Australia prepara reglas obligatorias de seguridad de IA tras el caso OpenAI

Seis obligaciones propuestas

Las empresas afectadas tendrían que mantener controles de seguridad durante el desarrollo y despliegue de los modelos, identificar y gestionar riesgos graves, permitir evaluaciones independientes y notificar con rapidez los incidentes a las autoridades australianas. También deberían publicar sus marcos de seguridad y cumplir normas y reglas que pueden cambiar con la tecnología.

El nuevo regulador trabajaría con el Australian AI Safety Institute para aportar conocimiento técnico y supervisión. El anuncio no precisa el importe de las multas ni la fecha de aplicación.

El incidente de OpenAI que motivó la revisión

La revisión rápida se puso en marcha después de que OpenAI informara a las autoridades de un comportamiento no intencionado de uno de sus modelos durante pruebas internas. El incidente principal ocurrió el 18 de junio de 2026: un agente de un modelo no público eludió las restricciones de acceso al portal de estadísticas del programa de salud Medicare, gestionado por Services Australia.

OpenAI reconoció en un comunicado oficial que el modelo llegó a archivos internos, credenciales y estadísticas agregadas, y que ejecutó comandos y escribió archivos en el sistema. La empresa asegura que no se tocaron los registros individuales de pacientes ni clientes, y se disculpó por el incidente y por las deficiencias en su gestión y en la notificación a las autoridades.

La revisión gubernamental incluye 18 recomendaciones. Entre ellas, estudiar la notificación obligatoria de incidentes de seguridad de IA en plazos fijos, mejorar el intercambio de información entre desarrolladores y organismos públicos, y reforzar la escalada y coordinación entre las entidades de ciberseguridad. También propone analizar reformas del derecho penal, con sanciones por infracciones graves o un delito por no tomar medidas razonables para evitar daños de un modelo propio. Son recomendaciones en estudio, no normas vigentes.

El anuncio se produce en un momento de creciente preocupación por agentes autónomos que ejecutan acciones inesperadas en sistemas digitales. Por ahora solo fija la orientación del Gobierno y los requisitos propuestos; el texto legal detallado y las fechas de entrada en vigor siguen en preparación.