← Vetro Attest · KI-Bußgeldrechner · Hochrisiko-Check · Dokumentenpaket
KI-Verordnung Art. 12: Protokollierung
*Technische Orientierung, keine Rechtsberatung.*
Art. 12 ist die Pflicht, die Entwicklerteams am direktesten trifft: Hochrisiko-KI-Systeme müssen technisch die automatische Aufzeichnung von Ereignissen über ihre gesamte Lebensdauer ermöglichen. Keine Richtlinie, kein Formular, sondern eine Eigenschaft der Software.
Was der Artikel verlangt
- Abs. 1: Das System muss Ereignisse automatisch protokollieren können, von der Inbetriebnahme bis zur Stilllegung.
- Abs. 2: Die Protokolle müssen so angelegt sein, dass sich damit (a) Situationen erkennen lassen, in denen das System ein Risiko darstellt oder wesentlich verändert wurde, (b) die Beobachtung nach dem Inverkehrbringen nach Art. 72 möglich ist und (c) der Betreiber den Betrieb nach Art. 26 überwachen kann.
- Abs. 3: Für biometrische Fernidentifizierung gibt es einen Mindestinhalt: Zeitraum jeder Nutzung, Referenzdatenbank, Eingabedaten mit Treffer und die Personen, die die Ergebnisse überprüft haben.
Was das für einen KI-Agenten konkret bedeutet
Ein Agent trifft nicht eine Entscheidung, sondern eine Kette: Er ruft ein Modell auf, das Modell wählt ein Tool, das Tool liest Daten, der Agent handelt. Ein Protokoll, das nur Eingabe und Endergebnis enthält, erfüllt Abs. 2 nicht, denn die riskante Situation entsteht meist in der Mitte.
| Ereignis | Warum es ins Protokoll gehört |
|---|---|
| Jeder Modellaufruf (Modell, Version, Eingabe, Ausgabe) | Nachvollziehen, welches Modell welche Entscheidung vorbereitet hat |
| Jeder Tool-Aufruf mit Parametern und Ergebnis | Hier handelt der Agent tatsächlich in der Welt |
| Jede Policy-Entscheidung (erlaubt, gewarnt, blockiert) | Beleg für Risikomanagement und Aufsicht |
| Jeder menschliche Eingriff | Nachweis der menschlichen Aufsicht nach Art. 14 |
| Versionswechsel von Modell, Prompt oder Konfiguration | "Wesentliche Veränderung" nach Abs. 2 lit. a |
Aufbewahrung
Anbieter müssen die Protokolle, soweit sie unter ihrer Kontrolle stehen, mindestens sechs Monate aufbewahren (Art. 19), Betreiber ebenfalls mindestens sechs Monate (Art. 26 Abs. 6), jeweils vorbehaltlich längerer Fristen aus anderem Recht. Für Kreditinstitute gelten die Aufbewahrungsregeln der Finanzaufsicht; die DSGVO begrenzt umgekehrt, was an personenbezogenen Daten wie lange liegen darf.
Warum manipulationssicher
Die Verordnung sagt nicht "unveränderbar". Aber ein Protokoll, das der Betreiber selbst jederzeit ändern könnte, beweist vor einer Behörde oder einem Gericht wenig. Die belastbare Form ist eine Hash-Kette mit Signatur: Jeder Eintrag enthält den Hash des vorherigen, der Kopf ist mit ed25519 signiert, und eine unabhängige Stelle kann die Kette prüfen, ohne Ihnen vertrauen zu müssen. Wird ein Eintrag gelöscht oder geändert, bricht die Kette an genau dieser Stelle.
Prüfen, was Ihre Protokolle heute abdecken
Laden Sie ein Protokoll (Vetro-Ledger oder OpenTelemetry-GenAI-Trace) in den kostenlosen Art.-12/14-Checker: Er zeigt im Browser, welche Nachweise vorhanden sind und welche fehlen. Wann die Pflicht greift, steht in den Fristen 2026/2027.
Wie hoch wäre das Bußgeld in Ihrem Fall? Kostenlos im KI-Bußgeldrechner berechnen. Grundrechte-Folgenabschätzung (Art. 27), Entwurf der technischen Dokumentation (Anhang IV), KI-Kompetenzplan (Art. 4) und Hinweise nach Art. 50, aus Ihren Angaben erstellt und signiert: das EU-AI-Act-Dokumentenpaket auf Deutsch für 99 USD.