Dal 2021, l’agenzia europea di polizia ha costruito un sistema di intelligenza artificiale alimentato da enormi quantità di dati personali. La scoperta è emersa grazie a un’indagine di Computer Weekly, che ha portato alla luce dettagli inquietanti su come funziona davvero il programma e su quali regole (o non regole) lo governano.

Il problema non è tanto che Europol usi l’IA – sarebbe strano il contrario nel 2025 – ma come lo fa. Parliamo di copie di database massivi conservate senza un chiaro mandato, di modelli addestrati senza le valutazioni di sicurezza che l’UE stessa richiede alle aziende, di processi automatizzati messi in funzione prima di capire cosa potessero combinare.

Come funziona (o meglio, come non funziona)

Le ispezioni del Garante europeo per la protezione dei dati (EDPS) hanno fatto emergere una situazione piuttosto caotica. Le valutazioni d’impatto sulla privacy? Scritte dopo aver già sviluppato i sistemi. Test sull’accuratezza e sulla neutralità degli algoritmi? Assenti. Analisi dei rischi? Insufficienti.

Come riporta l’inchiesta, l’agenzia ha mantenuto rapporti stretti con sviluppatori privati di tecnologie di riconoscimento e analisi predittiva, senza che fosse sempre chiaro dove finisse la collaborazione istituzionale e dove iniziasse il conflitto d’interessi.

Il rischio dei falsi positivi

Un sistema del genere può generare falsi positivi, cioè segnalare come sospette persone che non hanno fatto nulla. Quando a finire nel mirino sono cittadini normali o migranti, le conseguenze possono essere pesanti: controlli, perquisizioni, rallentamenti nelle procedure amministrative.

L’intelligenza artificiale non è neutrale per definizione. Riflette i dati con cui viene nutrita: se quei dati sono distorti, incompleti o raccolti senza criterio, il sistema amplificherà gli errori invece di correggerli. È già successo negli Stati Uniti con i software di predictive policing: comunità intere finite sotto osservazione non perché commettessero più crimini, ma perché i modelli erano stati addestrati male.

L’Europa che predica bene e razzola male

Qui sta il paradosso più grosso. L’Unione Europea ha appena varato l’AI Act, una delle normative più rigide al mondo sull’intelligenza artificiale. L’idea è semplice: più un sistema è rischioso, più deve essere trasparente e controllato. Le forze dell’ordine rientrano nella categoria “alto rischio”.

Eppure una delle agenzie chiave dell’UE ha sviluppato un programma di IA per anni senza rispettare quei criteri di trasparenza che adesso vengono imposti a tutti gli altri. Non è solo ipocrisia: è un problema di credibilità politica.

Se l’Europa vuole davvero guidare il dibattito globale sulla governance dell’IA, deve iniziare a mettersi in regola in casa propria. Altrimenti la retorica dei “valori europei” e della “tecnologia etica” rischia di suonare molto vuota.

Cosa succede ora

Al momento Europol non ha rilasciato dichiarazioni ufficiali che chiariscano come intenda affrontare le criticità emerse. L’EDPS ha imposto alcune correzioni, ma resta da vedere se saranno sufficienti a garantire un controllo democratico reale su un’infrastruttura che continua a crescere.

Il punto non è fermare l’innovazione tecnologica nelle forze dell’ordine. È fare in modo che quella tecnologia risponda a regole chiare, sia soggetta a verifiche indipendenti e non si trasformi in uno strumento di sorveglianza indiscriminata sotto la copertura della sicurezza.

Perché quando il controllo sfugge di mano, non sono solo i diritti a saltare. È la fiducia stessa nelle istituzioni democratiche a erodersi.