Australien hat am 31. August 2026 einen Gesetzentwurf für eine zweite große Reformstufe des Privacy Act veröffentlicht. Der Vorschlag sieht einen Fairness- und Angemessenheitstest für den Umgang mit personenbezogenen Informationen, stärkere Einwilligungsanforderungen, ein Recht auf Löschung in bestimmten Fällen und Einschränkungen für den Handel mit personenbezogenen Informationen ohne klare Erlaubnis vor. Die Regierung verbindet das Paket ausdrücklich mit Risiken durch künstliche Intelligenz und datenintensive Geräte wie Smart Glasses und vernetzte Fahrzeuge.
Die Konsultation läuft bis zum 18. September. Der Entwurf ist noch kein geltendes Recht. Dieser Status ist wesentlich: Organisationen unterliegen noch keiner neuen Pflicht aus diesem Entwurf, können aber bereits erkennen, welche Richtung und welche Nachweislast die Regierung erwägt.
Was die australische Regierung vorschlägt
Die Mitteilung des Attorney-General nennt vier zentrale Maßnahmen:
- einen Fairness- und Angemessenheitstest gegen übermäßige Erhebung oder unerwartete Nutzung personenbezogener Informationen;
- ein Recht auf Löschung, mit dem Personen bestimmte große digitale Plattformen zur Vernichtung personenbezogener Informationen auffordern könnten;
- stärkere Einwilligungsstandards für informierte Entscheidungen statt versteckter Bedingungen oder alternativloser Zustimmung; und
- Beschränkungen für Kauf und Verkauf personenbezogener Informationen ohne klare Erlaubnis, darunter Interessen, Einkaufsgewohnheiten und Standortdaten.
Das Konsultationspaket betrifft mehr als KI. Es behandelt den Datenschutz in digitalen Diensten und Technologien insgesamt. KI ist relevant, weil viele Systeme personenbezogene Informationen in großem Umfang erheben, ableiten, verbinden oder für Handlungen nutzen. Die Regierung nennt vernetzte Fahrzeuge und Smart Glasses als Beispiele für Technik, die Informationen fortlaufend erfassen und verarbeiten kann.
Der Vorschlag folgt auf die Reformstufe von 2024. Transparenzpflichten für automatisierte Entscheidungen aus diesem früheren Gesetz sollen am 10. Dezember 2026 wirksam werden. Der neue Entwurf ist eine getrennte Konsultation und darf nicht als bereits geltende Erweiterung dieser Pflichten dargestellt werden.
Warum der Fairness- und Angemessenheitstest für KI wichtig ist
Einwilligung allein ist eine schwache Kontrolle, wenn ein Dienst sich auf lange Datenschutzhinweise stützt oder verschiedene Zwecke in einer einzigen Auswahl bündelt. Der geplante Test würde eine objektivere Beurteilung der Erhebung, Nutzung und Offenlegung personenbezogener Informationen verlangen.
Laut IAPP-Analyse sollen Organisationen Sensibilität, berechtigte Erwartungen, vorhersehbare Schäden und die Verhältnismäßigkeit der Datenpraxis zum Zweck berücksichtigen. Für ein KI-System sollte die Prüfung die gesamte Betriebskette abdecken:
| Kontrollfrage | Aufzubewahrender Nachweis |
|---|---|
| Welche personenbezogenen Informationen gelangen ins System? | Dateninventar, Quelle, Klassifizierung und Erhebungskontext |
| Was leitet oder erzeugt das Modell? | Ergebniskategorien, Evaluationen und bekannte Grenzen |
| Welcher Zweck trägt die Nutzung? | Zweckbeschreibung, rechtliche Analyse und Produktentscheidung |
| Wer erhält Daten oder Ergebnisse? | Auftragsverarbeiter, Werkzeuge, Empfänger und Übertragungsprotokolle |
| Kann sich die Nutzung ändern? | Modellversion, Prompt- oder Richtlinienänderung und Prüfauslöser |
| Kann eine Person ein Recht ausüben? | Antragsablauf, Identitätsprüfung, Ausnahmen und Abschlussnachweis |
Für Agenten ist das besonders wichtig. Ein Agent kann personenbezogene Informationen abrufen, mit anderen Quellen verbinden, eine Handlung auswählen und das Ergebnis an ein weiteres System senden. Ein Datenschutzverzeichnis, das nur das Modell beschreibt, übersieht Werkzeuge, verbundene Daten und externe Wirkungen.
Was Teams während der Konsultation tun können
Organisationen müssen den Entwurf nicht als endgültig behandeln, um sich sinnvoll vorzubereiten. Eine Bereitschaftsprüfung kann ausdrücklich vorläufig bleiben:
- KI-Datenwege inventarisieren. Modelle, Agenten, Repositories, verbundene Werkzeuge, Datenkategorien, Empfänger und Verantwortliche erfassen.
- Erhebung und Ableitung trennen. Dokumentieren, was eine Person bereitgestellt hat und was das System abgeleitet, bewertet oder erzeugt hat.
- Berechtigte Erwartungen prüfen. Fragen, ob eine Person diese konkrete Nutzung in diesem Kontext erwarten würde, nicht nur ob ein Hinweis KI erwähnt.
- Einwilligung mit dem Zweck verbinden. Genauen Hinweis, Auswahl, Umfang, Zeitpunkt und Widerrufsweg bewahren.
- Löschabläufe entwerfen. Kopien, abgeleitete Datensätze, Modelleingaben, Protokolle, Backups, Auftragsverarbeiter und rechtmäßige Ausnahmen erfassen.
- Beurteilung versionieren. Bei Änderungen an Datenquellen, Modellen, Werkzeugen, Zwecken oder Empfängern neu prüfen.
Maetras Leitfaden zum KI-Systeminventar verbindet Systeme mit Verantwortlichen und Datenzugriff. Die Checkliste für KI-Compliance-Nachweise strukturiert Anforderungen, Kontrollen, Nachweise und Aktualität.
Was ungewiss bleibt
Die Konsultation kann sich ändern, bevor ein Gesetz ins Parlament gelangt. Endgültiger Anwendungsbereich, Definitionen, Ausnahmen, Durchsetzung und Übergangsfristen lassen sich nicht allein aus der Mitteilung ableiten. Die Regierung fragt regulierte Unternehmen, Zivilgesellschaft, Wissenschaft und weitere Beteiligte, wie die Maßnahmen praktisch funktionieren sollten.
Auch das vorgeschlagene Recht auf Löschung bedeutet nicht, dass jeder Datensatz stets gelöscht werden müsste. Eine spätere Pflicht würde vom verabschiedeten Wortlaut, den erfassten Organisationen und Daten sowie möglichen Ausnahmen abhängen. Dieselbe Vorsicht gilt für Einwilligung und Beschränkungen des Datenhandels.
Maetra-Analyse
Das operative Signal geht über einen allgemeinen Ruf nach besserem Datenschutz hinaus. Der Entwurf weist auf Nachweise, die einer objektiven Prüfung standhalten: ein bekannter Datenweg, ein definierter Zweck, eine verhältnismäßige Nutzung, ein verantwortlicher Eigentümer und ein funktionierender Weg zur Ausübung individueller Rechte.
Für KI-Agenten sollte dieser Nachweis auch Fähigkeiten und Wirkungen erfassen. Teams müssen wissen, welcher Agent auf welche Daten zugriff, unter welcher Aufgabe, welches Werkzeug er aufrief, was das System verließ und welche Richtlinienversion die Handlung steuerte. Diese Evidenz unterstützt heutige Datenschutzprüfungen und erleichtert spätere Gesetzesänderungen, ohne das System nachträglich rekonstruieren zu müssen.