C'è una categoria di sistemi su cui l'AI Act è durissimo, e su cui in Italia si continua a fare finta di niente: quelli che leggono il corpo e la faccia delle persone. Telecamere che stimano l'umore, software che deducono attenzione, sistemi che classificano volti.
La regola ha due piani, e confonderli costa caro: alcuni usi sono vietati, altri sono ammessi ma richiedono di informare le persone.
Piano uno: quello che è vietato e basta
Dal 2 febbraio 2025, l'articolo 5 vieta il riconoscimento delle emozioni sul posto di lavoro e negli istituti di istruzione, salvo motivi medici o di sicurezza. Non "lo limita": lo vieta.
Vieta la categorizzazione biometrica che classifica le persone per dedurne razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o filosofiche, vita sessuale o orientamento sessuale.
Vieta la creazione o l'ampliamento di banche dati di riconoscimento facciale mediante scraping non mirato di immagini da internet o da filmati di telecamere a circuito chiuso.
Vieta i sistemi di punteggio sociale che valutano le persone in base al comportamento con conseguenze sproporzionate o in contesti non collegati.
Sanzione: fino a 35 milioni di euro o al 7% del fatturato mondiale. È il piano della piramide che non ha mai preso rinvii, nemmeno con il Digital Omnibus — che anzi, dal 2 dicembre 2026, aggiunge nuovi divieti.
Il caso italiano che spiega tutto
Sullo scraping di volti non serve immaginare scenari: il Garante italiano ha sanzionato Clearview AI per 20 milioni di euro nel 2022, ordinando la cancellazione dei dati relativi a persone in Italia. Clearview aveva costruito un database da miliardi di immagini raccolte dal web.
Quella condotta, che nel 2022 era una violazione del GDPR, oggi è anche una pratica espressamente vietata dall'AI Act. Due binari, stesso muro.
Piano due: quello che si può fare informando
Fuori dai contesti vietati, i sistemi di riconoscimento delle emozioni e di categorizzazione biometrica sono soggetti all'obbligo di trasparenza dell'articolo 50, applicabile dal 2 agosto 2026: i deployer devono informare le persone esposte del funzionamento del sistema.
Informare, in concreto, vuol dire cartelli visibili prima dell'area coperta, informativa accessibile, spiegazione di che cosa il sistema rileva e a quale scopo. E resta tutto il pacchetto GDPR: base giuridica, valutazione d'impatto, minimizzazione, tempi di conservazione. I dati biometrici sono categorie particolari, con un regime rafforzato.
I casi ambigui che vedo più spesso
Il negozio con la telecamera che stima età e umore dei clienti. Non è "posto di lavoro" rispetto ai clienti, quindi non ricade nel divieto per quanto li riguarda — ma se rileva anche i dipendenti che ci lavorano dentro, ci ricade eccome. E l'obbligo di informazione verso i clienti resta pieno.
Il software di formazione online che misura l'attenzione dalla webcam. Se il contesto è un istituto di istruzione, è vietato. Se è formazione aziendale rivolta a dipendenti, siamo nel posto di lavoro: vietato.
Il sistema antitaccheggio che classifica comportamenti sospetti. Dipende da cosa deduce. Se assegna punteggi di affidabilità alle persone, ci si avvicina pericolosamente al punteggio sociale.
La domanda che risolve quasi sempre il dubbio è una sola: il sistema deduce stati interni o caratteristiche protette delle persone? Se sì, fermati e fai valutare la cosa prima di accenderlo.
Cosa fare se ce l'hai già acceso
Non aspettare l'ispezione. Fai l'inventario dei sistemi che trattano dati biometrici o inferiscono stati emotivi, verifica su chi sono puntati e con quale finalità, spegni quello che ricade nei divieti. Documenta la decisione con una data: dimostrare di aver rimediato è molto meglio che dimostrare di non aver capito.
E se il fornitore ti assicura che "è tutto conforme", fattelo scrivere. Se lo scrive, è un suo problema. Se lo dice a voce, resta un tuo problema.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Qui l'AI Act non chiede documenti. Chiede di spegnere certe cose. È l'unica parte del regolamento che si applica come un interruttore.
Domande frequenti
Il rilevamento presenze con impronta o volto è vietato?
Non è riconoscimento delle emozioni, quindi non ricade in quel divieto. Resta però un trattamento di dati biometrici su lavoratori, che in Italia il Garante ha ripetutamente ritenuto sproporzionato quando esistono alternative meno invasive.
Posso analizzare le emozioni dei clienti in un punto vendita?
Il divieto riguarda posto di lavoro e istituti di istruzione. Verso i clienti scatta l'obbligo di informare le persone esposte, oltre a tutti i requisiti GDPR sui dati biometrici, che sono stringenti.
Esistono eccezioni per la sicurezza?
Il divieto sul riconoscimento delle emozioni fa salvi i casi in cui il sistema è destinato a motivi medici o di sicurezza. È un'eccezione stretta, da documentare puntualmente: non copre la valutazione delle prestazioni o del clima aziendale.