El pasado 23 de octubre de 2026 entró en vigor en Italia el Decreto Legislativo 179/2026, publicado en su boletín oficial (la Gazzetta Ufficiale n.º 234) el 8 de octubre. Con él, Italia termina de aterrizar en su derecho nacional el Reglamento europeo de Inteligencia Artificial: ya tiene autoridades con nombre propio, un procedimiento para presentar reclamaciones, un régimen de multas y, de paso, unas cuantas reglas sobre IA en el trabajo que van más allá de lo que dice Bruselas.

¿Por qué debería importarle esto a una pyme de Gijón, de Oviedo o de Avilés? Porque España va por el mismo camino, con un texto que se parece mucho y que lleva en el Congreso desde junio. Lo que hoy está pasando en Italia es, con bastante probabilidad, un adelanto de lo que te tocará a ti. Y lo que Italia ha escrito sobre decisiones laborales con IA es justo el tipo de detalle que pilla desprevenida a una empresa pequeña. Esto es un resumen práctico, no asesoramiento jurídico.

Qué ha aprobado Italia exactamente

El Reglamento de IA es europeo y se aplica directamente en todos los países, pero deja a cada Estado dos deberes: decidir quién lo vigila y fijar cómo se sanciona. Sin esas dos piezas, la norma existe en el papel pero nadie puede abrir un expediente. Ya contamos en quién vigila el Reglamento de IA desde agosto que, a partir del 2 de agosto de 2026, las autoridades nacionales asumían la aplicación. Italia acaba de completar su parte.

Según los análisis publicados por Agenda Digitale (firmado por la abogada Nadia Martini, de Rödl & Partner, el 15 de octubre) y por el jurista Pasquale Pillitteri, que contrastó las cifras con el texto oficial, el decreto tiene 54 artículos y es el segundo que desarrolla la ley italiana de IA de 2025 (la Ley 132/2025). Lo más relevante para una empresa:

• Autoridades con nombre. La Agencia para la Ciberseguridad Nacional (ACN) vigila el mercado, puede inspeccionar y sancionar, y es el punto de contacto con Bruselas. La Agencia para la Italia Digital (AgID) designa a los organismos que certifican sistemas.

• Supervisores sectoriales. El Banco de Italia, Consob e Ivass vigilan los sistemas de alto riesgo en banca, inversión y seguros. El Garante de privacidad conserva sus competencias en los términos que fija el Reglamento.

• Reclamaciones abiertas. Desde el mismo 23 de octubre cualquiera puede presentar una reclamación ante la ACN, que puede abrir procedimientos por reclamación, por un incidente grave o por iniciativa propia.

• Un espacio de pruebas (el famoso sandbox) para probar sistemas bajo supervisión, gestionado por AgID y ACN, aunque el grupo que debe ponerlo en marcha todavía no está constituido.

Cuánto pueden costar las multas

El decreto italiano traslada los techos del Reglamento europeo, ordenados por gravedad. Según las dos fuentes citadas, en su artículo 23:

• Prácticas prohibidas (manipulación que explota vulnerabilidades, puntuación social y similares): hasta 35 millones de euros o el 7 % de la facturación mundial.

• Incumplir obligaciones de proveedores, importadores, distribuidores o de quien usa sistemas de alto riesgo, y también las de transparencia: hasta 15 millones o el 3 %.

• Dar información inexacta o engañosa a las autoridades: hasta 7,5 millones o el 1 %.

• La evaluación de impacto en derechos fundamentales y el derecho a una explicación: hasta 1 millón o el 0,5 %.

Antes de que te entre el sudor frío, un matiz que el propio Reglamento europeo deja claro y que Italia respeta: para pymes, microempresas y start-ups se aplica la cifra más baja de las dos (el importe fijo o el porcentaje), mientras que a las grandes empresas se les aplica la más alta. En una empresa que factura un millón al año, el 3 % son 30.000 euros, no 15 millones. Sigue siendo dinero que nadie quiere pagar por no tener un papel en orden.

Además, la autoridad italiana puede empezar por lo suave: en infracciones leves puede ordenar que se corrija o publicar una declaración pública antes de multar. Pero si no haces caso a esa orden, la multa puede subir un tercio. Y las resoluciones se publican, a veces de forma anónima y a veces no. El riesgo de reputación existe aunque el importe sea pequeño.

El artículo que más debería leer una pyme: IA y decisiones sobre trabajadores

La parte del decreto italiano que más nos ha llamado la atención no son las multas millonarias, sino el artículo 41, porque toca algo que muchas empresas pequeñas ya están haciendo sin pensarlo demasiado: usar IA para tareas de personal.

Según Agenda Digitale, las decisiones finales sobre contratar, modificar o terminar una relación laboral, las sanciones disciplinarias y las evaluaciones de rendimiento no pueden basarse solo en un tratamiento automatizado. Tiene que decidir una persona con poder real para hacerlo. Y hay tres detalles que lo endurecen:

• El consentimiento del trabajador no sirve de excusa. Aunque firme que acepta, la prohibición sigue en pie.

• Una decisión que incumpla la regla es nula, despido incluido.

• El trabajador puede pedir una explicación comprensible de la decisión, con intervención humana.

Ojo a un matiz que recoge Pillitteri: la búsqueda y criba de candidatos no se considera «decisión final», aunque deje fuera a gente. Eso no significa barra libre: el empleador debe informar a los candidatos, y la selección de personal ya es una de las áreas que el Reglamento europeo trata como de alto riesgo. El decreto añade otra obligación práctica: los sistemas de IA que afecten a los ritmos, la organización o la seguridad del trabajo deben entrar en la evaluación de riesgos laborales, y la plantilla tiene que estar informada y formada.

Si en tu empresa usas IA para leer currículos, organizar turnos o medir productividad, esto te interesa aunque no tengas ni un empleado en Italia. Es la dirección que lleva toda Europa. Hablamos de qué se puede automatizar con sensatez en personal en IA en recursos humanos y administración para pymes.

Y en España, ¿en qué punto estamos?

España no se ha quedado quieta, pero va más despacio. El 26 de mayo de 2026 el Consejo de Ministros aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial y lo envió al Congreso. Según recogió Legal Today, el ministro Óscar López lo presentó como «el paso definitivo». El texto se publicó en el Boletín Oficial de las Cortes el 12 de junio, según el despacho Finreg360, y pasó a la Comisión de Economía, Comercio y Transformación Digital, con plazo de enmiendas hasta el 30 de junio.

Al ser ley orgánica, necesita mayoría absoluta en el Congreso. En las fuentes que hemos consultado no consta que se haya aprobado todavía, así que hoy, 3 de noviembre, lo prudente es tratarla como lo que es: un proyecto en tramitación que puede cambiar.

Lo que propone el texto enviado al Congreso se parece mucho al italiano:

• La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) como punto de contacto único y vigilante de buena parte de los sistemas, como los de empleo, biometría o educación.

• Supervisores por sectores: la AEPD y las autoridades autonómicas de protección de datos para ciertos sistemas biométricos; el Banco de España y la CNMV para los que evalúan solvencia; la Dirección General de Seguros para los de seguros de vida y salud; el CGPJ en justicia.

• Las mismas cifras de techo: 35 millones o el 7 % para prácticas prohibidas; 15 millones o el 3 % para otras muy graves; 7,5 millones o el 1 % para las graves; y hasta 500.000 euros o el 0,5 % para las leves.

• Atenuantes: reducción por pronto pago y por adoptar medidas correctoras, y consideración del tamaño de la empresa.

Qué se parece y qué no entre los dos países

La estructura es casi calcada porque las dos leyes cumplen el mismo encargo del Reglamento europeo. Las diferencias están en los añadidos que cada país mete por su cuenta:

• Italia legisla sobre IA en el trabajo con reglas propias (el artículo 41 y la evaluación de riesgos laborales). En el proyecto español, según el resumen de Legal Today, el empleo aparece como ámbito que vigila la AESIA, pero sin reglas laborales específicas como las italianas.

• Italia ya está en marcha: hay a quién reclamar desde el 23 de octubre. En España, la AESIA existe y es la autoridad designada, pero el régimen sancionador nacional depende de que la ley salga adelante.

• Italia toca otros frentes: formación obligatoria en IA en los colegios profesionales, protección como secreto comercial de los datos y algoritmos de entrenamiento, y planes para escuelas y sanidad.

La lectura útil para ti no es «en España todavía no pasa nada». Es otra: el Reglamento europeo ya obliga desde hace meses, la AESIA ya es la autoridad competente y la ley española solo va a poner el procedimiento y las cifras. Las obligaciones de fondo no esperan a que el Congreso vote.

Lo que ya te obliga hoy, con ley española o sin ella

Repasamos lo que no depende de la tramitación en el Congreso porque viene directamente del Reglamento europeo:

• Prácticas prohibidas: no puedes usar IA para manipular a clientes explotando sus vulnerabilidades, ni para puntuar socialmente a personas. Es raro que una pyme caiga aquí, pero conviene saberlo.

• Formación del personal: quien usa herramientas de IA en tu empresa tiene que tener un nivel razonable de conocimiento sobre ellas. Una sesión documentada cubre mucho.

• Transparencia: si un cliente habla con un chatbot o un asistente de voz, tiene que saber que no es una persona.

• Protección de datos: el RGPD sigue ahí, y la AEPD lleva años sancionando con él. Meter datos de clientes o de empleados en una herramienta de IA sin base legal es un problema hoy, no cuando se apruebe la ley de IA. Lo explicamos en si puedes meter datos de clientes en ChatGPT.

Qué hacer esta semana si tienes una pyme

No hace falta montar un departamento de cumplimiento. Con el modelo italiano delante, las prioridades se ven bastante claras:

• Haz la lista de herramientas con IA que usa tu equipo, incluidas las gratuitas y las que vienen dentro de otro programa (el CRM, la centralita, el software de nóminas).

• Marca las que deciden algo sobre personas: candidatos, empleados, clientes a los que se acepta o rechaza. Son las que primero mirará cualquier autoridad.

• Asegúrate de que siempre decide una persona en todo lo que afecte a contratar, despedir, sancionar o evaluar. Que la IA proponga está bien; que firme, no. Y que esa persona pueda explicar por qué decidió lo que decidió.

• Pide a tus proveedores su documentación: qué hace el sistema, con qué datos y qué limitaciones conocen. Si no te lo saben dar, apúntalo.

• Revisa los avisos al cliente en tu web, tu WhatsApp y tu teléfono si hay un asistente automático detrás.

• Guarda constancia de la formación y de las normas internas de uso. Si un día llega una petición de información, lo que no está escrito no existe.

Si detrás de tu WhatsApp hay un asistente, la regla es la misma: el asistente atiende y avisa de que es una IA, y lo que haya que decidir lo decide una persona. Así trabaja Julia, la asistente de IA por WhatsApp para despachos que montamos en HLK Abogados.

Y una advertencia que repetimos porque sigue haciendo falta: desconfía de quien te venda un «certificado de cumplimiento de la ley de IA» a precio cerrado sin haber visto cómo trabajas. La ley española ni siquiera está aprobada.

Preguntas frecuentes

¿Qué es el Decreto Legislativo 179/2026 de Italia?

Es la norma italiana que completa la aplicación del Reglamento europeo de IA en ese país. Se publicó en la Gazzetta Ufficiale el 8 de octubre de 2026 y está en vigor desde el 23 de octubre. Designa a las autoridades que vigilan la IA (sobre todo ACN y AgID), fija las multas y añade reglas propias, por ejemplo sobre decisiones laborales tomadas con IA.

¿Afecta el decreto italiano a mi empresa española?

Solo si operas en Italia o tus sistemas de IA se usan allí. Para el resto, su interés es otro: muestra cómo se va a aplicar en la práctica el Reglamento europeo, que sí te obliga, y anticipa lo que traerá la ley española, que tiene una estructura muy parecida.

¿España ya tiene ley de inteligencia artificial?

Tiene un proyecto de ley orgánica aprobado por el Consejo de Ministros el 26 de mayo de 2026 y publicado en el Boletín de las Cortes el 12 de junio. En las fuentes que hemos consultado no consta su aprobación definitiva. Mientras tanto, el Reglamento europeo se aplica directamente y la AESIA es la autoridad designada.

¿De cuánto son las multas por incumplir el Reglamento de IA?

Los techos van desde 35 millones de euros o el 7 % de la facturación mundial para las prácticas prohibidas hasta cifras mucho menores para infracciones leves. Para pymes y start-ups se aplica la cantidad más baja entre el importe fijo y el porcentaje, lo que en la práctica reduce mucho la cifra.

¿Puedo usar IA para seleccionar personal?

Puedes usarla como apoyo, pero con cuidado: la selección de personal es un ámbito que el Reglamento europeo considera de alto riesgo, y en Italia ya es ley que las decisiones finales sobre contratar, despedir o evaluar las tome una persona. Lo sensato es que la IA ordene o resuma, que decida una persona con criterio propio y que informes a los candidatos de que usas estas herramientas.

¿Qué es lo primero que debo hacer?

Un inventario de las herramientas con IA que usa tu empresa, marcando las que toman o proponen decisiones sobre personas. Con esa lista sabes qué revisar primero, qué pedir a tus proveedores y dónde tiene que haber siempre una persona al mando.

¿Usas IA para atender clientes, filtrar currículos o gestionar a tu equipo y no tienes claro qué te van a pedir? Escríbenos y repasamos juntos qué herramientas tienes, cuáles son sensibles y qué conviene dejar documentado antes de que la ley española llegue al BOE.