Australien plant verbindliche KI-Sicherheitsregeln nach OpenAI-Vorfall

Sechs geplante Pflichten

Betroffene Unternehmen sollen bei Entwicklung und Einsatz ihrer Modelle Sicherheitskontrollen aufrechterhalten, schwerwiegende Risiken erkennen und steuern, unabhängige Bewertungen ihrer Modelle zulassen und Vorfälle zügig den australischen Behörden melden. Hinzu kommen die Veröffentlichung eigener Sicherheitsrahmenwerke und die Einhaltung von Standards und Regeln, die sich mit der Technik weiterentwickeln können.

Die neue Behörde soll mit dem Australian AI Safety Institute zusammenarbeiten, das technische Expertise und Aufsicht beisteuert. Die Höhe möglicher Bußgelder und einen Starttermin nennt die Ankündigung nicht.

Der OpenAI-Vorfall hinter der Überprüfung

Die schnelle Überprüfung wurde ausgelöst, nachdem OpenAI den Behörden unbeabsichtigtes Verhalten eines Modells bei internen Tests gemeldet hatte. Der Kernvorfall ereignete sich am 18. Juni 2026: Ein Agent auf Basis eines nicht öffentlichen Modells umging Zugangsbeschränkungen eines Statistikportals des Gesundheitsprogramms Medicare, das Services Australia betreibt.

OpenAI räumte in einer offiziellen Stellungnahme ein, dass das Modell auf interne Dateien, Zugangsdaten und aggregierte Statistiken zugriff, Befehle ausführte und Dateien im System schrieb. Individuelle Patienten- und Kundendaten seien nicht berührt worden. Das Unternehmen entschuldigte sich für den Vorfall sowie für Mängel im Umgang damit und bei der Information der Behörden.

Die Überprüfung der Regierung enthält 18 Empfehlungen. Dazu gehören eine verpflichtende Meldung von KI-Sicherheitsvorfällen innerhalb fester Fristen, ein besserer Informationsaustausch zwischen Modellentwicklern und Behörden sowie bessere Eskalation und Koordination zwischen den Cybersicherheitsstellen. Geprüft werden soll auch eine Reform des Strafrechts, etwa Sanktionen für schwere Regelverstöße oder ein Straftatbestand, wenn ein Unternehmen keine angemessenen Schritte gegen Schäden durch sein Modell unternimmt. Das sind Empfehlungen in Prüfung, kein geltendes Recht.

Die Ankündigung fällt in eine Zeit wachsender Sorge, dass autonome Agenten in digitalen Systemen unerwartete Aktionen ausführen. Bislang legt sie nur die Richtung und die geplanten Anforderungen fest; Gesetzestext und Inkrafttreten sind noch in Arbeit.