Mientras la UE aprobó su histórica Ley de IA y EE. UU. debate legislación federal, Australia sigue un camino más discreto pero igual de significativo: incorporar obligaciones de IA directamente en la Ley de Privacidad de 1988. El resultado es un panorama de cumplimiento que parece familiar pero contiene nuevas trampas específicas de IA para las que la mayoría de empresas aún no están preparadas.
La fecha clave: 10 de diciembre de 2026. Desde esa fecha, las organizaciones australianas deben revelar cuando sistemas automatizados,incluida la IA, toman decisiones que afectan significativamente a las personas. No es una legislación futura teórica. La Ley de Enmienda de Privacidad y Otras Legislaciones 2024 (Ley POLA) ya es ley.
Qué Cambia Realmente en Diciembre de 2026
La nueva obligación de transparencia en Toma de Decisiones Automatizadas (ADM) requiere que las organizaciones actualicen sus políticas de privacidad para revelar claramente:
- Cuándo y cómo se usan procesos automatizados (incluida IA) para tomar decisiones con efectos significativos en individuos
- Qué tipos de datos personales usan esos sistemas de IA
- Qué tipos de decisiones facilitan o influyen esos sistemas
La definición de ADM es intencionadamente amplia: cubre herramientas de contratación con IA, modelos de puntuación crediticia, detección de fraude, chatbots de atención al cliente que gestionan quejas y cualquier sistema interno que use datos personales para producir resultados que afectan a empleados o clientes.
La Oficina del Comisionado de Información de Australia (OAIC) ya realiza inspecciones de cumplimiento en 2026, enfocándose en políticas de privacidad. El incumplimiento conlleva sanciones financieras reales bajo la Ley POLA, hasta millones de AUD por infracciones graves o repetidas.
Por Qué la IA en la Sombra Hace Esto Exponencialmente Más Difícil
Aquí está el problema de cumplimiento que la mayoría de empresas aún no ha enfrentado: no puede revelar cómo los sistemas de IA usan datos personales si no sabe qué sistemas de IA están procesando esos datos.
La IA en la sombra, el uso de herramientas de IA no autorizadas o no monitorizadas por empleados, es endémica en organizaciones australianas. Investigación de Salesforce encontró que el 55% de adoptantes de GenIA usan herramientas no aprobadas en el trabajo. Cuando empleados pegan datos de clientes, registros de RRHH o información financiera en ChatGPT, una herramienta de transcripción IA o una IA de productividad sin aprobación de TI, esos datos son procesados por un sistema de IA que casi seguro no está declarado en su política de privacidad.
Bajo las nuevas reglas de transparencia ADM, esto crea exposición regulatoria directa. Está procesando datos personales mediante sistemas de IA que no puede documentar.
Los 4 Pasos que las Empresas Australianas Deben Tomar Antes de Diciembre de 2026
1. Realice un Inventario de Sistemas de IA
Antes de revelar el uso de IA, necesita un inventario completo de cada sistema de IA que procese datos personales en su organización, incluyendo herramientas aprobadas, IA en la sombra y funciones de IA integradas en plataformas SaaS (la IA ahora incorporada en Salesforce, Microsoft 365, Workday, etc.). Esto no es un ejercicio único; requiere descubrimiento continuo.
2. Evalúe Qué Sistemas Cumplen el Umbral ADM
No todos los sistemas de IA activan la obligación de revelación, solo aquellos que toman decisiones con "efectos legales o similares significativos" en individuos. Trabaje con asesoría legal para aplicar este umbral a su inventario de IA. Categorías de alto riesgo incluyen: gestión automatizada de desempeño, contratación asistida por IA, decisiones crediticias automatizadas, alertas de fraude con IA que restringen cuentas de clientes.
3. Actualice su Política de Privacidad
Las políticas de privacidad deben revelar en lenguaje claro: (a) qué sistemas de IA se usan, (b) qué datos personales procesan, (c) qué tipos de decisiones influyen y (d) cualquier mecanismo de supervisión humana. Lenguaje genérico como "podemos usar sistemas automatizados" no cumple con los requisitos de OAIC.
4. Implemente Gobernanza Continua de IA
El cumplimiento no es un evento único. Se adoptarán nuevas herramientas de IA (y emergerá IA en la sombra). Su marco de gobernanza necesita descubrimiento continuo de IA, monitoreo de uso y un mecanismo para actualizar las revelaciones de privacidad conforme cambia su huella de IA.
¿Y las Entidades Reguladas por APRA?
Para bancos, aseguradoras y fondos de pensiones regulados por APRA, los cambios en la Ley de Privacidad se suman a obligaciones existentes bajo CPS 234 (Seguridad de la Información) y el marco general de gobernanza de datos de APRA. APRA espera que las entidades reguladas mantengan sistemas de gestión de riesgos que cubran todos los activos de información, y los sistemas de IA que procesan datos de clientes claramente están dentro del alcance.
APRA también ha señalado un escrutinio creciente sobre la gobernanza de IA mediante su Guía de Práctica Prudencial CPG 234. Las entidades reguladas por APRA deben considerar la obligación ADM de la Ley de Privacidad como un mínimo, no un límite, se espera que la madurez de su gobernanza de IA supere la mera revelación básica.
El Delito Estatutario: Un Nuevo Riesgo de Litigio
Desde junio de 2025, las personas pueden iniciar acciones legales directas contra organizaciones por invasiones graves de privacidad bajo el nuevo delito estatutario. Un sistema de IA que exponga datos personales, tome decisiones automatizadas sin revelación o no implemente salvaguardas razonables es un posible detonante de litigios. Esto convierte la gobernanza de IA de un requisito de cumplimiento en una gestión activa del riesgo legal.
Cronología en Resumen
- Diciembre 2024, Ley POLA promulgada: sanciones más fuertes, poderes ampliados para OAIC, delito estatutario introducido en junio 2025
- Junio 2025, Entra en vigor el delito estatutario por invasiones graves de privacidad
- 2026, Inspecciones de cumplimiento de OAIC en curso, enfocadas en la vigencia de políticas de privacidad
- 10 de diciembre de 2026, Obligaciones de transparencia ADM vigentes: las políticas de privacidad deben revelar el uso de IA en decisiones automatizadas
- 10 de diciembre de 2026, Fecha límite para registro en el Código de Privacidad Infantil en Línea
Cómo Aona Ayuda a las Empresas Australianas a Cumplir
La plataforma de Gobernanza de IA de Aona ofrece a las empresas australianas la capa de descubrimiento y control necesaria para cumplir estas obligaciones:
- Descubrimiento de IA: Detecta automáticamente todas las herramientas de IA en uso en su organización, aprobadas, IA en la sombra y funciones de IA integradas en SaaS
- Registro de Uso: Mantiene un registro completo de qué datos fluyen por qué sistemas de IA, la base de evidencia que su equipo de privacidad necesita
- Guardarraíles para IA en la Sombra: Bloquea o redirige datos personales para evitar que entren en herramientas de IA no autorizadas antes de crear un riesgo de privacidad
- Informes de Cumplimiento: Genera el inventario y la documentación de flujo de datos que sus equipos legales y de privacidad necesitan para actualizar políticas con precisión
La fecha límite de diciembre de 2026 está más cerca de lo que parece. Comience con un inventario de IA, reserve una llamada de descubrimiento gratuita de 15 minutos para ver qué sistemas de IA operan ahora mismo en su organización.
