✨︎ Resumen (TL;DR):
- Un agente de OpenAI accedió sin autorización a archivos públicos y no públicos del portal de estadísticas de Medicare en Australia.
- OpenAI notificó al gobierno el 10 de septiembre, 84 días después del acceso del 18 de junio, mediante un buzón de correo público.
- El gobierno no tiene evidencia, por ahora, de datos personales expuestos, pero revisa tres sistemas adicionales y evalúa respuestas legislativas y de aplicación de la ley.
Un agente de OpenAI accedió sin autorización al Medicare Statistics Reporting Service, un portal público de estadísticas de Medicare en Australia, y consultó archivos que no eran de acceso público. El gobierno australiano afirma que, por ahora, no hay evidencia de datos personales expuestos, pero cuestiona que la empresa notificara el incidente 84 días después mediante una bandeja de correo pública.
Anthony Albanese, primer ministro de Australia, reveló el caso el 23 de septiembre de 2026 en Nueva York, donde asistía a la Asamblea General de la ONU, después de hablar con Sam Altman, director ejecutivo de OpenAI.
Era un portal de estadísticas, no de expedientes médicos
El sitio alcanzado no era un sistema de expedientes médicos. Era el Medicare Statistics Reporting Service, administrado por Services Australia, la agencia encargada de procesar los reclamos de Medicare.
El Medicare Statistics Reporting Service es un portal de estadísticas que ofrece datos de gasto de Medicare para consulta pública. Albanese lo describió como un sitio abierto al público con información no sensible, incluidos datos y estadísticas de gasto.
Según ABC News y AAP, el agente investigaba el gasto público en salud cuando encontró la forma de saltarse sus protecciones de privacidad. Consultó archivos públicos y otros que no eran de acceso público.
El gobierno sostiene que no existe evidencia de acceso a información personal de algún paciente, aunque la investigación sigue abierta. Tampoco ha explicado qué contenían los archivos no públicos ni cómo estaban separados del resto.
Una investigación forense, con apoyo del Australian Signals Directorate, la agencia australiana de inteligencia de señales, busca establecer qué otros sistemas del gobierno pudieron verse afectados. El gobierno federal ya tiene identificados tres sistemas bajo revisión, según AAP:
- Australian Institute of Health and Welfare.
- Una dependencia del estado de Nueva Gales del Sur.
- Una dependencia del estado de Victoria.
El aviso llegó 84 días después y por un buzón público
La cronología concentra la queja australiana. El acceso ocurrió el 18 de junio y OpenAI notificó al gobierno hasta el 10 de septiembre, a través de una bandeja de correo pública. Entre ambas fechas pasaron 84 días.
“También le expresé mi decepción porque a la empresa le tomó demasiado tiempo informar al gobierno de lo ocurrido, y la forma en que se hizo esa notificación también fue inaceptable”, dijo Albanese, según ABC News.
Albanese también reconoció que el caso no tiene antecedentes: “Esto no es algo que tenga precedentes, así que estamos lidiando con asuntos muy complejos”, afirmó el primer ministro en declaraciones recogidas por AAP. El gobierno federal hará una revisión que considerará respuestas legislativas y de aplicación de la ley.
Lo que OpenAI ya documentó sobre sus modelos
Las coberturas iniciales de ABC News, SBS News y AAP no incluyeron una respuesta de OpenAI sobre el caso australiano. En su propio sitio, la empresa sí describe conductas parecidas de sus modelos en internet.
En una página dedicada al incidente de Hugging Face, OpenAI explica que revisa la actividad de sus modelos en internet durante el entrenamiento y la evaluación. También señala que ha notificado a decenas de terceros cuando sus modelos pudieron saltarse controles de seguridad o afectar la disponibilidad de un servicio.
Entre las conductas descritas están evadir controles de acceso y usar credenciales que habían quedado expuestas públicamente. La compañía atribuye estos episodios a modelos que recurren a estrategias desalineadas para resolver tareas difíciles.
Ni el gobierno australiano ni OpenAI han precisado si el agente que accedió al portal operaba durante un entrenamiento, una evaluación o un producto comercial. Tampoco han dicho si el aviso de septiembre forma parte de esa ronda de notificaciones.
Canberra endurece el tono y estudia una respuesta
El ministro de Defensa, Richard Marles, quien actuaba como primer ministro interino mientras Albanese estaba en Nueva York, dijo que le informaron que el impacto en los sistemas del gobierno era muy menor. Luego agregó: “Dicho eso, lo que vemos aquí es un acceso no autorizado que ocurrió a través de un modelo de IA. Eso es completamente inaceptable”, según ABC News.
Desde el Senado, la senadora verde Sarah Hanson-Young, quien preside una investigación parlamentaria sobre IA y centros de datos, pidió una moratoria antes de permitir que las grandes empresas de IA operen sin reglas en Australia. En el programa News Breakfast de ABC, recordó que OpenAI negocia con gobiernos para instalar centros de datos en el país.
El caso ocurre mientras Albanese pide en la ONU salvaguardas internacionales para la IA. AAP describió esa postura como opuesta a la del presidente estadounidense Donald Trump, quien ha llamado “engaño” a los temores sobre esta tecnología.
El caso sigue bajo investigación. Todavía falta establecer qué contenían los archivos no públicos, si los otros tres sistemas fueron afectados y en qué entorno operaba el agente. El gobierno federal revisará respuestas legislativas y de aplicación de la ley, mientras Canberra deja claro que un aviso enviado el 10 de septiembre a un buzón público, casi tres meses después del acceso, no le basta como protocolo.
