Audit-Trail-Anforderungen der KI-Verordnung

• Artikel 12 Absatz 1: Das System muss Ereignisse automatisch aufzeichnen können

  Die Technik eines Hochrisiko-KI-Systems muss die automatische Aufzeichnung von Ereignissen (Protokollierung) während seines Lebenszyklus ermöglichen.

• Artikel 12 Absatz 2: Protokolle dienen drei Zwecken

  Die Protokollierung muss Ereignisse aufzeichnen können, die relevant sind für die Ermittlung von Risikosituationen (Artikel 79 Absatz 1) oder wesentlichen Änderungen, für die Beobachtung nach dem Inverkehrbringen (Artikel 72) und für die Überwachung des Betriebs durch Betreiber (Artikel 26 Absatz 5). Die Verordnung nennt keine Ereignisarten.

• Artikel 12 Absatz 3: Für biometrische Fernidentifizierung gilt ein Mindestumfang

  Biometrische Fernidentifizierungssysteme (Anhang III Nummer 1 Buchstabe a) müssen mindestens den Zeitraum jeder Verwendung, die geprüfte Referenzdatenbank, die zu einem Treffer führenden Eingabedaten und die Personen protokollieren, die das Ergebnis überprüft haben.

• Artikel 19 Absatz 1: Anbieter bewahren Protokolle mindestens sechs Monate auf

  Anbieter bewahren die automatisch erzeugten Protokolle auf, soweit diese ihrer Kontrolle unterliegen. Der Zeitraum passt zur Zweckbestimmung und beträgt mindestens sechs Monate, sofern Unionsrecht, insbesondere zum Schutz personenbezogener Daten, oder nationales Recht nichts anderes vorsieht. Anbieter, die Finanzinstitute sind, bewahren die Protokolle als Teil ihrer Dokumentation nach dem Finanzdienstleistungsrecht auf (Artikel 19 Absatz 2).

• Artikel 26 Absatz 6: Betreiber bewahren Protokolle mindestens sechs Monate auf

  Ein Betreiber ist eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet (Artikel 3 Nummer 4). Betreiber bewahren die vom System erzeugten Protokolle auf, soweit diese ihrer Kontrolle unterliegen. Der Zeitraum passt zur Zweckbestimmung und beträgt mindestens sechs Monate, sofern Unionsrecht oder nationales Recht nichts anderes vorsieht. Betreiber, die Finanzinstitute sind, bewahren die Protokolle als Teil der Dokumentation auf, die sie nach dem Unionsrecht über Finanzdienstleistungen zur internen Unternehmensführung aufbewahren.

• Artikel 21 Absatz 2: Behörden können Zugang zu den Protokollen verlangen

  Auf begründete Anfrage einer zuständigen Behörde gewähren Anbieter Zugang zu den automatisch erzeugten Protokollen, soweit diese ihrer Kontrolle unterliegen.

• Nicht in der Verordnung: Protokollformat, Unveränderbarkeit, Hash-Ketten, Speicherregion

  Die Artikel 12, 19 und 26 Absatz 6 nennen kein Protokollformat, keinen einmal beschreibbaren Speicher, keine Hash-Kette und keine Speicherregion. Die Wörter „unveränderbar“, „manipulationssicher“ und „Hash“ kommen in der konsolidierten Verordnung vom 27. Juli 2026 nicht vor. Solche Maßnahmen schützen Protokolle als Beweismittel; sie sind Ihre eigene Entwurfsentscheidung.

Die Verordnung spricht von Protokollen, nicht von Audit-Trails. Ein Audit-Trail sind hier Protokolle, die als Nachweis aufbewahrt werden. Diese Praktiken dienen den Zielen der Artikel 12 und 19; die Verordnung verlangt sie nicht.

• Strukturierte Ereignisse

  Schreiben Sie jedes Ereignis als JSON mit immer denselben Feldern, damit Sie es abfragen können. Das Beispiel unten zeigt ein mögliches Schema.

{
  "event_type": "AI_DECISION",
  "timestamp": "2026-10-22T14:22:33.456Z",
  "trace_id": "abc-123-def-456",
  "system_id": "credit-scoring-v2",
  "actor_id": "user-789",
  "metadata": {
    "model_version": "v2.3.1",
    "input_hash": "sha256:a1b2c3...",
    "decision": "refer_to_human"
  }
}

• Nur anhängen, getrennt speichern

  Speichern Sie Protokolle dort, wo sie nachträglich niemand ändern kann, zum Beispiel in einem einmal beschreibbaren Objektspeicher außerhalb der Anwendungsdatenbank. Protokolle in der Anwendungsdatenbank können deren Administratoren ändern oder löschen.

• Integritätsprüfung

  Verketten Sie Einträge per Hash oder sperren Sie die gespeicherten Objekte, und prüfen Sie sie regelmäßig. So können Sie zeigen, dass gespeicherte Protokolle unverändert sind.

• Trace-IDs

  Reichen Sie eine Trace-ID durch jeden Dienst und tragen Sie sie in jeden Eintrag ein. So verfolgen Sie eine einzelne Anfrage durch die gesamte KI-Pipeline.

• Pseudonyme Kennungen

  Protokollieren Sie, soweit der Zweck es zulässt, undurchsichtige IDs und Ereignismetadaten statt Namen oder E-Mail-Adressen. Welche personenbezogenen Daten ein Protokoll enthalten darf, ist eine DSGVO-Frage für Ihre Datenschutzbeauftragte oder Ihren Rechtsbeistand.

• Schreiben ohne Blockade

  Senden Sie Ereignisse an eine Warteschlange und wiederholen Sie bei Fehlern, damit ein fehlgeschlagener Schreibvorgang die Anwendung nicht lahmlegt.

• Abfrage und Export

  Machen Sie Protokolle nach Zeit, Ereignisart und System filterbar. So können Sie eine begründete Anfrage einer Behörde nach Artikel 21 Absatz 2 beantworten und Ihre eigene Überwachung betreiben.

Die Code-Regeln von Scanara markieren KI-Operationen ohne erkennbare Protokollierungsmuster. Die Prüfungen sind regelbasierte statische Analyse, die Standardmuster gängiger ML-Frameworks erkennt; die Zuverlässigkeit hängt von der Stufe der Programmiersprache ab. Scanara führt außerdem ein einmal beschreibbares Protokoll der Aktionen in der Plattform, und Sie können Scans jederzeit erneut ausführen.

Scanara beobachtet Ihr laufendes System nicht, prüft weder Inhalt noch Vollständigkeit seiner Protokolle und zeigt nicht, dass Artikel 12 erfüllt ist. Ein bestandener Scan ist kein Nachweis der Konformität; die Entscheidung bleibt bei Ihnen.

• KI-Verordnung-Compliance in Ihrer CI/CD-Pipeline

  Was die Verordnung verlangt und eine CI/CD-Pipeline belegen kann, drei Pipeline-Stufen, wie das GitHub Merge Gate von Scanara funktioniert und wo regelbasierte Scans enden.

• Compliance as Code für KI-Systeme

  Wie Compliance as Code für die Artikel 9 bis 15 funktioniert: was eine Regel prüfen kann, was bei einem Menschen bleibt und was die regelbasierten Scans von Scanara abdecken und was nicht.

• Artikel 12 KI-Verordnung: Aufzeichnungspflicht & Protokollierung

  Artikel 12 verlangt, dass Hochrisiko-KI-Systeme Ereignisse automatisch aufzeichnen. Der Leitfaden zeigt, was Protokolle erfassen müssen, wie man sie baut und wie lange man sie aufbewahrt.

• Artikel 72: Beobachtung nach dem Inverkehrbringen

  Artikel 72 der KI-Verordnung (Post-Market-Monitoring): was Anbieter von Hochrisiko-KI-Systemen nach dem Inverkehrbringen beobachten müssen, der Plan, Fristen für schwerwiegende Vorfälle und Geldbußen.