Skip to main content

Artikel 12 AI-verordening: registratie & logging

Artikel 12 eist dat hoogrisico-AI-systemen gebeurtenissen automatisch registreren. Deze gids behandelt wat logs moeten bevatten, hoe u ze bouwt en hoe lang u ze bewaart.

Aanbieders van hoogrisico-AI-systemen moeten deze zo bouwen dat ze gebeurtenissen automatisch registreren (logs) gedurende hun hele levenscyclus (artikel 12).

Dit geldt voor in de EU in de handel gebrachte of in gebruik gestelde systemen. Het geldt vanaf 2 december 2027 (bijlage III) en vanaf 2 augustus 2028 (bijlage I). Aanbieders en gebruiksverantwoordelijken (organisaties die het systeem gebruiken) moeten de logs onder hun controle minstens zes maanden bewaren (artikelen 19 en 26(6)). Unierecht of nationaal recht kan een andere termijn bepalen. De boetes bedragen maximaal 15 miljoen EUR of 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99(4)). Volgende stap: maak een lijst van de gebeurtenissen die uw systeem moet registreren.

Logs dienen drie doelen, en één soort systeem heeft een vaste minimuminhoud

Artikel 12(2) geeft geen lijst met velden. Het eist dat gebeurtenissen worden geregistreerd die relevant zijn voor drie doelen, met een mate van traceerbaarheid die past bij het beoogde doel van het systeem.

Risico’s en substantiële wijzigingen opsporen

Log gebeurtenissen die laten zien wanneer het systeem een risico kan vormen in de zin van artikel 79(1) of substantieel wordt gewijzigd (artikel 12(2), punt a)).

Monitoring na het in de handel brengen ondersteunen

Log gebeurtenissen die de aanbieder nodig heeft om het systeem te monitoren nadat het in de handel is gebracht (artikel 12(2), punt b), artikel 72).

Monitoring door gebruiksverantwoordelijken ondersteunen

Log gebeurtenissen waarmee gebruiksverantwoordelijken de werking van het systeem kunnen monitoren (artikel 12(2), punt c), artikel 26(5)).

Minimuminhoud bij biometrische identificatie op afstand

Systemen voor biometrische identificatie op afstand uit bijlage III, punt 1, a), moeten, voor zover het gebruik ervan op grond van Unierecht of nationaal recht is toegestaan, minstens het volgende loggen (artikel 12(3)). Systemen die alleen bevestigen dat iemand is wie hij beweert te zijn, vallen er niet onder. Het gaat om de duur van elk gebruik, de gecontroleerde referentiedatabank, de inputdata die tot een match leidden en de personen die de resultaten hebben geverifieerd.

De verordening schrijft geen logformaat voor; deze werkwijzen sluiten aan bij de doelen

Artikel 12 noemt geen logformaat en geen opslagtechniek. De drie werkwijzen hieronder zijn gangbare technische keuzes.

Gestructureerde velden

Schrijf elke gebeurtenis als JSON met telkens dezelfde velden: tijdstempel, gebeurtenistype, systeem-ID, trace-ID en een samenvatting van input en output.

Opslag waaraan alleen kan worden toegevoegd

Sla logs op waar niemand ze achteraf kan wijzigen, bijvoorbeeld met S3 Object Lock. Noch artikel 12 noch artikel 19 eist dit; het beschermt de logs als bewijs.

Trace-ID’s

Zet dezelfde trace-ID in elke logregel van een verzoek, zodat u één gebeurtenis door de hele AI-pipeline kunt volgen.

Aanbieders en gebruiksverantwoordelijken bewaren logs minstens zes maanden, tenzij ander recht anders bepaalt

Het minimum van zes maanden geldt voor logs onder uw controle. Unierecht of nationaal recht, met name het gegevensbeschermingsrecht, kan een andere termijn bepalen. Het Unierecht inzake financiële diensten stelt eisen aan interne governance, regelingen en processen van financiële instellingen. Zij bewaren de logs in de documentatie die zij op grond van dat recht bijhouden (artikelen 19(2) en 26(6)).

Aanbieders: minstens 6 maanden

Bewaar de logs die uw hoogrisico-AI-systeem genereert, voor zover ze onder uw controle vallen. De termijn moet passen bij het beoogde doel en bedraagt minstens zes maanden, tenzij Unierecht of nationaal recht anders bepaalt (artikel 19(1)).

Gebruiksverantwoordelijken: minstens 6 maanden

Bewaar de logs die het systeem genereert, voor zover ze onder uw controle vallen. De termijn moet passen bij het beoogde doel en bedraagt minstens zes maanden, tenzij Unierecht of nationaal recht anders bepaalt (artikel 26(6)).

Artikel 12 geldt alleen voor hoogrisico-AI-systemen

Een systeem heeft een hoog risico als het onder een gebied van bijlage III valt, tenzij een uitzondering van artikel 6(3) geldt. Een systeem dat natuurlijke personen profileert, heeft altijd een hoog risico. Het heeft ook een hoog risico als het een product uit bijlage I is dat een conformiteitsbeoordeling door een derde partij vereist, of een veiligheidscomponent daarvan (artikel 6). Aanbieders vallen eronder als zij een systeem in de EU in de handel brengen of in gebruik stellen, waar zij ook gevestigd zijn (artikel 2(1), punt a)). Aanbieders en gebruiksverantwoordelijken in een derde land vallen er ook onder als de output van het systeem in de EU wordt gebruikt (artikel 2(1), punt c)). Hoogrisicosystemen die horen bij producten onder de wetten van bijlage I, afdeling B, vallen buiten artikel 12 (artikel 2(2)). Voor producten uit bijlage I, afdeling A, kunnen sommige eisen worden beperkt (artikel 2(13)). Dit betreft de artikelen 9 tot en met 15 en 17 tot en met 25, als sectorwetgeving een gelijkwaardige of hogere bescherming biedt. Gedelegeerde handelingen die uiterlijk 2 augustus 2027 volgen, bepalen welke. De verordening sluit militaire, defensie- en nationale veiligheidstoepassingen uit, en systemen die uitsluitend voor wetenschappelijk onderzoek zijn ontwikkeld (artikel 2(3) en (6)). Ook onderzoek en tests vóór het in de handel brengen vallen erbuiten (artikel 2(8)). Systemen die vóór de datum van toepassing al in de handel waren of in gebruik waren gesteld, vallen er alleen onder na ingrijpende ontwerpwijzigingen. In elk geval moeten aanbieders en gebruiksverantwoordelijken van hoogrisico-AI-systemen die bedoeld zijn om door overheidsinstanties te worden gebruikt, uiterlijk 2 augustus 2030 de nodige stappen ondernemen om te voldoen (artikel 111(2)).

Veelgestelde vragen: bestaande logs, AVG en boetes

Kan ik mijn bestaande logsysteem gebruiken?

Ja, als het aan artikel 12 voldoet. Het hoogrisico-AI-systeem moet technisch automatische registratie van gebeurtenissen voor de drie doelen van artikel 12(2) mogelijk maken. Logs onder uw controle moeten minstens zes maanden worden bewaard, tenzij Unierecht of nationaal recht anders bepaalt. Vergelijk uw huidige logs met die drie doelen en met de bewaartermijn.

Botst artikel 12 met gegevensminimalisatie uit de AVG?

Artikel 12 noemt geen velden met persoonsgegevens, behalve de identificatie van de personen die bij biometrische identificatiesystemen op afstand de resultaten verifiëren (artikel 12(3), punt d)). De bewaarplicht wijkt voor het gegevensbeschermingsrecht als dat anders bepaalt (artikelen 19(1) en 26(6)). Log, als het doel dat toelaat, identificatoren en metagegevens van gebeurtenissen in plaats van ruwe persoonsgegevens. Welke persoonsgegevens een log mag bevatten, is een AVG-vraag voor uw functionaris voor gegevensbescherming of juridisch adviseur.

Wat zijn de boetes, en geldt voor mkb-bedrijven een lager maximum?

Voor aanbieders (artikel 16) en gebruiksverantwoordelijken (artikel 26) bedragen de boetes maximaal 15 miljoen EUR of 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99(4)). Voor mkb-bedrijven, inclusief start-ups, en kleine midcapondernemingen is het maximum het lagere van de twee bedragen (artikel 99(6) en (6 bis)). De lidstaten stellen de sanctieregels vast (artikel 99(1)).

Lees daarna: monitoring na het in de handel brengen, plichten van gebruiksverantwoordelijken en audittrails

Scanara bereidt bewijs voor vanuit uw repositories

Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.