Skip to main content

Artikel 12 KI-Verordnung: Aufzeichnungspflicht & Protokollierung

Artikel 12 verlangt, dass Hochrisiko-KI-Systeme Ereignisse automatisch aufzeichnen. Der Leitfaden zeigt, was Protokolle erfassen müssen, wie man sie baut und wie lange man sie aufbewahrt.

Anbieter von Hochrisiko-KI-Systemen müssen diese so bauen, dass sie Ereignisse während ihres gesamten Lebenszyklus automatisch aufzeichnen (Protokolle) (Artikel 12).

Das gilt für in der EU in Verkehr gebrachte oder in Betrieb genommene Systeme. Es gilt ab 2. Dezember 2027 (Anhang III) und ab 2. August 2028 (Anhang I). Anbieter und Betreiber (Organisationen, die das System einsetzen) müssen die Protokolle unter ihrer Kontrolle mindestens sechs Monate aufbewahren (Artikel 19 und 26 Absatz 6). Unionsrecht oder nationales Recht kann eine andere Dauer vorsehen. Geldbußen betragen bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Nächster Schritt: Listen Sie die aufzuzeichnenden Ereignisse auf.

Protokolle dienen drei Zwecken, und eine Systemart hat einen festen Mindestinhalt

Artikel 12 Absatz 2 gibt keine Feldliste vor. Er verlangt, Ereignisse aufzuzeichnen, die für drei Zwecke relevant sind, in einem Maß an Rückverfolgbarkeit, das zur Zweckbestimmung des Systems passt.

Risiken und wesentliche Änderungen erkennen

Protokollieren Sie Ereignisse, die zeigen, wann das System ein Risiko im Sinne von Artikel 79 Absatz 1 bergen kann oder wesentlich geändert wird (Artikel 12 Absatz 2 Buchstabe a).

Beobachtung nach dem Inverkehrbringen unterstützen

Protokollieren Sie Ereignisse, die der Anbieter braucht, um das System nach dem Inverkehrbringen zu beobachten (Artikel 12 Absatz 2 Buchstabe b, Artikel 72).

Überwachung durch Betreiber unterstützen

Protokollieren Sie Ereignisse, mit denen Betreiber den Betrieb des Systems überwachen können (Artikel 12 Absatz 2 Buchstabe c, Artikel 26 Absatz 5).

Mindestinhalt bei biometrischer Fernidentifizierung

Biometrische Fernidentifizierungssysteme nach Anhang III Nummer 1 Buchstabe a müssen, soweit ihre Verwendung nach Unionsrecht oder nationalem Recht zulässig ist, mindestens Folgendes protokollieren (Artikel 12 Absatz 3). Systeme, die nur bestätigen sollen, dass eine Person die ist, für die sie sich ausgibt, sind nicht erfasst. Das sind der Zeitraum jeder Nutzung, die geprüfte Referenzdatenbank, die zu einem Treffer führenden Eingabedaten und die Personen, die die Ergebnisse überprüft haben.

Die Verordnung schreibt kein Protokollformat vor; diese Praktiken passen zu ihren Zielen

Artikel 12 nennt weder ein Protokollformat noch eine Speichertechnik. Die folgenden drei Praktiken sind übliche technische Entscheidungen.

Strukturierte Felder

Schreiben Sie jedes Ereignis als JSON mit stets denselben Feldern: Zeitstempel, Ereignistyp, System-ID, Trace-ID und eine Zusammenfassung von Ein- und Ausgabe.

Nur anfügbarer Speicher

Speichern Sie Protokolle dort, wo sie nachträglich niemand ändern kann, zum Beispiel mit S3 Object Lock. Weder Artikel 12 noch Artikel 19 verlangt das; es schützt die Protokolle als Beweismittel.

Trace-IDs

Versehen Sie jeden Protokolleintrag einer Anfrage mit derselben Trace-ID, damit Sie ein Ereignis durch die gesamte KI-Pipeline verfolgen können.

Anbieter und Betreiber bewahren Protokolle mindestens sechs Monate auf, sofern anderes Recht nichts anderes vorsieht

Die Mindestdauer von sechs Monaten gilt für Protokolle unter Ihrer Kontrolle. Unionsrecht oder nationales Recht, insbesondere das Datenschutzrecht, kann eine andere Dauer vorsehen. Das Unionsrecht über Finanzdienstleistungen stellt Anforderungen an interne Unternehmensführung, Regelungen und Verfahren von Finanzinstituten. Diese führen die Protokolle als Teil der nach diesem Recht geführten Dokumentation (Artikel 19 Absatz 2 und Artikel 26 Absatz 6).

Anbieter: mindestens 6 Monate

Bewahren Sie die von Ihrem Hochrisiko-KI-System erzeugten Protokolle auf, soweit sie Ihrer Kontrolle unterliegen. Der Zeitraum muss zur Zweckbestimmung passen und beträgt mindestens sechs Monate, sofern das Unionsrecht oder das nationale Recht nichts anderes vorsieht (Artikel 19 Absatz 1).

Betreiber: mindestens 6 Monate

Bewahren Sie die vom System erzeugten Protokolle auf, soweit sie Ihrer Kontrolle unterliegen. Der Zeitraum muss zur Zweckbestimmung passen und beträgt mindestens sechs Monate, sofern das Unionsrecht oder das nationale Recht nichts anderes vorsieht (Artikel 26 Absatz 6).

Artikel 12 gilt nur für Hochrisiko-KI-Systeme

Ein System ist hochriskant, wenn es in einen Bereich von Anhang III fällt, sofern keine Ausnahme nach Artikel 6 Absatz 3 greift. Ein System, das natürliche Personen profiliert, ist immer hochriskant. Hochriskant ist ein System auch, wenn es ein Produkt aus Anhang I ist oder dessen Sicherheitsbauteil und eine Konformitätsbewertung durch Dritte braucht (Artikel 6). Anbieter sind erfasst, wenn sie ein System in der EU in Verkehr bringen oder in Betrieb nehmen, gleichgültig, wo sie niedergelassen sind (Artikel 2 Absatz 1 Buchstabe a). Anbieter und Betreiber in Drittländern sind auch erfasst, wenn die Ausgabe des Systems in der EU verwendet wird (Artikel 2 Absatz 1 Buchstabe c). Hochrisiko-Systeme, die zu Produkten nach den Rechtsvorschriften in Anhang I Abschnitt B gehören, fallen nicht unter Artikel 12 (Artikel 2 Absatz 2). Für Produkte nach Anhang I Abschnitt A können einzelne Anforderungen eingeschränkt werden (Artikel 2 Absatz 13). Das betrifft die Artikel 9 bis 15 und 17 bis 25, wenn das Fachrecht ein gleichwertiges oder höheres Schutzniveau bietet. Delegierte Rechtsakte, die bis zum 2. August 2027 erlassen werden, legen fest, welche. Ausgenommen sind militärische, Verteidigungs- und nationale Sicherheitszwecke, Systeme, die allein für die wissenschaftliche Forschung entwickelt wurden, sowie Forschung und Tests vor dem Inverkehrbringen (Artikel 2 Absätze 3, 6 und 8). Systeme, die schon vor dem Geltungsbeginn in Verkehr gebracht oder in Betrieb genommen wurden, sind nur nach erheblichen Konzeptionsänderungen erfasst. In jedem Fall treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, die erforderlichen Maßnahmen zur Einhaltung bis zum 2. August 2030 (Artikel 111 Absatz 2).

Häufige Fragen: vorhandene Protokolle, DSGVO und Geldbußen

Kann ich meine vorhandene Protokollierung nutzen?

Ja, wenn sie Artikel 12 erfüllt. Das Hochrisiko-KI-System muss die automatische Aufzeichnung von Ereignissen für die drei Zwecke nach Artikel 12 Absatz 2 technisch ermöglichen. Protokolle unter Ihrer Kontrolle müssen mindestens sechs Monate aufbewahrt werden, sofern das Unionsrecht oder das nationale Recht nichts anderes vorsieht. Prüfen Sie Ihre bisherigen Protokolle anhand dieser drei Zwecke und der Aufbewahrungsdauer.

Widerspricht Artikel 12 der Datenminimierung der DSGVO?

Artikel 12 nennt keine Felder mit personenbezogenen Daten, außer der Identifizierung der Personen, die bei biometrischen Fernidentifizierungssystemen die Ergebnisse überprüfen (Artikel 12 Absatz 3 Buchstabe d). Die Aufbewahrungspflicht weicht dem Datenschutzrecht, wenn dieses etwas anderes vorsieht (Artikel 19 Absatz 1 und Artikel 26 Absatz 6). Protokollieren Sie, wenn der Zweck es erlaubt, Kennungen und Ereignis-Metadaten statt personenbezogener Rohdaten. Welche personenbezogenen Daten ein Protokoll enthalten darf, ist eine DSGVO-Frage für Ihren Datenschutzbeauftragten oder Ihre Rechtsberatung.

Welche Geldbußen drohen, und gilt für KMU eine niedrigere Obergrenze?

Bei Anbietern (Artikel 16) und Betreibern (Artikel 26) betragen die Geldbußen bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Für KMU, einschließlich Start-ups, und kleine Midcap-Unternehmen gilt als Obergrenze der niedrigere der beiden Beträge (Artikel 99 Absätze 6 und 6a). Die Mitgliedstaaten legen die Sanktionsregeln fest (Artikel 99 Absatz 1).

Als Nächstes lesen: Beobachtung nach dem Inverkehrbringen, Betreiberpflichten und Audit-Trails

Scanara bereitet Nachweise aus Ihren Repositorien vor

Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.