联邦《1988 年隐私法》（Privacy Act 1988 (Cth)）里并没有专门的“AI 章节”。现有规则只是同样适用于一种新工具而已。这是好消息，因为大多数机构已经了解基本要求；这也是坏消息，因为当聊天机器人只隔一个浏览器标签页时，这些基本要求很容易被抛在脑后。
本指南介绍对小型医疗、法律或其他专业机构最重要的部分。
首先：该法适用于您吗？
年营业额在 300 万澳元或以下的企业，大多可以豁免《隐私法》。但也有重要的例外，对我们的读者来说最关键的一条是：任何提供医疗服务并持有健康信息的机构，无论规模大小，都受该法约束。一家只有两位医生的全科诊所、一位理疗师或一位独立执业的心理学家，都必须遵守澳大利亚隐私原则（APP）。
维多利亚州的医疗服务提供者还须遵守维多利亚州《2001 年健康记录法》（Health Records Act 2001 (Vic)）及其健康隐私原则（Health Privacy Principles），内容与 APP 大体相近。营业额低于门槛的律师事务所可能不受《隐私法》约束，但绝不会因此免除其职业保密义务。
与 AI 相关的原则
| 原则 | 大致内容 | 与 AI 的关联 |
|---|---|---|
| APP 1 | 以公开透明的方式管理个人信息，并制定清晰的隐私政策。 | 如果您用 AI 处理个人信息，隐私政策中应当写明。 |
| APP 3 和 5 | 只收集所需的信息，并告知当事人。 | AI 病历记录助手（AI scribe）和语音转写工具会收集大量内容，包括随口提到的事情。 |
| APP 6 | 仅为收集目的使用和披露信息，例外情形有限。 | 把患者档案发送给第三方 AI 服务商，就构成一次披露。 |
| APP 8 | 向海外发送信息前须采取合理措施；您可能仍需为其承担责任。 | 大多数面向个人用户的 AI 工具都在境外处理数据。 |
| APP 10 | 采取合理措施确保信息准确。 | AI 的输出可能错得理直气壮，必须有人核对。 |
| APP 11 | 保护信息免遭滥用和未经授权的访问，并在不再需要时予以销毁。 | 个人账户里的聊天记录很难保护，也很难删除。 |
OAIC 怎么说
2024 年 10 月，澳大利亚信息专员办公室（OAIC）发布了两份指引：一份关于使用商用 AI 产品，另一份面向训练生成式 AI 模型的开发者。对专业机构而言，相关的是第一份。其要点大意如下：
- 隐私义务既适用于您输入 AI 工具的个人信息，也适用于工具生成的个人信息。
- 作为最佳做法，不要将个人信息，尤其是健康信息等敏感信息，输入公开可用的生成式 AI 工具。
- 在用任何 AI 产品处理个人信息之前，先做好尽职调查，包括数据存放在哪里、是否会被用于训练。
- 对信息所涉及的当事人保持透明。
这份指引值得通读。它篇幅不长、注重实操，是写给机构而不是写给律师看的。
2024 年的改革
《2024 年隐私及其他法律修正法》（Privacy and Other Legislation Amendment Act 2024）是一项长期全面改革的第一阶段。其中有两部分值得了解：
- 针对严重侵犯隐私的法定侵权诉因，已于 2025 年 6 月生效。个人现在可以就严重的、故意或轻率的隐私侵犯（包括滥用信息）直接提起诉讼。
- 自动化决策的透明度要求，将于 2026 年 12 月起实施。如果使用计算机程序作出或实质性协助作出对个人有重大影响的决定，您的隐私政策需要说明涉及哪些类型的个人信息和决定。
第二阶段改革已在酝酿之中。取消或收窄小企业豁免的讨论已持续多年；目前尚无定论，但指望这项豁免永远存在并不明智。
简短清单
- 列出正在使用的 AI 工具，无论是否获批。
- 逐一弄清数据去了哪里、保留多久、是否用于训练模型。
- 决定哪些类型的信息可以放进哪个工具，并形成书面规定。
- 更新您的隐私政策，并视情况更新给患者或客户的告知信息。
- 确保在依赖 AI 输出之前，由具备资质的人员进行审核。
- 自动化决策规则生效时，重新检视上述各项。
本文仅为一般信息，不构成法律建议，文中所述法律也可能发生变化。关于您自身的义务，请咨询隐私法律师或查阅 OAIC 网站。
