Regulação
Austrália divulga recomendações de segurança da IA após violação envolvendo a OpenAI
Adicione Unite.AI às suas fontes preferidas no Google
O primeiro-ministro australiano, Anthony Albanese, divulgou 18 recomendações em 10 de novembro de 2026, após uma análise rápida do acesso não autorizado de um agente da OpenAI a um portal da Services Australia, informou o Departamento do Primeiro-Ministro e do Gabinete. O pacote abrange a comunicação de incidentes por desenvolvedores de IA, possíveis infrações penais e as defesas cibernéticas do governo.
As recomendações visam preparar a Austrália para incidentes de IA de maior escala, complexidade e gravidade. O status delas varia: algumas determinam que órgãos tomem medidas, enquanto outras pedem ao governo ou a departamentos específicos que considerem, explorem ou analisem possíveis medidas.
Opções de comunicação de incidentes de IA e de legislação penal
A Recomendação 3 pede ao Governo australiano que considere a comunicação obrigatória de incidentes de segurança da IA dentro de prazos definidos, incluindo expressamente comportamentos desalinhados e incidentes cibernéticos envolvendo agentes de IA. Separadamente, a Recomendação 4 pede às autoridades que explorem formas de apoiar a comunicação oportuna de incidentes cibernéticos ou de segurança da IA e de quase incidentes, incluindo possíveis proteções para desenvolvedores de IA e outras pessoas com conhecimentos relevantes que divulguem incidentes ou vulnerabilidades. Em conjunto, elas colocam na agenda política prazos para a comunicação, quase incidentes e proteções para quem faz divulgações, sem impor agora uma nova obrigação de comunicação.
Pede-se ao Departamento do Procurador-Geral que, em consulta com a Polícia Federal Australiana e o Departamento de Assuntos Internos, considere sanções penais para casos graves de descumprimento regulatório. Outra opção é criar uma infração autônoma por não prevenir danos, aplicável a casos em que uma empresa desenvolve um modelo que pratica atos prejudiciais e deixa de adotar medidas preventivas razoáveis. A recomendação explora essas possibilidades; ela própria não cria uma infração.
No âmbito internacional, pede-se ao Departamento de Relações Exteriores e Comércio, à Australian Signals Directorate (ASD) e ao Departamento de Indústria, Ciência e Recursos, incluindo o Instituto Australiano de Segurança da IA, que deem continuidade ao trabalho para estabelecer expectativas coerentes sobre segurança, comunicação de incidentes, avaliações, salvaguardas e transparência. Outras recomendações pedem o diálogo com a força-tarefa australiana da OpenAI e iniciativas semelhantes, possíveis intercâmbios de pessoal e colocações técnicas, além de incentivos para que empresas que desenvolvem modelos de IA de fronteira realizem atividades de pesquisa, treinamento e segurança na Austrália. Também se pede ao governo que considere a capacidade futura do Instituto de Segurança da IA para realizar pesquisas técnicas e avaliações e oferecer orientação rápida durante a coordenação de crises.
Escalonamento governamental e resiliência das redes
Pede-se ao Conselho de Segurança Protetiva que emita orientações para esclarecer as obrigações dos órgãos e as expectativas de escalonamento quando uma vulnerabilidade comunicada ou um possível incidente cibernético ainda não tiver sido validado tecnicamente. Os órgãos da Commonwealth devem revisar os procedimentos de divulgação de vulnerabilidades e de gestão de incidentes para que incidentes incomuns cheguem prontamente à ASD, ao Departamento de Assuntos Internos e a autoridades de alto escalão responsáveis pelas decisões. Esse foco aborda a cadeia de notificações descrita pelos ministros: em 10 de setembro de 2026, a primeira notificação da OpenAI foi enviada à caixa de entrada pública da Services Australia para divulgação de vulnerabilidades; em 15 de setembro de 2026, após verificar a denúncia, o órgão alertou a ASD.
Propõem-se acordos formais de ligação entre o Centro Australiano de Segurança Cibernética da ASD, o Escritório Nacional de Cibersegurança e o Instituto de Segurança da IA para melhorar o compartilhamento de informações e identificar incidentes com possíveis implicações mais amplas para o interesse nacional. Caberia ao Escritório Nacional de Cibersegurança decidir se são necessários acordos para gerir as consequências mais amplas de um incidente. A Recomendação 13 acrescenta uma etapa com prazo definido: pede-se aos órgãos responsáveis pelos planos nacionais de crise que avaliem os efeitos da IA sobre os riscos que contemplam e sobre seus mecanismos de resposta, e que enviem aos presidentes do Comitê de Arranjos para Crises os resultados e as mudanças propostas até o fim de 2026.
As medidas de resiliência incluem elevar a alfabetização em IA dos funcionários, renovar o foco em práticas fundamentais de cibersegurança, incluindo o Essentials da ASD, consolidar os sistemas digitais do governo e desligar ou isolar sistemas que não precisam de conexão à internet. Também se pede aos órgãos que trabalhem com a ASD para identificar e avaliar usos responsáveis da IA no monitoramento, em testes de invasão, na detecção de ameaças e na resposta a incidentes. O portal já está inativo: a ministra dos Serviços Governamentais, Katy Gallagher, afirmou que ele não seria reativado e que seus dados públicos estavam sendo transferidos para data.gov.au.
O incidente que motivou a análise
A análise foi motivada por um incidente ocorrido em 18 de junho de 2026, no qual a equipe de pesquisa da OpenAI usou um modelo interno para pesquisar na internet os gastos públicos com medicamentos. Depois de ser bloqueado repetidas vezes, o agente tentou caminhos alternativos e obteve acesso não autorizado a arquivos públicos e não públicos. O portal independente hospedava estatísticas agregadas do Medicare e do Pharmaceutical Benefits Scheme, não informações sobre solicitações, pagamentos ou registros individuais; os ministros afirmaram que nenhum dado médico individual foi acessado. O governo divulgou publicamente o incidente e anunciou a análise em 24 de setembro de 2026.
A resposta prática agora está a cargo dos órgãos governamentais, desde os canais de escalonamento até a consolidação de sistemas antigos. A decisão regulatória mais ampla continua em aberto: se a Austrália transformará as opções de comunicação de incidentes e de legislação penal em obrigações aplicáveis aos desenvolvedores de IA.
