¿Qué es la regulación de la IA en Australia?
Regulación de la IA: países y regiones
La regulación de la IA en Australia es actualmente un sistema por capas, no un AI Act único para toda la economía. La IA del sector privado se rige principalmente a través de leyes existentes como las normas de privacidad, consumo, seguridad en línea, antidiscriminación, responsabilidad por productos y salud y seguridad laboral, junto con el Estándar Voluntario de Seguridad de la IA y las orientaciones más recientes sobre adopción. Los organismos del gobierno federal están sujetos a controles obligatorios adicionales bajo una política de IA separada. Australia consultó sobre salvaguardias obligatorias para usos de alto riesgo, pero el gobierno ha decidido no avanzar con esas propuestas por el momento.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
En Australia, la regulación de la IA abarca más de una cosa. Incluye legislación vinculante, como la Ley de Privacidad, la Ley Australiana del Consumidor y la Ley de Seguridad en Línea. También incluye políticas y estándares oficiales que no son en sí mismos leyes, pero que igualmente determinan cómo se espera que sea el uso responsable de la IA en la práctica.
Por eso Australia se entiende mejor como un modelo mixto. Para las empresas, la mayoría de las obligaciones concretas siguen derivando de la legislación vigente, mientras que el estándar voluntario nacional y la más reciente Guía para la Adopción de IA establecen una base práctica de gobernanza. Para el sector público federal existe una capa adicional, ya que el Gobierno australiano ha hecho obligatorios los controles de IA responsable para muchas entidades de la Commonwealth.
Esto difiere de las jurisdicciones que primero construyeron una única ley horizontal sobre IA. Australia ha optado en cambio por una vía gradual: reforzar las orientaciones, utilizar los reguladores existentes, añadir controles específicos para el sector público y mantener abiertas opciones de reforma más amplias.
Por qué importa
Si se desarrolla, adquiere, personaliza o despliega IA en Australia, la ausencia de un AI Act no equivale a carta blanca. La legislación vigente ya alcanza muchos de los riesgos reales que importan en la práctica: uso indebido de datos personales, afirmaciones engañosas, contenidos dañinos, productos inseguros, toma de decisiones sesgada, daños en el lugar de trabajo y fallos de gobernanza. Eso significa que fundadores, operadores, asesores y consejos de administración deben tratar la IA como un asunto de cumplimiento normativo activo ahora, no como algo futuro.
También importa porque la vía voluntaria de Australia tiene peso práctico. El Estándar de Seguridad de la IA y la más reciente Guía para la Adopción de IA establecen una expectativa clara: las organizaciones deben saber dónde se utiliza la IA, quién es responsable, cuáles son los riesgos, cómo se informa a las personas, cómo se prueban y supervisan los sistemas, y cuándo pueden intervenir los seres humanos. Aunque esos pasos no estén aún exigidos por un único estatuto de IA, son cada vez más la forma sensata de demostrar que la IA se ha gobernado de manera responsable.
Cómo funciona
El modelo actual es por capas, no un único estatuto de IA
El modelo actual de Australia no se apoya en una sola ley de IA para toda la economía. En cambio, combina legislación existente, poderes regulatorios, política gubernamental y orientaciones voluntarias de gobernanza. Las obligaciones legales generales se distribuyen entre privacidad, protección del consumidor, seguridad en línea, antidiscriminación, salud y seguridad laboral, responsabilidad por productos, propiedad intelectual, contratos y negligencia, con normas sectoriales específicas donde corresponde.
Esa arquitectura importa porque cambia la pregunta de cumplimiento. En Australia, la primera pregunta no suele ser "¿existe una ley de IA para esto?", sino "¿qué leyes vigentes ya se aplican a este uso de la IA?". Un chatbot, un sistema de recomendación, una herramienta de selección de personal, una herramienta de medios sintéticos o un sistema biométrico pueden plantear cuestiones jurídicas distintas, aunque la familia de modelos subyacente sea similar.
La vía voluntaria pasa por el Estándar de Seguridad de la IA y las orientaciones de adopción más recientes
La base principal de gobernanza del sector privado en Australia comenzó con el Estándar Voluntario de Seguridad de la IA de 2024. Es voluntario, y el propio estándar señala que no crea nuevas obligaciones legales. Lo que sí hace es establecer 10 salvaguardias a lo largo del ciclo de vida de la IA. Esas salvaguardias abarcan responsabilidad, gestión de riesgos, gobernanza de datos y protección de sistemas, pruebas y supervisión, control humano, divulgación, posibilidad de impugnación, transparencia en la cadena de suministro, documentación y participación de las partes interesadas.
Ese estándar se ha simplificado y evolucionado hacia la Guía para la Adopción de IA del Centro Nacional de IA. La orientación actual se organiza en torno a seis prácticas esenciales: definir quién es responsable, comprender los impactos y planificar en consecuencia, medir y gestionar los riesgos, compartir información esencial, probar y supervisar, y mantener el control humano. Para usos de bajo riesgo o en etapas iniciales, la guía de fundamentos es el punto de partida. Para usos complejos o de mayor riesgo, existe orientación de implementación más detallada.
Una característica práctica de este enfoque es que está basado en el uso, no en la herramienta. La guía subraya que la misma herramienta de IA puede generar niveles de riesgo muy distintos según cómo se utilice. Redactar textos de marketing no es lo mismo que filtrar candidatos a un empleo o condicionar el acceso a servicios públicos. Eso le otorga a Australia un modelo de gobernanza flexible, aunque todavía no sea un régimen de IA vinculante único.
La legislación vigente realiza la mayor parte del trabajo vinculante
La privacidad es uno de los ejemplos más claros. La OAIC señala que la Ley de Privacidad se aplica a todos los usos de la IA que impliquen información personal. Eso va más allá de los conjuntos de datos de entrenamiento. También puede abarcar indicaciones, registros, información inferida, información generada sobre personas identificables, divulgación a proveedores y la forma en que una organización explica sus prácticas en avisos y políticas. La posición actual de la OAIC es también práctica y cautelosa: como buena práctica, las organizaciones no deberían introducir información personal, especialmente información sensible, en herramientas de IA generativa de acceso público.
El derecho del consumidor y la competencia también son relevantes. La legislación australiana ya puede abordar afirmaciones engañosas generadas por IA, deepfakes engañosos, el silencio sobre el uso de la IA cuando esa omisión induce a error, y declaraciones inexactas sobre lo que un sistema de IA puede hacer de forma fiable. Las normas de seguridad de productos y responsabilidad por productos también pueden ser relevantes cuando los bienes o servicios habilitados por IA crean un defecto de seguridad o causan daño.
La legislación de seguridad en línea es otra parte activa del sistema. Si los sistemas de IA generan o distribuyen material dañino, o si un servicio de IA entra dentro del marco de la Ley de Seguridad en Línea, eSafety puede actuar utilizando sus poderes existentes. Esto es especialmente importante para las herramientas generativas, los chatbots de compañía y otros servicios que pueden exponer a menores o usuarios vulnerables a daños graves.
El marco jurídico más amplio de Australia también alcanza a la IA sesgada o excluyente. La legislación antidiscriminación, el marco de Fair Work, la legislación de salud y seguridad laboral, la negligencia, las normas de vigilancia en el lugar de trabajo, los derechos de autor, la confidencialidad y los contratos pueden ser todos relevantes según el caso de uso. También hay un cambio próximo que conviene seguir en materia de privacidad: las orientaciones oficiales indican que los requisitos específicos de transparencia para cierta toma de decisiones automatizada que involucre información personal están previstos para entrar en vigor el 10 de diciembre de 2026.
Distintas instituciones se ocupan de distintas partes del problema
Australia no ha encomendado toda la supervisión de la IA a un nuevo superregulador. En cambio, distintas instituciones cubren distintos riesgos. La OAIC se ocupa de la privacidad y el tratamiento de la información. eSafety gestiona los daños en línea y las obligaciones de los proveedores de servicios en virtud de la legislación de seguridad en línea. Las cuestiones de consumo y competencia corresponden al marco establecido de consumo y competencia. Los asuntos laborales, de discriminación, seguridad, financieros y otros sectoriales permanecen con sus reguladores y regímenes jurídicos habituales.
Junto a ese mapa regulatorio, el Departamento de Industria, Ciencia y Recursos y el Centro Nacional de IA proporcionan el principal material de gobernanza voluntaria para las empresas. No son reguladores sustitutos, pero configuran la base nacional de lo que significa una práctica responsable de la IA.
Australia también ha creado un Instituto de Seguridad de la IA dentro del gobierno. Su función no es actuar como el único regulador de referencia para todas las cuestiones de IA. En cambio, analiza y evalúa las capacidades emergentes de la IA, apoya a los reguladores y organismos que se enfrentan a nuevos riesgos y daños, y contribuye a definir la posición de Australia en la gobernanza internacional de la IA.
El uso gubernamental de la IA está sujeto a controles obligatorios adicionales
La situación es más estricta para el sector público federal que para el despliegue ordinario del sector privado. La Política de la Agencia de Transformación Digital para el uso responsable de la IA en el gobierno está ahora en vigor en su versión actualizada, con efecto desde el 15 de diciembre de 2025. Se aplica a todas las entidades de la Commonwealth no corporativas, con algunas excepciones, y fomenta una adopción más amplia más allá de ese ámbito central.
Esta política hace obligatorios varios controles de gobernanza. Los organismos incluidos deben designar funcionarios responsables, publicar declaraciones de transparencia, desarrollar un enfoque estratégico para la adopción de la IA, definir la responsabilidad por caso de uso, mantener registros internos, formar al personal y realizar evaluaciones de impacto de los casos de uso de IA cuando sea necesario. En otras palabras, el Gobierno australiano espera que sus propios organismos documenten y gobiernen la IA de forma más formal de lo que actualmente se exige en todo el sector privado.
Esto crea una distinción importante. En Australia, la regulación de la IA para las empresas sigue siendo en su mayor parte una combinación de legislación vigente y orientaciones voluntarias de gobernanza. La regulación de la IA para el uso gubernamental añade una capa de política obligatoria diseñada para que los organismos sean más transparentes, más responsables y estén mejor preparados para usos de mayor impacto.
La propuesta de salvaguardias obligatorias de 2024 está en pausa, no promulgada
Un punto clave sobre el estado actual es que Australia consultó en 2024 sobre la introducción de salvaguardias obligatorias para la IA en entornos de alto riesgo. Esa propuesta habría llevado a Australia más hacia un modelo de legislación más dura y basado en riesgos para determinados usos.
Sin embargo, la página oficial de consulta indica ahora que el Gobierno australiano no avanzará por el momento con esas propuestas anteriores de salvaguardias obligatorias, y que los comentarios recibidos contribuyeron al desarrollo del Plan Nacional de IA. Eso significa que el modelo actual del sector privado sigue centrado en la legislación vigente, las orientaciones voluntarias y un desarrollo institucional más gradual, en lugar de un nuevo régimen de salvaguardias de legislación dura.
Esto también deja en pie una frontera importante. Australia todavía no cuenta con una definición jurídica consolidada a escala de toda la economía de IA de alto riesgo para el uso del sector privado. Las organizaciones siguen teniendo que identificar por sí mismas los usos de mayor impacto, atendiendo al contexto, las personas afectadas, el tratamiento de datos, los riesgos de seguridad, los impactos sobre derechos y las leyes ya en vigor.
Ejemplos
Un organismo de la Commonwealth que desee utilizar IA para un caso de uso de servicio público incluido en el ámbito de aplicación no puede simplemente activar la herramienta. En virtud de la política gubernamental de IA, el organismo necesita una responsabilidad nominada, una entrada en el registro interno, capacidad del personal y una evaluación de impacto del caso de uso de IA antes del despliegue. Eso supone una estructura de control mucho más formal que la que afrontan actualmente la mayoría de las organizaciones privadas.
Una empresa cuyos empleados empiezan a utilizar un chatbot de IA generativa público para el trabajo diario sigue teniendo obligaciones en materia de privacidad si hay información personal implicada. Las orientaciones de la OAIC dejan claro que la Ley de Privacidad se aplica a los usos de la IA que involucren información personal, y recomienda que las organizaciones no introduzcan información personal, especialmente sensible, en herramientas de IA generativa de acceso público. En la práctica, eso significa que una política interna de IA, normas sobre datos y un proceso de herramientas aprobadas deben preceder al uso generalizado por parte del personal.
Un proveedor de chatbots de compañía de IA con usuarios australianos ya puede verse sometido a los poderes existentes de seguridad en línea. A finales de 2025, eSafety emitió notificaciones legales a varios proveedores de chatbots de compañía de IA, preguntando cómo protegían a los menores y cómo cumplían las Expectativas Básicas de Seguridad en Línea. Eso demuestra que Australia puede actuar contra servicios de IA dañinos a través de la legislación de seguridad en línea existente, incluso sin un AI Act específico para todos los sistemas de IA.
Malentendidos frecuentes
Malentendido: Australia no tiene regulación de la IA porque no tiene un AI Act.
Corrección: Australia ya regula muchos usos de la IA a través de la privacidad, el consumo, la seguridad en línea, la discriminación, la seguridad y otras leyes vigentes.
Malentendido: El Estándar Voluntario de Seguridad de la IA es jurídicamente vinculante.
Corrección: Es una orientación voluntaria. Establece una base de gobernanza, pero no crea por sí mismo nuevas obligaciones legales.
Malentendido: Solo los desarrolladores de modelos necesitan preocuparse.
Corrección: Los desplegadores, compradores, empleadores, proveedores de servicios y organismos públicos pueden tener todos obligaciones cuando utilizan la IA de formas que afectan a personas, datos, seguridad o mercados.
Malentendido: Comprar a un proveedor traslada el riesgo legal.
Corrección: Los contratos con proveedores importan, pero no eliminan las propias obligaciones en materia de privacidad, consumo, empleo, seguridad u otras leyes aplicables.
Malentendido: Las normas de IA del sector privado y del sector público en Australia son básicamente las mismas.
Corrección: No lo son. El uso en el sector público está sujeto a una capa adicional de política gubernamental obligatoria, que incluye requisitos de responsabilidad, transparencia y evaluación de impacto.
Riesgos y límites
El enfoque de Australia es práctico, pero también fragmentado. Al no existir un único estatuto de IA para el sector privado, las organizaciones deben mapear múltiples regímenes jurídicos y múltiples reguladores. Eso puede hacer que el sistema sea más difícil de navegar, especialmente cuando un mismo caso de uso de IA plantea simultáneamente cuestiones de privacidad, consumo, empleo y seguridad.
También hay límites claros en lo que hace la vía voluntaria. El Estándar de Seguridad de la IA y las orientaciones más recientes del Centro Nacional de IA no son aprobaciones, licencias ni puertos seguros. Seguirlos es sensato y puede ayudar a prepararse para futuras reformas, pero no protege frente a medidas de cumplimiento si el uso subyacente infringe la legislación vigente.
El otro límite importante es el estado jurídico actual. La propuesta de 2024 de salvaguardias obligatorias para la IA de alto riesgo no se ha convertido en ley, y el gobierno indica que no avanzará con esas propuestas por el momento. Por tanto, Australia sigue sin contar con una categoría consolidada a escala de toda la economía para la IA de alto riesgo en el sector privado. Al mismo tiempo, la agenda política más amplia sigue avanzando: la reforma de la privacidad continúa, un marco de toma de decisiones automatizada para el gobierno sigue en desarrollo, y los requisitos oficiales de transparencia en materia de privacidad para algunas decisiones automatizadas están previstos para el 10 de diciembre de 2026.
Qué hacer a continuación
Conviene empezar por tratar la IA como una cuestión de gobernanza, no solo como una adquisición tecnológica. Hay que mapear dónde se utiliza ya la IA, incluidas las funciones integradas en el software que los equipos adquirieron por otras razones. A continuación, asignar un responsable de alto nivel, crear o actualizar una política de IA, y mantener un registro de IA para saber qué sistemas existen, qué datos manejan, qué influyen y quién responde por ellos.
Después, conviene separar los usos de bajo riesgo de los de mayor impacto. Para cada uso significativo, evaluar las personas afectadas, la exposición legal, el tratamiento de datos, la seguridad y la supervisión humana. Establecer controles básicos desde el principio: normas de uso aprobado, verificaciones de privacidad, divulgación cuando la IA condiciona materialmente decisiones o contenidos, pruebas antes del lanzamiento, supervisión tras el lanzamiento y una vía de intervención humana.
Por último, conviene estar atento a los posibles cambios. Australia ha pausado la propuesta de salvaguardias de legislación dura de 2024, pero eso no reduce las obligaciones actuales derivadas de la legislación vigente. Simplemente significa que los responsables deben gestionar la IA mediante una combinación de mapeo jurídico y gobernanza disciplinada, mientras se sigue de cerca la reforma de la privacidad, la reforma de la toma de decisiones automatizada en el gobierno y cualquier nuevo movimiento hacia normas obligatorias para la IA de mayor impacto.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Australia un único AI Act?
No. Australia utiliza actualmente un modelo por capas construido a partir de leyes existentes, orientaciones voluntarias para las empresas y una política obligatoria separada para muchos organismos del gobierno federal.
¿Es obligatorio el Estándar Voluntario de Seguridad de la IA?
No. Es una orientación voluntaria. Establece 10 salvaguardias y ha evolucionado hacia las seis prácticas esenciales del Centro Nacional de IA para la adopción responsable de la IA.
¿Qué leyes suelen ser más relevantes para la IA en Australia?
Con mayor frecuencia, la privacidad, la protección del consumidor, la seguridad en línea, la antidiscriminación, la salud y seguridad laboral, la responsabilidad por productos, la propiedad intelectual, los contratos y la negligencia. Cuáles son relevantes depende del caso de uso.
¿Quién regula la IA en Australia?
No existe un único regulador de IA de propósito general. Distintas instituciones se ocupan de distintas cuestiones, entre ellas la privacidad, la seguridad en línea, la protección del consumidor, el ámbito laboral y la supervisión sectorial. El Instituto de Seguridad de la IA apoya la comprensión de los riesgos emergentes, pero no es el único organismo de cumplimiento.
¿Llegarán pronto salvaguardias obligatorias para la IA de alto riesgo?
No según la posición oficial actual. Australia consultó sobre ellas en 2024, pero el gobierno ha indicado desde entonces que no avanzará con esas propuestas por el momento.
¿Está el uso gubernamental de la IA regulado de forma más estricta que el uso del sector privado?
Sí. Muchas entidades de la Commonwealth deben seguir una política gubernamental de IA específica que exige responsabilidad, declaraciones de transparencia, registros, formación del personal y evaluaciones de impacto de los casos de uso de IA.
Si adquirimos IA de un proveedor, ¿seguimos siendo responsables?
Por lo general, sí. Los contratos con proveedores importan, pero no eliminan las propias obligaciones. Sigue siendo necesario gobernar el uso, verificar la legislación aplicable, comprender el flujo de datos, probar el sistema y mantener la supervisión humana cuando sea necesario.