¿Qué es la regulación de la IA en Nueva Zelanda?
Regulación de la IA: países y regiones
Nueva Zelanda no cuenta actualmente con un AI Act único. Su regulación de la IA es un modelo ligero, basado en principios y basado en riesgos, que aplica la legislación vigente, especialmente en materia de privacidad, derechos humanos, protección al consumidor y derecho del sector público, al uso de la IA. Los organismos gubernamentales también enfrentan expectativas adicionales de transparencia y gobernanza a través del Public Service AI Framework, el Algorithm Charter y herramientas de evaluación de impacto. La privacidad es el área más desarrollada específicamente para la IA, en particular tras la IPP3A y el Biometric Processing Privacy Code.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Nota de la autora: A nuestros amigos kiwis: una solicitud inusual: este dominio tan especial está disponible para la venta, www.artificialintelligence.kiwi (preguntando por un amigo).
En Nueva Zelanda, la regulación de la IA no se reduce a un único estatuto ni a un único regulador. Es el efecto combinado de la legislación tecnológicamente neutra, las orientaciones de los reguladores y las normas del servicio público que se aplican cuando una organización adquiere, desarrolla o utiliza IA. Esto es distinto de la gobernanza de la IA, que es la práctica interna de establecer responsabilidades, aprobaciones, pruebas, mantenimiento de registros y revisiones.
Esto importa porque un equipo puede incumplir la ley aunque crea que solo está ejecutando un piloto o una herramienta interna de productividad. Si se maneja información personal, se aplican las normas de privacidad. Si un sistema influye en decisiones sobre personas, también pueden aplicarse obligaciones en materia de discriminación, transparencia, mantenimiento de registros y deberes sectoriales. En el ámbito gubernamental, sobre esa base legal se añaden mecanismos adicionales de supervisión y transparencia.
Por qué importa
Fundadores, operadores y compradores del sector público suelen preguntar si pueden esperar a una futura ley de IA antes de actuar. En Nueva Zelanda, ese planteamiento es incorrecto. La ley ya alcanza muchos casos de uso de la IA a través de obligaciones en materia de privacidad, consumo, derechos humanos y derecho público, y las orientaciones oficiales esperan que las organizaciones comprendan su caso de uso, documenten los riesgos, mantengan informadas a las personas cuando sea necesario y conserven la responsabilidad humana.
Las implicaciones prácticas son amplias. Un proceso de IA deficiente puede generar vulneraciones de privacidad, decisiones inexactas o sesgadas, afirmaciones engañosas a los clientes, registros deficientes, una contratación débil y decisiones del consejo difíciles de defender. Un proceso sólido puede facilitar la adopción, porque ofrece a los responsables una base más clara para aprobar herramientas, establecer límites y demostrar a reguladores, clientes y personal que la organización actúa de forma responsable.
Cómo funciona
El modelo regulatorio actual
El modelo actual de Nueva Zelanda es deliberadamente ligero. La política gubernamental favorece un enfoque proporcionado y basado en riesgos que utiliza los mecanismos regulatorios existentes antes de considerar cualquier AI Act independiente. La Estrategia de IA 2025 del gobierno presenta la IA como algo que debe adoptarse y aplicarse en toda la economía, no como algo que requiera actualmente un nuevo estatuto de alcance general. También toma los principios de IA de la OECD como marco internacional de alto nivel y combina esa postura con orientaciones voluntarias para las empresas.
Esto significa que la IA se regula principalmente formulando una pregunta jurídica familiar: ¿qué hace este sistema, a quién, con qué datos, en qué sector y bajo qué obligaciones existentes? La respuesta varía según el caso de uso. Un asistente de marketing, un modelo de detección de fraude, un chatbot de cara al público y una verificación de identidad biométrica no plantean los mismos problemas legales, aunque todos utilicen IA.
Las leyes existentes hacen la mayor parte del trabajo
La arquitectura jurídica principal es tecnológicamente neutra. Para las empresas y otras organizaciones no estatales, el centro de gravedad es la legislación vigente, especialmente la Privacy Act 2020, las normas antidiscriminación, la protección al consumidor y las obligaciones sectoriales específicas. Para los organismos públicos, esa misma base se complementa con la Official Information Act 1982, la Public Records Act 2005, la Public Service Act 2020, la New Zealand Bill of Rights Act 1990 y las expectativas más amplias del derecho público en materia de legalidad, equidad y revisión.
Por eso el modelo de Nueva Zelanda puede parecer engañosamente ligero. Puede que no exista un régimen general de licencias para la IA, pero sí existen obligaciones exigibles sobre cómo se recopila y utiliza la información, qué afirmaciones se hacen a los clientes, si las personas reciben un trato justo y si las autoridades públicas pueden explicar y defender sus actuaciones.
Para muchas organizaciones, este enfoque basado en la legislación existente tiene dos consecuencias prácticas. En primer lugar, el análisis jurídico debe vincularse al caso de uso concreto, no a la etiqueta IA por sí sola. En segundo lugar, el cumplimiento normativo en materia de IA no puede recaer en una sola función. Privacidad, legal, contratación, seguridad, registros, producto y dirección operativa tienen cada uno su parte de la respuesta.
Normas del servicio público y compromisos de transparencia
El uso gubernamental de la IA es donde Nueva Zelanda ha construido la capa de gobernanza adicional más clara. El Government Chief Digital Officer lidera la adopción segura y confiable de la IA en el servicio público. El Public Service AI Framework, que se enmarca dentro de la estrategia nacional de IA, ofrece a los organismos un marco gubernamental no vinculante articulado en torno al desarrollo inclusivo, los valores centrados en las personas, la transparencia y la explicabilidad, la seguridad y la responsabilidad. También deja claro que el uso de la IA debe ser coherente con la legislación vigente.
El marco es importante porque traduce las obligaciones legales generales en expectativas prácticas para los organismos. Exige supervisión humana a lo largo del ciclo de vida de la IA. Trata la transparencia como una obligación del servicio público, no como una opción comunicativa. Además, sitúa el uso de la IA dentro de un contexto constitucional y administrativo más amplio, que incluye la privacidad, los registros públicos, la información oficial, los valores del servicio público y los derechos humanos.
Junto a ese marco se encuentra el Algorithm Charter for Aotearoa New Zealand. El Charter no es legislación. Es un compromiso de adhesión dentro del sistema de datos gubernamental, y la lista pública actual de signatarios se mantiene en 29 organismos. Está orientado al uso de algoritmos de mayor riesgo y pide a los organismos que se centren en la transparencia, la asociación con el Tratado, la participación de las personas afectadas, la idoneidad de los datos, la privacidad, la ética, los derechos humanos y la supervisión humana.
El Charter importa menos como fuente de derecho vinculante y más como fuente de compromiso público visible. Ofrece a la ciudadanía neozelandesa una base más clara para preguntar cómo utiliza un organismo estatal las herramientas algorítmicas, y proporciona a los organismos un lenguaje común para la gobernanza interna. Su diseño es deliberadamente orientado al riesgo. No pretende capturar cada regla de negocio del gobierno, sino concentrar el esfuerzo en los usos de algoritmos con mayor probabilidad de causar daños significativos o afectar materialmente al bienestar de las personas.
El mecanismo operativo detrás de ese compromiso es el proceso de Algorithm Impact Assessment. Los organismos comienzan con una evaluación de umbral, pasan a un cuestionario de impacto más completo si es necesario y luego registran riesgos, daños y controles en un informe. En la práctica, así es como Nueva Zelanda convierte los principios generales en evidencia de que un organismo público reflexionó cuidadosamente sobre su uso de la IA antes de su despliegue.
La privacidad es el filo más afilado de la regulación de la IA
El aspecto más desarrollado y específico de la regulación de la IA en Nueva Zelanda es la privacidad. La Privacy Act 2020 se aplica a la IA de la misma manera que se aplica a cualquier otra tecnología cuando se recopila, utiliza o comparte información personal. Sus principios de privacidad de la información abarcan la finalidad de la recopilación, la notificación, la seguridad, el acceso, la corrección, la exactitud antes del uso o la divulgación, la retención, el uso, la divulgación fuera de Nueva Zelanda y los identificadores únicos. A partir del 1 de mayo de 2026, la IPP3A también exige notificación cuando la información personal se recopila de forma indirecta, salvo que se aplique una excepción.
Para los equipos de IA, esto tiene consecuencias inmediatas en el diseño. Si un sistema utiliza información personal, los responsables deben saber de dónde provienen los datos, por qué se utilizan, si se informó a las personas, si pueden mantenerse seguros, si pueden corregirse, si pueden divulgarse en el extranjero y si alguien puede explicar lo ocurrido en caso de impugnación posterior.
Las orientaciones oficiales del Privacy Commissioner tratan la privacidad como punto de partida para el uso responsable de la IA. Las orientaciones instan a las organizaciones a realizar una Evaluación de Impacto en la Privacidad antes de utilizar herramientas de IA, ser transparentes sobre cómo y por qué las utilizan, involucrar a los maoríes cuando sea pertinente, desarrollar procedimientos para solicitudes de exactitud y acceso, mantener la revisión humana antes de actuar sobre los resultados de la IA, y evitar introducir información personal o confidencial en una herramienta de IA generativa a menos que los riesgos de retención y divulgación estén genuinamente bajo control.
Esto es especialmente importante para el uso cotidiano de la IA generativa. El enfoque de privacidad de Nueva Zelanda no se dirige únicamente a sistemas grandes y a medida. También alcanza prácticas empresariales habituales, como pegar información de clientes, empleados o inquilinos en un modelo de terceros. En la práctica, muchos de los riesgos de cumplimiento más inmediatos en materia de IA provienen precisamente de esos usos de baja fricción.
Los cambios recientes en materia de privacidad también muestran cómo es probable que Nueva Zelanda regule los riesgos más agudos de la IA: mediante enmiendas específicas y códigos, en lugar de un único estatuto general sobre IA. El Biometric Processing Privacy Code 2025, elaborado al amparo de la Privacy Act, establece ahora normas específicas para el tratamiento biométrico, como el reconocimiento facial y sistemas similares. Entró en vigor en noviembre de 2025, y las organizaciones que ya utilizan datos biométricos tienen hasta el 3 de agosto de 2026 para adaptarse a las nuevas normas. Es uno de los ejemplos más claros de Nueva Zelanda creando normas adyacentes a la IA donde los principios ordinarios de privacidad se consideraron demasiado generales por sí solos.
Aplicación y responsabilidad práctica
Nueva Zelanda no cuenta con un regulador central único para la IA. En cambio, la responsabilidad se distribuye entre las instituciones existentes. La Oficina del Privacy Commissioner es el actor de aplicación más claro para muchos usos de la IA que implican información personal. Puede investigar reclamaciones y problemas sistémicos, emitir avisos de cumplimiento, dictar instrucciones de acceso y perseguir formas limitadas de incumplimiento. También espera que se notifiquen las vulneraciones de privacidad que causen daños graves y puede utilizar esos incidentes para impulsar acciones de cumplimiento más amplias.
Para los organismos públicos, la responsabilidad va más allá de la privacidad. La actividad de IA también puede examinarse mediante solicitudes de información oficial, obligaciones de mantenimiento de registros públicos, garantías internas, auditorías y el escrutinio político y administrativo ordinario. Esto significa que los responsables no pueden tratar la IA como una adquisición puramente técnica. Necesitan un rastro de gobernanza que muestre quién aprobó la herramienta, qué riesgos se verificaron, qué datos se utilizaron, qué revisión humana se mantuvo y cómo puede una persona plantear sus preocupaciones.
Dado que el modelo se apoya en la legislación existente, la aplicación tendrá a menudo un aspecto familiar antes que novedoso. Un problema puede aparecer primero como una reclamación de privacidad, un fallo en el mantenimiento de registros, un problema de discriminación, una afirmación engañosa o una impugnación de un proceso administrativo. En otras palabras, el desencadenante legal suele ser el daño o la obligación, no el hecho de que intervenga la IA.
Qué está consolidado y qué sigue evolucionando
Algunas partes del modelo están consolidadas. Actualmente no existe un AI Act general, la orientación política sigue siendo la de la legislación existente y basada en principios, las orientaciones del servicio público están establecidas y la privacidad ya es exigible. Otras partes siguen evolucionando. Las orientaciones y herramientas del servicio público se están ampliando; el Algorithm Charter sigue activo, aunque parte de su material web principal fue revisado por última vez en 2023; y la privacidad se ha actualizado en pasos específicos a través de la IPP3A y el código biométrico.
Para la mayoría de las organizaciones, la incertidumbre práctica no radica en si Nueva Zelanda regula la IA. Lo hace. La incertidumbre está en si la clasificación interna de una herramienta coincide con la visión que tiene la ley de ella. Un chatbot puede ser en realidad un canal de servicio público. Un asistente de redacción puede estar manejando en realidad información personal. Una función biométrica de conveniencia puede ser en realidad un sistema de identidad regulado.
Por eso el modelo de Nueva Zelanda recompensa una gobernanza disciplinada. Si el régimen legal está distribuido entre varios instrumentos, la organización necesita un método interno claro para articularlos conjuntamente.
Ejemplos
Inland Revenue ha utilizado un proceso algorítmico para calcular la situación fiscal de algunos contribuyentes cuando tiene una confianza razonable en sus ingresos y luego emitir un reembolso inmediato o un aviso de impuestos adeudados. El caso práctico oficial lo presenta como una forma de reducir la carga de la liquidación fiscal anual. Demuestra que el uso de IA administrativa de alto volumen puede afectar materialmente a las personas, incluso cuando el objetivo principal es la eficiencia.
Immigration New Zealand desarrolló un sistema de clasificación de visados que asigna calificaciones de riesgo a las solicitudes para orientar el nivel de verificación requerido. El caso práctico oficial deja claro que el algoritmo no aprueba ni rechaza la solicitud por sí mismo; un funcionario de inmigración sigue tomando la decisión. Es un ejemplo útil neozelandés de supervisión humana mantenida en torno a la tecnología de puntuación de riesgos.
El Privacy Commissioner utiliza el ejemplo de un arrendador que usa una herramienta de IA generativa para redactar cartas o correos electrónicos a los inquilinos. La lección es que el arrendador sigue siendo un organismo bajo la Privacy Act y no debe tratar la herramienta como un software de conveniencia no regulado. La organización debe preguntarse si el proveedor almacena los datos introducidos, los utiliza para el entrenamiento y si la información personal puede minimizarse o eliminarse antes de su uso.
Malentendidos frecuentes
No tener un AI Act significa no tener regulación de la IA. Eso es incorrecto. La legislación existente ya se aplica a muchos usos de la IA.
El Algorithm Charter es la principal ley de IA de Nueva Zelanda. No lo es. Es un compromiso de adhesión del sector público y un mecanismo de gobernanza, no un estatuto.
Si una persona revisa brevemente el resultado, la responsabilidad queda cubierta. No necesariamente. Las orientaciones oficiales exigen una supervisión humana real, un manejo preciso de los datos y una vía de impugnación o revisión cuando corresponda.
Solo importan los sistemas orientados al cliente. No es así. Las herramientas internas de redacción, búsqueda, resumen de reuniones y análisis también pueden activar obligaciones de privacidad, mantenimiento de registros y seguridad.
La privacidad lo abarca todo. No es así. La discriminación, las reclamaciones de consumidores, las obligaciones de derecho público y las consideraciones relacionadas con el Tratado también pueden ser relevantes.
Riesgos y límites
El modelo de Nueva Zelanda es práctico, pero puede ser difícil de navegar porque las obligaciones están distribuidas entre varios regímenes. Las organizaciones pueden asumir erróneamente que un piloto de bajo coste, una función integrada de un proveedor o una herramienta meramente asistencial queda fuera de la regulación. Ahí es precisamente donde suele fallar la gobernanza.
También es importante no sobreestimar los instrumentos del servicio público. El Public Service AI Framework, el Algorithm Charter y el conjunto de herramientas AIA son influyentes, pero no sustituyen a los estatutos ni crean una nueva causa de acción general específica para la IA. Funcionan mejor como evidencia de buena administración, control interno y práctica transparente.
También existen límites claros. El propio Algorithm Charter reconoce que no puede resolver plenamente cuestiones como la Soberanía de Datos maorí. Y el modelo actual de Nueva Zelanda deja margen para cambios específicos adicionales cuando una tecnología concreta genera riesgos más agudos, como muestra ahora el caso de los datos biométricos. Por eso las organizaciones deben estar atentas a las enmiendas, los códigos y las orientaciones sectoriales, y no limitarse a esperar un proyecto de ley de IA de gran alcance.
Qué hacer a continuación
Elaborar un inventario actualizado de los usos de IA en toda la organización, incluidos pilotos, funciones integradas de proveedores, herramientas internas de productividad y sistemas de cara al público.
Distinguir entre las herramientas asistenciales de baja fricción y los sistemas que influyen en decisiones sobre personas, verificaciones de identidad, elegibilidad para servicios, puntuación de riesgos o comunicaciones públicas. Esos usos merecen un escrutinio mayor.
Si se maneja información personal, realizar una Evaluación de Impacto en la Privacidad desde el principio y revisarla a medida que evolucione el caso de uso. Verificar la notificación, la seguridad, el acceso y la corrección, la exactitud, la divulgación en el extranjero, la retención y la respuesta ante vulneraciones.
Si se trabaja en el sector público, alinearse con el Public Service AI Framework, utilizar el proceso de Algorithm Impact Assessment para el uso material de algoritmos y asegurarse de que el mantenimiento de registros, la transparencia y la supervisión humana estén integrados desde el inicio.
Asignar un responsable nominado a cada caso de uso de IA relevante. Esa persona debe poder explicar por qué se utiliza la herramienta, en qué datos se basa, qué controles humanos se mantienen, cuál es el proceso alternativo y cómo pueden plantearse preocupaciones o impugnarse decisiones.
Revisar con urgencia cualquier uso biométrico. El Biometric Processing Privacy Code 2025 ya está en vigor, y los despliegues existentes están atravesando un período de transición que finaliza el 3 de agosto de 2026.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene Nueva Zelanda un AI Act general?
No. Nueva Zelanda regula actualmente la IA a través de la legislación existente e instrumentos de política específicos, en lugar de un único estatuto independiente sobre IA.
¿La regulación de la IA en Nueva Zelanda se centra principalmente en la privacidad?
La privacidad es el área más desarrollada y más inmediatamente relevante para muchos despliegues de IA, pero no es la única. Las obligaciones en materia de consumo, discriminación, derecho público y mantenimiento de registros también pueden ser relevantes.
¿Es el Algorithm Charter jurídicamente vinculante para las empresas privadas?
No. El Algorithm Charter es un compromiso de adhesión del sector público. No vincula a las empresas privadas como lo haría un estatuto.
¿Los organismos gubernamentales de Nueva Zelanda pueden usar la IA como quieran?
No. Se espera que actúen dentro de la legislación vigente y se alineen con el Public Service AI Framework, los compromisos de transparencia algorítmica y las orientaciones relacionadas.
¿Las organizaciones necesitan una evaluación de impacto antes de usar IA?
No existe una obligación universal única de evaluación de impacto de la IA para toda la economía, pero las orientaciones oficiales respaldan firmemente las Evaluaciones de Impacto en la Privacidad, y los organismos gubernamentales disponen de un proceso dedicado de Algorithm Impact Assessment para el uso de algoritmos de mayor riesgo.
¿Existe un regulador dedicado a la IA en Nueva Zelanda?
No como una autoridad única para toda la economía. La responsabilidad está distribuida entre las instituciones existentes, con el Privacy Commissioner desempeñando un papel central cuando la IA utiliza información personal.
¿Está específicamente regulado el reconocimiento facial?
Sí. El tratamiento biométrico cuenta ahora con un código específico elaborado al amparo de la Privacy Act. Es uno de los ejemplos más claros de regulación específica adyacente a la IA en Nueva Zelanda.
¿Puede el personal pegar datos personales en herramientas públicas de IA generativa?
No de forma segura por defecto. Las orientaciones oficiales indican que las organizaciones deben evaluar el riesgo, minimizar la información personal, comprender si el proveedor retiene o reutiliza los datos introducidos y mantener la responsabilidad humana sobre cualquier acción derivada del resultado de la herramienta.