Comparar la Ley de IA de la UE con el enfoque de Australia respecto a la gobernanza de la IA revela dos filosofías regulatorias fundamentalmente distintas aplicadas al mismo desafío. La UE promulgó la primera ley integral del mundo específica sobre IA (Reglamento 2024/1689), que crea un sistema de clasificación de riesgo, evaluaciones de conformidad obligatorias, prácticas prohibidas y sanciones de hasta 35 millones de euros o el 7 % de la facturación global anual. Australia ha optado por no promulgar una legislación específica sobre IA y, en su lugar, regula la IA mediante marcos existentes: la Privacy Act (Ley de Privacidad), la legislación de protección al consumidor, la legislación de seguridad laboral, la normativa sectorial de la APRA (Australian Prudential Regulation Authority, Autoridad Australiana de Regulación Prudencial) y la ASIC (Australian Securities and Investments Commission, Comisión Australiana de Valores e Inversiones), y un Estándar Voluntario de Seguridad de la IA. Para las organizaciones que operan en ambos mercados, o las organizaciones australianas cuyos productos o servicios de IA llegan a residentes de la UE, comprender ambos enfoques es esencial, ya que la Ley de IA de la UE se aplica de forma extraterritorial.

Ámbito de aplicación y enfoque

La Ley de IA de la UE se aplica a los proveedores, responsables del despliegue, importadores y distribuidores de sistemas de IA introducidos en el mercado de la UE o cuyos resultados se utilicen en la UE. Emplea una clasificación de riesgo en cuatro niveles: riesgo inaceptable (prohibido), alto riesgo (regulación estricta), riesgo limitado (obligaciones de transparencia) y riesgo mínimo (en gran medida sin regular). Australia aplica marcos jurídicos existentes a la IA sin una clasificación de riesgo específica. La Privacy Act se aplica al tratamiento de datos personales. Las Garantías del Consumidor (Consumer Guarantees) se aplican a los productos y servicios de IA. La legislación de seguridad y salud en el trabajo (WHS) se aplica a la IA en los lugares de trabajo. La APRA y la ASIC aplican requisitos prudenciales y de conducta de mercado a la IA en los servicios financieros. El Estándar Voluntario de Seguridad de la IA ofrece 10 salvaguardas (guardrails), pero no es jurídicamente vinculante.

Comparación de las principales obligaciones regulatorias

Clasificación de riesgo: la Ley de IA de la UE exige una clasificación de riesgo formal de los sistemas de IA, con obligaciones específicas para cada nivel. Australia no cuenta con un equivalente; las organizaciones deben evaluar sus propias obligaciones a través de múltiples leyes existentes. Evaluación de conformidad: la Ley de IA de la UE exige una evaluación de conformidad por terceros para la IA de alto riesgo en determinadas categorías. Australia no tiene ningún requisito de evaluación de conformidad para la IA. Transparencia: la Ley de IA de la UE exige la divulgación cuando las personas interactúan con la IA (artículo 50, vigente desde agosto de 2026). La obligación de transparencia sobre la toma de decisiones automatizada (ADM) de la Privacy Act australiana (vigente desde diciembre de 2026) exige notificación cuando las decisiones se basan sustancialmente en un procesamiento automatizado. Prácticas prohibidas: la Ley de IA de la UE prohíbe usos específicos de la IA (puntuación social, identificación biométrica en tiempo real en espacios públicos, cierto reconocimiento de emociones). Australia no tiene prohibiciones equivalentes. Sanciones: la Ley de IA de la UE, hasta 35 millones de euros o el 7 % de la facturación. La Privacy Act australiana, hasta 50 millones de dólares australianos o el 30 % de la facturación por infracciones de privacidad.

Comparación de calendarios

Ley de IA de la UE: las prácticas prohibidas se aplican desde febrero de 2025. Las obligaciones sobre IA de uso general (GPAI) desde agosto de 2025. Las obligaciones de transparencia desde agosto de 2026. El Anexo III de alto riesgo desde diciembre de 2027 (ampliado por el Digital Omnibus, mayo de 2026). El Anexo I de alto riesgo desde agosto de 2028. Australia: la transparencia sobre la toma de decisiones automatizada (ADM) de la Privacy Act desde diciembre de 2026. Las expectativas de la APRA sobre IA, comunicadas en abril de 2026 (expectativas de supervisión continuas). La resiliencia cibernética de la ASIC desde mayo de 2026. El Estándar Voluntario de Seguridad de la IA ya está publicado.

Qué deben hacer las organizaciones australianas

Si su IA afecta a residentes de la UE, ya sea a través de productos, servicios o toma de decisiones, está sujeta a la Ley de IA de la UE independientemente de dónde esté establecida su organización. Si está regulada por la APRA, ya está sujeta ahora a las expectativas de gobernanza de la IA de la APRA. Si procesa datos personales mediante IA, la obligación de transparencia sobre la toma de decisiones automatizada (ADM) de la Privacy Act se aplica desde diciembre de 2026. El enfoque práctico consiste en construir marcos de gobernanza que satisfagan la Ley de IA de la UE (el estándar más prescriptivo), que por lo general superarán los requisitos australianos. Cuando los requisitos australianos sean diferenciados (expectativas específicas de la APRA, obligaciones específicas de la Privacy Act), añada capas específicas para cada jurisdicción.

Fuentes primarias: texto íntegro de la Ley de IA de la UE | Gobierno de Australia, Estándar Voluntario de Seguridad de la IA | Carta de la APRA a la Industria sobre IA

Lecturas relacionadas