Australie et IA générative : ce que l'OAIC et le Privacy Act exigent

L'Australie n'a pas de loi dédiée à l'intelligence artificielle. Ses entreprises ne sont pas pour autant dans un vide juridique. Le Privacy Act 1988 et ses treize Australian Privacy Principles (APP) s'appliquent dès qu'une donnée personnelle entre dans un outil d'IA, et l'Office of the Australian Information Commissioner (OAIC) a précisé en octobre 2024 comment il lit ces règles face à l'IA générative.

Nous avons analysé ce cadre, les réformes adoptées fin 2024 et la place particulière de deux identifiants très australiens : le Tax File Number et le numéro Medicare. Voici ce qu'il faut en retenir.

Le socle : le Privacy Act 1988 et les APP

Le Privacy Act 1988 s'applique aux agences fédérales et à la plupart des organisations privées dont le chiffre d'affaires annuel dépasse 3 millions de dollars australiens, ainsi qu'à certaines petites entreprises, notamment celles qui fournissent des services de santé. Les APP encadrent la collecte, l'usage, la communication, la qualité, la sécurité et les transferts de données personnelles.

Plusieurs principes concernent directement l'usage de l'IA :

• APP 1 et APP 5 : transparence, avec une politique de confidentialité et des notices de collecte à jour.

• APP 6 : une donnée collectée pour une finalité ne peut pas être réutilisée pour une autre sans consentement, sauf si la personne peut raisonnablement s'y attendre.

• APP 8 : responsabilité en cas de communication de données à l'étranger, fréquente avec les services d'IA hébergés hors d'Australie.

• APP 11 : mesures raisonnables pour protéger les données contre l'usage abusif, la perte et l'accès non autorisé.

Ce que dit l'OAIC sur les produits d'IA du commerce

Le 21 octobre 2024, l'OAIC a publié deux guides : l'un pour les développeurs qui entraînent des modèles, l'autre sur la vie privée et l'usage des produits d'IA disponibles dans le commerce. Ce second guide s'adresse à toutes les organisations qui déploient un chatbot, un assistant de rédaction ou un outil d'IA intégré à un logiciel existant.

Son message le plus net concerne les outils publics : l'OAIC conseille de ne pas saisir de données personnelles, et en particulier de données sensibles, dans des outils d'IA générative accessibles au public, en raison des risques importants et complexes qu'ils présentent. Le guide recommande aussi :

1. une vérification préalable du produit, de ses flux de données et de ses risques de sécurité ;

2. la minimisation des données saisies ;

3. la mise à jour des politiques de confidentialité pour expliquer quand et comment l'IA utilise les données ;

4. des analyses d'impact sur la vie privée et une gouvernance suivie dans le temps.

Les réformes de 2024 changent la donne

Le Privacy and Other Legislation Amendment Act 2024 a reçu la sanction royale le 10 décembre 2024. Il constitue la première étape d'une réforme plus large du Privacy Act. Parmi ses apports :

• une action civile pour atteinte grave à la vie privée, ouverte depuis le 10 juin 2025 ;

• de nouvelles obligations de transparence sur les décisions automatisées, applicables à partir du 10 décembre 2026 ;

• des sanctions civiles graduées et le pouvoir pour l'OAIC d'émettre directement des avis d'infraction ;

• la précision que les mesures de sécurité exigées par l'APP 11 incluent des mesures techniques et organisationnelles.

L'échéance de décembre 2026 approche. Les organisations qui utilisent des programmes informatiques pour prendre des décisions importantes concernant des personnes devront l'indiquer dans leur politique de confidentialité, que ces programmes reposent sur l'IA ou non.

TFN et numéro Medicare : deux identifiants à part

Le Tax File Number bénéficie d'un régime spécifique, la Privacy (Tax File Number) Rule 2015. Elle interdit de collecter, d'utiliser ou de communiquer un TFN en dehors des finalités prévues par les lois fiscales, sociales ou de retraite, et impose de le protéger puis de le détruire lorsqu'il n'est plus nécessaire. Coller une liste de salariés avec leur TFN dans un chatbot pour remettre en forme un fichier de paie sort clairement de ce cadre.

Le numéro Medicare est un identifiant gouvernemental, encadré par l'APP 9, et il accompagne presque toujours des informations de santé, que le Privacy Act classe parmi les données sensibles. Dans un cabinet médical, une clinique ou chez un assureur santé, il apparaît dans les courriers, les factures et les dossiers que le personnel administratif manipule chaque jour.

Où se situe le risque réel

Le scénario typique ne vient pas d'une attaque. Il vient d'un salarié pressé qui utilise un outil d'IA gratuit, souvent hors de tout contrôle, ce que l'on appelle l'IA fantôme. Une fuite de données par l'IA suit en général le même chemin : un copier-coller, un fichier joint, puis des données qui quittent l'entreprise. Avec les agents d'IA et le protocole MCP, ces flux se multiplient, ce qui justifie une couche DLP dédiée.

ZeusLock agit sur le poste et dans le navigateur, avant l'envoi. Il repère les données sensibles, y compris des identifiants comme le TFN ou le numéro Medicare, puis les anonymise en préservant leur format, avertit l'utilisateur ou bloque l'envoi selon vos règles. Chaque incident est journalisé, ce qui aide à démontrer les mesures raisonnables attendues par l'APP 11.

À retenir

• Le Privacy Act 1988 et les APP s'appliquent à toute donnée personnelle saisie dans un outil d'IA.

• L'OAIC déconseille de saisir des données personnelles, surtout sensibles, dans les outils d'IA générative publics.

• Les obligations de transparence sur les décisions automatisées s'appliquent à partir du 10 décembre 2026.

• TFN et numéros Medicare demandent une protection renforcée.

Vous voulez savoir quelles données sensibles quittent réellement vos postes vers l'IA ? Demandez une démo de ZeusLock.