Estudio sobre la Ley No. 132 de Italia y su Regulación de la Inteligencia Artificial
Con la aprobación de la Ley No. 132 el 23 de septiembre de 2025, Italia se convierte en el primer estado miembro de la Unión Europea en adoptar una legislación comprensiva y específica que cumple con las disposiciones del Reglamento de la UE No. 2024/1689 (conocido como AI Act). Esta ley establece un marco nacional para la gobernanza, supervisión y apoyo a la innovación en el campo de la inteligencia artificial (IA).
Antecedentes
La Ley fue producto del Proyecto de Ley 1146/24, el cual recibió opiniones de diversas autoridades sectoriales, incluida la Autoridad Italiana de Protección de Datos (Garante) y la Comisión Europea. En su opinión del 12 de septiembre de 2024, la Comisión destacó la necesidad de una mayor coherencia con el AI Act y una mayor apertura hacia el uso de la inteligencia artificial. El texto, modificado en parte según las recomendaciones recibidas, fue aprobado por el Parlamento Italiano el 17 de septiembre de 2025 y publicado en el Boletín Oficial el 25 de septiembre de 2025.
Sectores Afectados
La primera sección de la Ley, dedicada a principios generales, introduce una estrategia nacional sobre IA que se actualizará cada dos años por el Comité Interministerial para la Transición Digital, con el apoyo del Departamento de Transformación Digital de la Presidencia del Consejo de Ministros. Esta estrategia servirá como referencia para decisiones políticas y regulatorias sobre IA.
La segunda sección contiene reglas para sectores individuales, indicando áreas y métodos de uso de la IA. En el ámbito de la salud y la investigación científica, se permite el uso de IA como herramienta de apoyo, pero no se puede utilizar para discriminar o decidir sobre el acceso a tratamientos; el papel humano sigue siendo central, siendo responsables de las decisiones finales.
Además, se clasifica la investigación pública y privada sin fines de lucro como de interés público significativo, permitiendo el procesamiento de datos personales sin consentimiento, sujeto a la aprobación de comités de ética y notificación al Garante.
Empleo
En el sector laboral, la Ley introduce salvaguardias específicas para la gestión de la selección, evaluación y monitoreo de trabajadores mediante sistemas de IA. Se establecen obligaciones de transparencia para los empleadores, el derecho a la información para los empleados y la necesidad de realizar evaluaciones de impacto para prevenir la discriminación algorítmica.
Asimismo, la Ley establece un observatorio sobre el impacto de la IA en el trabajo, con el objetivo de maximizar los beneficios y mitigar los riesgos derivados del uso de sistemas de inteligencia artificial en el lugar de trabajo, promoviendo la formación para trabajadores y empleadores en este campo.
Justicia
En el sector de la justicia, la legislación establece criterios estrictos para el uso de sistemas de IA en el ámbito judicial, tanto para la gestión de casos como para el apoyo a decisiones. Se fortalece la supervisión humana y se prohíbe el uso de IA para actividades interpretativas; el uso de herramientas de análisis automático está limitado a propósitos organizativos, de simplificación del trabajo y administrativos, garantizando así la plena protección del derecho de defensa y la confidencialidad de las partes.
Propiedad Intelectual
La Ley especifica que la protección de derechos de autor también se reconoce para obras “creadas con la ayuda de inteligencia artificial”, siempre que sean el resultado del trabajo intelectual del autor. Se aclara que el material generado únicamente por IA no está sujeto a protección. Se permite la reproducción y extracción de texto y datos utilizando IA si las fuentes son legítimamente accesibles.
Gobernanza
En términos de gobernanza, la estrategia nacional para la IA está confiada a la Presidencia del Consejo de Ministros, con la participación de la Agencia para la Digitalización de Italia (AgID) y la Agencia Nacional de Ciberseguridad (ACN) como autoridades nacionales, así como las autoridades supervisoras sectoriales (Banco de Italia, CONSOB, IVASS) dentro de sus respectivas áreas de competencia. Se presta especial atención a la ciberseguridad, considerada un requisito esencial a lo largo del ciclo de vida de los sistemas y modelos de IA.
A nivel institucional, la coordinación entre las autoridades nacionales (AgID/ACN, autoridades sectoriales) y la Autoridad de Protección de Datos será decisiva para alinear las evaluaciones de riesgo de los sistemas de IA, incluyendo la perspectiva del RGPD y las evaluaciones de impacto ético.
Interconexiones con el AI Act, NIS2 y RGPD
La Ley cubre decididamente áreas que quedaron fuera del AI Act: identifica autoridades de supervisión y poderes, regula inspecciones, apoya a las PYMES y administraciones públicas, y define sanciones para conductas que no están completamente armonizadas (por ejemplo, deepfakes). Incluso dentro de las limitaciones de la armonización europea, el legislador nacional eleva el nivel de salvaguardias organizativas y requisitos “procedimentales” (transparencia, controles, formación, documentación), extendiéndolos a casos de bajo riesgo y sectores sensibles como el trabajo, la salud y la justicia.
En el frente de la IA generativa y los deepfakes, Italia adopta un enfoque más prescriptivo: introduce delitos penales y mecanismos para la trazabilidad y autenticidad del contenido, mientras que el AI Act favorece obligaciones de información y códigos de conducta (con requisitos mejorados para sistemas que presentan un riesgo sistémico). El resultado es un modelo integrado con el RGPD, NIS2 y normas sectoriales, que busca traducir cláusulas generales europeas en controles operativos verificables.
Conclusiones
En términos concretos, el cumplimiento dependerá de la capacidad de orquestar pruebas de gobernanza y control. Entre las prioridades para las empresas, se pueden identificar claramente la necesidad de:
- mapear sistemas y clasificar riesgos;
- integrar DPIAs;
- definir roles y responsabilidades de desarrolladores y usuarios;
- incluir cláusulas contractuales “listas para el AI Act” en la cadena de suministro;
- implementar medidas técnicas, incluyendo mapeo de contenido y gestión de incidentes y reportes.
Finalmente, es necesario un monitoreo activo de los actos ejecutivos europeos y las directrices nacionales (incluidas las de la Autoridad Italiana de Protección de Datos), ya que estas normas darán lugar a criterios de evaluación, parámetros técnicos y prioridades de inspección. Aquellos que actúen ahora no solo reducirán el riesgo de sanciones, sino que también obtendrán una ventaja competitiva: transformando el cumplimiento en un requisito de calidad, seguridad y fiabilidad de los sistemas de IA.
