Comparar el RGPD, la Ley de Privacidad de Australia y la PDPA de Singapur desde la óptica de la gobernanza de la IA revela tres enfoques regulatorios fundamentalmente distintos ante el mismo desafío: cómo proteger a las personas cuando los sistemas de IA tratan sus datos personales y toman decisiones que les afectan. El RGPD (en vigor desde mayo de 2018) establece derechos explícitos frente a las decisiones automatizadas. La Ley de Privacidad de Australia (con reformas en materia de decisiones automatizadas que entran en vigor en diciembre de 2026) está incorporando obligaciones de transparencia. La PDPA de Singapur adopta un enfoque basado en el consentimiento, complementado con requisitos sectoriales de la MAS (Autoridad Monetaria de Singapur). Para las organizaciones que operan en estas jurisdicciones, entre las que se encuentran la mayoría de las empresas multinacionales, las entidades de servicios financieros y las compañías tecnológicas, el reto práctico consiste en construir un marco de gobernanza que satisfaga los tres regímenes a la vez.

Derechos frente a las decisiones automatizadas

El artículo 22 del RGPD otorga a las personas el derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o les afecten significativamente de modo similar. Los interesados pueden solicitar intervención humana, expresar su punto de vista e impugnar la decisión. Este derecho se aplica de forma automática: las organizaciones deben informar proactivamente a los interesados. La Ley de IA de la UE crea obligaciones adicionales para los sistemas de IA de alto riesgo, incluidas las evaluaciones de conformidad y los requisitos de supervisión humana, que operan en paralelo al RGPD.

La Ley de Privacidad de Australia está introduciendo obligaciones de transparencia sobre las decisiones automatizadas con efecto a partir del 10 de diciembre de 2026. Las organizaciones que tomen decisiones basadas sustancialmente en un tratamiento automatizado deberán notificar a las personas que ha intervenido un tratamiento automatizado. Se trata de un alcance más limitado que el del RGPD (transparencia en lugar de un derecho a la revisión humana), pero más amplio en algunos aspectos, ya que se aplica a las decisiones «basadas sustancialmente» en un tratamiento automatizado, y no solo a las «únicamente» automatizadas como en el artículo 22 del RGPD.

La PDPA de Singapur no incluye un derecho específico frente a las decisiones automatizadas equivalente al artículo 22 del RGPD. El Model AI Governance Framework (marco modelo de gobernanza de la IA) de la PDPC recomienda la supervisión humana para las decisiones de IA de especial trascendencia, pero se trata de orientaciones y no de derecho vinculante. Sin embargo, la MAS impone requisitos específicos de gobernanza de la IA a las instituciones financieras a través de los Principios FEAT y de las futuras Directrices de Gestión de Riesgos de IA (AI Risk Management Guidelines), lo que crea obligaciones sectoriales que van más allá del marco general de la PDPA.

Consentimiento y base jurídica para el tratamiento con IA

El RGPD contempla seis bases jurídicas para el tratamiento de datos personales (consentimiento, contrato, obligación legal, intereses vitales, misión de interés público e intereses legítimos). Para los sistemas de IA que tratan categorías especiales de datos (biométricos, de salud, origen racial o étnico) se exige el consentimiento explícito u otra base del artículo 9. La Ley de Privacidad de Australia se articula mediante los Principios de Privacidad Australianos (APP), que exigen el consentimiento para la recogida de información sensible y, con carácter general, la notificación de las finalidades de la recogida. La PDPA de Singapur se basa principalmente en el consentimiento: las organizaciones deben obtenerlo antes de recoger, usar o divulgar datos personales, con excepciones limitadas.

Transferencias transfronterizas de datos

Aquí es donde los tres marcos divergen de forma más significativa para la gobernanza de la IA. El RGPD exige un mecanismo de transferencia específico para los datos personales que salen del EEE: decisiones de adecuación, Cláusulas Contractuales Tipo (SCC), Normas Corporativas Vinculantes o códigos de conducta aprobados. El Marco de Privacidad de Datos UE-EE. UU. ofrece un mecanismo para las transferencias a Estados Unidos, pero sigue siendo objeto de controversia política. La Ley de Privacidad de Australia exige adoptar «medidas razonables» para garantizar que los destinatarios en el extranjero traten la información personal de manera coherente con los APP, un estándar más flexible pero menos prescriptivo. La PDPA de Singapur obliga a las organizaciones a asegurarse de que los destinatarios en el extranjero ofrezcan un estándar de protección comparable, con mecanismos de transferencia que incluyen obligaciones contractuales y normas corporativas vinculantes.

Sanciones y aplicación de la normativa

RGPD: hasta 20 millones de euros o el 4 % del volumen de negocio anual global, con aplicación a cargo de las autoridades nacionales de protección de datos. Ley de Privacidad de Australia: hasta 50 millones de dólares australianos, el 30 % del volumen de negocio ajustado o el triple del beneficio obtenido, con aplicación a cargo de la OAIC (Oficina del Comisionado de Información de Australia). PDPA de Singapur: hasta 1 millón de dólares singapurenses o el 10 % del volumen de negocio anual (la cantidad que sea mayor), con aplicación a cargo de la PDPC. El RGPD cuenta con el historial de aplicación más activo, con más de 4000 millones de euros en multas acumuladas. La OAIC está intensificando su actividad sancionadora. La PDPC ha impuesto multas significativas, incluida la sanción por la brecha de seguridad de SingHealth.

Enfoque práctico de gobernanza para organizaciones multijurisdiccionales

Construya conforme al estándar común más exigente de las tres jurisdicciones. En la práctica, esto supone implantar como referencia la transparencia sobre decisiones automatizadas al nivel del RGPD (que satisface los tres marcos), utilizar las SCC del RGPD como base de las transferencias transfronterizas con disposiciones adicionales para los requisitos de Australia y Singapur, realizar evaluaciones de impacto en la protección de datos para todos los sistemas de IA que traten datos personales (exigidas por el RGPD y buena práctica conforme al derecho australiano y singapurense) y mantener una documentación que satisfaga los requisitos de divulgación más exigentes de los tres marcos.

Fuentes primarias: Comisión Europea, Protección de Datos | OAIC, Orientaciones sobre Privacidad | PDPC, Model AI Governance Framework

Lecturas relacionadas