Artikel 12 für Fintech-KI: Aufzeichnungspflichten und Protokolle

Artikel 12 legt eine Konzeptionspflicht für den Anbieter fest. Die Aufbewahrung der Protokolle ist eine eigene Pflicht, die in den Zeilen unten dargestellt ist.

• Art. 12(1)
  Automatische Aufzeichnung von Ereignissen über den Lebenszyklus

  Die Technik von Hochrisiko-KI-Systemen muss die automatische Aufzeichnung von Ereignissen (Protokollierung) während des Lebenszyklus des Systems ermöglichen.

• Art. 12(2)
  Rückverfolgbarkeit, die der Zweckbestimmung angemessen ist

  Die Protokollierungsfunktionen müssen ein der Zweckbestimmung angemessenes Maß an Rückverfolgbarkeit des Funktionierens des Systems gewährleisten. Sie müssen die Aufzeichnung von Ereignissen ermöglichen, die für drei Zwecke relevant sind. Erstens: die Ermittlung von Situationen, die dazu führen können, dass das System ein Risiko im Sinne von Artikel 79 Absatz 1 birgt oder dass es zu einer wesentlichen Veränderung kommt. Zweitens: die Erleichterung der Beobachtung nach dem Inverkehrbringen (Artikel 72). Drittens: die Überwachung des Betriebs des Systems (Artikel 26 Absatz 5).

• Art. 12(3)
  Mindestinhalt der Protokolle: nur bei biometrischer Fernidentifizierung

  Artikel 12 Absatz 3 listet den Mindestinhalt der Protokolle für die Hochrisiko-KI-Systeme in Anhang III Nummer 1 Buchstabe a auf (biometrische Fernidentifizierung). Er gilt nicht für Systeme zur Bonitätsbewertung oder zur Versicherungspreisbildung, für die die Verordnung keine Mindestfelder für Protokolle nennt.

Artikel 12 gilt nur für Hochrisiko-KI-Systeme. Die folgenden Zeilen zeigen, wo Fintech-KI hochriskant wird und wer die Protokolle aufbewahrt.

• Fintech ist in der Verordnung keine Kategorie

  Die Verordnung kennt keine Fintech-Kategorie. Diese Website verwendet das Wort für KI, die über zwei Verwendungen in Anhang III Nummer 5 unter die Verordnung fällt. Nummer 5 Buchstabe b erfasst KI-Systeme, die bestimmungsgemäß für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen verwendet werden sollen. Ausgenommen sind KI-Systeme, die zur Aufdeckung von Finanzbetrug verwendet werden. Nummer 5 Buchstabe c erfasst KI-Systeme, die bestimmungsgemäß für die Risikobewertung und Preisbildung in Bezug auf natürliche Personen im Fall von Lebens- und Krankenversicherungen verwendet werden sollen. Nummer 5 nennt weder die Betrugsaufdeckung noch Geldwäsche- oder Know-your-Customer-Prüfungen, weder den algorithmischen Handel noch Robo-Advice, weder Nichtlebensversicherungen noch die Schadenbearbeitung noch Kreditentscheidungen über juristische Personen. Ein System für eine dieser Verwendungen ist nur dann hochriskant, wenn ein anderer Punkt von Anhang III oder Anhang I es erfasst.

• Artikel 6 Absatz 3 kann ein System aus Anhang III herausnehmen

  Ein System nach Nummer 5 Buchstabe b oder Nummer 5 Buchstabe c ist nach Artikel 6 Absatz 2 hochriskant. Nach Artikel 6 Absatz 3 gilt es nicht als hochriskant, wenn es kein erhebliches Risiko der Beeinträchtigung in Bezug auf die Gesundheit, Sicherheit oder Grundrechte birgt. Dazu gehört, dass es das Ergebnis der Entscheidungsfindung nicht wesentlich beeinflusst. Die Verordnung wendet diese Ausnahme an, wenn eine der folgenden Bedingungen erfüllt ist (Artikel 6 Absatz 3 Buchstaben a bis d). Das System ist dazu bestimmt, eine eng gefasste Verfahrensaufgabe durchzuführen. Oder es ist dazu bestimmt, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit zu verbessern. Oder es ist dazu bestimmt, Entscheidungsmuster oder Abweichungen von früheren Entscheidungsmustern zu erkennen, und nicht dazu gedacht, die zuvor abgeschlossene menschliche Bewertung ohne eine angemessene menschliche Überprüfung zu ersetzen oder zu beeinflussen. Oder es ist dazu bestimmt, eine vorbereitende Aufgabe für eine Bewertung durchzuführen, die für die in Anhang III aufgeführten Anwendungsfälle relevant ist. Wie sich diese Bedingungen mit dem Test auf ein erhebliches Risiko verbinden, ist eine Frage für Ihre Rechtsberatung. Nimmt das System ein Profiling natürlicher Personen vor, gilt es immer als hochriskant. Profiling ist in Artikel 4 Nummer 4 DSGVO definiert (Artikel 3 Nummer 52). Ob ein bestimmtes Scoring- oder Preisbildungssystem ein Profiling vornimmt, ist ebenfalls eine Frage für Ihre Rechtsberatung. Ein Anbieter, der sich auf die Ausnahme beruft, dokumentiert seine Bewertung, bevor das System in Verkehr gebracht oder in Betrieb genommen wird. Er muss das System außerdem registrieren (Artikel 6 Absatz 4, Artikel 49 Absatz 2).

• Anbieter und Betreiber

  Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt oder in Betrieb nimmt (Artikel 3 Nummer 3). Die Inbetriebnahme schließt die Bereitstellung zum Eigengebrauch ein (Artikel 3 Nummer 11). Wer als Bank oder Versicherer ein System entwickelt und unter eigenem Namen in Betrieb nimmt, ist daher Anbieter. Wer als Bank oder Versicherer ein System in eigener Verantwortung verwendet, ist Betreiber (Artikel 3 Nummer 4). Ein Betreiber wird in drei Fällen zum Anbieter. Er versieht ein bereits in Verkehr gebrachtes Hochrisiko-KI-System mit seinem Namen oder seiner Handelsmarke, unbeschadet vertraglicher Vereinbarungen, die eine andere Aufteilung der Pflichten vorsehen. Er nimmt an einem solchen System eine wesentliche Veränderung vor, durch die es ein Hochrisiko-KI-System bleibt. Oder er ändert die Zweckbestimmung eines nicht als hochriskant eingestuften Systems so, dass es hochriskant wird (Artikel 25 Absatz 1). Der Anbieter, der das System ursprünglich in Verkehr gebracht oder in Betrieb genommen hatte, gilt dann nicht mehr als Anbieter dieses spezifischen Systems und muss eng mit dem neuen Anbieter zusammenarbeiten (Artikel 25 Absatz 2). Das gilt nicht, wenn der Erstanbieter eindeutig festgelegt hat, dass sein System nicht in ein Hochrisiko-KI-System umgewandelt werden darf.

• Anbieter bewahren die Protokolle auf, die ihrer Kontrolle unterliegen

  Anbieter müssen die von ihren Hochrisiko-KI-Systemen automatisch erzeugten Protokolle aufbewahren, soweit diese Protokolle ihrer Kontrolle unterliegen (Artikel 19 Absatz 1). Unbeschadet des geltenden Unionsrechts oder nationalen Rechts muss der Zeitraum der Zweckbestimmung angemessen sein und mindestens sechs Monate betragen. Er kann anders sein, wenn Unionsrecht oder nationales Recht, insbesondere zum Schutz personenbezogener Daten, etwas anderes vorsieht.

• Betreiber bewahren die Protokolle auf, die ihrer Kontrolle unterliegen

  Betreiber müssen die vom System automatisch erzeugten Protokolle aufbewahren, soweit diese Protokolle ihrer Kontrolle unterliegen (Artikel 26 Absatz 6). Der Zeitraum muss der Zweckbestimmung angemessen sein und mindestens sechs Monate betragen. Er kann anders sein, wenn geltendes Unionsrecht oder nationales Recht, insbesondere zum Schutz personenbezogener Daten, etwas anderes vorsieht.

• Finanzinstitute: Die Protokolle gehören zu ihrer Dokumentation nach dem Finanzrecht

  Das gilt für Anbieter, die Finanzinstitute sind und nach dem Unionsrecht über Finanzdienstleistungen Anforderungen in Bezug auf ihre Regelungen oder Verfahren der internen Unternehmensführung unterliegen. Sie bewahren die Protokolle als Teil der nach diesem Recht aufzubewahrenden Dokumentation auf (Artikel 19 Absatz 2). Betreiber, die solche Finanzinstitute sind, verfahren ebenso (Artikel 26 Absatz 6 Unterabsatz 2). Die Verordnung nennt kein bestimmtes Unionsrecht über Finanzdienstleistungen.

• Termine

  Die Anforderungen für diese Verwendungen nach Anhang III gelten ab dem 2. Dezember 2027 (Artikel 113 Absatz 3 Buchstabe c Ziffer i). Ein System, das vor diesem Termin in Verkehr gebracht oder in Betrieb genommen wurde, ist nur erfasst, wenn es danach erheblichen Veränderungen in Bezug auf seine Konzeption unterliegt. In jedem Fall treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, die erforderlichen Maßnahmen zur Einhaltung bis zum 2. August 2030 (Artikel 111 Absatz 2).

• Geldbußen

  Anbieter müssen sicherstellen, dass ihre Hochrisiko-KI-Systeme die Anforderungen von Kapitel III Abschnitt 2 erfüllen, zu dem die Artikel 9 bis 15 gehören (Artikel 16 Buchstabe a). Verstöße gegen die Anbieterpflichten nach Artikel 16 oder die Betreiberpflichten nach Artikel 26 können mit Geldbußen geahndet werden. Die Geldbuße beträgt bis zu 15 Mio. EUR oder, bei Unternehmen, bis zu 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4 Buchstaben a und e). Für KMU, einschließlich Start-up-Unternehmen, gilt für jede Geldbuße der jeweils niedrigere der beiden Beträge (Artikel 99 Absatz 6). Dasselbe gilt für kleine Midcap-Unternehmen (Artikel 3 Nummer 14b, Artikel 99 Absatz 6a). Jeder Mitgliedstaat erlässt Vorschriften darüber, in welchem Umfang gegen Behörden und öffentliche Stellen, die in dem betreffenden Mitgliedstaat niedergelassen sind, Geldbußen verhängt werden können (Artikel 99 Absatz 8).

• Reichweite und Grenzen der Verordnung

  Die Verordnung gilt für Anbieter und Betreiber, die ihren Sitz in einem Drittland haben oder sich in einem Drittland befinden, wenn die vom KI-System hervorgebrachte Ausgabe in der Union verwendet wird (Artikel 2 Absatz 1 Buchstabe c). Sie gilt nur in den unter das Unionsrecht fallenden Bereichen und berührt nicht die Zuständigkeiten der Mitgliedstaaten in Bezug auf die nationale Sicherheit (Artikel 2 Absatz 3). Die Verordnung gilt nicht für KI-Systeme oder KI-Modelle, einschließlich ihrer Ausgabe, die eigens für den alleinigen Zweck der wissenschaftlichen Forschung und Entwicklung entwickelt und in Betrieb genommen werden (Artikel 2 Absatz 6). Sie gilt auch nicht für Forschungs-, Test- und Entwicklungstätigkeiten, bevor ein System in Verkehr gebracht oder in Betrieb genommen wird. Tests unter Realbedingungen fallen nicht unter diesen Ausschluss (Artikel 2 Absatz 8). KI-Systeme, die unter freien und quelloffenen Lizenzen bereitgestellt werden, fallen nicht unter die Verordnung. Dieser Ausschluss gilt nicht, wenn sie als Hochrisiko-KI-Systeme in Verkehr gebracht oder in Betrieb genommen werden oder wenn sie unter Artikel 5 oder 50 fallen (Artikel 2 Absatz 12).

• Keine Fintech-Protokollfelder und keine feste Aufbewahrungsfrist

  Über „mindestens sechs Monate, sofern nichts anderes bestimmt ist“ hinaus nennt die Verordnung für Bonitätsbewertung oder Versicherungspreisbildung weder Protokollfelder noch ein Format noch eine Aufbewahrungsfrist (Artikel 19 Absatz 1, Artikel 26 Absatz 6). Anderes Unionsrecht oder nationales Recht kann etwas anderes vorsehen. Die Verordnung selbst nennt keine harmonisierte Norm. Bei Hochrisiko-KI-Systemen, die mit harmonisierten Normen übereinstimmen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden, wird die Konformität mit den Anforderungen gemäß Abschnitt 2 vermutet, soweit diese Anforderungen von den Normen abgedeckt sind (Artikel 40 Absatz 1). Die Kommission erarbeitet Leitlinien für die praktische Umsetzung der Anforderungen und Pflichten nach den Artikeln 8 bis 15, 25 und 26 (Artikel 96 Absatz 1 Buchstabe a).

• Beispiel: Was ein Scoring-Protokoll enthalten könnte

  Beispiel, keine Anforderung der Verordnung: Der Anbieter eines Bonitätsbewertungssystems könnte für jeden Scoring-Lauf die Modellversion, einen Verweis auf die Eingabedaten und die Ausgabe aufzeichnen. Eine unerwartete Ausgabe lässt sich dann zurückverfolgen.

• Beispiel: Protokolle können personenbezogene Daten enthalten

  Beispiel, keine Anforderung der Verordnung: Protokolle von Scoring-Läufen können personenbezogene Daten von Antragstellern enthalten. Der Anbieter könnte mit seiner Datenschutzberatung entscheiden, welche Felder er wie lange speichert. Die Entscheidung muss mit der Mindestfrist von sechs Monaten und dem sonstigen geltenden Recht vereinbar sein.

• Artikel 12 KI-Verordnung: Aufzeichnungspflicht & Protokollierung

  Artikel 12 für alle Sektoren: Anforderungen, Termine und Geldbußen.

• KI-Verordnung Fintech Compliance: Leitfaden

  Die Fintech-Übersicht: Wie die Verordnung KI für Bonitätsbewertung und Versicherungen erfasst.

• Artikel 13 für Fintech-KI: Transparenz und Betriebsanleitung

  Fintech-KI und Artikel 13: Betriebsanleitung, Angabe der Genauigkeit und die Erläuterung gegenüber betroffenen Personen.

• Artikel 72: Beobachtung nach dem Inverkehrbringen

  Die Beobachtung nach dem Inverkehrbringen, die die Protokollierung nach Artikel 12 Absatz 2 Buchstabe b erleichtern soll.