Resumen para el DPD
Italia se dota de la gobernanza nacional prevista por el AI Act. La autoridad de protección de datos vigilará el alto riesgo en cinco sectores sensibles y pide extender la prohibición de decisiones totalmente automatizadas a las evaluaciones de desempeño, primas y progresión profesional. Si un cliente usa herramientas de IA en la gestión de personas, este es el punto que hay que seguir.
Qué prevé el proyecto de decreto
La norma define el sistema nacional de gobernanza y vigilancia de la inteligencia artificial y designa a la autoridad de protección de datos como vigilancia de mercado para los sistemas de alto riesgo empleados en los ámbitos más sensibles para los derechos fundamentales: justicia, actividades policiales, inmigración, gestión de fronteras y procesos democráticos. Introduce además reglas para los sectores financiero y asegurador y promueve la alfabetización digital y la formación sobre el uso consciente de la IA en escuelas, universidades e itinerarios profesionales.
La opción no es obvia. En muchos Estados miembros la vigilancia del alto riesgo se ha atribuido a autoridades de nueva creación o a agencias técnicas; aquí una parte relevante permanece en la autoridad de protección de datos, que aporta un método instructor ya rodado y una doctrina administrativa consolidada. Para quien ejerce como DPD significa que, al menos en esos sectores, el interlocutor sobre AI Act y RGPD será el mismo.
Las condiciones planteadas por la autoridad
- Reconocer a la autoridad la potestad de adoptar directrices, recomendaciones y buenas prácticas, en pie de igualdad con las demás autoridades competentes en materia de IA. Es la petición con mayor impacto en el trabajo diario: sin esa potestad faltaría la fuente interpretativa en la que un DPD puede apoyarse.
- Clarificar las reglas para la aplicación de las sanciones de su competencia, conforme a lo previsto en el Código de privacidad italiano.
- Implicar a la autoridad en las actividades del espacio controlado de pruebas italiano para la inteligencia artificial.
- Clarificar el papel de la autoridad en los procedimientos de evaluación de la conformidad de los sistemas de alto riesgo, para los que el AI Act le atribuye funciones específicas de vigilancia.
- Extender la prohibición de decisiones basadas únicamente en sistemas automatizados a las evaluaciones que puedan incidir de manera significativa en la relación laboral, como las relativas al desempeño, a la atribución de primas o a la progresión profesional.
- Adecuar los recursos financieros de la autoridad a las nuevas competencias atribuidas por la normativa europea.
La condición que afecta a todos los clientes
La última petición es la de mayor alcance. Hoy la prohibición del artículo 22 del RGPD cubre las decisiones que producen efectos jurídicos o que afectan de modo similarmente significativo. Si el decreto acogiera la propuesta de la autoridad, la evaluación del desempeño, la atribución de una prima y la progresión profesional quedarían cubiertas de forma explícita. Muchas empresas ya usan herramientas internas de puntuación para estos fines sin haberlas calificado nunca: conviene inventariarlas ahora, antes de que la calificación se vuelva obligada.
El segundo informe: biometría y fuerzas policiales
En un informe distinto, también de 14 de julio de 2026, la autoridad se pronunció sobre los títulos del proyecto que regulan el empleo de la IA por las fuerzas policiales, fijando límites y garantías para el tratamiento de datos biométricos y para la identificación biométrica remota. Consideró el texto globalmente coherente con el AI Act y con la ley delegante n.º 132/2025, señalando algunos aspectos a reforzar: clarificar el papel de la supervisión humana, definir con mayor precisión las responsabilidades en los proyectos de investigación y ensayo, y reforzar las garantías sobre la calidad de las bases de datos biométricas utilizadas.
El pasaje más contundente se refiere al tratamiento automatizado y generalizado de los datos biométricos de quienes acceden a lugares o eventos públicos: según la autoridad no es coherente con el AI Act, que permite el reconocimiento facial a posteriori solo para búsquedas dirigidas. El tratamiento debería realizarse exclusivamente sobre las grabaciones ya obtenidas y cuando exista una necesidad operativa específica, evitando recogidas masivas y preventivas. La autoridad pide además que se prevea la prohibición expresa de utilizar bases de datos obtenidas mediante scraping indiscriminado o vulnerando la normativa de protección de datos.
Por qué importa ahora
El calendario del AI Act fue modificado por el paquete Digital Omnibus: las obligaciones para los sistemas de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027 y las del anexo I desde el 2 de agosto de 2028. El aplazamiento afecta a las fechas, no al contenido. Un decreto de desarrollo que define quién vigila, con qué potestades y con qué sanciones es exactamente la infraestructura que hace falta antes, no después: cuando las obligaciones sean exigibles, la autoridad competente ya estará operativa.
Fuente oficial:Autoridad italiana de protección de datos - Boletín n.º 550 de 29 de julio de 2026; informes de 14 de julio de 2026 [doc-web 10275626 y 10275606]¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
