Australia e IA generativa: lo que exigen la OAIC y la Privacy Act
Privacy Act 1988, APP, guía de la OAIC sobre productos de IA, reforma de 2024, TFN y Medicare: lo que deben saber las organizaciones australianas.
Australia no tiene una ley específica sobre inteligencia artificial. Eso no deja a sus empresas en un vacío legal. La Privacy Act 1988 y sus trece Australian Privacy Principles (APP) se aplican en cuanto un dato personal entra en una herramienta de IA, y en octubre de 2024 la Office of the Australian Information Commissioner (OAIC) aclaró cómo interpreta esas normas ante la IA generativa.
Hemos analizado este marco, las reformas aprobadas a finales de 2024 y el lugar especial de dos identificadores muy australianos: el Tax File Number y el número de Medicare. Esto es lo que conviene saber.
La base: la Privacy Act 1988 y los APP
La Privacy Act 1988 se aplica a las agencias federales y a la mayoría de las organizaciones privadas con una facturación anual superior a 3 millones de dólares australianos, además de a algunas pequeñas empresas, en particular las que prestan servicios de salud. Los APP regulan la recogida, el uso, la comunicación, la calidad, la seguridad y las transferencias de datos personales.
Varios principios afectan directamente al uso de la IA:
APP 1 y APP 5: transparencia, con una política de privacidad y avisos de recogida actualizados.
APP 6: un dato recogido para una finalidad no puede reutilizarse para otra sin consentimiento, salvo que la persona pueda esperarlo razonablemente.
APP 8: responsabilidad por las comunicaciones de datos al extranjero, habituales con servicios de IA alojados fuera de Australia.
APP 11: medidas razonables para proteger los datos frente al uso indebido, la pérdida y el acceso no autorizado.
Lo que dice la OAIC sobre los productos de IA comerciales
El 21 de octubre de 2024, la OAIC publicó dos guías: una para los desarrolladores que entrenan modelos y otra sobre privacidad y uso de productos de IA disponibles en el mercado. Esta segunda guía se dirige a todas las organizaciones que despliegan un chatbot, un asistente de redacción o una función de IA integrada en un software existente.
Su mensaje más claro se refiere a las herramientas públicas: la OAIC aconseja no introducir datos personales, y en especial datos sensibles, en herramientas de IA generativa de acceso público, por los riesgos importantes y complejos que plantean. La guía recomienda además:
una verificación previa del producto, de sus flujos de datos y de sus riesgos de seguridad;
la minimización de los datos introducidos;
la actualización de las políticas de privacidad para explicar cuándo y cómo usa la IA los datos;
evaluaciones de impacto en la privacidad y una gobernanza continua.
Las reformas de 2024 elevan el nivel de exigencia
La Privacy and Other Legislation Amendment Act 2024 recibió la sanción real el 10 de diciembre de 2024. Es la primera fase de una reforma más amplia de la Privacy Act. Entre sus novedades:
una acción civil por invasiones graves de la privacidad, disponible desde el 10 de junio de 2025;
nuevas obligaciones de transparencia sobre decisiones automatizadas, aplicables a partir del 10 de diciembre de 2026;
sanciones civiles escalonadas y la facultad de la OAIC de emitir directamente notificaciones de infracción;
la aclaración de que las medidas de seguridad del APP 11 incluyen medidas técnicas y organizativas.
El plazo de diciembre de 2026 está cerca. Las organizaciones que usan programas informáticos para tomar decisiones importantes sobre personas tendrán que indicarlo en su política de privacidad, tanto si esos programas se basan en IA como si no.
TFN y número de Medicare: dos identificadores aparte
El Tax File Number tiene un régimen propio, la Privacy (Tax File Number) Rule 2015. Prohíbe recoger, usar o comunicar un TFN fuera de las finalidades previstas por las leyes fiscales, de asistencia social o de jubilación, y exige protegerlo y después destruirlo cuando ya no sea necesario. Pegar en un chatbot una lista de empleados con sus TFN para ordenar un archivo de nóminas queda claramente fuera de ese marco.
El número de Medicare es un identificador gubernamental regulado por el APP 9, y casi siempre va unido a información de salud, que la Privacy Act considera sensible. En una consulta médica, una clínica o una aseguradora de salud, aparece en cartas, facturas y expedientes que el personal administrativo maneja cada día.
Dónde está el riesgo real
El escenario típico no es un ataque. Es un empleado con prisa que usa una herramienta de IA gratuita, a menudo fuera de cualquier control, lo que se conoce como IA en la sombra. Una fuga de datos por IA suele seguir el mismo camino: un copiar y pegar, un archivo adjunto y datos que salen de la empresa. Con los agentes de IA y el protocolo MCP, estos flujos se multiplican, y por eso hace falta una capa DLP propia para MCP.
ZeusLock actúa en el equipo y en el navegador, antes del envío. Detecta los datos sensibles, incluidos identificadores como el TFN o el número de Medicare, y después los anonimiza conservando su formato, avisa al usuario o bloquea el envío según sus reglas. Cada incidente queda registrado, lo que ayuda a demostrar las medidas razonables que exige el APP 11.
En resumen
La Privacy Act 1988 y los APP se aplican a cualquier dato personal introducido en una herramienta de IA.
La OAIC desaconseja introducir datos personales, sobre todo sensibles, en herramientas públicas de IA generativa.
Las obligaciones de transparencia sobre decisiones automatizadas se aplican a partir del 10 de diciembre de 2026.
El TFN y el número de Medicare requieren una protección reforzada.
¿Quiere saber qué datos sensibles salen realmente de sus equipos hacia la IA? Solicite una demo de ZeusLock.
Proteja sus datos de las fugas hacia la IA
Vea cómo ZeusLock detiene los datos sensibles antes de ChatGPT, Claude, Gemini y otros, en una demo de 30 minutos.
