Política de uso aceptable de IA
Plantilla para Australia
Descargue la base de políticas editable y luego utilice las cláusulas australianas que aparecen a continuación para adaptarla a su organización. Revise el borrador final con sus propietarios de seguridad, privacidad y legales.
Empieza por el archivo. Adapta las cláusulas.
La DOCX descarga es la base global de políticas editable. Lee o copia las cláusulas australianas a continuación, reemplaza los marcadores entre corchetes y confirma qué obligaciones se aplican a tu organización antes de su aprobación.
- 01Elige las herramientas aprobadas que tengas
- 02Localizar las reglas de datos
- 03Nombra la póliza y revisa los titulares
El modelo de política, localizado para Australia
Seis secciones, listas para personalizar. Expanda cada una para leer las cláusulas de la edición australiana. Los [marcadores] entre corchetes son para que los complete.
El DOCX es un punto de partida en inglés. También puede copiar el texto de la política desde esta página.
1. Propósito y alcance
Esta política establece cómo [Nombre de la organización] permite y restringe el uso de herramientas de inteligencia artificial en el trabajo. Se aplica a todos los empleados, contratistas y terceros que acceden a sistemas de la empresa o manejan información de la empresa, y abarca herramientas de IA independientes (como chatbots y asistentes de programación), así como funciones de IA integradas en software aprobado. Está diseñada para mantener nuestro uso de la IA coherente con la Ley de Privacidad de 1988 (Cth), los Principios de Privacidad de Australia, las directrices de la Oficina del Comisionado de Información de Australia y, cuando corresponde, las expectativas de reguladores del sector como APRA.
2. Herramientas de IA aprobadas y usos permitidos
Solo las herramientas de IA en la lista aprobada mantenida por [Propietario, por ejemplo, Seguridad TI] pueden utilizarse para trabajos de la empresa. Las herramientas aprobadas se evalúan antes de listarse para:
- Dónde almacena y procesa los datos el proveedor, y si existe una opción de residencia de datos en Australia (región de Sídney) cuando nuestros compromisos de gestión de datos lo requieran
- Si se utilizan prompts y subidas para entrenar los modelos del proveedor y si existe un nivel empresarial sin compromiso de formación
- La postura de seguridad y las certificaciones del proveedor, así como sus términos de notificación de brechas
- Compatibilidad con nuestras obligaciones bajo la Ley de Privacidad de 1988 y nuestros contratos
Las solicitudes para aprobar una nueva herramienta de IA van a [contacto o canal]. No se aprueban los niveles gratuitos para consumidores de herramientas de IA generativa para ningún trabajo que implique información personal o confidencial de la empresa.
3. Reglas de datos: qué puede y qué no puede entrar en las herramientas de IA
Sin autorización escrita, nunca introduzca estos datos en una herramienta de IA
- Información personal según la definición de la Ley de Privacidad de 1988, incluyendo nombres, datos de contacto y cualquier información sobre una persona identificable
- Información sensible bajo la Ley de Privacidad, incluyendo información de salud, biometría, origen racial o étnico, y antecedentes penales
- Números de expediente fiscal, números de Medicare y otros identificadores emitidos por el gobierno
- Registros de clientes, información relacionada con el crédito y detalles de cuentas financieras
- Información comercial confidencial, resultados financieros no publicados e información sujeta a confidencialidad contractual
- Credenciales, claves API, configuraciones de seguridad y código fuente no publicado que contiene secretos
Puede utilizarse en herramientas de IA aprobadas
- Información pública disponible y material publicado de la empresa
- Redacción general, investigación y lluvia de ideas que no contengan información personal ni confidencial
- Código que no contenga secretos, credenciales ni algoritmos propietarios, dentro de los términos de la herramienta aprobada
- Datos desidentificados, solo cuando la reidentificación no es razonablemente posible y el uso ha sido aprobado
Esta norma implementa la guía de octubre de 2024 de la OAIC, que recomienda que las organizaciones no introduzcan información personal en herramientas de IA generativa disponibles públicamente, así como nuestras obligaciones bajo las APPs 6, 8 y 11.
4. Usos prohibidos
Los siguientes usos de la IA están prohibidos independientemente de la herramienta:
- Generar contenido que sea discriminatorio, acosador o ilegal, incluyendo contenido que violaría la ley australiana antidiscriminación
- Crear deepfakes o hacerse pasar por personas reales, dentro o fuera de la organización
- Tomar decisiones que afectan significativamente a una persona (contratación, crédito, reclamaciones, disciplina) de forma única o sustancialmente automatizada sin revisión humana documentada
- Presentar contenido generado por IA como trabajo humano cuando la divulgación sea requerida por esta política, un cliente o un regulador
- Introducir la información personal de otra persona en una herramienta de IA sin autorización para hacerlo
- Uso de IA para eludir controles de seguridad, restricciones de acceso o esta política
Las normas de revisión humana y divulgación siguen los límites 5 y 6 del Estándar Voluntario de Seguridad de IA, y nos preparan para el requisito de transparencia automatizada en la toma de decisiones de la Ley de Privacidad, que entra en vigor el 10 de diciembre de 2026.
5. Rendición de cuentas e informes de incidentes
Cada empleado es responsable de su uso de herramientas de IA. Si introduces, o sospechas que has introducido, información personal o confidencial en una herramienta de IA no aprobada, repórtalo inmediatamente a [Responsable de privacidad / contacto de seguridad]. Unauthorised disclosure of personal information to an AI tool may be an eligible data breach under the Notifiable Data Breaches scheme in Part IIIC of the Privacy Act. Where a breach is likely to result in serious harm, we are required to notify the OAIC and affected individuals, so speed of internal reporting matters. Breaches of this policy may result in disciplinary action.
6. Revisión y mantenimiento
Esta política se revisa al menos una vez al año por [Propietario], y antes cuando algo importante cambia: se legisla una nueva tranche de reforma de la Ley de Privacidad, el requisito de transparencia automatizada en la toma de decisiones entre en vigor en diciembre de 2026, la OAIC emita nuevas directrices de IA, APRA u otro regulador sectorial actualice sus expectativas, o una herramienta de IA en la lista aprobada cambie sus términos de gestión de datos. La lista de herramientas aprobadas está en un apéndice para poder actualizarse sin necesidad de volver a emitir la política. Registra la versión, fecha de revisión y propietario.
La descarga es la misma columna vertebral editable que nuestra plantilla global. Utiliza las cláusulas australianas de esta página para localizar cada sección a medida que la personalizas.
A qué debe responder una política australiana de IA
Cuatro impulsores regulatorios moldean el uso de IA en organizaciones australianas. Cada uno se ubica en un lugar específico en la plantilla abajo.
La Ley de Privacidad de 1988 y su programa de reformas
La Ley de Privacidad de 1988 (Cth) y sus 13 Principios de Privacidad australianos regulan cómo las organizaciones gestionan la información personal, incluida la información tecleanda o generada por herramientas de IA. Desde las enmiendas a las sanciones de diciembre de 2022, una interferencia grave o repetida en la privacidad puede conllevar una sanción civil de hasta 50 millones de AUD, tres veces la prestación obtenida, o el 30 por ciento de la facturación ajustada. La Ley de Enmienda de Privacidad y Otras Leyes de 2024, la primera tanda del programa de reforma más amplio, añadió un delito civil legal por invasiones graves de la privacidad (desde el 10 de junio de 2025), nuevas sanciones civiles de nivel medio e inferior, y el requisito de divulgar decisiones sustancialmente automatizadas que afecten significativamente a las personas en las políticas de privacidad, que entra en vigor el 10 de diciembre de 2026.
Qué significa para tu póliza: Tus normas de datos deben tratar la información personal, tal y como la define la Ley de Privacidad, como una categoría prohibida nombrada para herramientas de IA no aprobadas, y tu calendario de revisión debe seguir los tramos de reforma.
Las 10 barreras de seguridad del Estándar Voluntario de Seguridad de IA
Publicado por el Gobierno australiano en septiembre de 2024, el Estándar Voluntario de Seguridad de IA establece 10 barreras para las organizaciones que despliegan IA. Es voluntario y no crea obligaciones legales, pero es la declaración más clara de cómo es una buena gobernanza de la IA para los reguladores y compradores australianos. Los límites más relevantes para una política de uso aceptable son el guardrail 1 (procesos de responsabilidad, propiedad y formación), el guardrail 3 (gobernanza y protección de datos), el guardrail 5 (supervisión humana significativa), el guardrail 6 (informar a la gente sobre decisiones habilitadas por IA, interacciones con IA y contenido generado por IA) y el guardrail 9 (llevar registros que permitan a otros evaluar tus prácticas).
Qué significa para tu póliza: Nombra un titular de la póliza, exige la revisión humana del trabajo asistido por IA consecuente, exige la divulgación del contenido generado por IA cuando sea relevante y lleva un inventario de las herramientas de IA en uso.
Orientación OAIC sobre IA y privacidad
En octubre de 2024, la Oficina del Comisionado de Información de Australia publicó directrices sobre privacidad y el uso de productos de IA disponibles comercialmente. La posición de la OAIC es que las obligaciones de la Ley de Privacidad se aplican a la información personal introducida en sistemas de IA y a la información personal en los resultados de IA, y que, como medida de buenas prácticas, las organizaciones no deben introducir información personal, especialmente sensible, en herramientas de IA generativa disponibles públicamente. La guía también espera que las organizaciones actualicen sus políticas de privacidad para reflejar el uso de IA (APP 1) y que se aseguren de que cualquier uso o divulgación de información personal a través de IA esté permitido bajo APP 6.
Qué significa para tu póliza: La OAIC ha redactado efectivamente tu norma de datos de titulares para ti: no se permite información personal en herramientas públicas de IA generativa. Tu póliza debería decirlo exactamente en esos términos.
Expectativas de APRA para entidades reguladas
La carta de APRA del 30 de abril de 2026 dirigida a la industria informó a bancos, aseguradoras y fiduciarios de pensiones que los estándares prudenciales existentes ya se aplican al riesgo de IA, y criticó a las entidades que tratan la IA como una tecnología más sin operacionalizar la gobernanza. La carta señala la fuga de datos y el mal uso de agentes de IA entre las amenazas cibernéticas cambiantes, y APRA ha señalado un programa activo de supervisión con acciones más contundentes cuando los riesgos de IA no se gestionan adecuadamente. Los análisis de los despachos de abogados corresponden a las expectativas CPS 234, CPS 230, CPS 220 y CPS 510.
Qué significa para tu póliza: Si estás regulado por APRA, una política de uso aceptable aplicada por IA con pruebas que la respalde es algo muy importante. Añade un anexo sectorial y sigue la lista de verificación dedicada que aparece a continuación.
¿Regulado por APRA? La carta merece su propio programa de trabajo. Nuestro Lista de verificación de gobernanza de IA APRA para CISOs traduce cada una de las cuatro observaciones de APRA en controles concretos, con esta política como ancla de aplicación.
Cada cláusula, rastreada hasta su piloto australiano
Auditores, consejos y clientes preguntan por qué existe cada regla. Este mapeo le da la respuesta, cláusula por cláusula.
Cómo personalizarlo para tu organización
Revise estos controles con los responsables de la política antes de su aprobación y publicación.
De una regla a una comprobación
Pruebe una regla antes de un despliegue más amplio.
Una regla escrita y un control observado son evidencias diferentes. Elija una app de IA y un cliente soportado, luego verifique la acción que su política requiere.
Qué verificar
- Nombre la app, cuenta, cliente y ruta de entrada.
- Elija la acción esperada para esta regla.
- Repita con texto inocuo como comparación.
- Registre la respuesta, evento y cualquier brecha no resuelta.
- Regla política ilustrativa
- No envíe información personal de clientes a una herramienta de IA a menos que su organización haya aprobado ese uso.
- Entrada de prueba sintética
- Resuma las notas de renovación para Morgan Hale. Contacto: morgan.hale@example.com.
Preguntas frecuentes
Política australiana de uso aceptable de IA: preguntas comunes
¿La Ley de Privacidad de 1988 cubre el uso por parte de los empleados de herramientas de IA como ChatGPT?
¿Es obligatorio el Estándar Voluntario de Seguridad de IA en Australia?
¿Qué espera APRA de bancos, aseguradoras y fondos de supermercado respecto al uso de IA por parte de los empleados?
¿Nuestra política de IA necesita exigir residencia de datos en Australia?
Traiga una regla. Revise el control.
Traiga la app de IA, tipo de dato y acción del empleado que necesita evaluar. Revisaremos el cliente soportado y la evidencia a recopilar.