Aufzeichnungspflicht (Logging): Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 12 verpflichtet Anbieter, hochrisiko-KI so zu gestalten, dass es während des Betriebs automatisch Ereignisse protokolliert (Logs). Zweck (Abs. 1): die Einhaltung der Anforderungen aus Art. 8–15 zu gewährleisten, die menschliche Aufsicht (Art. 14) zu unterstützen, die Nachverfolgbarkeit der Systemleistung und die Marktüberwachung (Art. 72) zu ermöglichen, und — vor allem — die Ermittlung schwerer Vorfälle nach Art. 73 zu erleichtern. Die Protokollierung muss den Stand der Technik entsprechen; konkrete Anforderungen ergeben sich aus Art. 12 Abs. 2–4 und dem anwendbaren Format. Die Pflicht gilt ab dem 2. August 2026.

Die Logs umfassen in der Regel: Zeitstempel der Systemnutzung, Eingaben und Outputs (in anonymisierter/aggregierter Form, soweit DSGVO-relevant), menschliche Eingriffe und Überschreibungen, Systemzustände/Fehler, Aktualisierungen, Aufzeichnungen der Aufsichtspersonen. Die Aufbewahrungsfristen orientieren sich an Art. 18 (technische Dokumentation 10 Jahre) und member-state-Vorgaben; für Logs gibt es oft kürzere, datenschutzfreundliche Fristen. Schutz vor Manipulation (Integrität, Zugriffsprotokolle) ist Pflicht. Datenschutz: Logs mit personenbezogenen Daten unterliegen der DSGVO (Zweckbindung, Löschpflicht).

Logging ist doppelt relevant: Es schützt Anbieter im Haftungs-/Beschwerdefall (Nachweis korrekter Funktion, menschlicher Eingriffe) und es ist zentrale Prüfgrundlage der Aufsicht. Eine lückenhafte oder manipulierbare Protokollierung kann als Hinweis auf unzureichendes Risikomanagement gewertet werden und Vorfallsermittlungen behindern — mit Sanktionsrisiko (Art. 99 Abs. 4). Praktisch erforderlich: versionierte, manipulationssichere Logs, klare Aufbewahrungs- und Löschkonzepte, DSGVO-konforme Anonymisierung, und Zugriffs-/Audit-Logs für die Logs selbst. Logs sind Nachweis und Risiko zugleich — eine saubere Log-Architektur ist Teil des Risikomanagementsystems (Art. 9).