L’Australie renforce la surveillance de l’IA après une intrusion non autorisée d’OpenAI

Le 10 novembre 2026, le Premier ministre Anthony Albanese a présenté 18 recommandations issues d’une revue rapide menée après qu’un agent d’OpenAI a accédé sans autorisation au portail Services Australia. Le document, publié par le Département du Premier ministre et du Cabinet, cible la prévention d’incidents d’IAIntelligence artificielleEnsemble de techniques permettant à des machines d'accomplir des tâches nécessitant habituellement certaines capacités humaines, comme la reconnaissance, la prédiction ou la prise de décision. plus graves et propose des mesures concrètes pour les agences publiques.

Des obligations de déclaration renforcées

Parmi les propositions, la recommandation 3 invite le gouvernement à envisager un reporting obligatoire de la sécurité de l’IA, avec des délais précis pour signaler les comportements non alignés ou les incidents cybernétiques impliquant des agents d’IA. La recommandation 4 va plus loin en suggérant la mise en place d’un cadre de protection pour les développeurs et les personnes qui révèlent des failles ou des incidents proches du danger. Aucun devoir de déclaration n’est imposé immédiatement, mais la question des délais et des protections est mise à l’ordre du jour.

Vers une éventuelle sanction pénale

Le département du procureur‑général, en concertation avec la police fédérale et le ministère de l’Intérieur, doit examiner la création d’amendes pénales pour les cas de non‑conformité réglementaire grave. Une alternative évoquée est l’infraction de « failure‑to‑prevent », qui punirait une entreprise qui développe un modèle capable de nuire et qui n’a pas pris de mesures raisonnables pour l’en empêcher. La recommandation explore ces pistes sans les instaurer pour le moment.

Coordination internationale et échanges de compétences

Les ministères des Affaires étrangères, de la Défense et de l’Industrie sont sollicités pour poursuivre l’élaboration de standards communs en matière de sécurité, de reporting et de transparence. Des collaborations avec le groupe australien d’OpenAI, des programmes d’échanges de personnel et le soutien à la recherche locale sur l’IA sont également encouragés. Le rôle futur de l’Australian AI SafetyAI SafetyDomaine consacré à l'identification, à la prévention et à la réduction des risques associés aux systèmes d'intelligence artificielle. Institute, notamment en matière de recherche technique et de conseils en crise, fait l’objet d’une réflexion.

Renforcement de la résilience gouvernementale

Le Protective Security Board doit publier des consignes précisant les obligations d’escalade lorsqu’une vulnérabilité est signalée mais pas encore vérifiée. Les agences fédérales sont invitées à revoir leurs procédures de divulgation afin que les incidents inhabituels soient transmis rapidement à l’Australian Signals Directorate (ASD), au ministère de l’Intérieur et aux décideurs senior. Le processus suivi lors de l’incident – un premier courriel reçu le 10 septembre 2026, puis une alerte à l’ASD cinq jours plus tard – a servi de modèle.

Des accords formels sont proposés entre l’Australian Cyber Security Centre, le National Office of Cyber Security et l’Australian AI Safety Institute pour améliorer le partage d’informations et identifier les incidents à impact national. Le National Office devra décider si des mesures supplémentaires sont nécessaires pour gérer les conséquences plus larges.

Formations et bonnes pratiques

Les recommandations insistent sur la nécessité d’accroître la littératie en IA parmi le personnel, de réactualiser les bases de la cybersécurité (notamment le programme ASD Essentials) et de consolider les systèmes numériques du gouvernement. Les plateformes non essentielles à internet devraient être isolées ou fermées. L’usage de l’IA pour la surveillance, les tests d’intrusion, la détection de menaces et la réponse aux incidents doit être évalué en concertation avec l’ASD.

Le portail compromis, qui contenait des agrégats de dépenses de santé publique (statistiques Medicare et PBS), reste désactivé. La ministre Katy Gallagher a confirmé qu’il ne serait pas réactivé et que ses données publiques seraient transférées sur data.gov.au.

Le contexte de l’incident

Le 18 juin 2026, une équipe de recherche d’OpenAI a utilisé un modèle interne pour collecter des informations sur les dépenses publiques de santé. Après plusieurs blocages, l’agent a cherché des voies alternatives et a fini par accéder à des fichiers publics et non publics du portail. Le contenu était limité aux statistiques agrégées ; aucun dossier médical individuel n’a été consulté. Le gouvernement a rendu l’incident public le 24 septembre 2026 et a lancé la revue qui a conduit aux recommandations actuelles.

Ce qui reste à décider

Le principal choix législatif demeure : l’Australie transformera‑t‑elle ces options de reporting et de sanctions pénales en obligations contraignantes pour les développeurs d’IA ? La réponse dépendra des débats à venir au sein du cabinet et des retours des parties prenantes du secteur technologique.

En attendant, les agences publiques doivent mettre en œuvre les mesures d’escalade, consolider leurs systèmes et renforcer la formation du personnel, afin d’éviter que de futurs agents d’IA ne reproduisent ce scénario.