L'Italie a fixé par décret les conditions d'usage de la reconnaissance faciale par intelligence artificielle à l'entrée des lieux et des événements : toujours après la capture des images, jamais en temps réel. Le même article précise qui peut payer l'équipement — le gestionnaire du site ou l'organisateur de l'événement — avant qu'il ne soit cédé en comodato gratuit à la questura, le commissariat central de police italien, qui en acquiert la disponibilité complète et exclusive.
Ce que dit le décret
La norme est le Decreto Legislativo 9 settembre 2026, n. 160, qui adapte la réglementation italienne au Règlement (UE) 2024/1689 en matière d'usage de systèmes d'intelligence artificielle pour l'activité de police et de responsabilité civile et pénale. Il a été publié dans la Gazzetta Ufficiale n. 214 du 15 septembre 2026, acte 26G00179, et il est en vigueur depuis le 30 septembre 2026. Les citations qui suivent sont tirées de l'« ATTO COMPLETO » imprimé de cet acte.
Ce qui concerne les organisateurs d'événements se résume à un seul article, le 10, dans le Titolo I, consacré à l'usage de systèmes d'IA pour l'activité de police. Son intitulé le résume : « *Disposizioni in materia di sistemi di videosorveglianza dotati della tecnologia di riconoscimento facciale a posteriori, integrata dall'intelligenza artificiale, per il contrasto dei reati* » : dispositions relatives aux systèmes de vidéosurveillance dotés de la technologie de reconnaissance faciale a posteriori, intégrée par l'intelligence artificielle, pour lutter contre les infractions.
Le comma 1 n'autorise pas de nouvelles caméras : il part de celles que la loi permet déjà. « *In tutti i casi in cui specifiche disposizioni di legge consentono l'installazione di sistemi di videosorveglianza, tali sistemi possono essere integrati con componenti di intelligenza artificiale* » : partout où une disposition légale spécifique permet d'installer un système de vidéosurveillance, ce système peut être intégré à des composantes d'intelligence artificielle, dans le respect de la réglementation sur la protection des données et du Règlement sur l'IA.
Ces composantes ne s'activent que dans les cas et selon les modalités des commi 2 et 3, et toujours avec un décalage : « *L'attivazione è effettuata successivamente all'acquisizione delle immagini, con un intervallo di tempo tale da non configurare un'identificazione biometrica remota in tempo reale* » : l'activation se fait après l'acquisition des images, avec un intervalle de temps tel qu'il ne constitue pas une identification biométrique à distance en temps réel au sens du Règlement sur l'IA. Cet intervalle est la charnière qui soutient tout l'édifice.
À partir de là, deux régimes coexistent. Celui du comma 2 passe par un juge : pour la reconnaissance a posteriori d'une personne recherchée parce que suspectée d'une infraction, le pubblico ministero — sur demande des officiers de police judiciaire qui ont mis en route les systèmes — demande l'autorisation au giudice per le indagini preliminari « *senza ritardo e comunque entro quarantotto ore dal loro avvio* », sans délai et en tout cas dans les quarante-huit heures suivant leur mise en route, et le juge autorise par décret motivé « *entro le successive quarantotto ore* », dans les quarante-huit heures suivantes. Sans autorisation ou hors délai, l'usage est interrompu et les données, résultats et outputs sont supprimés, sauf s'ils constituent le corps du délit.
Celui du comma 3 ne passe pas par un juge. Conformément à l'article 26, paragraphe 10, premier alinéa, du Règlement sur l'IA, aucune autorisation n'est nécessaire lorsque les technologies sont utilisées « *esclusivamente dopo la commissione di un reato al solo fine dell'identificazione iniziale di una persona potenzialmente indiziata* », exclusivement après la commission d'une infraction et dans le seul but d'identifier initialement une personne potentiellement suspectée, sur la base d'éléments objectifs et vérifiables liés aux faits. C'est alors l'ufficiale di pubblica sicurezza désigné par le questore, ou, hors de ce cas, l'officier de police judiciaire visé à l'article 57 du code de procédure pénale, qui intervient directement et exclusivement.
Le billet scanné, le chaînon central
Le comma 4 est celui qui transforme une norme de politique criminelle en une norme qui passe par le guichet. Il dispose que, sur la base des critères du comma 12, lettre a), l'usage des systèmes du comma 1 « *comporta il trattamento automatizzato, delle immagini del volto delle persone che accedono a luoghi o a eventi per i quali sussistono particolari esigenze di ordine e sicurezza pubblica, senza elaborazione dei relativi dati biometrici* » : implique le traitement automatisé des images du visage des personnes qui accèdent à des lieux ou des événements soumis à des exigences particulières d'ordre et de sécurité publique, sans élaboration de leurs données biométriques. La séquence comprend trois étapes.
À l'entrée, l'image du visage de chaque personne qui accède est captée et traitée de façon automatisée, et ces images sont mémorisées localement, dans la base de données de référence du comma 12, lettre b). Dans cette même base de données entre autre chose : « *Nella medesima base dati sono altresì memorizzati, senza ricorrere a tecnologie di riconoscimento biometrico, i corrispondenti dati anagrafici e, ove previsto un posto assegnato, il relativo identificativo, acquisiti mediante la scansione elettronica dei titoli di accesso* ». Sont également conservés, sans recours à des technologies de reconnaissance biométrique, les données d'identité correspondantes et, lorsqu'une place est attribuée, son identifiant, obtenus par le scan électronique des titres d'accès.
Et ce n'est qu'après l'infraction que le biométrique entre en jeu : « *Successivamente alla commissione di un fatto di reato, l'attivazione delle tecnologie di riconoscimento facciale comporta l'elaborazione dei dati biometrici delle immagini presenti nella base dati locale di cui al primo periodo, cui sono associati i dati memorizzati ai sensi del secondo periodo, per l'effettuazione del confronto a posteriori con i dati biometrici estratti dalle immagini del volto della persona indiziata del reato* ». Après la commission d'un fait délictueux, l'activation des technologies de reconnaissance faciale entraîne l'élaboration des données biométriques des images de la base locale du premier alinéa — auxquelles sont associées les données issues du scan — afin de les comparer a posteriori avec celles extraites du visage de la personne suspectée. Le chaînon entre un visage et un nom n'est pas posé par un algorithme d'identité. Il est posé par le scan du titre d'accès.
Délais et garanties de l'article 10
| Garantie | Ce que prévoit l'article 10 |
|---|---|
| Responsable du traitement | Le Ministero dell'interno – Dipartimento della pubblica sicurezza (comma 5) |
| Analyse d'impact | Préalable et après consultation du Garante, selon les articles 23 et 24 du d.lgs. 51/2018 ; une seule analyse peut valoir pour tous les systèmes analogues (comma 6) |
| Conservation des données | Sept jours à compter de la collecte et suppression automatique à l'échéance du délai (comma 7) |
| Journal des accès | Réservé aux personnes autorisées, avec les accès et opérations enregistrés dans des fichiers journaux non modifiables, conservés cinq ans (comma 8) |
| Finalités de police | Les délais de conservation de l'article 10 du règlement du d.P.R. 15 gennaio 2018, n. 15 restent en vigueur (comma 9) |
| Décision automatisée | Aucune décision ayant des effets juridiques négatifs sur une personne ne peut se fonder uniquement sur le résultat de la reconnaissance faciale (comma 10) |
| Usages interdits | Activation non ciblée, sans lien avec une infraction ou une procédure pénale, et contrôle ou identification biométrique généralisés ou indiscriminés (comma 11) |
| Autorisation judiciaire | Demande du pubblico ministero dans les 48 heures suivant la mise en route et décret motivé du giudice per le indagini preliminari dans les 48 heures suivantes (comma 2) |
| Coût public | L'application de l'article ne doit entraîner aucune charge nouvelle ni supplémentaire pour les finances publiques (comma 14) |
Qui paie l'équipement
Le comma 13 est l'autre moitié de la nouvelle, et celle qui se lit différemment depuis le fauteuil de l'organisateur. L'installation et l'entretien des composantes d'IA et des technologies biométriques du comma 1 « *possono provvedere, senza nuovi o maggiori oneri per la finanza pubblica, i gestori dei luoghi di cui al comma 4, gli organizzatori o promotori degli eventi di cui al medesimo comma, ovvero chi ha la disponibilità delle strutture ove tali eventi si svolgono, in accordo con i proprietari* » : peuvent être pris en charge, sans nouvelle charge ni charge supplémentaire pour les finances publiques, par les gestionnaires des lieux, les organisateurs ou promoteurs des événements, ou par quiconque dispose des structures où ces événements se tiennent, en accord avec les propriétaires. Le texte mentionne en outre les collectivités locales pour leurs plateformes de vidéosurveillance.
Le mot décisif est « *possono* ». C'est une faculté, pas une obligation : le décret n'impose à personne d'installer quoi que ce soit. Il laisse simplement la porte ouverte à ce que l'installation soit faite par le privé qui gère le site ou organise l'événement.
Ce qui se passe ensuite se trouve dans la phrase suivante : « *i predetti sistemi sono concessi in comodato gratuito alla questura, che ne acquisisce la completa ed esclusiva disponibilità* », ces systèmes sont cédés en comodato gratuit à la questura, qui en acquiert la disponibilité complète et exclusive. Celui qui paie l'équipement ne l'exploite pas : il le prête sans contrepartie et en perd le contrôle. Et le comma 14 achève le dispositif : « *Dall'attuazione delle disposizioni di cui al presente articolo non devono derivare nuovi o maggiori oneri per la finanza pubblica* », l'application des dispositions du présent article ne doit entraîner aucune charge nouvelle ni supplémentaire pour les finances publiques.
Le comma 13 ajoute une précision sur la répartition des rôles en matière de données — « *in relazione ai ruoli svolti nel trattamento dei dati personali* » —, renvoie au d.lgs. 51/2018 et préserve le comma 5. Nous nous arrêtons ici : le responsable du traitement est le Ministero dell'interno, et quelles conséquences pratiques cette précision a pour un promoteur, le texte ne le résout pas et cet article ne va pas l'interpréter.
Ce qui manque encore
L'article 10 s'applique depuis le 30 septembre, mais sa pièce opérationnelle reste en suspens. Le comma 12 renvoie à un décret du Ministro dell'interno, après avis du Garante, qui doit fixer quatre éléments : les critères d'identification des lieux et des événements du comma 4 ; les modalités du traitement automatisé des images du visage et de leur mémorisation locale ; les mesures techniques et organisationnelles de sécurité ; et les obligations du responsable du traitement au regard du Règlement sur l'IA.
Au 13 octobre 2026, ce décret ministériel n'a pas été publié. Tant qu'il n'existe pas, il n'y a pas de liste officielle des lieux et des événements soumis à ces exigences particulières d'ordre et de sécurité publique, ni de règles publiées sur la façon de mémoriser les images en local. Un organisateur ne peut pas savoir aujourd'hui si son site ou son événement entrent dans le périmètre.
Il existe un second antécédent à prendre en compte. Le parere del Garante per la protezione dei dati personali du 14 juillet 2026, docweb 10275606, a examiné le projet de décret avant son adoption. À propos de ce qui était alors l'article 10, comma 3 du projet, l'autorité a critiqué « *la memorizzazione locale dei dati biometrici delle persone che accedono a luoghi o eventi interessati* », la mémorisation locale des données biométriques des personnes qui accèdent aux lieux ou événements concernés, car cela ne correspondait pas à l'article 26, paragraphe 10, du Règlement sur l'IA, qui n'admet la reconnaissance faciale que pour des « *ricerche mirate ex post di persone sospettate o condannate* », des recherches ciblées ex post de personnes suspectées ou condamnées. Elle a recommandé que le traitement ne se fasse qu'a posteriori sur les enregistrements, selon des besoins opérationnels concrets, et non de façon automatique au moment de la capture.
Le texte finalement publié déplace cette disposition au comma 4 et ajoute cinq mots : « *senza elaborazione dei relativi dati biometrici* ». La coïncidence entre la critique et la garde-fou est frappante, et c'est ainsi que nous la rapportons, comme un enchaînement de faits. Aucun document ne permet d'établir que l'une soit la cause de l'autre.
Pourquoi c'est important
Pour qui vend des billets, le changement de fond est fonctionnel. Jusqu'ici, le scan à l'entrée servait à deux choses : vérifier la validité du billet et compter les personnes. Le comma 4 lui donne une troisième fonction, et ce n'est pas le promoteur qui l'exerce : ce scan est l'opération qui transfère les données d'identité — et le numéro de place, le cas échéant — vers une base de données locale, aux côtés de l'image du visage de la personne qui vient de passer. Ce qui, dans le flux de production, est un contrôle d'accès devient, dans l'architecture de l'article 10, le chaînon qui permet d'associer un nom à un visage en cas de besoin.
La deuxième lecture est budgétaire, et c'est elle qui décidera de ce qui se verra réellement. Le comma 14 interdit à l'État de dépenser pour cela, et le comma 13 dit qui peut dépenser : le gestionnaire du site, l'organisateur, ou quiconque dispose de la structure. La capacité existe dans la mesure où un acteur privé la finance. Si cela se déploie dans le circuit italien des concerts et des festivals, ce sera avec l'argent des sites et des promoteurs.
La troisième lecture concerne la gouvernance, et c'est la plus gênante : qui paie ne commande pas. Le comodato est gratuit, et la questura acquiert la disponibilité complète et exclusive du système. Le responsable du traitement est le Ministero dell'interno, et l'activation dépend d'un juge ou d'un officier de sécurité publique, jamais de celui qui a acheté le matériel. Financer l'équipement, c'est assumer le coût d'une infrastructure qu'on n'exploitera ni ne contrôlera ensuite.
Rien de tout cela n'est encore une obligation, et les critères permettant de savoir quels événements sont concernés restent en suspens. Ce qui est déjà réglé, en revanche, c'est le financement et la cession du contrôle : quand le décret du comma 12 arrivera, la discussion avec le site ne partira pas de zéro.
Le contexte italien indique la direction du mouvement. Les autorisations de spectacle public forment déjà une procédure dense — voir le guide des licences de pubblico spettacolo —, l'émission des billets est encadrée depuis la biglietteria avec sigillo fiscale et SIAE, et en 2026, l'AGCOM a sanctionné la vente hors du système d'émission à hauteur de 5 000 euros par événement constaté. L'Italie traite depuis des années le titre d'accès comme un document nominatif et traçable. L'article 10 ajoute à cette traçabilité le visage de celui qui le présente.
Ce qu'il faut en retenir
- Vérifiez ce que dit votre contrat avec le site sur la vidéosurveillance et l'intelligence artificielle. Les contrats de cession d'espace parlent de caméras et de sécurité privée, pas de composantes d'IA couplées à ces caméras. Demandez par écrit si le site en dispose ou prévoit de les intégrer, et si, pendant votre événement, le système est cédé en comodato à la questura.
- Documentez le flux de données issu du scan avant l'événement. Si le lecteur de billets alimente une base de données locale d'un tiers, cela doit figurer dans votre registre des activités de traitement et dans l'information de confidentialité fournie à l'acheteur : la clause signée aujourd'hui par le client vise le contrôle de jauge et l'envoi du billet, et elle devient insuffisante si le site dispose d'un système relevant de l'article 10. Précisez aussi par écrit le rôle de chaque partie dans ce flux : plateforme, personnel d'entrée, société de sécurité et site.
- Décidez quoi faire de la numérotation des places. Le comma 4 mémorise l'identifiant du posto assegnato lorsqu'il existe : un événement numéroté ajoute une donnée de plus par rapport à un événement en placement libre. Vérifiez quel champ exact expose votre système au moment du scan.
- N'acceptez pas de clauses invoquant l'article 10 comme s'il était déjà pleinement opérationnel. Les critères d'identification des lieux et des événements doivent être fixés par un décret du Ministro dell'interno qui n'a pas été publié. En attendant, une exigence fondée sur une liste de sites concernés n'a aucune norme publiée derrière elle.
- Gardez à l'esprit les deux délais en cas d'incident débouchant sur une procédure. Les données de la base locale sont supprimées sept jours après leur collecte ; les journaux sont conservés cinq ans.
- Et avant la technologie, l'organisation de l'entrée. Qui scanne, avec quel appareil, et que se passe-t-il en cas de panne : comment s'organise l'entrée d'un événement détermine plus d'incidents que n'importe quelle composante d'IA.