Italia: lo que el Garante y la Ley 132/2025 exigen a los empleadores

Pocas autoridades europeas han sido tan activas con la IA generativa como el Garante per la protezione dei dati personali. En marzo de 2023, la autoridad italiana de protección de datos impuso una limitación temporal del tratamiento de los datos de los usuarios italianos por parte de ChatGPT, algo inédito. Menos de un mes después, el servicio volvía tras las correcciones de OpenAI.

Desde entonces, Italia ha ido más lejos. En 2025 se convirtió en el primer país de la Unión en aprobar una ley nacional completa sobre inteligencia artificial, la Ley n.º 132 de 23 de septiembre de 2025. Para los empleadores italianos, el mensaje es claro: la IA en el trabajo debe ser transparente, estar regulada y quedar documentada.

2023: la limitación temporal de ChatGPT

El 30 de marzo de 2023, el Garante ordenó a OpenAI dejar de tratar temporalmente los datos de las personas situadas en Italia. Los reproches eran concretos: información insuficiente a los usuarios, falta de base jurídica para la recogida masiva de datos destinada a entrenar los modelos y ausencia de verificación de la edad. Pocos días antes, un incidente había expuesto historiales de conversación y datos de pago de algunos suscriptores.

OpenAI publicó después una información más clara, permitió oponerse al uso de los propios datos y añadió un control de edad. El servicio se restableció a finales de abril de 2023. El episodio dejó una lección a las empresas: una herramienta de IA que su plantilla usa cada día puede quedar suspendida de la noche a la mañana.

Diciembre de 2024: 15 millones de euros de multa para OpenAI

La investigación concluyó el 20 de diciembre de 2024. El Garante impuso a OpenAI una multa de 15 millones de euros. La resolución señala, entre otras cosas:

• un tratamiento de datos personales para entrenar ChatGPT sin una base jurídica identificada previamente;

• incumplimientos de las obligaciones de transparencia con los usuarios;

• la falta de notificación de la brecha de datos de marzo de 2023;

• mecanismos de verificación de la edad insuficientes para proteger a los menores.

El Garante exigió además una campaña informativa de seis meses en los medios italianos, en radio, televisión y prensa, para explicar cómo usa ChatGPT los datos. No es un caso aislado: a finales de enero de 2025 la autoridad ordenó una limitación del tratamiento contra DeepSeek, y en mayo de 2025 sancionó con 5 millones de euros a la empresa del chatbot Replika.

La Ley 132/2025: un marco nacional para la IA

Publicada en la Gaceta Oficial el 25 de septiembre de 2025 y en vigor desde el 10 de octubre de 2025, la Ley 132/2025 complementa el Reglamento europeo de IA sin sustituirlo. Designa dos autoridades nacionales de IA, la Agenzia per l'Italia Digitale (AgID) y la Agenzia per la Cybersicurezza Nazionale (ACN), mientras que el Garante sigue siendo competente en todo lo relativo a datos personales. También crea delitos vinculados a los contenidos falsos generados con IA.

Para las empresas, el capítulo dedicado al trabajo es el más concreto. El empleador debe informar a los trabajadores cuando utiliza sistemas de IA, la IA debe mejorar las condiciones de trabajo y respetar la dignidad de las personas, y se crea un observatorio sobre la adopción de la IA en el mundo laboral en el Ministerio de Trabajo.

Qué cambia para los empleadores italianos

En Italia, el derecho laboral ya regula de forma estricta la vigilancia de los trabajadores, en particular con el artículo 4 del Estatuto de los Trabajadores sobre los controles a distancia. La Ley 132/2025 añade una exigencia de transparencia propia de la IA. Tres situaciones merecen especial atención:

1. La IA que usa el empleador para seleccionar, evaluar u organizar el trabajo: la plantilla debe estar informada.

2. La IA que usan los propios empleados, a menudo sin autorización: contratos, nóminas, expedientes de clientes o datos de salud acaban en chatbots públicos.

3. Las herramientas de control que se implantan para regular esos usos: deben ser proporcionadas y respetar las normas sobre controles a distancia.

El segundo caso es el más frecuente y el menos visible. Una fuga de datos por IA casi siempre empieza con un simple copiar y pegar.

Las lecciones de las decisiones del Garante

Las resoluciones contra OpenAI afectan a un proveedor, pero reflejan lo que la autoridad espera de cualquier organización que use IA: una base jurídica identificada antes del tratamiento, información clara a las personas, notificación rápida de las brechas y medidas técnicas adecuadas, como exige el artículo 32 del RGPD, que detallamos en nuestro checklist de cumplimiento.

Formar a los equipos sigue siendo necesario, pero no basta. Explicamos por qué en nuestro artículo sobre los límites de la formación en seguridad de IA. Con prisas, hasta un empleado formado pega un codice fiscale o un IBAN en un prompt.

Proteger los datos sin prohibir la IA

ZeusLock actúa en el equipo y en el navegador, antes de que el dato salga. Reconoce identificadores italianos como el codice fiscale, la partita IVA o el IBAN, además de datos de salud e información de recursos humanos. Puede sustituirlos por valores ficticios gracias a la anonimización que preserva el formato, avisar al usuario o bloquear el envío. Cada incidente queda registrado, lo que aporta pruebas útiles ante el Garante y una base concreta para la información que se debe a la plantilla.

En resumen

• El Garante limitó ChatGPT en 2023 y multó a OpenAI con 15 millones de euros en diciembre de 2024.

• La Ley 132/2025, en vigor desde el 10 de octubre de 2025, obliga a los empleadores a informar a los trabajadores del uso de la IA.

• AgID y ACN son las autoridades nacionales de IA, y el Garante sigue siendo competente en datos personales.

• El riesgo más habitual está en los prompts de los empleados, no en los grandes proyectos.

¿Quiere regular el uso de la IA en su empresa en Italia, con pruebas que lo respalden? Solicite una demo de ZeusLock.