernementale d'une autorisation judiciaire recouvre donc plusieurs circuits, avec des dérogations à l'autorisation préalable.
Des bases limitées à chaque opération
Les autorisations ne permettent pas de constituer progressivement un fichier biométrique général. Les articles 8 et 13 exigent un ensemble de comparaison propre à chaque utilisation, limité aux données pertinentes et effacé à la fin de l'autorisation. Ils interdisent les bases alimentées par une collecte non ciblée d'images sur le web ou constituées en violation des règles de protection des données.
Ces garanties répondent à des observations du Garante, l'autorité italienne de protection des données. Dans son avis favorable sous conditions du 14 juillet, celle-ci demandait notamment d'empêcher que chaque nouvelle autorisation élargisse durablement la base de comparaison.
Sept jours d'images dans certains lieux, un traitement biométrique ultérieur
L'article 10 encadre la reconnaissance faciale a posteriori. Dans une recherche ciblée liée à une infraction, le parquet doit demander l'autorisation du juge sans délai et au plus tard quarante-huit heures après le lancement; le juge dispose ensuite de quarante-huit heures. Une exception couvre la première identification d'un suspect potentiel après une infraction, sur la base d'éléments objectifs et vérifiables directement liés aux faits.
Le décret prévoit également l'enregistrement local des images de visage des personnes entrant dans certains lieux ou événements présentant des exigences particulières d'ordre et de sécurité publics. L'enregistrement initial se fait sans élaboration des données biométriques. Il peut être associé à l'identité et, lorsqu'il existe, au numéro de place figurant sur le titre d'accès. Les données de cette base sont effacées automatiquement au bout de sept jours; les traces d'accès et d'opérations obéissent à un régime distinct.
Le traitement biométrique des images intervient après la commission d'une infraction, pour comparer celles-ci avec le visage du suspect. Les critères de désignation des lieux et les modalités de traitement doivent être précisés par un décret du ministre de l'Intérieur, après consultation du Garante. Celui-ci avait alerté sur le risque de collecte biométrique préventive massive. Le texte publié sépare l'enregistrement initial des images et leur traitement biométrique ultérieur, tout en interdisant l'identification généralisée ou indiscriminée.
Un nouveau délit de mise en danger
L'article 437-bis ajouté au code pénal punit l'omission des mesures techniques de sécurité prévues pour les systèmes d'IA à haut risque, ou de surveillance humaine, lorsqu'elle crée un danger pour la vie ou l'intégrité des personnes. La peine de base va d'un à cinq ans de prison, portée de deux à huit ans lorsque la sécurité de l'État est menacée.
L'altération illicite d'un système à haut risque, dans les conditions définies par le texte, est punie de deux à six ans, ou de trois à dix ans si la sécurité de l'État est exposée. Les omissions commises par faute grave sont également visées, avec réduction de peine. Une disposition propre à l'utilisateur professionnel sanctionne l'omission intentionnelle de surveillance humaine lorsqu'elle produit le danger prévu par la loi.
Le décret ajoute une responsabilité des personnes morales, selon le régime italien applicable, avec une sanction de 600 à 1 000 unités d'amende pour l'infraction de l'article 437-bis et des mesures d'interdiction. Il faut donc distinguer les peines encourues par les personnes physiques du dispositif visant l'organisation.
Un accès aux preuves qui dépasse les systèmes à haut risque
Le volet civil répond à une difficulté pratique : une victime peut avoir besoin de documents détenus par le fournisseur ou l'utilisateur du système pour établir son dommage. L'article 17 permet au juge d'en ordonner la production à la partie adverse ou à un tiers, si les éléments présentés rendent la demande vraisemblable, y compris le lien entre le résultat du système et le dommage allégué.
Le texte cite les journaux, la gestion des risques, la documentation technique et les paramètres de surveillance humaine. L'ordre doit rester nécessaire et proportionné, avec protection des secrets d'affaires. Un refus injustifié peut avoir des conséquences probatoires; lorsqu'il porte sur la documentation expressément énumérée, le texte prévoit que le juge tient les faits allégués pour admis après examen des autres preuves. L'article 18 prévoit en outre une présomption réfragable du lien de causalité lorsque le dommage découle de la violation d'une obligation de l'AI Act.
Ces mécanismes rappellent la proposition européenne de directive sur la responsabilité en matière d'IA de 2022, dont le retrait a été publié le 6 octobre 2025. Le périmètre italien est plus large sur un point : son accès aux preuves couvre les actions contractuelles comme extracontractuelles et n'est pas réservé aux seuls systèmes à haut risque. Il ne dispense pas pour autant d'établir les conditions de la demande.
Des échéances européennes à articuler avec le décret
Le règlement européen 2026/1744 a reporté l'application des sections principales consacrées aux systèmes à haut risque au 2 décembre 2027 pour ceux relevant de l'annexe III et au 2 août 2028 pour ceux de l'annexe I. L'article 21 du décret italien renvoie au calendrier européen pour les dispositions du titre policier dont l'application en dépend.
L'entrée en vigueur du décret le 30 septembre ne rend donc pas toutes les obligations européennes immédiatement exigibles. Elle ne permet pas davantage de présumer la violation d'une obligation qui ne s'applique pas encore. L'accès aux preuves a un champ autonome plus large; les sanctions pénales et la présomption de causalité nécessitent, elles, d'identifier les conditions juridiques effectivement réunies. Le texte ne règle pas expressément toutes les articulations temporelles de son volet de responsabilité.
La comparaison avec la France doit enfin distinguer les technologies. Dans sa décision du 14 août 2026, le Conseil constitutionnel rappelle que l'expérimentation française de vidéosurveillance algorithmique, prolongée jusqu'au 31 décembre 2030, exclut la reconnaissance faciale et l'identification biométrique. L'autorisation italienne de rechercher une personne par ses caractéristiques biométriques répond à un objet différent de la détection française d'événements prédéterminés.