Australia publicó el 31 de agosto de 2026 un proyecto de ley para una segunda gran fase de reforma de la Privacy Act. La propuesta incorporaría una prueba de trato justo y razonable de la información personal, reforzaría el consentimiento, crearía un derecho de supresión en determinadas circunstancias y limitaría el comercio de información personal sin permiso claro. El Gobierno vincula expresamente el paquete con los riesgos de la inteligencia artificial y de dispositivos intensivos en datos, como las gafas inteligentes y los vehículos conectados.
La consulta está abierta hasta el 18 de septiembre. El proyecto todavía no es una ley vigente. Esta condición es central: las organizaciones aún no tienen una nueva obligación derivada del texto, pero ya pueden ver la dirección y la carga de evidencia que el Gobierno está considerando.
Qué propone el Gobierno australiano
El comunicado del Attorney-General identifica cuatro medidas principales:
- una prueba de trato justo y razonable para evitar una recopilación excesiva o usos inesperados de información personal;
- un derecho de supresión que permitiría pedir a ciertas grandes plataformas digitales que destruyan información personal;
- normas de consentimiento más exigentes, orientadas a decisiones informadas y no a cláusulas ocultas o condiciones sin alternativa; y
- restricciones a la compra y venta de información personal sin permiso claro, incluidos intereses, hábitos de compra y datos de ubicación.
El paquete de consulta es más amplio que la IA. Aborda la privacidad en servicios y tecnologías digitales en general. La IA importa porque muchos sistemas recopilan, infieren, combinan o utilizan información personal a escala. El Gobierno cita vehículos conectados y gafas inteligentes como ejemplos de tecnología que puede recopilar y procesar información de forma continua.
La propuesta sigue a la reforma de 2024. Los cambios sobre transparencia en decisiones automatizadas de esa ley anterior deben aplicarse el 10 de diciembre de 2026. El nuevo borrador es una consulta separada y no debe describirse como una ampliación ya vigente de esas obligaciones.
Por qué importa la prueba de trato justo y razonable
El consentimiento por sí solo puede ser un control débil cuando un servicio se apoya en un aviso de privacidad extenso o agrupa finalidades distintas en una sola elección. La prueba propuesta exigiría una valoración más objetiva de la recopilación, el uso y la divulgación de información personal.
El análisis de IAPP indica que las organizaciones deberían considerar la sensibilidad, las expectativas razonables, el daño previsible y la proporcionalidad de la práctica respecto a su finalidad. Para un sistema de IA, la evaluación debería cubrir toda la cadena operativa:
| Pregunta de control | Evidencia que debe conservarse |
|---|---|
| ¿Qué información personal entra en el sistema? | inventario, fuente, clasificación y contexto de recopilación |
| ¿Qué infiere o crea el modelo? | categorías de salida, evaluaciones y limitaciones conocidas |
| ¿Qué finalidad autoriza el uso? | declaración de finalidad, análisis jurídico y decisión de producto |
| ¿Quién recibe los datos o resultados? | encargados, herramientas, destinatarios y registros de transferencia |
| ¿Puede cambiar el uso? | versión del modelo, cambio de prompt o política y desencadenante de revisión |
| ¿Puede una persona ejercer un derecho? | flujo de solicitud, verificación de identidad, excepciones y prueba de finalización |
Esto resulta especialmente importante para los agentes. Un agente puede recuperar información personal, combinarla con otras fuentes, decidir una acción y enviar el resultado a otro sistema. Un registro de privacidad que solo describe el modelo omite herramientas, datos conectados y efectos externos.
Qué pueden hacer los equipos durante la consulta
Las organizaciones pueden prepararse sin fingir que el borrador es definitivo. Una revisión de preparación puede seguir siendo expresamente provisional:
- Inventariar las rutas de datos de IA. Registrar modelos, agentes, repositorios, herramientas conectadas, categorías de información personal, destinatarios y responsables.
- Separar recopilación e inferencia. Documentar qué proporcionó la persona y qué infirió, puntuó o generó el sistema.
- Probar las expectativas razonables. Preguntar si una persona esperaría ese uso específico en ese contexto, no solo si un aviso menciona la IA.
- Vincular el consentimiento con la finalidad. Conservar el aviso exacto, la elección, el alcance, el momento y la vía de retirada.
- Diseñar flujos de supresión. Identificar copias, datos derivados, entradas del modelo, registros, copias de seguridad, encargados y excepciones lícitas.
- Versionar la evaluación. Reabrirla cuando cambien fuentes, modelos, herramientas, finalidades o grupos destinatarios.
La guía de inventario de sistemas de IA de Maetra conecta sistemas, responsables y acceso a datos. La lista de evidencias de cumplimiento de IA estructura requisitos, controles, pruebas y vigencia.
Qué sigue siendo incierto
La consulta puede cambiar antes de que una propuesta llegue al Parlamento. El alcance final, las definiciones, las excepciones, los detalles de aplicación y los periodos de transición no pueden deducirse solo del comunicado. El Gobierno pide a entidades reguladas, sociedad civil, academia y otros grupos que opinen sobre el funcionamiento práctico de las medidas.
El derecho de supresión propuesto tampoco promete que todo registro deba eliminarse siempre. Cualquier obligación final dependerá del texto promulgado, de las organizaciones y datos incluidos y de las excepciones. La misma cautela se aplica al consentimiento y a las restricciones sobre comercio de datos.
Análisis de Maetra
La señal operativa es más concreta que una petición genérica de mejor privacidad. El borrador apunta a evidencias capaces de superar una revisión objetiva: una ruta de datos conocida, una finalidad definida, un uso proporcionado, un responsable y una vía operativa para ejercer derechos individuales.
En agentes de IA, ese expediente debe incluir capacidades y efectos. Los equipos necesitan saber qué agente accedió a qué datos, bajo qué tarea, qué herramienta llamó, qué salió del sistema y qué versión de política gobernó la acción. Esa evidencia ayuda hoy a la revisión de privacidad y facilita mapear cambios legales futuros sin reconstruir el sistema desde cero.