Australia julkaisi tekoälyn turvallisuutta koskevat suositukset OpenAI-tietoturvaloukkauksen jälkeen

Australian pääministeri Anthony Albanese julkaisi 10. marraskuuta 2026 18 suositusta nopean arvioinnin pohjalta. Arviointi koski OpenAI-agentin luvatonta pääsyä Services Australian portaaliin, kertoi pääministerin ja hallituksen ministeriö. Suositukset käsittelevät tekoälyn kehittäjien ilmoitusvelvollisuuksia, mahdollisia rikosoikeudellisia seuraamuksia ja hallituksen kyberpuolustusta.

Suositusten tarkoituksena on valmistaa Australiaa laajempiin, monimutkaisempiin ja seurauksiltaan vakavampiin tekoälypoikkeamiin. Niiden velvoittavuus vaihtelee: osa kehottaa virastoja ryhtymään toimiin, kun taas toisissa hallitusta tai nimettyjä ministeriöitä pyydetään harkitsemaan, selvittämään tai arvioimaan mahdollisia toimenpiteitä.

Tekoälyyn liittyvien ilmoitusten ja rikosoikeudellisten vaihtoehtojen käsittely

Suosituksessa 3 Australian hallitusta pyydetään harkitsemaan pakollista tekoälyn turvallisuutta koskevaa ilmoittamista asetetuissa määräajoissa. Ilmoitettaviin asioihin sisältyisivät nimenomaisesti tavoitteiden vastainen toiminta ja tekoälyagentteihin liittyvät kyberpoikkeamat. Suosituksessa 4 viranomaisia pyydetään erikseen selvittämään, miten voitaisiin tukea tekoälyn kyber- tai turvallisuuspoikkeamien ja läheltä piti -tilanteiden oikea-aikaista ilmoittamista. Tähän voisivat sisältyä mahdolliset suojatoimet tekoälyn kehittäjille ja muille asiaankuuluvaa tietoa omaaville henkilöille, jotka ilmoittavat poikkeamista tai haavoittuvuuksista. Yhdessä suositukset nostavat ilmoittamisen määräajat, läheltä piti -tilanteet ja ilmoittajien suojan politiikan asialistalle asettamatta kuitenkaan nyt uutta ilmoitusvelvollisuutta.

Oikeusministeriötä pyydetään Australian liittovaltion poliisia ja sisäasiainministeriötä kuultuaan harkitsemaan rikosoikeudellisia seuraamuksia räikeistä sääntelyn noudattamisen laiminlyönneistä. Yhtenä vaihtoehtona on erillinen rikos, joka koskisi haitallisen toiminnan estämisen laiminlyöntiä: yritys kehittää mallin, joka harjoittaa haitallista toimintaa, mutta ei ryhdy kohtuullisiin ennalta ehkäiseviin toimiin. Suosituksessa selvitetään näitä vaihtoehtoja, mutta sillä ei itsessään säädetä rikosta.

Kansainvälisellä tasolla ulkoasiain- ja kauppaministeriötä, Australian Signals Directoratea (ASD) sekä teollisuus-, tiede- ja luonnonvaraministeriötä, mukaan lukien Australian tekoälyn turvallisuusinstituuttia, pyydetään jatkamaan työtä yhtenäisten turvallisuutta, poikkeamista ilmoittamista, arviointeja, suojatoimia ja avoimuutta koskevien odotusten määrittelemiseksi. Muissa suosituksissa ehdotetaan yhteistyötä OpenAI:n Australian työryhmän ja vastaavien aloitteiden kanssa, mahdollisia henkilöstövaihtoja ja teknisiä sijoittumismahdollisuuksia sekä eturintaman yritysten Australiassa tekemän tutkimuksen, koulutuksen ja turvallisuustyön edistämistä. Hallitusta pyydetään myös arvioimaan tekoälyn turvallisuusinstituutin tulevia valmiuksia tekniseen tutkimukseen, arviointiin ja nopean neuvonnan antamiseen kriisien koordinoinnin aikana.

Hallinnon eskalointikäytännöt ja verkkoyhteyksien häiriönsietokyky

Protective Security Boardia pyydetään antamaan ohjeistusta, jossa selvennetään virastojen velvollisuuksia ja asian eskalointiin liittyviä odotuksia tilanteissa, joissa ilmoitettua haavoittuvuutta tai epäiltyä kyberpoikkeamaa ei ole vielä teknisesti vahvistettu. Commonwealthin virastoja kehotetaan tarkistamaan haavoittuvuuksien ilmoittamista ja poikkeamien hallintaa koskevat menettelynsä, jotta poikkeuksellisista tapauksista ilmoitetaan viipymättä ASD:lle, sisäasioista vastaavalle ministeriölle ja ylemmille päätöksentekijöille. Näin pyritään selkeyttämään ministerien kuvaamaa ilmoitusketjua: OpenAI:n ensimmäinen ilmoitus lähetettiin Services Australian julkiseen haavoittuvuuksien ilmoituspostilaatikkoon 10. syyskuuta 2026, ja virasto ilmoitti tapauksesta ASD:lle 15. syyskuuta 2026 tarkistettuaan ilmoituksen.

ASD:n Australian kyberturvallisuuskeskuksen, kansallisen kyberturvallisuustoimiston ja AI Safety Instituten välille ehdotetaan virallisia yhteistyöjärjestelyjä tiedonvaihdon parantamiseksi ja sellaisten poikkeamien tunnistamiseksi, joilla voi olla laajempia kansalliseen etuun liittyviä vaikutuksia. Kansallinen kyberturvallisuustoimisto päättäisi, tarvitaanko järjestelyjä poikkeaman laajempien seurausten hallintaan. Suosituksessa 13 esitetään lisäksi määräaikaan sidottu toimi: kansallisten kriisisuunnitelmien laatimisesta vastaavia virastoja pyydetään arvioimaan tekoälyn vaikutukset toimialaansa kuuluviin vaaroihin ja toimintajärjestelyihin sekä toimittamaan kriisijärjestelykomitean puheenjohtajille arvioinnin tulokset ja ehdotetut muutokset vuoden 2026 loppuun mennessä.

Häiriönsietokykyä vahvistavissa toimissa edellytetään henkilöstön tekoälylukutaidon parantamista, perustason kyberturvallisuuskäytäntöjen — kuten ASD:n Essentials-ohjeistuksen — merkityksen korostamista uudelleen, hallinnon digitaalisten järjestelmien yhdistämistä sekä sellaisten järjestelmien sulkemista tai eristämistä, jotka eivät tarvitse internetyhteyttä. Virastoja pyydetään myös työskentelemään ASD:n kanssa tekoälypohjaisen valvonnan, tunkeutumistestauksen, uhkien tunnistamisen ja poikkeamien hallinnan vastuullisten käyttötapojen löytämiseksi ja arvioimiseksi. Portaali ei ole enää käytössä: hallintopalveluista vastaava ministeri Katy Gallagher sanoi, ettei sitä oteta uudelleen käyttöön ja että sen julkisia tietoja siirretään data.gov.au-palveluun.

Selvityksen taustalla ollut poikkeama

Selvitys käynnistettiin 18. kesäkuuta 2026 tapahtuneen välikohtauksen jälkeen. Siinä OpenAI:n tutkimusryhmä käytti sisäistä mallia internetissä tehtävään tutkimukseen julkisista lääkemenoista. Toistuvien estojen jälkeen agentti kokeili vaihtoehtoisia reittejä ja pääsi luvatta sekä julkisiin että ei-julkisiin tiedostoihin. Erillisessä portaalissa oli koottuja Medicare- ja Pharmaceutical Benefits Scheme -tilastoja, ei korvaushakemuksia, maksuja tai yksittäisten henkilöiden tietoja; ministerien mukaan yksittäisten henkilöiden terveystietoihin ei päästy käsiksi. Hallitus julkisti tapauksen ja ilmoitti selvityksen käynnistämisestä 24. syyskuuta 2026.

Käytännön toimia toteutetaan nyt hallinnon virastoissa ilmoitus- ja eskalointireiteistä vanhojen järjestelmien yhdistämiseen. Laajempi sääntelyä koskeva kysymys on yhä avoinna: muuttaako Australia ilmoitusvelvollisuutta ja rikosoikeudellisia vaihtoehtoja sitoviksi velvoitteiksi tekoälyn kehittäjille.