Il riconoscimento facciale è stato tra i temi più controversi durante l'iter della legge europea sull'intelligenza artificiale, oggetto di scontro tra chi chiede il divieto della sorveglianza biometrica negli spazi pubblici e chi ritiene necessario mantenere margini di utilizzo per esigenze di sicurezza.
Il Parlamento europeo aveva sollecitato un divieto permanente del riconoscimento automatizzato delle persone negli spazi pubblici. Durante il negoziato sull'AI Act il tema è rimasto uno dei principali punti di scontro tra Parlamento, Commissione e Stati membri, fino al compromesso raggiunto nel testo definitivo del regolamento. L'AI Act, entrato in vigore il 2 agosto 2024 - ma le norme sull'identificazione biometrica sono divenute attuabili nel febbraio del 2025 - adotta un approccio basato sul livello di rischio dei sistemi di IA. Tra le pratiche considerate a rischio inaccettabile e quindi vietate rientra il riconoscimento facciale. In particolare, il regolamento vieta come regola generale l'identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico per finalità di contrasto alla criminalità. Il divieto però non è assoluto.
Gli Stati membri possono introdurre per legge delle eccezioni che ne consentano l'uso nei seguenti casi: attività di contrasto alla criminalità relative a 16 reati gravissimi specificati dalla norma Ue; ricerca mirata di vittime specifiche, sequestri di persona, tratta e sfruttamento sessuale di esseri umani, e persone scomparse; prevenzione di minacce alla vita o all'incolumità fisica delle persone o di attacchi terroristici.
