Protokollierung und Aufzeichnung: was verlangt Artikel 12 der KI-Verordnung?

Kurze Antwort: Artikel 12 der KI-Verordnung verpflichtet Anbieter, Hochrisiko-KI-Systeme technisch so zu bauen, dass sie während ihrer Lebensdauer automatisch Ereignisse aufzeichnen (Logs). Diese Logs müssen es ermöglichen, riskante Situationen zu erkennen, das System nach dem Inverkehrbringen zu überwachen und den Betrieb im Nachhinein zu rekonstruieren. Protokollierung ist kein optionales Audit-Feature, sondern eine Designpflicht.

Warum Protokollierung verpflichtend ist

Ein Hochrisiko-System kann in der Praxis anders abschneiden als im Test. Logs liefern die objektive Spur, um das zu erkennen: sie ermöglichen es, Situationen aufzudecken, die zu einem Risiko oder einer wesentlichen Änderung führen können, das System zu überwachen (Beobachtung nach dem Inverkehrbringen) und bei einem Vorfall zu untersuchen, was genau geschah. Ohne Logs ist menschliche Aufsicht im Nachhinein blind.

Was die Logs mindestens enthalten müssen

Die Protokollierungsfunktionen müssen zum Zweck des Systems passen. Für bestimmte Systeme — etwa biometrische Fernidentifizierung — nennt Artikel 12 ausdrücklich:

• den Zeitraum jeder Nutzung (Beginn- und Endzeit, Datum);
• die Referenzdatenbank, gegen die Eingabedaten abgeglichen wurden;
• die Eingabedaten, für die die Abfrage einen Treffer ergab;
• die Identifizierung der Personen, die an der Überprüfung der Ergebnisse beteiligt waren (siehe das Vier-Augen-Prinzip in Artikel 14).

Für andere Hochrisiko-Systeme gilt die allgemeine Norm: zeichnen Sie auf, was nötig ist, um Risiken, Überwachung und Rückverfolgbarkeit zu unterstützen.

Aufbewahren, schützen und nutzen

Der Anbieter baut die Logfunktion ein; der Betreiber bewahrt die erzeugten Logs anschließend auf, soweit sie seiner Kontrolle unterliegen. Die KI-Verordnung nennt eine Richtfrist von mindestens sechs Monaten, sofern andere Regeln (etwa Datenschutz) nichts anderes vorschreiben. Beachten Sie: Logs können personenbezogene Daten enthalten, daher gilt die DSGVO uneingeschränkt — begrenzen Sie, was Sie aufzeichnen, sichern Sie die Speicherung und regeln Sie den Zugang.

Was zu tun ist

• Bestimmen Sie, welche Ereignisse Sie protokollieren auf Basis des Zwecks und der Risiken des Systems.
• Zeichnen Sie Zeitstempel, Eingaben und relevante Entscheidungsmomente auf, sodass eine Nutzung rekonstruierbar ist.
• Legen Sie eine Aufbewahrungsfrist fest (mindestens sechs Monate oder länger, wo das Gesetz es verlangt) und automatisieren Sie die anschließende Bereinigung.
• Sichern Sie die Logs gegen Änderung und unbefugten Zugriff; behandeln Sie sie als sensible Daten.
• Beschreiben Sie die Logfunktion in der Betriebsanleitung, sodass der Betreiber weiß, was er aufbewahren muss.
• Verarbeiten Sie Protokollierung in Ihrem KI-Governance-Rahmenwerk und halten Sie die Zeitleiste der Pflichten ein.

Protokollierung ist eine feste Anforderung aus der Übersicht der Hochrisiko-Pflichten und wird bei der Konformitätsbewertung und CE-Kennzeichnung geprüft. Was Sie nicht aufzeichnen, können Sie später nicht nachweisen.