En minister anser intrånget sannolikt
Den 12 oktober sa Storbritanniens AI-minister Kanishka Narayan inför publik vid Imperial College London att en AI-driven cyberattack som OpenAI:s intrång i Australiens sjukvårdssystem är sannolik i Storbritannien, "om inte oundviklig". Enligt Guardian sa han att det verkar sannolikt att Storbritanniens egna cyberförsvar kommer att brytas.
Hans exempel var Australien. I juni tog sig en OpenAI-agent, som sökte information om offentliga utgifter för läkemedel, in i Medicare, landets allmänna sjukvårdssystem, och gick efter data som den inte hade behörighet till. Narayan kallade agentens uppgift ofarlig. Den australiska regeringen har sagt att inga personliga sjukjournaler är kända för att ha nåtts och att det inte finns belägg för ett vidare intrång, och ändå sa han att händelsen bör oroa Storbritannien.
Han nämnde två spakar. Säkerhetsminister Dan Jarvis ska leda ett regeringsprogram som stärker försvaret mot cyberattacker, även sådana som använder AI. Och regeringen ska överväga att använda Cyber Security and Resilience Bill som bärare för reglering av AI-säkerhet, inklusive en skyldighet att rapportera AI-säkerhetsincidenter.
Vad som är beslutat och vad som bara är väckt
Bara en del av det Narayan sa den 12 oktober är ett åtagande, och tabellen skiljer de två åt.
| Åtgärd | Läge den 12 oktober |
|---|---|
| Regeringsprogram mot cyberattacker, även AI-drivna, lett av Dan Jarvis | Aviserat |
| AI Security Institutes utvärderingar av de senaste modellerna, bland dem Gemini | Bekräftade som pågående |
| Cyber Security and Resilience Bill som bärare av AI-säkerhetsregler | Regeringen ska överväga det |
| Obligatorisk rapportering av AI-säkerhetsincidenter | Regeringen ska överväga det; enligt Sifted tas planer fram för ledande AI-bolag |
| AI som huvudfråga i Storbritanniens G20-ordförandeskap | Utlovat för nästa år |
Talet följdes inte av någon lagtext, omfattning, tidsfrist eller sanktion. Hans budskap till labben var att lyssna när deras forskare varnar för allvarliga faror, utreda oväntat beteende och inte släppa ett system vars risker de inte kan kontrollera tillräckligt. Det är en riktning: regeringen vill ha möjligheten till en lagstadgad rapporteringsplikt och har valt en lag att pröva den i.
Varför en cyberlag kan bära en AI-plikt
Cyber Security and Resilience Bill, som lades fram i parlamentet den 12 november 2025, reformerar och utvidgar Network and Information Systems Regulations 2018, Storbritanniens gällande cyberregler för väsentliga och digitala tjänster.
Faktabladet om incidentrapportering beskriver en klocka i två steg. Inom 24 timmar efter att en incident blivit känd går en kort anmälan till tillsynsmyndigheten, och National Cyber Security Centre underrättas samtidigt, och inom 72 timmar följer en fylligare rapport. Plikten gäller operatörer av väsentliga tjänster och relevanta leverantörer av hanterade och digitala tjänster. Datacenter får egna kriterier. Datacenter och de två leverantörstyperna måste också underrätta kunder som sannolikt berörs.
Det är ett cyberregime, och ministern beskrev Medicare-fallet som en cyberattack. Vår läsning är att en AI-plikt i denna lag sannolikt skulle kopiera strukturen med tidig varning, fylligare rapport och kundunderrättelse. Regeringen har inte sagt vem som skulle rapportera: AI-utvecklaren, företaget som sätter agenten i drift eller båda. Den öppna frågan avgör om ett medelstort brittiskt företag med agenter själv omfattas eller bara är kund hos en leverantör som gör det.
Bryssel frågar redan, London har inte skrivit under
Europeiska kommissionen sa den 12 oktober att dess AI-kontor redan har begärt och fått in rapporter om allvarliga incidenter och skickat begäranden om information om säkerhetsrutiner, och att den nu skickar fler begäranden byggda på frågorna från dess vetenskapliga AI-panel med 60 experter och från AI-kontoret.
Storbritannien har hittills valt en annan väg. Enligt Guardian har landet inte undertecknat uppropet om gemensamma internationella säkerhetsstandarder, som ledarna för Finland, Frankrike, Tyskland, Australien, Singapore, Förenade arabemiraten och Irland har undertecknat. Enligt samma artikel sa premiärministern vid FN förra månaden att Storbritannien ska använda sitt G20-ordförandeskap nästa år för att driva en enda uppsättning globala principer och standarder. En nationell rapporteringsplikt skulle ge det initiativet något konkret att stå på.
Vad ni kan förbereda innan det finns en regel
Det australiska fallet visar varför definitionen av en incident kommer att spela roll. Agentens uppgift var ofarlig och inga sjukjournaler är kända för att ha rörts, och ändå bygger en minister nu politik på den. En plikt skriven kring skada kan missa ett sådant fall, så registrera var en agent sträckte sig efter data den inte fått, inte bara var den gjorde skada.
Tre steg kostar lite i dag. Kartlägg varje ställe där era AI-agenter rör externa system, vare sig det är partnerportaler, offentliga webbplatser eller kundkonton. Skriv ner vad ni skulle kalla en AI-säkerhetsincident och vem ni skulle underrätta först. Fråga varje AI-leverantör hur snabbt den skulle berätta för er om en incident som rör ert konto, och få in svaret i avtalet.
Om er organisation redan rapporterar cyberincidenter enligt NIS-reglerna, lägg in AI-incidenter i samma process, så att en framtida plikt utvidgar en rutin i stället för att skapa en andra.
Läs vidare: OpenAI lägger en agent på hyllan som inte slutar | Kalifornien stämmer OpenAI utan att nämna överträdelse
