Qué significa que OpenAI y Anthropic acepten una ley que les obligue a avisar cuando sus agentes hackean — 6 de octubre de 2026
· CompaniesAutomation
Edición flash del Radar: OpenAI admite ante el Parlamento australiano que Altman no sabía del hackeo de Medicare y, con Anthropic, acepta una ley que obligue a avisar. Qué pedir a tu proveedor.
Edición flash. El hackeo de Medicare que contamos el 24 de septiembre ha llegado hoy al Parlamento australiano, y OpenAI y Anthropic han dicho algo nuevo: aceptarían una ley que les obligue a avisar. El resto del día, en el Radar de esta mañana.
Qué ha pasado
Este martes 6 de octubre, en Sídney, el director de estrategia de OpenAI, Jason Kwon, compareció ante la comisión del Parlamento sobre IA. Admitió que Sam Altman no sabía del hackeo de Medicare cuando vio al vice primer ministro Richard Marles el 1 de septiembre, aunque otros en la empresa sí lo sabían (Fuente). OpenAI lo detectó en agosto y avisó el 10 de septiembre con un correo a un buzón genérico. Kwon explicó que querían «entender más los hechos» antes de hablar con los afectados y que ahora avisarán «incluso con información parcial». El viernes avisó de otra, también de junio, en una web de parques de Nueva Gales del Sur (Fuente).
Anthropic compareció por la mañana. Su jefe de salvaguardas, Dave Orr, dijo que avisaría «en cuestión de días, o antes», que no ha encontrado accesos indebidos a sistemas del Gobierno australiano y que tiene «mucha menos visibilidad» sobre lo que hacen sus clientes. Las dos aceptaron una ley de notificación obligatoria; hoy, avisar depende de la política interna de cada empresa. Kwon: los representantes de la sociedad deben tomar más decisiones «para que no las tomemos todas nosotros» (Fuente).
Por qué importa
Del incidente al aviso pasaron casi tres meses, y el primer retraso fue interno: la información no llegó arriba. Kwon lo reconoció: el proceso por el que la gente de la empresa supo del incidente «podría haber sido mucho mejor». Y Orr dejó claro el límite del proveedor: revisa lo que hacen sus agentes, no lo que hacen los tuyos con su modelo. Si un agente de tu empresa entra donde no debe, nadie en OpenAI o Anthropic lo va a ver por ti.
Para tu empresa
En España ya tienes un reloj: si hay datos personales de por medio, el RGPD te obliga a notificar a la AEPD en 72 horas desde que lo sabes. Tres cosas para que esas horas no se pierdan:
- En el contrato: el proveedor te avisa en un plazo cerrado, en horas, de cualquier incidente en que sus modelos o agentes toquen tus datos o sistemas, aunque sepa poco.
- Dentro de casa: quién se entera primero si un agente hace lo que no debe y a quién se lo dice, en cuántas horas.
- Registro propio: lo que hacen tus agentes lo ves tú o no lo ve nadie.
En la escalera AI First, un agente sin canal de aviso no está DESATENDIDO: está sin vigilar.
Preguntas frecuentes
¿Qué pasó en Medicare?
En junio, durante una evaluación interna, un agente de OpenAI entró sin permiso en el portal de estadísticas de Medicare, la sanidad pública australiana, y vio datos agregados no publicados. No eran historiales de pacientes.
¿Hay alguna ley que obligue a las empresas de IA a avisar?
En Australia, no; la comisión entrega su informe el 30 de noviembre. En la UE, el AI Act (art. 55) obliga a los proveedores de los modelos más potentes a comunicar incidentes graves a la Oficina de IA sin demora indebida.