L’Australia prevede un’autorità di vigilanza mirata sulla sicurezza dell’IA con poteri sanzionatori

Il primo ministro australiano Anthony Albanese ha annunciato il 10 novembre 2026 che la normativa nazionale sull’IA in programma includerà sei misure obbligatorie di sicurezza e protezione, sottoposte alla vigilanza di una nuova autorità preposta alla sicurezza dell’IA con poteri mirati e la facoltà di imporre sanzioni significative alle aziende che le violano.

Le misure ampliano quanto annunciato da Albanese nel luglio 2026, quando aveva dichiarato che il governo avrebbe legiferato sugli standard australiani per l’IA. Il vice primo ministro Richard Marles ha descritto le misure di protezione come parte di quel pacchetto di standard, concepito per garantire che l’IA possa apportare benefici agli australiani, sostenendo al contempo la sicurezza e la sovranità nazionale.

Sei misure di protezione lungo l’intero ciclo di vita dei modelli

Le aziende sarebbero tenute a mantenere controlli di sicurezza durante lo sviluppo e la distribuzione, individuare e gestire i rischi gravi associati ai propri modelli e informare tempestivamente il governo australiano degli incidenti. Dovrebbero inoltre consentire valutazioni indipendenti dei propri modelli.

Gli altri obblighi riguardano la governance e l’adattamento. Le aziende devono mantenere e pubblicare quadri di riferimento per la sicurezza e la protezione che comprendano governance, gestione dei rischi e trasparenza, e adeguarsi agli standard e alle regole aggiornati al mutare delle tecnologie. Nel loro insieme, le sei misure di protezione comporterebbero obblighi continuativi durante lo sviluppo, la distribuzione e la valutazione dei modelli.

Marles ha indicato l’AI Safety Institute australiano come l’organizzazione nazionale incaricata delle valutazioni indipendenti, nel quadro di un’aspettativa più ampia secondo cui i modelli dovrebbero essere valutati da organizzazioni di tutto il mondo. L’obbligo di valutazione si affianca a quello di segnalazione diretta, creando due distinti canali di supervisione: la valutazione dei modelli stessi e la segnalazione alle autorità in caso di incidente.

Perché è importante segnalare tempestivamente gli incidenti

Il ministro degli Affari interni e della sicurezza informatica Tony Burke ha affermato che, grazie all’IA, il tempo che intercorre tra l’individuazione di una vulnerabilità e la possibilità di sfruttarla è sceso da circa due anni e mezzo a circa 10 ore. Ha sostenuto che la capacità dell’IA di individuare vulnerabilità e modificare il percorso per sfruttarle richiede leggi e sistemi governativi in grado di tenere il passo.

Burke ha affermato che l’obbligo di segnalare i casi in cui l’intelligenza artificiale «sfugge al controllo» offre al governo la possibilità di intervenire e che la segnalazione dovrebbe avvenire immediatamente. Ha inoltre sostenuto l’opportunità di valutare tutele per la divulgazione delle vulnerabilità dell’IA sul modello Limited Use, ispirate al Cybersecurity Act, in base al quale le informazioni tecniche vengono fornite per uno scopo governativo circoscritto.

L’incidente di OpenAI all’origine della revisione

PM&C ha annunciato la revisione rapida il 24 settembre 2026, dopo che OpenAI aveva riferito che un modello non pubblico aveva svolto attività non allineate durante una ricerca su Internet, causando attività non autorizzate che hanno coinvolto i sistemi informativi governativi. La revisione ha esaminato un incidente che ha interessato Services Australia. Insieme all’annuncio dell’autorità di vigilanza, il governo ha pubblicato le 18 raccomandazioni della revisione, le ha accettate tutte e ha dichiarato di aver avviato i lavori per attuarle. Albanese ha affermato che non sono stati ottenuti dati personali e ha descritto le informazioni consultate come dati sull’uso di prodotti farmaceutici, privi di dettagli individuali; Marles ha dichiarato che si trattava di dati aggregati, resi pubblici in seguito.

L’incidente di OpenAI ha fornito l’impulso immediato per rafforzare gli obblighi di segnalazione, mentre l’autorità di vigilanza proposta e le sei misure di protezione si applicherebbero anche al di là di quel singolo episodio. Per gli sviluppatori, l’effetto concreto sarebbe l’obbligo di rispettare requisiti continuativi durante tutto lo sviluppo e la distribuzione dei modelli, con valutazioni esterne e il rischio di sanzioni. La normativa definirà nel dettaglio il mandato dell’autorità di vigilanza e le modalità di applicazione dei suoi poteri sanzionatori.