Regulação · Office of the Australian Information Commissioner
Austrália leva decisões automatizadas para dentro da política de privacidade
A partir de 10 de dezembro, entidades abrangidas deverão informar tipos de dados, decisões com efeito significativo e o papel substancial ou direto do programa.
O regulador australiano publicou orientação para uma obrigação que entra em vigor em 10 de dezembro de 2026. Entidades sujeitas aos Australian Privacy Principles deverão tornar visível, na política de privacidade, como usam dados pessoais em decisões automatizadas significativas. A regra alcança sistemas de terceiros, regras convencionais, aprendizado de máquina e IA generativa; não equivale a proibir automação nem cria, sozinha, um direito universal à explicação.
- Acontecimento
- Publicação
- Última revisão
- Leitura
- 4 min
O que aconteceu
Em 30 de setembro, o Office of the Australian Information Commissioner publicou recursos para a nova transparência sobre decisões automatizadas. A obrigação foi criada por lei já publicada, mas sua Parte 15 só começa a produzir esse efeito em 10 de dezembro de 2026.
A mudança altera o Australian Privacy Principle 1. Entidades abrangidas terão de explicar na política de privacidade certos usos de informação pessoal por programas que tomam, ou participam substancial e diretamente, de decisões com efeito significativo sobre direitos ou interesses.
O que mudou
A política deverá informar os tipos de dados pessoais usados, os tipos de decisão feitos somente por computador e os tipos de decisão em que o programa executa etapa substancial e direta. A redação deve permitir que uma pessoa entenda onde a automação pesa de verdade.
O escopo tecnológico é amplo. A orientação menciona sistemas baseados em regras, aprendizado de máquina, IA generativa e ferramentas de terceiros. A presença de revisão humana não retira automaticamente o fluxo da regra se o programa continuar exercendo papel substancial e direto.
Por que importa
Muitas organizações sabem qual fornecedor contrataram, mas não conseguem responder quais dados entram, qual decisão sai e quanto o sistema determina o resultado. A obrigação pressiona esse inventário a sair de documentos internos e chegar a uma política pública compreensível.
Isso muda a compra de software: contratos, arquitetura e logs precisam permitir descrever o fluxo. Dizer apenas que a empresa usa IA para melhorar serviços não atende ao nível de especificidade indicado pelo regulador.
Para quem importa
Entidades sujeitas à Privacy Act australiana e fornecedores que participam de decisões sobre crédito, seguro, emprego, educação, acesso, saúde, fraude, benefícios, preços ou serviços. O efeito depende do escopo da lei e do impacto da decisão, não da presença da palavra IA.
Equipes brasileiras devem tratar a norma como referência comparável, não como obrigação local automática. Jurídico precisa avaliar territorialidade, contratos, operação australiana e regras brasileiras aplicáveis, inclusive LGPD e normas setoriais.
Impacto prático
Crie um registro por decisão, não apenas por ferramenta: finalidade, pessoa afetada, dados pessoais, fonte, modelo ou regra, papel do sistema, intervenção humana, consequência, fornecedor, retenção e canal de contestação. Depois compare o registro com a política de privacidade.
A regra é de transparência. Ela não deve ser descrita como proibição de decisão automatizada, auditoria obrigatória de todo modelo ou direito geral à explicação individual. Outras obrigações podem existir, mas não vêm automaticamente desta alteração.
O que testar
Escolha três jornadas com maior impacto e acompanhe uma decisão da coleta ao resultado. Peça a produto, dados, jurídico e atendimento que descrevam o mesmo fluxo separadamente; divergências revelam lacunas de governança e documentação.
Redija uma explicação curta com os três elementos exigidos e teste com pessoas que não conhecem o sistema. Se elas não identificarem quais dados entram, que decisão é afetada e qual é o papel do programa, o texto ainda está genérico.
O que observar
Acompanhe novos exemplos, fiscalização e interpretação sobre o que conta como participação substancial e direta. Fluxos híbridos, em que uma pessoa confirma uma recomendação, tendem a exigir análise do processo real e não apenas do rótulo final.
Revise mudanças de fornecedor, modelo, dado ou regra como eventos de manutenção da política. Um inventário correto em dezembro pode ficar desatualizado quando a organização adiciona uma nova fonte, agente ou etapa automatizada.
O que ainda não sabemos
A orientação não resolve antecipadamente todos os casos de fronteira. Significância do efeito, peso substancial do programa e suficiência da descrição dependerão do contexto e de futuras decisões do regulador ou dos tribunais.
Também não há evidência de como organizações e fornecedores adaptarão contratos e produtos até a vigência. A data existe e a norma está publicada; o padrão prático de fiscalização ainda será construído.
Fontes
- New resources on transparency for use of AI and automated decision-makingOffice of the Australian Information Commissioner · Órgão regulador · publicada em 30 de setembro de 2026 · conferida em 4 de outubro de 2026
- Chapter 1: APP 1 Open and transparent management of personal informationOffice of the Australian Information Commissioner · Órgão regulador · conferida em 4 de outubro de 2026
- Privacy and Other Legislation Amendment Act 2024Australian Government Federal Register of Legislation · Órgão regulador · publicada em 10 de dezembro de 2024 · conferida em 4 de outubro de 2026
- New AI transparency requirements coming into effect in DecemberRecords and Information Management Practitioners Alliance · Veículo especializado · publicada em 1 de outubro de 2026 · conferida em 4 de outubro de 2026