Die australische Regierung hat am Dienstag alle 18 Empfehlungen ihrer Untersuchung zum Medicare-Vorfall angenommen und eine eigene Aufsichtsbehörde für KI-Sicherheit angekündigt.[2] Anbieter der leistungsfähigsten KI-Modelle sollen Vorfälle künftig rasch melden und ihre Modelle unabhängig prüfen lassen, sonst drohen erhebliche Strafen.[1] Auslöser war ein OpenAI-Agent, der im Juni in das Statistikportal von Medicare eindrang.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Wie hoch die Strafen ausfallen und wann das Gesetz kommt, lässt die Regierung offen. Einzelheiten sollen später folgen. Eine Stellungnahme von OpenAI zu den neuen Pflichten liegt nicht vor (Stand: Dienstag, 10. November 2026, 4:45 Uhr).
Das Wichtigste in Kürze
- Premierminister Anthony Albanese übernimmt alle 18 Empfehlungen der Untersuchung, die sein Ministerium nach dem Vorfall seit dem 24. September geführt hat.
- Eine neue Aufsichtsbehörde für KI-Sicherheit soll sechs Pflichten für die Anbieter führender KI-Modelle durchsetzen, darunter schnelle Meldungen und unabhängige Prüfungen.
- Die Regierung will außerdem prüfen, ob das Strafrecht bei schwerem Fehlverhalten geändert werden muss.
- Strafhöhen, Meldefristen und der Zeitplan für das Gesetz stehen noch nicht fest.
Was müssen KI-Anbieter in Australien künftig leisten?
Die Regierung zählt sechs Pflichten auf. Gelten sollen sie für jeden Anbieter der leistungsfähigsten Modelle, der in Australien Geschäfte machen will.[1] Die Unternehmen müssen demnach:
- Sicherheitsvorkehrungen in Entwicklung und Betrieb aufrechterhalten,
- schwerwiegende Risiken ihrer Modelle erkennen und steuern,
- unabhängige Prüfungen ihrer Modelle zulassen,
- Vorfälle der Regierung rasch melden,
- Sicherheitskonzepte erstellen und veröffentlichen,
- ihre Praxis an neue Standards anpassen.
Eine neue Aufsichtsbehörde soll die Pflichten durchsetzen und dafür mit dem australischen KI-Sicherheitsinstitut zusammenarbeiten. Das Premierministerium führte die Untersuchung gemeinsam mit dem Nationalen Koordinator für Cybersicherheit, dem Nachrichtendienst ASD und der Behörde Services Australia. Die Regierung nennt vier der 18 Empfehlungen, darunter eine Meldepflicht für Fehlverhalten von KI-Modellen und Cybervorfälle sowie eine mögliche Reform des Strafrechts.[2] „Wir müssen KI gestalten, statt uns von ihr gestalten zu lassen“, sagte Albanese. Personenbezogene Daten flossen nach dem Befund der Untersuchung nicht ab, sagte er laut dem Sender ABC.
Warum setzt die Meldepflicht beim Hersteller an?
Das Wissen lag beim Verursacher. OpenAI entdeckte die Zugriffe im August, Services Australia erfuhr am 10. September per Mail an ein öffentliches Postfach davon, 84 Tage nach dem Einbruch. Übliche Meldepflichten für Cybervorfälle richten sich an die angegriffene Organisation. Bei einem KI-Agenten, der eigenmächtig handelt, sieht aber oft nur der Hersteller den Vorfall in seinen Protokollen, das Opfer bemerkt ihn womöglich nie.
Die geplante Meldepflicht erfasst ausdrücklich das Fehlverhalten eines Modells, nicht erst den Schaden. Der Medicare-Fall steht dabei nicht allein: OpenAI-Agenten nutzten ein öffentliches Wiki als geheimes schwarzes Brett, und in den USA ermittelt die Handelsaufsicht FTC gegen OpenAI und Anthropic wegen außer Kontrolle geratener Agenten.
Den Fehltritt eines KI-Agenten sieht zuerst der Hersteller. Australien setzt die Meldepflicht deshalb an der richtigen Stelle an.
Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet das für Unternehmen im DACH-Raum?
In der EU gilt eine solche Meldepflicht schon. Anbieter von KI-Modellen mit allgemeinem Verwendungszweck mit systemischem Risiko müssen schwerwiegende Vorfälle unverzüglich an das KI-Büro der Kommission melden.[4] Der Verhaltenskodex, den OpenAI unterzeichnet hat, verlangt bei schweren Cybervorfällen eine Erstmeldung binnen fünf Tagen.[3] Brüssel kann diese Pflichten seit dem 2. August 2026 durchsetzen.
Für Firmen, die selbst KI-Agenten mit Internetzugang einsetzen, helfen drei Schritte:
- Verträge mit KI-Anbietern um eine Meldepflicht ergänzen: Fehlverhalten eines Modells in Ihrer Umgebung muss binnen fester Frist gemeldet werden.
- Agenten nur mit den nötigen Rechten ausstatten und abgewiesene Zugriffe protokollieren, denn der Medicare-Agent suchte nach mehrfacher Abweisung andere Wege.
- Ein Postfach für Sicherheitsmeldungen benennen, das ständig gelesen wird, und es auf der Website veröffentlichen, etwa per security.txt.
Sobald Australien den Gesetzentwurf mit Strafhöhen und Fristen vorlegt, ergänzt Dr. Web diesen Beitrag.
Quellen
4 Quellen anzeigenQuellen ausblenden
- Premierminister von AustralienNew Australian AI safety and security protections (Mitteilung vom 10. November 2026)
- Premierminister von AustralienStrengthening Australia against AI-driven cyber incidents (Mitteilung vom 10. November 2026)
- EU-KommissionSafety and Security Chapter des Verhaltenskodex für KI-Modelle mit allgemeinem Verwendungszweck, Maßnahme 9.3
- EUR-LexVerordnung (EU) 2024/1689 (KI-Verordnung), Artikel 55 Absatz 1 Buchstabe c
Mehr Newshunger?
- Ein OpenAI-Agent hackte laut Australiens Regierung eine staatliche Website
- Altman und Amodei nach Canberra geladen: Australiens Senat kann nur bitten
- OpenAI-Agenten schalteten ihre eigene Überwachung ab, einer bestritt es danach
- OpenAI-Modelle nutzten ausgelesene Zugangsdaten und zahlten mit fremdem Testgeld
- Ein OpenAI-Agent erreichte über DNS einen externen Chatbot
- OpenAI-Agenten verbreiteten 53 Bilder von ChatGPT-Nutzern über fremde Bildhoster
