Plus de caméras, plus de chances pour la police de prévenir les crimes et de retrouver les responsables des crimes ? Le gouvernement Meloni le pense et vise à donner plus de pouvoirs aux forces de police grâce à la reconnaissance faciale et à l’utilisation d’algorithmes d’intelligence artificielle. Mais le décret risque d’entrer en conflit avec les règles de l’EU AI Act : des doutes subsistent et Bruxelles examine déjà le texte italien.
Les trois piliers de la nouvelle ère de surveillance : ce que veut le gouvernement
Le dispositif, préalablement approuvé par le Conseil des ministres du 10 juin 2026, repose sur trois piliers : l’identification en temps réel pour prévenir les menaces ou retrouver des personnes disparues, l’identification en direct lors d’enquêtes pénales et la reconnaissance faciale rétrospective sur des images déjà enregistrées.
Le texte n’est pas encore loi. Le 29 juillet, la majorité s’est accélérée lors de l’examen parlementaire, la commission politique du Sénat pour l’Union européenne approuvant des observations favorables, tandis que le Parti démocrate et le Mouvement 5 étoiles ont quitté les débats sur un ton polémique.
La reconnaissance en direct est régie par l’article 8 : elle permet aux forces de l’ordre d’utiliser des systèmes d’identification biométrique à distance en temps réel dans les lieux publics ou ouverts au public. Le déploiement doit être ciblé et peut servir à prévenir une menace spécifique et grave, notamment une attaque terroriste, ou à rechercher des personnes disparues et des victimes d’enlèvement, de trafic ou d’exploitation sexuelle.
Le système doit rechercher des personnes spécifiques ou déterminables et la comparaison ne peut avoir lieu qu’avec une base de données adaptée à cet objectif unique. La police ne peut pas acquérir des images « aléatoires » récupérées sur Internet ou sur les circuits de vidéosurveillance. Celui qui autorise tout est le procureur de la République compétent pour le territoire concerné : l’agrément doit concerner un événement précis, une zone délimitée, des personnes identifiées et un délai n’excédant pas quinze jours, renouvelable par un nouvel arrêté motivé. En cas d’urgence, l’activation peut commencer à la disposition des responsables de la police, après une communication au procureur de la République, même orale. La demande formelle doit arriver dans les douze heures et le procureur se prononce dans les douze heures suivantes. Si l’autorisation manque, l’opération doit cesser, les données et les sorties doivent être supprimées et les résultats deviennent inutilisables.
Quand un juge décide
Lorsque la reconnaissance en temps réel est utilisée dans une procédure pénale, la situation change. L’article 13 introduit le nouvel article 359-ter dans le Code de procédure pénale. Ainsi, le système peut être utilisé pour confirmer l’identité ou localiser un suspect pour l’un des délits graves énumérés par la loi AI, à condition qu’il soit puni en Italie d’une peine maximale d’au moins quatre ans, pour rechercher un fugitif soumis à une mesure de précaution ou à une ordonnance de prison ou pour identifier des victimes spécifiques d’enlèvement, de traite ou d’exploitation sexuelle.
Dans ces cas, le procureur de la République présente la demande, mais l’autorisation appartient au juge d’instruction. Le juge doit indiquer la motivation, la zone géographique, les personnes recherchées et la durée de l’opération. En cas d’urgence, le système peut également être activé à l’initiative de la police judiciaire, mais un double mécanisme de validation entre en jeu : la demande parvient au procureur dans les douze heures puis passe au juge, qui doit se prononcer dans les quarante-huit heures suivantes.
L’article le plus controversé du nouveau décret
L’article 10 est le point le plus controversé. La norme permet d’intégrer des systèmes de vidéosurveillance déjà légitimement installés avec des composants d’intelligence artificielle qui peuvent être activés après qu’un crime ou une tentative ait été commis. La reconnaissance doit servir à identifier les personnes déjà suspectées sur la base d’images et d’éléments objectifs et vérifiables.
Dans les lieux ou événements caractérisés par des exigences d’ordre public et de sécurité – événements dans les stades, concerts, gares, manifestations et grands événements – les images des visages des personnes entrant sont automatiquement traitées pour obtenir des données biométriques.
Toute comparaison avec le visage d’un suspect n’a lieu qu’après un crime. Mais la constitution des archives biométriques précède tout délit et implique également des personnes qui ne sont soupçonnées de rien. Les données présentes dans la base de référence peuvent être conservées sept jours et doivent ensuite être automatiquement supprimées. Les journaux d’accès et d’exploitation, non modifiables, sont conservés pendant cinq ans.
Les doutes de Bruxelles : « La reconnaissance faciale en public est interdite »
La loi de l’Union européenne sur l’IA commence par une interdiction générale de l’identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives. Elle n’autorise que des exceptions strictes et exige que chaque utilisation soit nécessaire, proportionnée et limitée dans le temps, dans l’espace et aux personnes recherchées.
Quelles applications ne peuvent pas être « espionnées » après l’extension européenne de Chat Control
« La reconnaissance faciale dans les espaces accessibles au public est une pratique interdite », a déclaré le porte-parole de la Commission européenne Thomas Regnier lors de son point de presse quotidien, répondant à une question sur le projet de loi actuellement en discussion au Parlement italien. La règle est applicable depuis l’année dernière et deviendra exécutoire cette année, ajoute Régnier, soulignant que l’intention est d’empêcher que l’intelligence artificielle soit « utilisée pour surveiller les personnes dans leurs déplacements quotidiens dans les espaces accessibles au public ». Ces mesures sont prévues par le règlement sur l’IA, souligne le porte-parole, expliquant qu’il ne dispose pas de tous les éléments concernant le débat italien et ne veut pas anticiper les jugements en la matière.
Le Garant demande de réécrire un article du décret
Le Garant de la vie privée a jugé le système « globalement conforme » à la loi sur l’IA et à la loi d’habilitation, mais ne considère pas acceptable la collecte préventive et automatisée de données biométriques prévue pour les lieux et événements publics. La demande est claire : « le traitement des données biométriques doit s’effectuer exclusivement ex post sur les traces enregistrées en réponse à des besoins opérationnels précis ». Cela signifie que, selon le Garant, les caméras peuvent stocker des images selon les règles applicables, mais la reconnaissance faciale ne devrait démarrer qu’après un événement concret et se limiter aux images nécessaires à la recherche.
Que se passe-t-il maintenant
Après avis des autres commissions, le décret doit revenir en Conseil des ministres pour approbation définitive. Le décret peut encore être modifié avant approbation définitive, sous réserve de mise en œuvre des conditions fixées par le Garant.