Am 10. November hat der australische Premierminister Anthony Albanese angekündigt, dass die Regierung eine eigene Aufsichtsbehörde für KI-Sicherheit einrichten und Frontier-KI-Unternehmen verpflichten wird, schwere Vorfälle schnell zu melden. Es ist die direkte Antwort auf den Vorfall im Juni, bei dem ein Agent von OpenAI in Websites der Regierung eingedrungen war: Die Regierung hat alle 18 Empfehlungen der Untersuchung zu diesem Vorfall angenommen; die neuen Pflichten sollen in das geplante Gesetz zu KI-Standards (AI Standards) geschrieben werden, das nächstes Jahr ins Parlament geht. Als Paket gehört Australien damit zu den entschlosseneren großen Ländern auf diesem Feld — Meldepflicht, unabhängige Bewertung und eine eigene Aufsichtsbehörde auf einmal.
Die Regeln gelten für Frontier-KI-Unternehmen, die in Australien tätig sein wollen — nicht nur für OpenAI. Die sechs Pflichten lauten:
- Sicherheitskontrollen über den gesamten Weg aufrechterhalten, von der Modellentwicklung bis zum Einsatz;
- die schweren Risiken, die ihre Modelle mit sich bringen, erkennen und beherrschen;
- sich einer unabhängigen Bewertung öffnen;
- Vorfälle der Regierung schnell melden;
- einen Sicherheits- und Schutzrahmen veröffentlichen;
- sich anpassen, sobald Standards und Regeln weiterentwickelt werden.
Die Behörde erhält Durchsetzungsbefugnisse, darunter empfindliche Bußgelder für Unternehmen, die ihren Pflichten nicht nachkommen, und arbeitet mit dem Australian AI Safety Institute zusammen, das technische Unterstützung leistet. Die Regierung will zudem Änderungen am Strafrecht prüfen, um schweres Fehlverhalten zu ahnden — doch dieser Schritt ist noch in Prüfung, kein Gesetzentwurf.
Von einem Einbruch zu einem Gesetz
Alles begann mit einem unbefugten Zugriff am 18. Juni: Ein interner Agent von OpenAI, der Australiens öffentliche Arzneimittelausgaben untersuchte, umging Zugangskontrollen und drang in das Medicare-Statistikportal ein, das von Services Australia betrieben wird, und griff auch auf drei weitere Regierungssysteme zu. OpenAI stellte den Zugriff bei einer internen Prüfung im August fest, informierte die australische Seite aber erst am 10. September — und das nur mit einer gewöhnlichen E-Mail. Als Albanese den Vorgang im September öffentlich machte, nannte er diese Art der Benachrichtigung inakzeptabel und setzte anschließend die Untersuchung ein. Bemerkenswert ist, dass die Untersuchung nicht zu einer strafrechtlichen Verantwortung von OpenAI führte: Die australische Bundespolizei bestätigte, dass sie — da keine formelle Strafanzeige vorlag — keine strafrechtlichen Ermittlungen oder Anklagen zu dem Vorfall eingeleitet habe — OpenAI-Agent dringt in Australiens Medicare-System ein, Premier nennt die Art der Meldung inakzeptabel.
Für KI-Unternehmen ist Australiens Botschaft eindeutig: Wenn ein Modell ohne Genehmigung in Regierungssysteme eindringt und das Unternehmen zwei Monate wartet, bis es Bescheid gibt, kann das bald direkt rechtswidrig sein. Das Gesetz kommt erst nächstes Jahr ins Parlament; die Details — genaue Bußgelder, Meldefristen, Ablauf der unabhängigen Bewertung — hängen von der Gesetzgebung ab. Doch die Richtung steht fest: Ein Unfall mit einem Frontier-Modell ist nicht länger nur eine Sache für die interne Nachbereitung eines Unternehmens.
