¿Qué es la regulación de la IA en Iraq?
Regulación de la IA: países y regiones
Iraq no cuenta con una ley específica de inteligencia artificial ni con un estatuto integral de protección de datos personales en vigor. La gobernanza de la IA se apoya en una estrategia nacional de IA aún en desarrollo, un comité presidido por el Primer Ministro y una oficina asesora creados a partir de 2023, los derechos de privacidad reconocidos en la constitución y las normas sectoriales de la Comisión de Comunicaciones y Medios. Las organizaciones deben, por tanto, apoyarse en el derecho general, la constitución, las normas de telecomunicaciones y los estándares internacionales, en lugar de en un único estatuto de IA.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
No existe ninguna ley iraquí que defina, clasifique o restrinja la inteligencia artificial, ni tampoco una ley general de protección de datos similar a la de la Unión Europea o el Reino Unido. Quienes desarrollan o adquieren IA en Iraq trabajan con un mosaico normativo: la Constitución de 2005, que protege la privacidad y la correspondencia; leyes más antiguas como el Código Penal y el Código Civil; la Ley de Firma Electrónica y Transacciones Electrónicas de 2012; y las normas del regulador de telecomunicaciones y medios.
Iraq ha dado pasos en materia de política pública, no legislativa. Un comité presidido por el Primer Ministro sobre inteligencia artificial y una oficina asesora en la Oficina del Primer Ministro trabajan en una estrategia nacional de IA, pero dicha estrategia sigue en desarrollo y no ha sido promulgada como ley vinculante. Iraq es también miembro de UNESCO, que adoptó en 2021 una Recomendación global sobre la Ética de la Inteligencia Artificial, y participa en iniciativas digitales regionales de la Liga Árabe y las Naciones Unidas.
A efectos prácticos, Iraq debe tratarse como una jurisdicción en fase inicial: existen ambiciones y comités, pero las normas exigibles que afectan hoy a la IA provienen del derecho general, los derechos constitucionales, la regulación de telecomunicaciones y los contratos, no de una ley de IA.
Por qué importa
La ausencia de un marco específico no implica la ausencia de riesgo legal. La privacidad es un derecho constitucional en Iraq, el tratamiento automatizado de datos personales sigue estando sujeto al derecho civil y penal general, y la Comisión de Comunicaciones y Medios regula las redes, plataformas y contenidos digitales a través de los cuales se prestan la mayoría de los servicios de IA. Una organización que asuma que "sin ley de IA no hay normas" puede incurrir en responsabilidad por vulneraciones de la privacidad, vigilancia ilícita, difamación o contenidos que el regulador ordene restringir.
El reverso también es relevante. Al no existir un estatuto integral de protección de datos, las personas en Iraq disponen de remedios legales más débiles que los que ofrecería un régimen al estilo GDPR, y las transferencias transfronterizas de datos no están reguladas por un régimen claro de adecuación o garantías. Compradores y proveedores deben anticipar incertidumbre: las normas pueden cambiar rápidamente una vez que se apruebe una ley de protección de datos o una ley de IA, por lo que los contratos y la gobernanza deben estar diseñados para absorber ese cambio en lugar de asumir que el statu quo es permanente.
Cómo funciona
Sin ley de IA específica: una estrategia en desarrollo
Iraq no cuenta con un estatuto vinculante de inteligencia artificial. El principal instrumento nacional es un esfuerzo de política pública: la Estrategia Nacional Iraquí para la Inteligencia Artificial, coordinada por un grupo de IA en la Oficina del Primer Ministro y una Oficina Asesora para la Inteligencia Artificial creada en 2023. La propia oficina de IA del Primer Ministro indica en su sitio oficial que la estrategia sigue en desarrollo mediante un enfoque ágil. Un comité presidido por el Primer Ministro sobre inteligencia artificial revisó el borrador de la estrategia en 2024. Nada de esto constituye ley exigible; se trata de estrategia, estructura de gobernanza e intención declarada.
La constitución como punto de partida
La Constitución de 2005 establece los derechos duraderos que los despliegues de IA deben respetar. El artículo 17 garantiza a toda persona el derecho a la privacidad personal y protege la inviolabilidad del domicilio. El artículo 40 garantiza la libertad y confidencialidad de las comunicaciones y la correspondencia, incluidas las comunicaciones electrónicas y telefónicas, que no podrán ser vigiladas, interceptadas ni divulgadas salvo por necesidad legal y de seguridad y mediante resolución judicial. El artículo 38 protege la libertad de expresión, prensa y reunión. Estas disposiciones constituyen el respaldo frente a la vigilancia ilícita y la elaboración de perfiles automatizados intrusivos, aunque son de carácter general y no han sido desarrolladas mediante legislación detallada de protección de datos.
Sin estatuto integral de protección de datos
Iraq no dispone de una ley general de protección de datos personales en vigor. La privacidad y los datos solo se abordan a través de disposiciones dispersas en la constitución, el Código Penal de 1969 y el Código Civil de 1951, además de normas sectoriales. No existe una autoridad de protección de datos nacional, ni un régimen legal de bases habilitantes, ni una obligación general de notificación de brechas, ni un régimen legal de transferencias transfronterizas. El periodista y activista iraquí de derechos digitales Akram Al Sayyab declaró al grupo de derechos digitales SMEX en julio de 2022 que "los legisladores iraquíes no han promulgado ninguna ley que regule específicamente el ámbito del periodismo y la libertad de prensa; los delitos cibernéticos se abordan sobre la base de la jurisprudencia y el principio de remisión, así como de artículos dispersos del Código Penal de 1969". A fecha de 2026, no hay ningún estatuto integral de protección de datos en vigor.
La Comisión de Comunicaciones y Medios (CMC)
La CMC es el regulador independiente de telecomunicaciones, radiodifusión y medios de Iraq. Fue creada por la Orden Número 65 de 2004 de la Autoridad Provisional de la Coalición, emitida el 20 de marzo de 2004, que la constituyó como un organismo administrativo independiente y sin ánimo de lucro responsable de regular y otorgar licencias en materia de telecomunicaciones, radiodifusión, servicios de información y otros medios. La orden exige que la CMC se guíe por el Pacto Internacional de Derechos Civiles y Políticos. En la práctica, la CMC otorga licencias a operadores móviles y de internet, gestiona el espectro y el dominio .iq, y ha emitido y propuesto normas sobre contenidos digitales. Es el regulador con mayor probabilidad de incidir en la IA prestada a través de redes y plataformas, incluidas las normas sobre contenidos en línea. Junto a ella, el Ministerio de Comunicaciones gestiona las empresas estatales de telecomunicaciones e internet y lidera la infraestructura digital.
Transacciones electrónicas e identidad digital
La Ley de Firma Electrónica y Transacciones Electrónicas N.º 78 de 2012 otorga validez legal a los registros, contratos y firmas electrónicos, y constituye la base del gobierno digital y el comercio electrónico en los que los sistemas de IA suelen integrarse. Las Instrucciones de Implementación emitidas en 2025 designaron a la Empresa Pública Estatal de Informática y Telecomunicaciones como autoridad central de certificación y establecieron normas técnicas y de supervisión. Por su parte, el Banco Central de Iraq regula los servicios de pago electrónico en virtud del Reglamento N.º 3 de 2014, relevante cuando sistemas automatizados o asistidos por IA procesan transacciones financieras.
Ciberdelincuencia: aún en borrador
Iraq lleva tiempo debatiendo una ley de ciberdelincuencia sin haberla promulgado. El borrador tuvo su primera lectura ante el Consejo de Representantes el 27 de julio de 2011, fue retirado formalmente con la aprobación del Presidente de la Cámara el 6 de febrero de 2013, fue reintroducido con ligeras enmiendas el 12 de enero de 2019 y alcanzó una segunda lectura el 23 de noviembre de 2020 antes de quedar suspendido. Human Rights Watch advirtió en 2020 que el artículo 3 del proyecto establecía penas de hasta cadena perpetua y cuantiosas multas por actos vagamente definidos como "atentar contra la independencia, unidad o seguridad del país, o sus intereses económicos, políticos, militares o de seguridad supremos", y en 2021 que el proyecto "habría permitido a las autoridades iraquíes procesar a cualquier persona por cualquier publicación en redes sociales o en línea que no fuera de su agrado". A fecha de 2026, no se ha promulgado ningún estatuto específico de ciberdelincuencia, por lo que los delitos electrónicos se persiguen a través del Código Penal y otras disposiciones generales.
Contexto regional e internacional
Iraq es miembro fundador de la Liga Árabe y forma parte de la Agenda Digital Árabe 2023-2033, una estrategia digital a largo plazo desarrollada por la Comisión Económica y Social de las Naciones Unidas para Asia Occidental (ESCWA) junto con la Liga de los Estados Árabes. ESCWA y la CMC han organizado conjuntamente talleres sobre política de tecnología digital en Iraq que abarcan ciberseguridad, inteligencia artificial y computación en la nube. Iraq es Estado miembro de UNESCO; la Recomendación de UNESCO sobre la Ética de la Inteligencia Artificial fue adoptada por aclamación por 193 Estados miembros en la Conferencia General de UNESCO el 23 de noviembre de 2021, como el primer estándar global sobre ética de la IA, y UNESCO ha impartido formación en IA a participantes iraquíes. Estos instrumentos no son ley vinculante en Iraq, pero orientan la dirección de los avances.
Ejemplos
Un operador de telecomunicaciones que despliega un modelo de IA para la detección de fraude o la predicción de abandono de clientes sobre datos de suscriptores no tiene un estatuto específico de protección de datos que cumplir, pero está sujeto a la licencia y la supervisión de la CMC, y debe respetar la confidencialidad de las comunicaciones del artículo 40, que prohíbe la vigilancia o divulgación de comunicaciones salvo por resolución judicial. El control práctico aquí lo ejercen el regulador y la constitución, no una ley de privacidad.
Un ministerio gubernamental que implanta un servicio digital asistido por IA se apoya en la Ley de Firma Electrónica y Transacciones Electrónicas N.º 78 de 2012 y sus instrucciones de implementación de 2025 para dar validez legal a los registros y firmas electrónicos, con la Empresa Pública Estatal de Informática y Telecomunicaciones actuando como autoridad de certificación. La IA se integra sobre esta infraestructura de gobierno electrónico, no dentro de un régimen legal específico para la IA.
Un banco o proveedor de pagos que utiliza la toma de decisiones automatizada para transacciones opera bajo la supervisión del Banco Central de Iraq, incluido el régimen de servicios de pago electrónico del Reglamento N.º 3 de 2014. El tratamiento automatizado se rige mediante la supervisión del sector financiero y los contratos, no mediante una ley horizontal de IA o de datos.
Malentendidos frecuentes
"Iraq tiene una ley de IA." No es así. Existe una estrategia nacional de IA en desarrollo y un comité presidido por el Primer Ministro, pero no hay ningún estatuto de IA promulgado.
"No hay ley de IA, así que todo está permitido." Incorrecto. Los derechos constitucionales de privacidad y comunicación, los Códigos Penal y Civil, la regulación de telecomunicaciones y medios, y las normas del sector financiero siguen siendo aplicables a los despliegues de IA.
"Iraq tiene una ley de protección de datos al estilo GDPR." No la tiene. No existe ningún estatuto integral de protección de datos personales, ninguna autoridad de protección de datos ni ningún régimen legal de transferencias en vigor.
"La estrategia nacional de IA es ley vinculante." Es política y gobernanza, no legislación, y la Oficina del Primer Ministro la describe como aún en desarrollo.
"La recomendación de UNESCO sobre ética de la IA es exigible en Iraq." Es derecho indicativo. Iraq es miembro de UNESCO, pero la Recomendación orienta la política en lugar de crear obligaciones legales iraquíes directamente exigibles.
Riesgos y límites
Este artículo describe la arquitectura jurídica; no constituye asesoramiento legal. La limitación principal es que Iraq no dispone de un marco específico de IA ni de una ley integral de protección de datos, por lo que las protecciones para las personas y la certeza para las organizaciones son más débiles que en las jurisdicciones GDPR. Los derechos constitucionales son de carácter general y no han sido desarrollados mediante legislación detallada de privacidad, lo que genera una incertidumbre real sobre su aplicación a la elaboración de perfiles automatizados y al tratamiento de datos a gran escala.
Varios aspectos están pendientes o podrían cambiar rápidamente. Una ley de ciberdelincuencia ha sido redactada en repetidas ocasiones sin ser promulgada, y su amplia redacción ha suscitado críticas en materia de derechos humanos. Los llamamientos a una legislación integral de protección de datos y a una ley de IA continúan, y la estrategia nacional de IA está en curso. Cualquiera de estos instrumentos, si se aprobara, cambiaría sustancialmente el panorama. Cuando este artículo indica que un instrumento es un borrador o está en desarrollo, ese estado debe considerarse provisional y conviene verificar la situación actual antes de actuar en consecuencia.
Próximos pasos
Mapee su actividad de IA en Iraq frente a lo que realmente se aplica hoy: los derechos constitucionales de privacidad y comunicación, los Códigos Penal y Civil, las licencias y normas de contenido de la CMC, la Ley de Firma Electrónica y Transacciones Electrónicas, y cualquier supervisión sectorial financiera. No asuma que existe una ley de privacidad.
Adopte voluntariamente una base de gobernanza reconocida. Al no existir una ley vinculante de IA o de datos, utilice referencias internacionales como la recomendación de UNESCO sobre ética de la IA, la minimización de datos al estilo GDPR y una evaluación de impacto de la IA para establecer sus propios controles y estar preparado para la futura legislación.
Trate las transferencias transfronterizas de datos con cuidado. Al no existir un régimen legal de transferencias, apóyese en contratos, medidas de seguridad y consentimiento claro, y documente su base habilitante conforme al derecho general.
Siga el proceso legislativo. Monitorice el proyecto de ley de protección de datos, el proyecto de ley de ciberdelincuencia y la estrategia nacional de IA, y diseñe contratos y sistemas capaces de absorber nuevas obligaciones como el registro, la notificación de brechas o las evaluaciones de impacto sin necesidad de rediseñarlos.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Iraq una ley específica de IA?
No. A fecha de 2026, Iraq no ha promulgado ningún estatuto de inteligencia artificial. Cuenta con una estrategia nacional de IA aún en desarrollo y un comité presidido por el Primer Ministro y una oficina asesora creados a partir de 2023.
¿Tiene Iraq una ley de protección de datos como el GDPR?
No. Iraq no dispone de ningún estatuto integral de protección de datos personales en vigor, ninguna autoridad de protección de datos ni ningún régimen legal de transferencias transfronterizas. La privacidad solo está protegida a través de disposiciones constitucionales, penales y civiles dispersas.
¿Qué protege entonces la privacidad en Iraq?
Principalmente la Constitución de 2005. El artículo 17 garantiza la privacidad personal y la inviolabilidad del domicilio, y el artículo 40 protege la confidencialidad de las comunicaciones y la correspondencia, que no podrán ser vigiladas ni divulgadas salvo por resolución judicial.
¿Quién es el principal regulador que incide en la IA?
La Comisión de Comunicaciones y Medios (CMC), el regulador independiente de telecomunicaciones, radiodifusión y medios de Iraq, creada por la Orden Número 65 de 2004 de la Autoridad Provisional de la Coalición. Otorga licencias a operadores y plataformas y regula los contenidos digitales.
¿Existe una estrategia nacional de IA?
Sí, en desarrollo. Un grupo de IA en la Oficina del Primer Ministro y una Oficina Asesora para la Inteligencia Artificial creada en 2023 están desarrollando la Estrategia Nacional Iraquí para la Inteligencia Artificial, que un comité presidido por el Primer Ministro revisó en 2024. No es ley vinculante.
¿Se aplica a Iraq la recomendación de UNESCO sobre ética de la IA?
Iraq es Estado miembro de UNESCO, y la Recomendación de UNESCO de 2021 sobre la Ética de la Inteligencia Artificial es un punto de referencia de derecho indicativo. Orienta la política, pero no crea obligaciones legales iraquíes directamente exigibles.
¿Existe una ley de ciberdelincuencia?
Todavía no. Un proyecto de ley de ciberdelincuencia ha sido redactado y reintroducido varias veces desde 2011, pero no ha sido promulgado. Los delitos electrónicos se tramitan a través del Código Penal y el derecho general.
¿Qué debe hacer ahora una organización que despliega IA en Iraq?
Cumplir con los derechos constitucionales, el derecho general, las normas de la CMC y la supervisión sectorial; adoptar estándares internacionales de gobernanza de forma voluntaria; gestionar los datos transfronterizos mediante contratos y medidas de seguridad; y seguir el proceso legislativo en materia de protección de datos, ciberdelincuencia e IA.