¿Qué es la regulación de la IA en Italia?
Regulación de la IA: países y regiones
Las normas de IA en Italia están establecidas por una ley nacional de IA (Legge 132/2025) y por el EU AI Act. La ley italiana (en vigor desde octubre de 2025) adopta principios de transparencia y centrados en el ser humano, y abarca sectores específicos (por ejemplo, salud, trabajo y finanzas). Establece una estructura de gobernanza (AgID y la Agencia Nacional de Ciberseguridad) y exige evaluaciones de riesgo para la IA de alto riesgo. Italia también aplica la normativa de privacidad de datos a la IA: su autoridad de protección de datos (Garante) ha actuado contra servicios como ChatGPT, DeepSeek y Clothoff para abordar preocupaciones de privacidad y seguridad.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Italia ha introducido un marco integral para la IA. En septiembre de 2025, el Parlamento italiano aprobó la Ley 132/2025 sobre inteligencia artificial. Es la primera ley nacional de IA en la UE y fue redactada para alinearse estrechamente con el EU AI Act. La ley establece principios generales (por ejemplo, la IA debe utilizarse de forma "centrada en el ser humano" y transparente) y aplica normas a ámbitos importantes como la sanidad, el empleo y los servicios públicos.
Junto a esta ley, el AI Act de la UE (un reglamento de ámbito europeo de 2024) es aplicable en Italia, por lo que los usuarios y proveedores de IA italianos deben cumplir tanto los requisitos nacionales como los europeos. El marco italiano designa autoridades específicas (AgID y la Agencia Nacional de Ciberseguridad) para gestionar las notificaciones de IA, las verificaciones de conformidad y la supervisión. La agencia italiana de protección de datos (Garante) también revisa las herramientas de IA en virtud de la legislación sobre privacidad. Por ejemplo, el Garante bloqueó temporalmente ChatGPT en 2023 y posteriormente exigió a OpenAI que añadiera divulgaciones a los usuarios y opciones de exclusión. Acciones de cumplimiento similares se han dirigido contra nuevas aplicaciones de IA generativa como DeepSeek y Clothoff para proteger los datos y los derechos de los ciudadanos italianos.
Por qué es importante
La regulación de la IA es relevante en Italia porque cualquier organización que desarrolle o utilice IA debe cumplir estas normas o enfrentarse a sanciones. La nueva ley crea obligaciones legales para los desarrolladores y usuarios de IA, como evaluaciones de riesgo, documentación e información a los usuarios, especialmente para la IA de alto riesgo (por ejemplo, herramientas de diagnóstico o puntuación crediticia). Los reguladores sectoriales (finanzas, sanidad, trabajo) pueden inspeccionar el cumplimiento. Italia también tipifica como delito ciertos abusos de la IA (como los deepfakes perjudiciales). El cumplimiento es una cuestión empresarial: Italia apoya la innovación (con un fondo de 1.000 millones de euros para startups de IA), pero las empresas deben igualmente generar confianza respetando los derechos y la seguridad.
Por otro lado, en virtud de la legislación europea e italiana sobre privacidad, los productos de IA que traten datos personales deben salvaguardar la privacidad. Las primeras actuaciones del Garante sobre ChatGPT y otros servicios de IA demuestran que las normas de protección de datos italianas y europeas se aplican teniendo en cuenta el uso de la IA. Las empresas que ignoren estas normas se arriesgan a multas, acciones legales o prohibiciones tecnológicas.
Cómo funciona
Ley nacional de IA (Legge 132/2025)
La ley nacional de IA de Italia (aprobada el 23 de septiembre de 2025) entró en vigor el 10 de octubre de 2025. Codifica los principios para la IA (centrada en el ser humano, transparente y no discriminatoria) y se alinea expresamente con el EU AI Act. La ley abarca numerosos ámbitos, desde la sanidad hasta el trabajo, la administración pública, las finanzas y las industrias creativas, y exige salvaguardias (por ejemplo, supervisión humana y trazabilidad) en cada uno de ellos. También crea nuevas obligaciones: por ejemplo, los proveedores deben etiquetar el contenido generado por IA como sintético, garantizar que los datos de entrenamiento respetan la privacidad y evaluar los riesgos de los sistemas de IA de alto riesgo. Determinados actos son constitutivos de delito, como la difusión ilícita de imágenes o vídeos deepfake generados por IA (un nuevo delito en el código penal italiano).
EU AI Act y alineación italiana
El EU AI Act (Reglamento 2024/1689) es una ley de ámbito europeo que clasifica los sistemas de IA según el riesgo y establece las normas correspondientes. Es directamente aplicable en Italia, y la Ley 132/2025 se remite expresamente a él. La ley italiana incluso declara que no impondrá obligaciones más allá de las del reglamento europeo. En la práctica, esto significa que los sistemas de IA de alto riesgo italianos (según las listas de la UE) deberán someterse a una evaluación de la conformidad al estilo europeo y a su registro. Italia puede añadir algunas normas sectoriales específicas (por ejemplo, umbrales para la IA sanitaria o las herramientas de puntuación crediticia) mediante decretos delegados, pero estas no pueden entrar en conflicto con las normas europeas. Las autoridades italianas están preparando estos detalles: por ejemplo, los reglamentos establecerán listas exactas de IA de alto riesgo en Italia y las sanciones por incumplimiento.
Gobernanza y autoridades
La ley italiana asigna funciones de supervisión de la IA a organismos específicos. La Agencia para la Italia Digital (AgID) es la autoridad de IA designada para las notificaciones, las aprobaciones y el fomento de la innovación. La Agencia Nacional de Ciberseguridad (ACN) actúa como autoridad de vigilancia del mercado e inspección de los sistemas de IA. Estos organismos coordinan con los reguladores sectoriales (como el Banco Central, la CONSOB para los mercados y la IVASS para los seguros) en materia de IA. La Presidencia del Consejo (Departamento de Asuntos Digitales) debe elaborar una estrategia nacional de IA cada dos años, con aportaciones de AgID y ACN, y presentar un informe anual al Parlamento. Este marco de gobernanza pretende equilibrar el fomento de la IA (incluido un fondo de 1.000 millones de euros para startups y pymes de IA) con la protección de los derechos y la seguridad.
Protección de datos y supervisión de la privacidad
La regulación de la IA en Italia está estrechamente vinculada a la legislación de protección de datos. El Garante (el organismo de supervisión de la privacidad de datos en Italia) trata los sistemas de IA como cualquier otro responsable del tratamiento de datos: deben contar con una base jurídica, realizar evaluaciones de impacto sobre la privacidad y proteger los datos personales. El Garante ha señalado que la IA generativa plantea riesgos para la privacidad de los datos, y ha utilizado sus competencias en virtud del GDPR para actuar con rapidez. Por ejemplo, a principios de 2025 el Garante ordenó el bloqueo del chatbot DeepSeek en Italia por una protección insuficiente de los datos de los usuarios. También prohibió provisionalmente la aplicación de imágenes "deep nude" Clothoff para impedir el tratamiento ilícito de datos personales. En 2023-24, el Garante investigó ChatGPT y finalmente exigió a OpenAI que implementara medidas más sólidas de transparencia y exclusión voluntaria (una multa de 15 millones de euros fue posteriormente anulada por el Tribunal de Roma el 18 de marzo de 2026, por motivos jurisdiccionales y no de fondo). Estas actuaciones demuestran que, incluso antes de que todos los detalles de la nueva ley estén definidos, las normas de privacidad y consumo vigentes se están aplicando a los servicios de IA.
Responsabilidad y cumplimiento
En virtud de la ley de IA italiana, las infracciones pueden dar lugar a sanciones administrativas y penales. Los decretos delegados (pendientes de publicación) establecerán multas específicas por incumplimiento (alineadas con el EU Act para el incumplimiento de alto riesgo) y describirán los procedimientos de inspección. Las nuevas disposiciones penales se dirigen al uso indebido de la IA: por ejemplo, fabricar o distribuir contenido deepfake que perjudique a personas conlleva ahora una pena de prisión. Paralelamente, se aplican las normas ordinarias de responsabilidad civil y administrativa: las empresas pueden ser responsables de los daños causados por una IA insegura o sesgada. Los reguladores sectoriales (banca, finanzas, sanidad) aplicarán sus propias competencias de supervisión a la IA en sus sectores. El EU AI Act también prevé sanciones severas (de hasta varios millones de euros) para la IA "de riesgo inaceptable" ilegal. Las autoridades italianas ya han demostrado su disposición a actuar: más allá de las actuaciones del Garante en materia de protección de datos, la ACN (agencia de ciberseguridad) tendrá la potestad de auditar la seguridad de los sistemas de IA y suspender los despliegues de riesgo.
Ejemplos
**Empresa de tecnología sanitaria:** Una startup de Milán que desarrolla una herramienta de diagnóstico basada en IA debe cumplir la ley de IA italiana garantizando que los médicos tomen las decisiones finales y que se proteja la privacidad de los interesados. Por ejemplo, si la IA sugiere tratamientos, la decisión final debe recaer en un médico (en consonancia con el principio "antropocéntrico" de la ley). El sistema probablemente sería de "alto riesgo" según las normas europeas (al afectar a la salud), por lo que la empresa debe realizar evaluaciones de riesgo, mantener registros detallados y someter la IA a la validación de evaluadores acreditados antes de su uso. También debe cumplir las normas sobre datos médicos en virtud del GDPR.
**Entidad financiera:** Un banco que utilice IA para la aprobación de préstamos tratará esa IA como un sistema de alto riesgo. En virtud de las normas europeas e italianas, el banco debe documentar el diseño de la IA, demostrar que no discrimina y etiquetar cualquier recomendación automatizada dirigida a los gestores de préstamos. Si la IA actúa de forma incorrecta (por ejemplo, rechazando solicitudes de manera injusta), el banco podría ser objeto de escrutinio por parte del regulador bancario italiano y de sanciones por incumplimiento de sus obligaciones. El equipo de cumplimiento del banco deberá seguir las inspecciones de la ACN o las directrices de AgID sobre IA en el sector financiero.
**Desarrollador de aplicaciones (IA generativa):** Una empresa que lance un servicio de IA basado en imágenes o chatbots accesible para usuarios italianos prestará especial atención a las orientaciones del Garante. Debe proporcionar avisos de privacidad claros y permitir que las personas se excluyan del uso de sus datos personales para entrenar la IA. La aplicación debe impedir que los menores accedan a funciones de IA orientadas a adultos (tal como OpenAI añadió verificaciones de edad). Si el servicio genera contenido sintético, el desarrollador debe etiquetarlo como generado por IA. Estos pasos garantizan el cumplimiento de las exigencias de aplicación de la privacidad y transparencia en Italia. El incumplimiento podría dar lugar a órdenes de suspensión del servicio (como ocurrió con DeepSeek y Clothoff) o a sanciones en virtud del GDPR.
Malentendidos frecuentes
- *"La ley de IA italiana crea normas que van más allá del EU AI Act."* No exactamente: la ley declara expresamente que no añadirá requisitos más estrictos que los del reglamento europeo. La ley italiana refleja en gran medida el enfoque basado en riesgos del EU Act, aunque sí añade algunas normas locales (por ejemplo, un delito de deepfake) y orientaciones sectoriales.
- *"ChatGPT y herramientas similares están prohibidas en Italia."* Es un malentendido. Italia suspendió brevemente ChatGPT en 2023 por problemas de privacidad, pero se restableció el acceso tras los cambios realizados por OpenAI. La ley no prohíbe la IA generativa; exige que los proveedores respeten la privacidad, la verificación de edad y la transparencia. Por tanto, las herramientas de IA pueden operar si cumplen los estándares legales.
- *"La regulación de la IA en Italia se limita a la protección de datos o la ética."* No: abarca mucho más. La nueva ley introduce obligaciones específicas para la IA (como evaluaciones de impacto obligatorias para la IA de alto riesgo, verificaciones de conformidad y etiquetado de contenido sintético) e incluso tipifica como delito ciertos abusos (por ejemplo, los deepfakes perjudiciales). Esto va más allá de la protección de datos general o de las normas tecnológicas existentes.
- *"Solo las empresas italianas deben cumplir la ley de IA italiana."* En la práctica, cualquier sistema de IA comercializado o utilizado en el mercado italiano debe cumplirla, independientemente de si el proveedor es italiano o no. Dado que el EU AI Act se aplica a los proveedores que prestan servicios a usuarios de la UE, las empresas de IA extranjeras deben cumplir los requisitos italianos (y europeos) para los usuarios italianos.
- *"La nueva ley ya es plenamente ejecutable."* Todavía no: la Ley 132/2025 entra en vigor en octubre de 2025, pero muchos detalles dependen de futuros decretos ejecutivos. Hasta que estos se publiquen, las autoridades utilizan las leyes vigentes (como el GDPR) y las normas europeas para regular la IA. Por ello, las empresas deben prepararse ahora, pero estar atentas a las normas de desarrollo específicas que se publiquen.
Riesgos y límites
La ley de IA establece un marco nacional, pero tiene límites. No deroga el EU AI Act (sino que se alinea con él). El EU Act en sí es un reglamento; Italia no puede quedar exenta de su aplicación. Algunos aspectos nacionales siguen sin resolverse: por ejemplo, la lista exacta de sistemas de IA de alto riesgo para Italia se definirá mediante decretos posteriores. Hasta entonces, se aplican las listas europeas. La ley delega muchas normas técnicas en el Gobierno (por ejemplo, sobre formatos de etiquetado y multas), por lo que las empresas deben estar atentas a esos detalles.
En la práctica, la protección de datos (GDPR) y las leyes de consumo siguen siendo aplicables a la IA. Cualquier sistema de IA que gestione indebidamente datos personales puede dar lugar a la aplicación del GDPR (como se ha visto con ChatGPT, DeepSeek y Clothoff). Sin embargo, la ley de IA italiana es más amplia, ya que abarca la seguridad, la transparencia y las normas sectoriales, e introduce nuevas responsabilidades penales. Persiste cierta incertidumbre sobre cómo interpretarán los tribunales las nuevas disposiciones (por ejemplo, qué se considera un "deepfake ilícito"). Además, la aplicación de las normas de IA en Italia sigue desarrollándose: algunos casos iniciales (la multa a OpenAI) fueron posteriormente revocados, lo que demuestra que los límites legales aún están siendo puestos a prueba. Las organizaciones deben tomar la ley en serio y prepararse, pero también seguir de cerca la evolución jurídica y regulatoria en 2026.
Por último, conviene precisar lo que la ley no es: no obliga a las empresas de IA a compartir código o algoritmos propietarios. No es una "policía de IA" en las operaciones cotidianas. Se dirige a prácticas específicas: aplicaciones de alto riesgo, uso indebido de datos y sectores como la sanidad y las finanzas. Por tanto, el uso de IA para tareas inocuas (como chatbots básicos sin datos personales) no suele activar normas especiales. El principal riesgo se da cuando la IA afecta a los derechos o la seguridad de las personas.
Próximos pasos
Las organizaciones y los equipos de IA que operen en Italia o presten servicios allí deben comenzar por mapear sus sistemas de IA frente a las nuevas normas. Conviene determinar qué sistemas podrían ser de "alto riesgo" (diagnósticos sanitarios, herramientas de selección de personal, negociación financiera, etc.) y estar preparados para realizar evaluaciones de impacto y verificaciones de conformidad. Asimismo, es recomendable asignar responsabilidades internas en materia de gobernanza de la IA y coordinarse con los equipos de cumplimiento y jurídico sobre las obligaciones próximas.
Conviene establecer prácticas de transparencia desde ahora: etiquetar cualquier contenido sintético, actualizar los avisos de privacidad relativos a los datos de entrenamiento de IA e implementar mecanismos de exclusión voluntaria cuando sea necesario. Hay que implantar la verificación de edad si la IA puede resultar atractiva para menores (Italia exige bloqueos para menores de 13 años). También es aconsejable contactar con la autoridad de protección de datos italiana o con asesoría jurídica para garantizar el cumplimiento del GDPR en los servicios de IA.
Es importante seguir el proceso de implementación: en los próximos meses se publicarán nuevas normas y sanciones. Mientras tanto, conviene estar atento a las orientaciones de AgID, ACN y los reguladores sectoriales. Por ejemplo, se espera que AgID publique directrices técnicas ("linee guida") sobre cómo documentar los procesos de IA. Considere la posibilidad de sumarse a iniciativas europeas (como el pacto voluntario de IA) para alinearse con las mejores prácticas antes de que el cumplimiento formal sea exigible.
Por último, si su organización opera en varios países de la UE, alinee su cumplimiento global de IA para satisfacer simultáneamente las expectativas europeas e italianas. Siga de cerca los informes de estrategia de IA de Italia y las revisiones parlamentarias, ya que indicarán las tendencias en materia de aplicación. Adaptando proactivamente la gobernanza de la IA, podrá evitar sanciones y beneficiarse de los incentivos a la innovación de Italia (como el fondo de 1.000 millones de euros).
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Qué es la Ley 132/2025 de Italia sobre IA?
Es una ley nacional (aprobada en septiembre de 2025) que establece el marco doméstico de IA en Italia, fijando principios y normas para la IA. Entra en vigor el 10 de octubre de 2025. La ley está diseñada para encajar con el EU AI Act y abarca ámbitos como la sanidad, el empleo, los servicios públicos y los derechos digitales.
¿Cómo afecta el EU AI Act a Italia?
El EU AI Act es un reglamento vinculante para todos los estados de la UE, incluida Italia. La ley italiana se conforma expresamente al EU Act, lo que significa que las normas italianas de IA reflejan en gran medida las europeas. Los sistemas de IA de alto riesgo en Italia deberán cumplir los criterios europeos (evaluación de riesgos, notificaciones, etc.). El Gobierno italiano completará los detalles locales mediante decreto, pero no podrá contradecir la legislación europea.
¿Qué autoridades aplican las leyes de IA en Italia?
La ley designa a la Agencia Digital (AgID) y a la Agencia Nacional de Ciberseguridad (ACN) como autoridades nacionales de IA. Se encargan de las notificaciones, la verificación de la conformidad y las inspecciones. Los reguladores sectoriales (por ejemplo, el Banco de Italia, la CONSOB y las autoridades sanitarias) siguen supervisando la IA en sus respectivos ámbitos. En materia de privacidad de datos, el Garante (autoridad de protección de datos) aplica el GDPR a los sistemas de IA.
¿Existen obligaciones específicas para la IA generativa (como ChatGPT) en Italia?
Aunque la ley no menciona expresamente la IA generativa, exige que los sistemas de IA sean transparentes y seguros. En la práctica, el Garante italiano ha exigido a las herramientas generativas que permitan a los usuarios excluirse del entrenamiento con sus datos y que garanticen la verificación de edad. Las empresas que desplieguen chatbots o servicios de generación de imágenes en Italia deben proporcionar avisos claros sobre el uso de datos y verificar la edad de los usuarios, siguiendo las orientaciones del Garante.
¿Qué ocurre si una herramienta de IA infringe la nueva ley de IA italiana?
Las sanciones dependerán de la infracción concreta. Se esperan multas y órdenes correctivas en virtud de las normas delegadas (alineadas con las multas europeas por incumplimiento de IA de alto riesgo). Se aplican sanciones penales para determinados delitos (por ejemplo, los deepfakes ilegales). Además, pueden aplicarse multas en virtud del GDPR si la IA hace un uso indebido de datos personales. La aplicación puede provenir de las autoridades nacionales (AgID/ACN) o de los supervisores sectoriales, y las infracciones pueden exigir la suspensión del uso de la IA hasta que se subsanen.
¿La ley de IA italiana sustituye al GDPR?
No. El GDPR y las normas de protección de datos siguen siendo plenamente aplicables. La ley de IA añade obligaciones específicas para la IA (como la documentación de riesgos y la divulgación de contenido sintético) sobre las leyes de privacidad, consumo, seguridad y otras ya existentes. De hecho, los primeros casos de aplicación en Italia consistieron en aplicar el GDPR a servicios de IA (por ejemplo, ChatGPT y DeepSeek).
¿Afectan las normas italianas a los proveedores de IA no italianos?
Sí, si ofrecen productos o servicios de IA a usuarios italianos. El EU AI Act abarca a los proveedores fuera de la UE que comercializan IA en la UE. Del mismo modo, el GDPR se aplica a cualquier empresa que trate datos de residentes en la UE. Por tanto, una empresa de IA en el extranjero debe cumplir los requisitos del AI Act y del GDPR para prestar servicios legalmente en Italia.
¿Cuándo deberán cumplir las empresas?
La ley nacional es efectiva desde el 10 de octubre de 2025, pero muchos detalles se establecerán mediante decretos posteriores (previstos en el plazo de un año desde la aprobación de la ley). No obstante, las obligaciones básicas del EU AI Act comenzaron cuando entró en vigor (agosto de 2024), con los requisitos completos introduciéndose de forma progresiva (especialmente para la IA de alto riesgo). Mientras tanto, es imprescindible cumplir el GDPR y las directrices publicadas.