Le décret de Meloni sur la reconnaissance faciale inquiète l'UE

Le gouvernement de Giorgia Meloni finalise un décret législatif qui autorise les forces de police italiennes à utiliser des systèmes d'intelligence artificielle pour l'identification biométrique à distance en temps réel dans les espaces publics ou ouverts au public. Le texte, pensé pour les concerts, les manifestations ou les matchs de football, transpose en droit italien le règlement européen sur l'IA (AI Act) — mais plusieurs experts en protection des données estiment que ses garanties ne suffisent pas à éviter un conflit avec la législation communautaire, rapporte El País.

Ce que prévoit exactement le décret

Le texte, composé de 21 articles, distingue l'usage des données biométriques dans des enquêtes déjà ouvertes et leur emploi à des fins de « prévention » des délits — la partie la plus contestée. L'article 8 fixe les cas où la police peut activer l'identification biométrique à distance : une menace spécifique, substantielle et imminente pour la vie ou l'intégrité physique, une menace réelle d'attentat terroriste, ou la recherche de personnes disparues ou de victimes d'enlèvement, de traite des êtres humains ou d'exploitation sexuelle.

Contrairement à une enquête pénale ordinaire, qui exige l'autorisation d'un juge d'instruction, l'usage préventif est demandé par le chef de la police (questore), le commandant provincial des carabiniers ou de la Guardia di Finanza, et adressé au procureur du district. Après la controverse en commissions parlementaires, le gouvernement a ajouté un second niveau de contrôle : outre le procureur, le juge des enquêtes préliminaires doit désormais intervenir, précise le média italien Linkiesta.

• La finalité poursuivie et la menace concrète à prévenir
• La durée, limitée à quinze jours maximum, renouvelable
• La zone géographique exacte où le système sera activé
• Les personnes recherchées ou concernées, lorsqu'elles sont connues
• Les bases de données et les technologies utilisées

En cas d'urgence, la police peut activer le système sans autorisation préalable, moyennant une simple communication orale au procureur, qui dispose de 48 heures pour valider l'opération. Le décret précise en outre qu'aucun fichier biométrique permanent ne sera constitué, et que les données collectées à titre préventif ne pourront pas servir de preuve dans une procédure pénale.

Pourquoi les experts s'inquiètent

L'Autorità Garante per la Protezione dei Dati Personali, l'équivalent italien de la CNIL, a jugé la première version du texte incompatible avec les restrictions que l'AI Act impose à la reconnaissance faciale en direct, ce qui a contraint le gouvernement à reporter le vote à la Chambre des députés, rapporte le média spécialisé Biometric Update. Un porte-parole de la Commission européenne a été catégorique :

La reconnaissance faciale dans les espaces publics accessibles est interdite par la loi européenne sur l'intelligence artificielle.

La Cour de justice de l'Union européenne a elle-même établi que, lorsque l'accès des autorités nationales à des données personnelles risque de constituer une ingérence grave dans les droits fondamentaux, cet accès doit être soumis à un contrôle préalable exercé par un juge ou un organe administratif indépendant — l'argument central qui a conduit à ajouter le juge d'instruction comme second filtre.

Le précédent n'est pas anodin : en janvier 2023, le gouvernement Meloni avait déjà confié au procureur général de la Cour d'appel de Rome — sans intervention d'aucun juge — le contrôle des écoutes téléphoniques préventives. Il est frappant de voir des voix habituellement proches du gouvernement, comme les Chambres pénales, la Fondation Luigi Einaudi ou Libertà Eguale, se joindre aux critiques contre le nouveau décret pour avoir affaibli les garanties judiciaires.

Le débat a été relancé par les émeutes de Bologne et les manifestations violentes de la vallée de Suse, où des dizaines de policiers ont été blessés, selon l'agence italienne Ansa. Dans l'entourage de Giorgia Meloni, on insiste : l'Italie « continuera de respecter la réglementation européenne sur la reconnaissance faciale dans les espaces publics accessibles, à commencer par l'AI Act, comme elle l'a fait jusqu'à présent ».

Un conflit frontal avec l'AI Act européen

L'AI Act classe l'identification biométrique à distance en temps réel dans les espaces publics comme une pratique à risque inacceptable, interdite sauf trois exceptions strictement définies : la recherche de personnes disparues, une menace terroriste imminente et la localisation de suspects pour des infractions graves précises — les mêmes exceptions que l'Italie invoque pour justifier son décret. La Commission européenne a repoussé en mai à décembre 2027 le délai laissé aux systèmes à haut risque, comme ceux d'identification biométrique policière, pour se conformer pleinement au règlement — une marge que Rome met à profit pour finaliser sa propre législation nationale.

Pour les entreprises françaises qui développent ou vendent des systèmes de reconnaissance faciale, le cas italien vaut avertissement. L'AI Act s'applique à tout fournisseur qui met un système d'identification biométrique sur le marché européen, quel que soit son pays d'origine : une société française qui commercialiserait une telle technologie auprès des forces de l'ordre italiennes — ou de tout autre État membre — devra démontrer les mêmes garanties que celles exigées de Rome : finalité précisément définie, proportionnalité et contrôle judiciaire préalable. Ce chantier doit être bouclé avant décembre 2027, date d'expiration du délai accordé par Bruxelles aux systèmes à haut risque.