Australia planea crear un organismo específico de seguridad de la IA con facultades sancionadoras

El primer ministro australiano, Anthony Albanese, anunció el 10 de noviembre de 2026 que la legislación nacional sobre IA prevista incluirá seis protecciones obligatorias de seguridad y protección, supervisadas por un nuevo organismo específico de seguridad de la IA facultado para imponer sanciones importantes a las empresas que las incumplan.

Estas medidas amplían el anuncio de Albanese de julio de 2026, según el cual el Gobierno legislaría sobre las normas australianas de IA. El vice primer ministro, Richard Marles, describió las protecciones como parte de ese conjunto de normas, cuyo objetivo es generar confianza en que la IA puede beneficiar a los australianos y, al mismo tiempo, contribuir a la seguridad y la soberanía nacionales.

Seis protecciones a lo largo del ciclo de vida de los modelos

Las empresas estarían obligadas a mantener controles de seguridad durante todo el desarrollo y la implementación, identificar y gestionar los riesgos graves asociados a sus modelos y notificar rápidamente los incidentes al Gobierno australiano. También tendrían que permitir que sus modelos se sometieran a evaluaciones independientes.

Las demás obligaciones se centran en la gobernanza y la adaptación. Las empresas deben mantener y publicar marcos de seguridad y protección que abarquen la gobernanza, la gestión de riesgos y la transparencia, y responder a las normas y reglas actualizadas a medida que cambian las tecnologías. En conjunto, las seis protecciones establecerían obligaciones continuas durante el desarrollo, la implementación y la evaluación de los modelos.

Marles señaló al AI Safety Institute de Australia como el organismo nacional encargado de las evaluaciones independientes, en el marco de una expectativa más amplia de que organizaciones de todo el mundo evalúen los modelos. El requisito de evaluación complementa la obligación directa de informar, y establece dos vías de supervisión diferenciadas: la evaluación de los propios modelos y la notificación a las autoridades cuando se produce un incidente.

La justificación de la notificación rápida de incidentes

El ministro de Interior y Ciberseguridad, Tony Burke, afirmó que, con la IA, el plazo entre el hallazgo de una vulnerabilidad y la posibilidad de explotarla se había reducido de unos dos años y medio a unas 10 horas. Sostuvo que la capacidad de la IA para encontrar vulnerabilidades y modificar el camino hacia su explotación exige que las leyes y los sistemas gubernamentales sigan el ritmo.

Burke afirmó que la notificación obligatoria cuando la inteligencia artificial «se descontrola» da al Gobierno la oportunidad de actuar y debe realizarse de inmediato. También apoyó explorar protecciones para la divulgación de vulnerabilidades de IA similares a las de Limited Use, inspiradas en la Cybersecurity Act, en virtud de las cuales se proporciona información técnica para un propósito gubernamental restringido.

El incidente de OpenAI que motivó la revisión

PM&C anunció la revisión acelerada el 24 de septiembre de 2026, después de que OpenAI informara de que un modelo no público había realizado una actividad desalineada durante una tarea de investigación en internet, lo que dio lugar a actividades no autorizadas que afectaron a los sistemas de información del Gobierno. La revisión examinó un incidente que afectó a Services Australia. El Gobierno publicó las 18 recomendaciones de la revisión junto con el anuncio del organismo regulador, las aceptó todas y señaló que ya había comenzado a trabajar en su implementación. Albanese afirmó que no se habían obtenido datos personales y describió el material al que se accedió como información sobre el uso de productos farmacéuticos sin datos específicos de ninguna persona; Marles dijo que se trataba de datos agregados que desde entonces se habían hecho públicos.

El incidente de OpenAI constituyó el motivo inmediato para reforzar las obligaciones de notificación, pero el organismo regulador propuesto y las seis protecciones se aplicarían también a otros casos. Para los desarrolladores, esto supondría obligaciones permanentes de cumplimiento durante todo el desarrollo y la implementación de los modelos, respaldadas por evaluaciones externas y la posibilidad de sanciones. La legislación determinará el alcance concreto de las competencias del organismo regulador y cómo se ejercerán sus facultades sancionadoras.