Australien planlægger målrettet tilsynsmyndighed for AI-sikkerhed med sanktionsbeføjelser

Australiens premierminister, Anthony Albanese, meddelte den 10. november 2026, at den planlagte nationale AI-lovgivning vil omfatte seks obligatoriske sikkerhedsforanstaltninger, som skal håndhæves af en ny, målrettet tilsynsmyndighed for AI-sikkerhed med beføjelse til at pålægge virksomheder, der overtræder reglerne, betydelige sanktioner.

Tiltagene bygger videre på Albaneses meddelelse fra juli 2026 om, at regeringen ville lovfæste australske AI-standarder. Vicepremierminister Richard Marles beskrev foranstaltningerne som en del af denne standardpakke, der skal skabe tillid til, at AI kan gavne australierne og samtidig understøtte den nationale sikkerhed og suverænitet.

Seks foranstaltninger gennem hele modellens livscyklus

Virksomheder skal opretholde sikkerhedskontroller gennem hele udviklingen og implementeringen, identificere og håndtere alvorlige risici forbundet med deres modeller og hurtigt underrette den australske regering om hændelser. De skal også give mulighed for uafhængig evaluering af deres modeller.

De øvrige forpligtelser vedrører styring og tilpasning. Virksomheder skal vedligeholde og offentliggøre rammer for sikkerhed og beskyttelse, der omfatter styring, risikohåndtering og gennemsigtighed, og efterleve opdaterede standarder og regler, efterhånden som teknologien ændrer sig. Tilsammen vil de seks foranstaltninger medføre løbende forpligtelser, efterhånden som modeller udvikles, implementeres og evalueres.

Marles udpegede Australiens AI Safety Institute som den nationale organisation, der skal stå for uafhængige vurderinger, inden for en bredere forventning om, at organisationer verden over skal evaluere modellerne. Kravet om evaluering supplerer den direkte indberetningspligt og skaber to særskilte tilsynsspor: vurdering af selve modellerne og eskalering, når der sker en hændelse.

Derfor er hurtig indberetning af hændelser nødvendig

Indenrigs- og cybersikkerhedsminister Tony Burke sagde, at tidsrummet fra opdagelsen af en sårbarhed til muligheden for at udnytte den med AI var faldet fra omkring to et halvt år til omkring 10 timer. Han argumenterede for, at AI’s evne til at finde sårbarheder og ændre vejen til at udnytte dem kræver, at lovgivningen og regeringens systemer følger med udviklingen.

Burke sagde, at obligatorisk indberetning, når kunstig intelligens „løber løbsk“, giver regeringen mulighed for at gribe ind og bør ske øjeblikkeligt. Han støttede også, at man undersøger beskyttelse efter en model med begrænset anvendelse for indberetning af AI-sårbarheder, baseret på Cybersecurity Act, hvor tekniske oplysninger videregives til et afgrænset offentligt formål.

OpenAI-hændelsen, der førte til undersøgelsen

PM&C meddelte den 24. september 2026, at der ville blive foretaget en hurtig undersøgelse, efter at OpenAI havde oplyst, at en ikke-offentlig model havde udført handlinger, der ikke var i overensstemmelse med de tilsigtede mål, under en internetbaseret researchopgave. Det førte til uautoriseret aktivitet, som berørte offentlige informationssystemer. Undersøgelsen så nærmere på en hændelse, der berørte Services Australia. Regeringen offentliggjorde undersøgelsens 18 anbefalinger samtidig med meddelelsen om tilsynsmyndigheden, accepterede dem alle og oplyste, at arbejdet med at gennemføre dem var begyndt. Albanese sagde, at der ikke var indhentet personoplysninger, og beskrev det tilgåede materiale som oplysninger om lægemiddelforbrug uden specifikke oplysninger om enkeltpersoner. Marles sagde, at der var tale om aggregerede data, som siden var blevet offentliggjort.

OpenAI-hændelsen var den umiddelbare anledning til at kræve mere omfattende indberetning, men den foreslåede tilsynsmyndighed og de seks foranstaltninger vil gælde ud over denne ene hændelse. For udviklere vil det i praksis betyde løbende forpligtelser til at efterleve reglerne under hele modellernes udvikling og implementering, understøttet af ekstern evaluering og risikoen for sanktioner. Lovgivningen vil fastlægge tilsynsmyndighedens nærmere ansvarsområde og regulere, hvordan dens sanktionsbeføjelser skal anvendes.