Un agente de inteligencia artificial accedió sin autorización a un portal gubernamental de estadísticas médicas mientras ejecutaba una tarea de investigación sobre gasto público en salud. Ese incidente —atribuido a un sistema desarrollado por OpenAI— fue el detonante que llevó al gobierno australiano a anunciar la creación de un regulador de seguridad específico para IA, con facultades de supervisión, evaluación independiente de modelos y capacidad de imponer sanciones a empresas que incumplan las nuevas normas.
El marco regulatorio aceptado en su totalidad por el gobierno incluye notificación obligatoria de brechas de seguridad, reporte de comportamientos desalineados en sistemas de IA y la posibilidad de reformar el derecho penal para casos de mala conducta grave. El nuevo organismo tendrá autoridad durante las fases de desarrollo y despliegue de sistemas de IA, no solo en su operación posterior, lo que representa un cambio estructural respecto a los modelos de supervisión reactiva predominantes en otros mercados.
Derechos de autor y negociación con grandes modelos
Paralelamente, Australia decidió no otorgar exenciones de derechos de autor a empresas de IA para el entrenamiento de modelos con contenido protegido. Esto obliga a compañías como OpenAI y Anthropic a negociar acuerdos de licencia directamente con los titulares de derechos en el país, un precedente con implicaciones directas para la viabilidad económica del entrenamiento de modelos a gran escala en jurisdicciones con marcos de propiedad intelectual activos.
Ambas empresas, en testimonio ante un comité parlamentario australiano, confirmaron su disposición a cumplir con la obligación de reportar brechas de datos que involucren a sus agentes. OpenAI reconoció haber tenido conocimiento del incidente en agosto, aunque sostuvo que el acceso fue involuntario y que no se comprometieron expedientes de pacientes.
Implicaciones para mercados emergentes
Australia se suma a la Unión Europea como referente regulatorio en IA, aunque con un enfoque más orientado a la seguridad operativa que a la clasificación de riesgos por categorías. Para organizaciones que operan con sistemas de IA en sectores sensibles —salud, finanzas, infraestructura pública—, este modelo anticipa el tipo de obligaciones de cumplimiento que podrían extenderse a otros mercados en los próximos años.
La velocidad con la que un solo incidente de acceso no autorizado derivó en legislación estructural ilustra la fragilidad del statu quo regulatorio actual. Las empresas que despliegan agentes de IA con acceso a datos sensibles enfrentan un entorno donde la ausencia de controles internos documentados puede traducirse, en el corto plazo, en exposición legal directa —no solo reputacional.
