El enfoque de Nueva Zelanda, orientación en lugar de legislación

Nueva Zelanda no cuenta con una ley de IA independiente. A diferencia de la Unión Europea, que promulgó una regulación integral basada en el riesgo, Nueva Zelanda ha optado por un enfoque centrado en la adopción y basado en principios que opera a través de la legislación existente, principalmente la Privacy Act 2020, complementada por marcos voluntarios y orientaciones gubernamentales. Se trata de una decisión de política deliberada, no de un vacío pendiente de cubrir: la postura del gobierno, expresada en la Estrategia Nacional de IA publicada por el Ministerio de Negocios, Innovación y Empleo (MBIE) en julio de 2025, consiste en favorecer la adopción de IA responsable en lugar de imponer requisitos prescriptivos que puedan frenar la innovación.

Para las organizaciones que operan en Nueva Zelanda, esto significa que las obligaciones de cumplimiento en materia de IA se derivan de los marcos legales existentes que ya se aplican a su sector y actividades, y no de una nueva ley específica sobre IA. Los marcos clave son: la Privacy Act 2020 (para cualquier IA que procese información personal); la Fair Trading Act 1986 (para contenidos o afirmaciones generados por IA que puedan inducir a error a los consumidores); la Companies Act 1993 y los deberes de los directores (para los consejos de administración que gobiernan el riesgo de la IA); y marcos sectoriales, entre ellos los requisitos de gestión de riesgos del Reserve Bank para los servicios financieros y el Health Information Privacy Code para la IA en el ámbito sanitario. El Biometric Processing Privacy Code 2025 del Comisionado de Privacidad (en vigor desde el 3 de noviembre de 2025, con plazo de cumplimiento el 3 de agosto de 2026 para los sistemas existentes) es otro instrumento vinculante directamente relevante para el reconocimiento facial impulsado por IA y sistemas biométricos similares.

La Privacy Act 2020, la principal obligación legal para la IA

La Privacy Act 2020 de Nueva Zelanda es, en la práctica, el marco legal más directamente relevante para la gobernanza de la IA. Los Principios de Privacidad de la Información (IPP) de la ley, trece principios originales más el nuevo IPP 3A añadido en 2026, se aplican a cualquier "organismo" ("agency"), término que abarca prácticamente a todas las empresas y entidades gubernamentales, que recopile, utilice o divulgue información personal. Los sistemas de IA que se entrenan con información personal, que procesan información personal durante la inferencia o que toman decisiones sobre personas utilizando información personal están sujetos a los IPP.

Los principios más relevantes para la IA son: el IPP 1 (recopilar información personal únicamente para una finalidad lícita); el IPP 3 (recopilar la información directamente de la persona salvo que se aplique una excepción); el IPP 8 (comprobar que la información es exacta y está actualizada antes de utilizarla); el IPP 10 (utilizar la información personal únicamente para la finalidad para la que se recopiló); y el IPP 11 (no divulgar información personal a destinatarios en el extranjero sin protecciones adecuadas). Para los proveedores de IA que procesan información personal fuera de Nueva Zelanda, el IPP 12 (divulgación previa al envío al extranjero) y la adecuación de las protecciones en el extranjero son particularmente importantes.

Un cambio significativo entró en vigor el 1 de mayo de 2026 en virtud de la Privacy Amendment Act 2025 (sanción real el 24 de septiembre de 2025): el nuevo IPP 3A exige a los organismos notificar a las personas cuando la información personal se recopila de forma indirecta, es decir, de fuentes distintas de la propia persona. Para los sistemas de IA que agregan información personal de múltiples fuentes (redes sociales, intermediarios de datos externos, analítica del comportamiento), esta obligación de notificación ya está vigente y exige revisar las prácticas de recopilación de datos.

La Oficina del Comisionado de Privacidad (OPC) tiene la facultad de investigar reclamaciones en materia de privacidad y formular recomendaciones. Las infracciones graves de la Privacy Act pueden llevar al Comisionado de Privacidad a remitir los asuntos al Human Rights Review Tribunal, que puede conceder indemnizaciones por daños y perjuicios. La OPC ha publicado orientaciones específicas sobre la IA y los IPP, confirmando que los sistemas de IA deben diseñarse conforme a los principios de privacidad desde el diseño ("privacy by design") y que las decisiones automatizadas que afectan a las personas deben ser transparentes y recurribles.

La Algorithm Charter for Aotearoa New Zealand

La Algorithm Charter for Aotearoa New Zealand es un compromiso voluntario que los organismos gubernamentales pueden suscribir para comprometerse a desarrollar y utilizar algoritmos (incluida la IA) de manera justa, ética y transparente. Los firmantes se comprometen a seis principios: mantener la supervisión humana de las decisiones algorítmicas; incorporar el Tratado de Waitangi y las perspectivas maoríes en el diseño de los algoritmos; garantizar la transparencia sobre el funcionamiento de los algoritmos; evaluar los efectos sobre las personas y las comunidades; publicar información sobre los algoritmos significativos; y disponer de procesos claros para que las personas puedan plantear inquietudes sobre las decisiones algorítmicas que les afecten.

La Algorithm Charter no es jurídicamente vinculante, y las organizaciones del sector privado no pueden suscribirla en su forma actual. No obstante, representa las expectativas del gobierno en cuanto al uso responsable de los algoritmos y ofrece un marco de gobernanza práctico que las organizaciones del sector privado pueden adoptar por referencia. Para cualquier organización que procese datos sobre comunidades maoríes o que utilice IA en contextos que afecten a personas maoríes, las consideraciones del Tratado de Waitangi incorporadas en la Charter son particularmente relevantes: los principios de soberanía de datos maoríes ("Māori data sovereignty") ponen el énfasis en los derechos colectivos sobre los datos y exigen que los sistemas de IA que utilizan datos procedentes de comunidades maoríes o relativos a ellas respeten la gobernanza de los iwi y hapū sobre dichos datos.

La Estrategia Nacional de IA de 2025, qué significa para las empresas

El MBIE publicó en julio de 2025 la primera Estrategia Nacional de IA de Nueva Zelanda, junto con una Guía de IA responsable para empresas. La estrategia se centra explícitamente en la adopción: su objetivo es reducir las barreras a la inversión en IA, aclarar cómo se aplican las leyes existentes a la IA y coordinar el desarrollo de capacidades gubernamentales. No introduce nuevas obligaciones vinculantes.

La Guía de IA responsable para empresas que acompaña a la estrategia recomienda a las organizaciones: mantener un inventario de IA; realizar revisiones de privacidad y éticas antes de desplegar la IA; probar el sesgo y la robustez antes de la puesta en marcha; mantener la supervisión humana de las decisiones significativas asistidas por IA; implementar una supervisión continua; y documentar los procesos de gobernanza. Se trata de recomendaciones voluntarias, pero están alineadas con lo que exige legalmente la Privacy Act y con lo que cada vez más esperan los reguladores sectoriales. Para los sectores regulados, la estrategia confirma expresamente que las obligaciones específicas del sector, del Reserve Bank, la Financial Markets Authority y el Health and Disability Commissioner, prevalecen y se aplican en su totalidad.

El gobierno también anunció en julio de 2025 el New Zealand Institute for Advanced Technology, una iniciativa de 231 millones de dólares (2025-2029) incubada en el MBIE para acelerar la adopción de la IA en sectores comercialmente significativos. Aunque está centrada en la innovación, esta iniciativa refleja una inversión gubernamental considerable en infraestructura de IA y apunta a la dirección que tomará la regulación: favorecer la adopción con salvaguardas adecuadas en lugar de una regulación restrictiva ex ante.

Qué deben hacer ahora las organizaciones en Nueva Zelanda

Para cualquier organización en Nueva Zelanda que utilice IA que procese información personal, los requisitos de cumplimiento inmediatos son: revisar los sistemas de IA conforme a los IPP de la Privacy Act 2020; aplicar el requisito de notificación por recopilación indirecta del IPP 3A a cualquier sistema de IA que agregue datos de fuentes distintas de las propias personas (vigente desde el 1 de mayo de 2026); revisar los contratos con proveedores de IA para garantizar el cumplimiento de las obligaciones de divulgación al extranjero de los IPP 11 y 12; y documentar cómo pueden explicarse y recurrirse las decisiones significativas asistidas por IA por parte de las personas afectadas.

Para las organizaciones de sectores regulados, servicios financieros, sanidad, infraestructuras críticas, las obligaciones específicas del sector de la Financial Markets Authority, el Reserve Bank y el Health and Disability Commissioner se aplican además de la Privacy Act. Para los organismos gubernamentales y sus contratistas, la Algorithm Charter ofrece un marco de gobernanza práctico y señala el estándar que esperan los reguladores.

El desarrollo a corto plazo más probable a seguir de cerca es: las orientaciones del Comisionado de Privacidad sobre la IA y los IPP, y cualquier avance hacia un marco más prescriptivo si los enfoques voluntarios resultan insuficientes. La evaluación de adecuación de Nueva Zelanda por parte de la Comisión Europea (que permite las transferencias de datos de la UE a Nueva Zelanda sin salvaguardas adicionales) genera un incentivo continuo para mantener estándares de privacidad ampliamente alineados con el RGPD, incluidas las protecciones sobre la toma de decisiones automatizada que la UE mantiene en virtud del artículo 22 del RGPD.

Más información: OECD AI Policy Observatory

Lecturas relacionadas

Más información: OECD AI Policy Observatory