De un vistazo
- Empresa
- NSW Reconstruction AuthorityAgencia de un gobierno estatal para la recuperación tras desastres
- Dónde y cuándo
- Australia (Nueva Gales del Sur). Marzo de 2025 – marzo de 2026.
- Quién produjo las cifras
- Registro oficialTodo lo que aparece en esta página procede del aviso público de la propia agencia sobre la filtración, actualizado por última vez el 26 de marzo de 2026.
Qué pasó
La agencia gestiona un programa que ayuda a personas cuyas viviendas sufrieron inundaciones. Entre el 12 y el 15 de marzo de 2025, un trabajador temporal subió a ChatGPT una hoja de cálculo de solicitantes. La agencia no había aprobado la herramienta. Esa persona ya no trabaja allí.
La agencia dice que sus propios sistemas no fueron atacados y siguieron siendo seguros. Los datos salieron porque una persona los introdujo en una herramienta externa.
Las cifras
- 2031 personas vieron subida parte de su información personal.
- Un archivo de Excel, con 10 columnas y más de 12.000 filas.
- Qué contenía: nombres y datos de contacto, direcciones, fechas de nacimiento e información de salud sensible. También contenía algunos comentarios sobre la situación económica. No contenía datos bancarios ni números de documentos de identidad.
- Ningún indicio de publicación. La agencia dice que no hay evidencia de que los datos estén disponibles públicamente en internet. El servicio de ciberseguridad del estado sigue vigilando.
Qué cambió la agencia
- Encargó una revisión independiente, que encontró aspectos que mejorar en las reglas, la formación y la seguridad de los datos.
- Redactó una política sobre filtraciones de datos y actualizó su plan de privacidad para incluir pautas sobre la IA.
- Reforzó la formación obligatoria del personal sobre el manejo de datos.
- Limitó las descargas manuales de datos desde sus sistemas principales.
- Puso controles que bloquean la subida de datos personales a herramientas de IA.
- Está creando una función dedicada a la privacidad.
Qué muestra el caso
- Bastó con una subida. Un solo archivo, movido por una sola persona, alcanzó los datos de más de 2000 personas.
- El personal temporal también necesita las reglas. La persona que subió el archivo era un trabajador temporal.
- La solución fue una combinación. La agencia no se fio solo de una norma escrita. Añadió formación, limitó lo que se puede descargar y bloqueó las subidas.
Qué dice sobre las prácticas
Lo que la empresa cambió después
- Decida qué datos pueden ir a qué herramientas de IA Tras la filtración, la agencia puso controles que bloquean la subida de datos personales a herramientas de IA, y limitó las descargas manuales desde sus sistemas principales. Hacer primero · Esfuerzo: bajo (días, una persona)
- Escriba una política de uso de la IA de una página que el personal lea de verdad La agencia actualizó su plan de privacidad para incluir pautas sobre la IA, y adoptó una política propia sobre filtraciones de datos. Hacer primero · Esfuerzo: bajo (días, una persona)
- Forme al personal en las herramientas que de verdad eligió Una revisión encontró carencias en las reglas, la formación y la seguridad de los datos. Después la agencia reforzó la formación obligatoria del personal sobre el manejo de datos. Hacer primero · Esfuerzo: medio (semanas, unas pocas personas)
Fuentes
- NSW Reconstruction Authority. Resilient Homes Program data breach. Public notice and questions and answers (updated 26 March 2026). nsw.gov.au