KI-Richtlinie zur akzeptablen Nutzung
Vorlage für Australien
Laden Sie die bearbeitbare Richtlinie herunter und verwenden Sie dann die australischen Klauseln unten, um sie für Ihre Organisation anzupassen. Überprüfen Sie den fertigen Entwurf mit Ihren Sicherheits-, Datenschutz- und Rechtsinhabern.
Fang mit der Akte an. Passe die Klauseln an.
Der DOCX Download ist die bearbeitbare globale Policenbasis. Lesen oder kopieren Sie die australischen Klauseln unten, ersetzen Sie die in Klammern stehenden Platzhalter und bestätigen Sie, welche Verpflichtungen für Ihre Organisation gelten, bevor Sie genehmigt werden.
- 01Wählen Sie Ihre genehmigten Werkzeuge aus
- 02Lokalisieren Sie die Datenregeln
- 03Nennen Sie die Police und überprüfen Sie die Eigentümer
Die Richtlinienvorlage, lokalisiert für Australien
Sechs Abschnitte, bereit zur Anpassung. Klappen Sie jeden auf, um die Klauseln der australischen Ausgabe zu lesen. In eckigen Klammern stehende [Platzhalter] sind von Ihnen auszufüllen.
Die DOCX ist ein englischer Ausgangspunkt. Sie können den Richtlinientext auch von dieser Seite kopieren.
1. Zweck und Umfang
Diese Richtlinie legt fest, wie [Name der Organisation] erlaubt und beschränkt die Nutzung künstlicher Intelligenz-Tools am Arbeitsplatz. Es gilt für alle Mitarbeiter, Auftragnehmer und Dritte, die auf Unternehmenssysteme zugreifen oder Unternehmensinformationen verarbeiten, und umfasst eigenständige KI-Tools (wie Chatbots und Codierungsassistenten) sowie KI-Funktionen, die in genehmigter Software eingebettet sind. Es ist darauf ausgelegt, unsere Nutzung von KI mit dem Privacy Act 1988 (Cth), den australischen Datenschutzprinzipien, den Leitlinien des Office of the Australian Information Commissioner und gegebenenfalls den Erwartungen von Sektoraufsichtsbehörden wie APRA in Einklang zu bringen.
2. Genehmigte KI-Werkzeuge und erlaubte Anwendungen
Nur KI-Tools auf der genehmigten Liste von [Eigentümer, z. B. IT-Sicherheit] dürfen für Unternehmensarbeiten verwendet werden. Genehmigte Tools werden vor der Listung bewertet für:
- Wo der Anbieter Daten speichert und verarbeitet und ob eine Option für die Datenresidenz in Australien (Region Sydney) verfügbar ist, sofern unsere Datenverarbeitungsverpflichtungen dies erfordern
- Ob Prompts und Uploads verwendet werden, um die Modelle des Anbieters zu trainieren, und ob ein Enterprise-Tier mit einer Verpflichtung ohne Training verfügbar ist
- Die Sicherheitslage und Zertifizierungen des Anbieters sowie die Bedingungen für die Benachrichtigung von Sicherheitsverletzungen
- Vereinbarkeit mit unseren Verpflichtungen gemäß dem Privacy Act 1988 und unseren Verträgen
Anfragen zur Genehmigung eines neuen KI-Tools gehen an [Kontakt oder Kanal]. Kostenlose Verbraucherstufen generativer KI-Tools sind für Arbeiten mit persönlichen oder vertraulichen Unternehmensinformationen nicht genehmigt.
3. Datenregeln: Was in KI-Tools gelangen darf und was nicht
Ohne schriftliche Freigabe niemals in KI-Tools eingeben
- Personenbezogene Informationen im Sinne des Datenschutzgesetzes von 1988, einschließlich Namen, Kontaktdaten und jeglicher Information über eine identifizierbare Person
- Sensible Informationen nach dem Datenschutzgesetz, einschließlich gesundheitlicher, biometrischer, rassischer oder ethnischer Herkunft und Strafregisterinformationen
- Steuernummern, Medicare-Nummern und andere von der Regierung ausgegebene Kennzeichen
- Kundendaten, kreditbezogene Informationen und Finanzkontodetails
- Vertrauliche kommerzielle Informationen, nicht veröffentlichte Finanzergebnisse und Informationen, die der vertraglichen Vertraulichkeit unterliegen
- Zugangsdaten, API-Schlüssel, Sicherheitskonfigurationen und unveröffentlichter Quellcode mit Geheimnissen
Kann in zugelassenen KI-Tools verwendet werden
- Öffentlich zugängliche Informationen und veröffentlichtes Firmenmaterial
- Allgemeiner Entwurf, Forschung und Brainstorming, der keine persönlichen oder vertraulichen Informationen enthält
- Code, der keine Geheimnisse, Zugangsdaten oder proprietäre Algorithmen enthält, innerhalb der Bedingungen des genehmigten Tools
- Anonymisierte Daten nur dort, wo eine Wiederidentifikation nicht vernünftigerweise möglich ist und die Nutzung genehmigt wurde
Diese Regel setzt die Richtlinie der OAIC vom Oktober 2024 um, die empfiehlt, dass Organisationen keine persönlichen Informationen in öffentlich zugängliche generative KI-Tools eingeben, sowie unsere Verpflichtungen aus den APPs 6, 8 und 11.
4. Verbotene Verwendungen
Die folgenden Anwendungen von KI sind unabhängig vom Werkzeug verboten:
- Erstellung von Inhalten, die diskriminierend, belästigend oder rechtswidrig sind, einschließlich Inhalte, die gegen das australische Antidiskriminierungsgesetz verstoßen würden
- Deepfakes erstellen oder echte Personen nachahmen, innerhalb oder außerhalb der Organisation
- Entscheidungen zu treffen, die eine Person maßgehörig betreffen (Einstellung, Kredit, Schadenregulierung, Disziplinarmaßnahme), ausschließlich oder im Wesentlichen automatisiert ohne dokumentierte menschliche Überprüfung
- Präsentation von KI-generierten Inhalten als menschliche Arbeit, sofern eine Offenlegung durch diese Richtlinie erforderlich ist, ein Kunde oder eine Regulierungsbehörde
- Die persönlichen Daten einer anderen Person in ein KI-Tool eingeben, ohne die Befugnis dazu zu tun
- KI zur Umgehung von Sicherheitskontrollen, Zugriffsbeschränkungen oder dieser Richtlinie zu umgehen
Die menschlichen Überprüfungs- und Offenlegungsregeln regeln die Leitplanken 5 und 6 des Voluntary AI Safety Standard und bereiten uns auf die Anforderungen des Datenschutzgesetzes zur automatisierten Entscheidungsfindung vor, die am 10. Dezember 2026 in Kraft tritt.
5. Rechenschaftspflicht und Vorfallberichterstattung
Jeder Mitarbeiter ist für die Nutzung von KI-Tools verantwortlich. Wenn Sie persönliche oder vertrauliche Informationen in ein nicht genehmigtes KI-Tool eingeben oder vermuten, dass Sie sie eingegeben haben, melden Sie dies sofort an [Datenschutzbeauftragter / Sicherheitskontakt]. Unauthorised disclosure of personal information to an AI tool may be an eligible data breach under the Notifiable Data Breaches scheme in Part IIIC of the Privacy Act. Where a breach is likely to result in serious harm, we are required to notify the OAIC and affected individuals, so speed of internal reporting matters. Breaches of this policy may result in disciplinary action.
6. Überprüfung und Wartung
Diese Richtlinie wird mindestens jährlich vom [Eigentümer] überprüft, und zwar früher, wenn sich etwas Wesentliches ändert: Eine neue Phase der Privacy Act-Reform wird gesetzlich erlassen, die Transparenzpflicht für automatisierte Entscheidungen tritt im Dezember 2026 in Kraft, die OAIC gibt neue KI-Leitlinien heraus, APRA oder eine andere Sektoraufsichtsbehörde aktualisiert ihre Erwartungen, oder ein KI-Tool auf der genehmigten Liste ändert seine Datenverarbeitungsbedingungen. Die Liste der genehmigten Werkzeuge befindet sich in einem Anhang, sodass sie aktualisiert werden kann, ohne die Richtlinie neu auszustellen. Erfassen Sie die Version, das Prüfdatum und den Eigentümer.
Der Download ist das gleiche editierbare Backbone wie unsere globale Vorlage. Verwenden Sie die australischen Klauseln auf dieser Seite, um jeden Abschnitt zu lokalisieren, während Sie ihn anpassen.
Worauf eine australische KI-Politik antworten muss
Vier regulatorische Treiber prägen den KI-Einsatz in australischen Organisationen. Jeder findet an einer bestimmten Stelle in der Vorlage unten Berücksichtigung.
Das Datenschutzgesetz von 1988 und sein Reformprogramm
Der Privacy Act 1988 (Cth) und seine 13 australischen Datenschutzprinzipien regeln, wie Organisationen mit personenbezogenen Daten umgehen, einschließlich Informationen, die in KI-Tools eingegeben oder von ihnen erzeugt werden. Seit den Sanktionsänderungen im Dezember 2022 kann eine ernsthafte oder wiederholte Eingriffe in die Privatsphäre eine zivilrechtliche Strafe von bis zu 50 Millionen AUD nach sich ziehen, was dem Dreifachen des erzielten Nutzens entspricht, also 30 Prozent des bereinigten Umsatzes. Das Privacy and Other Legislation Amendment Act 2024, der erste Abschnitt des umfassenderen Reformprogramms, fügte eine gesetzliche Deliktsstrafe für schwere Datenschutzverletzungen (ab 10. Juni 2025), neue zivilrechtliche Sanktionen auf mittlerer und niedrigerer Ebene sowie eine Verpflichtung zur Offenlegung wesentlich automatisierter Entscheidungen mit Datenschutzrichtlinien auf, die Personen erheblich betreffen, was am 10. Dezember 2026 in Kraft tritt.
Was das für Ihre Police bedeutet: Ihre Datenregeln müssen personenbezogene Daten, wie es im Datenschutzgesetz definiert ist, als eine benannte, verbotene Kategorie für nicht genehmigte KI-Tools behandeln, und Ihr Überprüfungsplan muss die Reform-Tranches nachverfolgen.
Die 10 Leitplanken des Voluntary AI Safety Standard
Der im September 2024 von der australische Regierung veröffentlichte Voluntary AI Safety Standard legt 10 Leitplanken für Organisationen fest, die KI einsetzen. Er ist freiwillig und stellt keine rechtlichen Verpflichtungen, aber er ist die klarste Darstellung dessen, wie gute KI-Governance für australische Regulierungsbehörden und Käufer aussieht. Die für eine Akzeptablen Nutzungspolitik am relevantesten sind Leitplanke 1 (Verantwortlichkeitsprozesse, Eigentum und Schulung), Leitplanke 3 (Datenverwaltung und Schutz), Leitplanke 5 (sinnvolle menschliche Aufsicht), Leitplanke 6 (Information über KI-gesteuerte Entscheidungen, KI-Interaktionen und KI-generierte Inhalte) und Leitplanke 9 (Aufzeichnungen, die es anderen ermöglichen, Ihre Praktiken zu bewerten).
Was das für Ihre Police bedeutet: Nennen Sie einen Versicherungsnehmer, verlangen Sie eine menschliche Überprüfung der folgenreichen KI-unterstützten Arbeiten, verlangen Sie die Offenlegung von KI-generierten Inhalten, wo es wichtig ist, und führen Sie ein Inventar der verwendeten KI-Werkzeuge.
OAIC-Leitlinien zu KI und Datenschutz
Im Oktober 2024 veröffentlichte das Office of the Australian Information Commissioner Leitlinien zum Datenschutz und zur Nutzung kommerziell verfügbarer KI-Produkte. Die Position der OAIC ist, dass Datenschutzpflichten für personenbezogene Daten, die in KI-Systeme eingegeben werden, und für persönliche Informationen in KI-Ausgaben gelten und dass Organisationen nach Best Practice keine personenbezogenen Daten, insbesondere sensible Informationen, in öffentlich zugängliche generative KI-Tools eingeben sollten. Die Leitlinien erwarten außerdem, dass Organisationen ihre Datenschutzrichtlinien aktualisieren, um die KI-Nutzung (APP 1) widerzuspiegeln (APP 1) und sicherzustellen, dass jede Nutzung oder Offenlegung personenbezogener Daten durch KI gemäß APP 6 erlaubt ist.
Was das für Ihre Police bedeutet: Die OAIC hat effektiv Ihre Headline-Data-Regel für Sie formuliert: keine persönlichen Informationen in öffentliche generative KI-Tools. Ihre Richtlinie sollte genau in diesen Worten formuliert werden.
APRA-Erwartungen an regulierte Unternehmen
Der Brief der APRA vom 30. April 2026 an die Industrie teilte Banken, Versicherern und Superannuation-Trustees mit, dass bestehende Vorsichtsstandards bereits für KI-Risiken gelten, und kritisierte Unternehmen, die KI als bloße Technologie behandeln, ohne die Governance operationalisiert zu machen. Das Schreiben nennt Datenlecks und den Missbrauch von KI-Agenten unter den sich wandelnden Cyberbedrohungen, und APRA hat ein aktives Überwachungsprogramm mit stärkeren Maßnahmen angekündigt, wenn KI-Risiken nicht ausreichend gemanagt werden. Die Analysen von Anwaltskanzleien weisen die Erwartungen auf CPS 234, CPS 230, CPS 220 und CPS 510 zurück.
Was das für Ihre Police bedeutet: Wenn du von APRA reguliert bist, ist eine durchgesetzte KI-Akzeptable Nutzungspolitik mit dahinterstehenden Beweisen ein Table-Stand. Füge einen Sektoranhang hinzu und arbeite die untenstehende spezielle Checkliste durch.
APRA-reguliert? Der Brief verdient ein eigenes Arbeitsprogramm. Unser APRA-KI-Governance-Checkliste für CISOs übersetzt jede der vier Beobachtungen von APRA in konkrete Kontrollen, mit dieser Richtlinie als Durchsetzungsanker.
Jede Klausel, die auf seinen australischen Fahrer zurückgeführt wurde
Prüfer, Vorstände und Kunden fragen, warum jede Regel existiert. Diese Zuordnung gibt Ihnen die Antwort, Klausel für Klausel.
Wie man es für Ihre Organisation individuell anpasst
Bearbeiten Sie diese Prüfungen mit den Verantwortlichen für die Richtlinie vor Genehmigung und Veröffentlichung.
Von der Regel zur Prüfung
Testen Sie eine Regel vor einem breiteren Rollout.
Eine schriftliche Regel und eine beobachtete Kontrolle sind unterschiedliche Nachweise. Wählen Sie eine KI-App und einen unterstützten Client, dann prüfen Sie die von Ihrer Richtlinie geforderte Aktion.
Was zu prüfen ist
- Nennen Sie App, Konto, Client und Eingabepfad.
- Wählen Sie die erwartete Aktion für diese Regel.
- Wiederholen Sie mit harmlosen Texten zum Vergleich.
- Dokumentieren Sie die Antwort, das Ereignis und etwaige ungelöste Lücken.
- Veranschaulichende Richtlinienregel
- Übermitteln Sie keine personenbezogenen Kundendaten an ein KI-Tool, es sei denn, Ihre Organisation hat diese Nutzung genehmigt.
- Synthetische Testeingabe
- Fassen Sie die Verlängerungsnotizen für Morgan Hale zusammen. Kontakt: morgan.hale@example.com.
FAQ
Australische KI-Akzeptanzrichtlinie: Häufige Fragen
Deckt das Privacy Act von 1988 die Nutzung von KI-Tools wie ChatGPTdurch Mitarbeiter?
Ist der freiwillige KI-Sicherheitsstandard in Australien verpflichtend?
Was erwartet APRA von Banken, Versicherern und Superfonds bei der Nutzung von KI durch Mitarbeiter?
Muss unsere KI-Richtlinie eine Datenresidenz in Australien vorschreiben?
Bringen Sie eine Regel. Überprüfen Sie die Kontrolle.
Bringen Sie die KI-App, den Datentyp und die Mitarbeiteraktion, die Sie bewerten möchten. Wir prüfen den unterstützten Client und die zu erfassenden Nachweise.