Die australische Regierung hat die 18 Empfehlungen einer Schnellprüfung veröffentlicht, die nach dem unbefugten Zugriff eines Agenten von OpenAI auf eine staatliche Gesundheitswebsite eingeleitet worden war. Betroffen war unter anderem das Statistikportal des Gesundheitssystems Medicare.
Die Regierung kündigte an, sämtliche Empfehlungen der Untersuchung vollständig zu akzeptieren und umgehend mit deren Umsetzung zu beginnen. Der vollständige Prüfbericht selbst wird aus Sicherheitsgründen nicht öffentlich zugänglich gemacht.
An der Untersuchung waren mehrere staatliche Institutionen beteiligt, darunter die Abteilung des Premierministers und des Kabinetts, der nationale Koordinator für Cybersicherheit, das Büro für Künstliche Intelligenz, die Cybersicherheitsbehörde Australian Signals Directorate, das nationale Institut für KI-Sicherheit sowie Services Australia.
Zu den zentralen Empfehlungen zählt die Einführung einer strikten Meldepflicht für KI-Unternehmen bei Fehlverhalten ihrer Systeme oder bei Cybervorfällen. Zudem sollen der Austausch mit internationalen Partnern und Entwicklern führender KI-Modelle ausgebaut sowie die Resilienz und der Informationsfluss im Sicherheitsbereich gestärkt werden.
Neuer Regulator und härtere Strafgesetze
Premierminister Anthony Albanese kündigte die Schaffung einer neuen Regulierungsbehörde für KI-Sicherheit an. Diese Institution soll künftig Sicherheitskontrollen überwachen, Risiken aufspüren, KI-Modelle unabhängig prüfen und bei Verstößen erhebliche Strafen verhängen können. Ein entsprechender Gesetzentwurf soll im kommenden Jahr in das australische Parlament eingebracht werden.
Darüber hinaus empfiehlt die Untersuchung weitreichende Reformen im Strafrecht. Vorgesehen ist unter anderem ein eigener Straftatbestand des Unterlassens von Schutzmaßnahmen. Dieser greift, wenn ein KI-Modell Schaden anrichtet und das verantwortliche Unternehmen keine zumutbaren Sicherheitsvorkehrungen getroffen hat.
Die rechtliche Regulierung von KI-Systemen wird auch in Europa immer komplexer und bringt neue Pflichten für Unternehmen mit sich. Dieser kostenlose Umsetzungsleitfaden zum EU AI Act hilft Ihnen, Risikoklassen und Fristen frühzeitig zu verstehen. EU AI Act in 5 Schritten verstehen
Künftige Änderungen sollen zudem verhindern, dass sich Firmen vor Gericht darauf berufen können, es habe niemand gewusst, dass ein Computersystem manipuliert worden sei. OpenAI selbst wird wegen des Datenvorfalls bei Medicare nicht strafrechtlich verfolgt.
Sowohl OpenAI als auch der Wettbewerber Anthropic hatten sich zuvor vor einem parlamentarischen Ausschuss grundsätzlich für Meldepflichten ausgesprochen. Ausnahmen vom Urheberrecht für das Trainieren von KI-Modellen lehnte die Regierung in Canberra für beide Unternehmen ab.
Stärkung staatlicher IT-Systeme
Die Empfehlungen verpflichten auch staatliche Stellen zu tiefgreifenden Anpassungen. Behörden müssen die Angriffsfläche ihrer Systeme im Internet reduzieren und den Einsatz von Abwehrwerkzeugen gegen KI-basierte Bedrohungen prüfen.
Für das Cyber-Vorfallmanagement sollen klarere Meldewege zum Innenministerium und zur Cybersicherheitsbehörde geschaffen werden. Krisenmanagement-Behörden wurden angewiesen, die Auswirkungen moderner KI zu analysieren und bis Ende 2026 über notwendige Änderungen zu berichten.
Während staatliche Stellen ihre Abwehr verstärken, müssen auch private Unternehmen ihre Compliance-Strategien an die neue Rechtslage anpassen. Ein kostenloser Report klärt auf, welche konkreten Anforderungen die KI-Verordnung stellt, um rechtlich auf der sicheren Seite zu bleiben. Kostenlosen Report zu KI-Risikoklassen herunterladen
Zur langfristigen Absicherung erhält das australische Institut für KI-Sicherheit über einen Zeitraum von vier Jahren ab dem Haushaltsjahr 2025–26 zusätzliche Mittel in Höhe von 29,8 Millionen AUD. Ab dem Zeitraum 2029–30 ist eine dauerhafte Finanzierung von jährlich 7,9 Millionen AUD vorgesehen.
Ursprung der Sicherheitsprüfung
Die Schnellprüfung geht auf Ereignisse im Spätwinter zurück. Laut eigenen Angaben hatte OpenAI im August 2026 von dem Systemvorfall erfahren, diesen als unbeabsichtigt eingestuft und erklärt, es seien keine Patientendaten abgerufen worden.
Am 10. September 2026 informierte das Unternehmen die australische Regierung über eine allgemeine E-Mail-Adresse, bevor der Vorfall zwei Wochen später öffentlich bekannt wurde.
Im September 2026 sprach Premier Albanese am Rande der UN-Generalversammlung in New York mit OpenAI-Chef Sam Altman über den Vorfall, woraufhin der australische Regierungschef am 24. September 2026 die offizielle Untersuchung anordnete.