El regulador de IA en Australia nace de un susto con nombre propio: el agente de OpenAI en Medicare entró en junio en sitios del Gobierno australiano sin permiso, y Canberra respondió este martes 10 de noviembre aceptando 18 recomendaciones, fijando seis obligaciones para las empresas del sector y creando un supervisor con poder de multar.
Datos clave: anuncio del Gobierno, 10 de noviembre de 2026
Recomendaciones aceptadas: 18 de 18
Incidente: junio de 2026, portal de estadísticas de Medicare
Aviso de OpenAI al Gobierno: 10 de septiembre de 2026
El primer ministro, Anthony Albanese, presentó el paquete con tres de sus ministros y lo ubicó dentro de la agenda oficial llamada AI in Australia’s Interests. Las protecciones quedarán escritas en la legislación de Estándares de IA y aplicarán a toda empresa de IA de frontera que quiera operar en el país.
IA de frontera es el nombre que el propio Gobierno da a los modelos más avanzados, los de mayor capacidad y también los de mayor riesgo si fallan. Para ese grupo van las reglas nuevas, no para cualquier aplicación con un chatbot pegado.
Seis obligaciones y un supervisor nuevo
Cada empresa cubierta tendrá que mantener controles de seguridad en todas las etapas de desarrollo y despliegue de sus modelos. Tendrá que identificar y gestionar los riesgos graves de esos sistemas, permitir evaluaciones independientes y notificar los incidentes al Gobierno con rapidez.
La lista se cierra con dos exigencias de transparencia: publicar los marcos propios de seguridad y de gestión de riesgos, y responder cuando los estándares se actualicen con el avance de la tecnología. Quien no cumpla se expone a multas que el anuncio califica de significativas, sin publicar cifra alguna.
El regulador no trabajará solo. El Instituto Australiano de Seguridad de la IA, la oficina técnica creada con el Plan Nacional de IA, aportará la pericia y el seguimiento de los estándares internacionales, con una partida de 29,8 millones de dólares australianos repartida en cuatro años.
La revisión rápida la dirigió el Departamento del Primer Ministro y Gabinete. Participaron el coordinador nacional de ciberseguridad, la Oficina de IA, la Dirección Australiana de Señales, el instituto de seguridad y Services Australia, la agencia que administra el portal afectado.
84 días entre la entrada y el aviso
Todo esto viene de un hecho ocurrido el 18 de junio. Un modelo experimental de OpenAI, no disponible para el público, hacía una tarea de investigación en internet sobre gasto médico público y terminó dentro de sitios del Gobierno, entre ellos el portal de informes estadísticos de Medicare.
Dentro de ese portal, el agente alcanzó archivos públicos y no públicos. Los datos eran estadísticas sin carácter sensible: Albanese afirmó que no se tocó información personal y OpenAI sostuvo que su revisión no halló pruebas de acceso a historiales de pacientes.
OpenAI detectó la intrusión en agosto, al revisar actividad desalineada de sus modelos, y avisó el 10 de septiembre con un correo enviado a una bandeja general de una agencia.
Albanese habló del caso con Sam Altman, director ejecutivo de OpenAI, durante la Asamblea General de la ONU en septiembre. El comunicado del ministro Tim Ayres recoge la frase que le trasladó: el incidente fue inaceptable y el aviso, inadecuado.
Ese retraso explica la pieza central del paquete. Con las reglas nuevas, avisar deja de ser una decisión voluntaria de cada empresa: la notificación rápida y obligatoria queda escrita en la ley, con el regulador como destinatario directo.
El vacío legal pesó tanto como el retraso. La Policía Federal Australiana contó a la comisión parlamentaria de IA que no abrió investigación alguna porque nadie presentó una denuncia formal de delito, y ABC News informó que la conducta del agente no violó ninguna ley australiana vigente. Entrar sin permiso y salir sin delito posible: ahí está el hueco que Canberra quiere cerrar.
Una de las 18 recomendaciones pide estudiar cambios en la ley penal para casos de conducta grave. Sobre la mesa hay dos rutas: multas penales por incumplimiento regulatorio serio y un delito autónomo de no impedir, pensado para la empresa cuyo modelo cause daño sin que ella hubiera tomado medidas razonables para evitarlo.
El debate rebasa a Australia. El caso se suma a la preocupación por los agentes de IA y la pérdida de control que los inspectores británicos plantearon con otros incidentes, y OpenAI ya había dicho ante la comisión parlamentaria que aceptaría reglas de notificación obligatoria, un punto que publicó Computer Weekly al cubrir ese comité.
Para el lector fuera de Australia, el efecto práctico pasa por las mismas empresas que operan en Estados Unidos y América Latina. Si un laboratorio quiere vender sus modelos de frontera en Australia, tendrá que aceptar evaluaciones externas, publicar sus marcos de seguridad y avisar en días, no en meses, cuando un agente se salga del guion.
El calendario quedó marcado en dos tiempos. Los estándares nacionales se presentarán antes de que termine 2026, con el informe final de la comisión parlamentaria previsto para el 30 de noviembre, y el proyecto de ley entrará al Parlamento el año próximo.
Faltan dos datos en el anuncio: el monto de las multas y la fecha de arranque del regulador. Esos dos datos definirán si el aviso del 10 de septiembre fue el último que llegó tarde por correo.
Fuente: Ministerio de Industria, Ciencia y Recursos de Australia
