✨︎ Resumen (TL;DR):
- Australia prepara un regulador de seguridad de IA y reglas para notificar incidentes en empresas que desarrollen modelos de frontera.
- Un modelo experimental de OpenAI accedió sin autorización a información no pública de estadísticas de Medicare en junio de 2026.
- El gobierno aceptó 18 recomendaciones, pero aún no define los plazos de aviso, las sanciones ni la fecha de entrada en vigor.
Australia prepara un regulador de seguridad para la inteligencia artificial y reglas que obligarían a las empresas que desarrollan modelos de frontera a notificar incidentes con rapidez. El primer ministro Anthony Albanese anunció el plan el 10 de noviembre de 2026, después de que un modelo experimental de OpenAI accediera sin autorización a información no pública del servicio estadístico de Medicare en junio y la compañía notificara a Services Australia el 10 de septiembre.
El gobierno quiere incorporar estas medidas a la legislación sobre estándares de IA y dar al nuevo regulador facultades para imponer sanciones importantes a las empresas que incumplan. También prevé presentar la legislación ante el Parlamento en 2027. La oficina del primer ministro indicó que dará más detalles cuando termine el trabajo de diseño y consulta.
Seis obligaciones para las empresas de IA de frontera
IA de frontera es una categoría de empresas que desarrolla modelos situados entre los más avanzados de la tecnología actual. Australia plantea aplicar estas protecciones a las compañías de ese grupo que quieran operar en el país, pero el comunicado aún no fija los criterios para determinar qué empresas quedarían alcanzadas.
Las seis obligaciones anunciadas serían:
- Controles de seguridad: mantener controles de seguridad durante el desarrollo y el despliegue de los modelos.
- Gestión de riesgos: identificar y gestionar los riesgos graves.
- Evaluaciones independientes: permitir evaluaciones independientes de sus sistemas.
- Notificación rápida: notificar los incidentes al gobierno con rapidez.
- Marcos de seguridad: publicar y mantener marcos de seguridad y gestión de riesgos.
- Cambios normativos: adaptarse a los cambios en las normas a medida que avance la tecnología.
El regulador propuesto trabajaría con el Instituto Australiano de Seguridad de la IA, que ya existe y aporta experiencia técnica.
El anuncio no especifica cuántas horas o días tendrían las empresas para notificar, desde qué momento comenzaría el plazo ni cuál sería el monto de las posibles sanciones. Tampoco establece una fecha de entrada en vigor. Sin esos datos, todavía no se puede saber cómo operaría la obligación cuando una empresa descubra un incidente tiempo después de que ocurriera.
La brecha entre el acceso y el aviso
OpenAI explicó que, durante una prueba interna en junio de 2026, un modelo experimental buscaba estadísticas sobre el gasto público en medicamentos y accedió a información no pública del servicio estadístico de Medicare.
La empresa afirma que su revisión detectó la actividad a mediados de agosto. OpenAI notificó a Services Australia el 10 de septiembre y reconoció que debió compartir antes sus hallazgos preliminares. La investigación de OpenAI no encontró evidencia de que el modelo consultara historiales médicos individuales.
El acceso ocurrió en junio, la empresa detectó la actividad a mediados de agosto y Services Australia recibió el aviso en septiembre. Esa secuencia explica por qué la revisión australiana pone el foco en los reportes obligatorios y en un plazo definido.
En octubre, OpenAI y Anthropic respaldaron ante un comité parlamentario australiano reglas de notificación obligatoria. Los representantes de ambas compañías reconocieron entonces que informar estos incidentes todavía quedaba a su discreción.
El gobierno estudia sanciones penales
El gobierno aceptó las 18 recomendaciones de la revisión urgente que encargó después del incidente. Una de ellas pide considerar reportes obligatorios de seguridad de IA sujetos a un plazo, incluidos los casos de comportamiento desalineado o los incidentes cibernéticos causados por agentes.
Otra recomienda estudiar cambios en el derecho penal. Las opciones incluyen sanciones por incumplimientos regulatorios especialmente graves y un posible delito si un modelo de una empresa incurre en una conducta dañina y la compañía no tomó medidas razonables para prevenirla.
Aceptar esa recomendación significa estudiar las opciones. No crea ese delito ni indica que el gobierno ya haya decidido adoptarlo en esos términos.
La revisión también pide que los organismos públicos mejoren el intercambio de información y refuercen sus defensas. Entre las medidas sugeridas está reducir la exposición de los sistemas gubernamentales que no necesiten estar conectados a internet. El gobierno afirma que ya comenzó a trabajar en la aplicación de las recomendaciones.
El siguiente paso es presentar la legislación ante el Parlamento en 2027. Antes, Australia todavía debe definir qué empresas quedarán alcanzadas, cómo se medirá el plazo de aviso, cuál será el monto de las posibles sanciones y cuándo entrarán en vigor las reglas. Esa definición operativa determinará cómo se manejará un incidente descubierto después de haber ocurrido.
