Protokollierungspflicht KI-Verordnung: was gilt ab wann

Blog · KI-Protokollierung

Die Protokollierungspflicht der KI-Verordnung (EU) 2024/1689 gilt nur für Hochrisiko-KI-Systeme. Artikel 12 verlangt, dass solche Systeme Ereignisse über ihren gesamten Lebenszyklus automatisch aufzeichnen können, und die Artikel 19 und 26 Absatz 6 verpflichten Anbieter und Betreiber, diese Protokolle mindestens sechs Monate aufzubewahren, soweit sie die Protokolle unter Kontrolle haben. Anwendbar sind diese Regeln noch nicht: Seit der Digital-Omnibus-Verordnung (EU) 2026/1744 gelten sie für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027, für solche nach Anhang I ab dem 2. August 2028. Wer KI ohne Hochrisiko-Bezug einsetzt, hat keine Protokollpflicht aus der KI-Verordnung, muss aber weiterhin nach der Datenschutz-Grundverordnung nachweisen können, dass er personenbezogene Daten rechtmäßig verarbeitet.

In Kürze

Pflicht zur automatischen Protokollierung besteht nur für Hochrisiko-KI-Systeme, etwa bei der Auswahl von Bewerbern oder der Bonitätsprüfung von Privatpersonen.
Protokolle sind mindestens sechs Monate aufzubewahren, und zwar von Anbieter und Betreiber, soweit die Protokolle jeweils ihrer Kontrolle unterliegen.
Seit dem Digital-Omnibus gelten die Pflichten für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027, nach Anhang I ab dem 2. August 2028.
Ohne Hochrisiko-Bezug gibt es keine Protokollpflicht aus der KI-Verordnung. Die Rechenschaftspflicht der DSGVO gilt trotzdem, und ein knappes Protokoll erleichtert diesen Nachweis.

Veröffentlicht 09.10.2026Nikolai Schöbel und Jeremias BurgerLesezeit 8 min

Nikolai Schöbel und Jeremias Burger

Co-Founder der Scalableloops GmbH. Nikolai Schöbel verantwortet Online-Marketing und KI-Strategie, Jeremias Burger die KI-Architektur. Beide bauen und schulen KI-Systeme im eigenen Agenturalltag.

Auf dieser Seite

Was verlangt die Protokollierungspflicht der KI-Verordnung von Ihnen?
Aufzeichnungspflichten der KI-Verordnung: Sind Sie Anbieter oder Betreiber?
Hochrisiko-KI Pflichten: Woran Sie erkennen, ob Ihr System betroffen ist
Digital-Omnibus Fristen: Ab wann gilt die Protokollierung für Sie?
Aufbewahrungsfrist der Protokolle: Wie lange Sie speichern müssen und dürfen
Rechenschaftspflicht der DSGVO: Warum Protokolle auch ohne Hochrisiko helfen
Protokollierung von KI-Systemen: Was ein brauchbares Protokoll festhält
Häufige Fragen
So bereiten Sie Ihre KI auf die Protokollierungspflicht der KI-Verordnung vor
Woher die Angaben auf dieser Seite stammen

Grundlage

Was verlangt die Protokollierungspflicht der KI-Verordnung von Ihnen?

Die Protokollierungspflicht der KI-Verordnung steht im Kern in Artikel 12, der die Überschrift „Aufzeichnungspflichten“ trägt. Absatz 1 ist kurz: Die Technik eines Hochrisiko-KI-Systems muss die automatische Aufzeichnung von Ereignissen während des Lebenszyklus ermöglichen, die Verordnung nennt das „Protokollierung“. Gefordert ist also zunächst eine Eigenschaft des Systems, die der Hersteller einbaut.

Wofür die Protokolle gut sein sollen, regelt Absatz 2. Sie sollen helfen, Situationen zu erkennen, in denen das System ein Risiko birgt oder wesentlich verändert wird, sie unterstützen die Beobachtung nach dem Inverkehrbringen (Artikel 72), und sie dienen dem Betreiber dazu, den Betrieb zu überwachen, wie es Artikel 26 Absatz 5 von ihm verlangt. Eine feste Liste, welche Datenfelder jedes Protokoll enthalten muss, gibt es nur für Systeme zur biometrischen Fernidentifizierung nach Anhang III Nummer 1 Buchstabe a.

Wer das Protokoll später aufbewahrt, steht in zwei anderen Artikeln. Die folgende Übersicht fasst zusammen, welche Stellen der Verordnung zusammenspielen.

Regel	Inhalt	Wen sie trifft
Art. 12 Abs. 1	System muss Ereignisse über seinen Lebenszyklus automatisch aufzeichnen können	Anbieter (beim Bau des Systems)
Art. 13 Abs. 3 Buchst. f	Betriebsanleitung beschreibt, wie Betreiber die Protokolle erfassen, speichern und auswerten können	Anbieter
Art. 19 Abs. 1	Automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren, soweit unter eigener Kontrolle	Anbieter
Art. 26 Abs. 5	Betrieb anhand der Betriebsanleitung überwachen	Betreiber
Art. 26 Abs. 6	Automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren, soweit unter eigener Kontrolle	Betreiber

6 Monate

Mindestens so lange sind automatisch erzeugte Protokolle aufzubewahren, sofern kein anderes Recht etwas anderes vorsieht.

Verordnung (EU) 2024/1689, Art. 19 Abs. 1 und Art. 26 Abs. 6

Rollen

Aufzeichnungspflichten der KI-Verordnung: Sind Sie Anbieter oder Betreiber?

Die Aufzeichnungspflichten der KI-Verordnung verteilen sich auf zwei Rollen, und die meisten mittelständischen Betriebe sind dabei Betreiber. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen auf den Markt bringt. Betreiber ist, wer ein solches System in eigener Verantwortung beruflich verwendet.

Der Anbieter muss dafür sorgen, dass das System überhaupt protokollieren kann, und er beschreibt in der Betriebsanleitung, wie das funktioniert. Der Betreiber nutzt das System nach dieser Anleitung, überwacht den Betrieb und bewahrt die Protokolle auf, die bei ihm anfallen. Liegen die Protokolle ausschließlich beim Anbieter, etwa weil das System als Dienst aus dessen Rechenzentrum läuft, greift die Formulierung „soweit diese Protokolle ihrer Kontrolle unterliegen“. Für Sie als Betreiber heißt das praktisch: im Vertrag klären, wer die Protokolle hält und wie Sie im Ernstfall daran kommen.

01
Anbieter
baut
Sorgt dafür, dass das System protokollieren kann, beschreibt das in der Betriebsanleitung und bewahrt die Protokolle auf, die er kontrolliert.
02
Betreiber
nutzt
Verwendet das System nach Anleitung, überwacht den Betrieb und bewahrt die Protokolle auf, die bei ihm anfallen.

Anwendungsbereich

Hochrisiko-KI Pflichten: Woran Sie erkennen, ob Ihr System betroffen ist

Die Hochrisiko-KI Pflichten aus Kapitel III, zu denen auch die Protokollierung gehört, treffen nur Systeme, die die Verordnung als hochriskant einstuft. Das geschieht auf zwei Wegen. Anhang I erfasst KI, die Sicherheitsbauteil eines Produkts ist, das bereits unter EU-Produktrecht fällt. Anhang III nennt Einsatzbereiche, in denen KI über Menschen mitentscheidet.

Für Unternehmen außerhalb von Behörden und Justiz sind in Anhang III vor allem zwei Bereiche relevant. Unter Beschäftigung und Personalmanagement fallen Systeme, die gezielte Stellenanzeigen schalten, Bewerbungen sichten oder filtern, Bewerber bewerten oder die Leistung von Beschäftigten beobachten und bewerten. Unter den Zugang zu grundlegenden Diensten fallen unter anderem die Kreditwürdigkeitsprüfung natürlicher Personen und die Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen.

Und selbst dort gibt es eine Ausnahme: Nach Artikel 6 Absatz 3 gilt ein in Anhang III genanntes System nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt, etwa weil es das Ergebnis einer Entscheidung nicht wesentlich beeinflusst. Ein Chat, der Kundenfragen zu Produkten beantwortet, steht in keiner dieser Listen; für ihn gilt aber seit dem 2. August 2026 die Hinweispflicht aus Artikel 50, die wir im Beitrag zur KI-Kennzeichnungspflicht für Chatbots erklären.

Fristen

Digital-Omnibus Fristen: Ab wann gilt die Protokollierung für Sie?

Die Digital-Omnibus Fristen sind der Grund, warum die Protokollierungspflicht heute noch niemanden unmittelbar trifft. Ursprünglich sollten die Hochrisiko-Regeln für Systeme nach Anhang III ab dem 2. August 2026 gelten. Die Verordnung (EU) 2026/1744 vom 8. Juli 2026 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht, trat am 27. Juli 2026 in Kraft und hat Artikel 113 geändert. Als Begründung nennt sie unter anderem fehlende Normen und Leitlinien und noch nicht eingerichtete Behörden.

Seitdem gelten die Abschnitte 1 bis 3 von Kapitel III, also auch die Artikel 12, 19 und 26, für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027 und für Systeme nach Anhang I ab dem 2. August 2028. Die Bundesnetzagentur führt dieselben Daten in ihrem Zeitplan zur KI-Verordnung.

Wichtig für Bestandssysteme ist der neu gefasste Artikel 111 Absatz 2. Hochrisiko-Systeme, die vor diesen Daten in Verkehr gebracht oder in Betrieb genommen wurden, fallen nur dann unter die Verordnung, wenn sie danach in ihrer Konzeption erheblich verändert werden; für Systeme, die Behörden nutzen sollen, gilt eine Frist bis zum 2. August 2030. Wie „erheblich“ im Einzelfall auszulegen ist, lässt sich heute noch nicht sicher sagen, Leitlinien dazu stehen aus. Wer eine Personal- oder Bonitätssoftware ohnehin bald erneuern will, sollte die Protokollierung deshalb gleich beim Kauf mitfragen.

02.12.2027

Ab diesem Tag gelten Protokollierung und Aufbewahrung für Hochrisiko-Systeme nach Anhang III.

Verordnung (EU) 2026/1744, Art. 1 Nr. 40 (Änderung von Art. 113)

Aufbewahrung

Aufbewahrungsfrist der Protokolle: Wie lange Sie speichern müssen und dürfen

Die Aufbewahrungsfrist für die Protokolle beträgt nach Artikel 19 Absatz 1 und Artikel 26 Absatz 6 mindestens sechs Monate, und zwar „für einen der Zweckbestimmung des Hochrisiko-KI-Systems angemessenen Zeitraum“. Sechs Monate sind also die Untergrenze, nicht automatisch die richtige Dauer.

Beide Artikel stellen die Frist unter einen Vorbehalt: Sie gilt, sofern im Unionsrecht, insbesondere im Datenschutzrecht, oder im nationalen Recht nichts anderes bestimmt ist. Das ist mehr als eine Formalie, denn Protokolle eines Bewerbertools enthalten fast immer personenbezogene Daten. Für sie gilt der Grundsatz der Speicherbegrenzung aus Artikel 5 Absatz 1 Buchstabe e der Datenschutz-Grundverordnung, nach dem Daten nur so lange in identifizierbarer Form gespeichert werden, wie es für den Zweck erforderlich ist. Sinnvoll ist deshalb eine schriftlich begründete Löschfrist je System, die die sechs Monate nicht unterschreitet und nicht ohne Grund weit darüber hinausgeht.

Für Finanzinstitute gilt eine Sonderregel: Wer nach EU-Finanzrecht Anforderungen an seine interne Unternehmensführung erfüllen muss, bewahrt die Protokolle als Teil der dort vorgeschriebenen Dokumentation auf. Davon zu trennen ist die technische Dokumentation des Anbieters, die Artikel 18 für zehn Jahre ab dem Inverkehrbringen bereitzuhalten verlangt.

Datenschutz

Rechenschaftspflicht der DSGVO: Warum Protokolle auch ohne Hochrisiko helfen

Die Rechenschaftspflicht der DSGVO in Artikel 5 Absatz 2 gilt unabhängig davon, ob Ihr KI-System hochriskant ist. Der Verantwortliche muss die Einhaltung der Grundsätze aus Absatz 1 nachweisen können, also etwa Rechtmäßigkeit, Zweckbindung und Datenminimierung.

Eine ausdrückliche Pflicht, KI-Ausgaben zu protokollieren, folgt daraus nicht. Wenn aber ein Kunde fragt, warum ein Assistent ihm eine bestimmte Antwort gegeben hat, oder wenn intern ein Fehler auftaucht, ist ein knappes Protokoll oft der einzige Weg, den Vorgang nachzuvollziehen. Nach unserer Erfahrung (wir bauen KI-Systeme für den eigenen Agenturalltag und für Kunden) ist es deutlich einfacher, diese Nachvollziehbarkeit von Anfang an einzuplanen, als sie später nachzurüsten. Wie wir das in Projekten angehen, beschreiben wir auf unserer Seite zur KI-Governance.

Ein zweiter Baustein gehört dazu: Wer KI einsetzt, muss nach Artikel 4 der KI-Verordnung die KI-Kompetenz seines Personals unterstützen. Was das konkret heißt, steht im Beitrag zur KI-Schulungspflicht nach Artikel 4.

Praxis

Protokollierung von KI-Systemen: Was ein brauchbares Protokoll festhält

Für die Protokollierung von KI-Systemen ohne Hochrisiko-Bezug gibt es keine gesetzliche Feldliste. Eine gute Orientierung bietet trotzdem Artikel 12 Absatz 3, der für biometrische Fernidentifizierung mindestens vier Angaben verlangt: Beginn und Ende jeder Verwendung, die Referenzdatenbank, die Eingabedaten, die zu einem Treffer geführt haben, und die Personen, die das Ergebnis überprüft haben.

Übertragen auf einen gewöhnlichen Betrieb ergibt sich daraus eine Faustregel, die keine Rechtsvorgabe ist, sich aber bewährt: festhalten, wann das System lief, mit welcher Version und welchen Einstellungen, was hineinging, was herauskam und wer das Ergebnis freigegeben oder verworfen hat. Bei KI-Agenten, die selbst Aktionen ausführen, kommt die Frage hinzu, welche Werkzeuge sie aufgerufen haben; dazu mehr im Beitrag über Agentic AI.

Personenbezogene Inhalte sollten Sie dabei so knapp wie möglich halten. Häufig genügt ein Verweis auf den Vorgang statt des vollständigen Textes, und das erleichtert die Löschung nach Ablauf der Frist erheblich.

Angabe im Protokoll	Wozu sie dient
Zeitpunkt und Dauer der Nutzung	Vorgänge zeitlich einordnen
Modell, Version und Einstellungen	Unterschiede im Verhalten nach einem Update erklären
Eingabe oder Verweis darauf	Nachvollziehen, worauf die Ausgabe beruht
Ausgabe und ausgelöste Aktionen	Ergebnis und Folgen belegen
Freigabe durch einen Menschen	Zeigen, wer entschieden hat

Häufige Fragen

Gilt die Protokollierungspflicht der KI-Verordnung schon heute?

Nein. Artikel 12, 19 und 26 gehören zu Kapitel III und gelten nach der Änderung durch den Digital-Omnibus für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027 und nach Anhang I ab dem 2. August 2028.

Muss ich die Protokolle meines Website-Chatbots aufbewahren?

Aus der KI-Verordnung ergibt sich das nicht, solange der Chat kein Hochrisiko-System ist. Für ihn gilt die Hinweispflicht nach Artikel 50. Speichert der Chat personenbezogene Daten, gelten für diese Daten die Regeln der Datenschutz-Grundverordnung, einschließlich Speicherbegrenzung und Rechenschaftspflicht.

Wer speichert automatisch erzeugte Protokolle, Anbieter oder Betreiber?

Beide, jeweils soweit die Protokolle ihrer Kontrolle unterliegen. Der Anbieter ist nach Artikel 19 verpflichtet, der Betreiber nach Artikel 26 Absatz 6. Läuft das System beim Anbieter, sollten Sie vertraglich regeln, wie Sie Zugriff auf die Protokolle erhalten.

Was verlangt Art. 26 KI-VO von Betreibern konkret?

Unter anderem: das System nach der Betriebsanleitung verwenden, die menschliche Aufsicht kompetenten Personen übertragen, den Betrieb überwachen und die automatisch erzeugten Protokolle mindestens sechs Monate aufbewahren. Arbeitgeber müssen zudem vor dem Einsatz am Arbeitsplatz Arbeitnehmervertreter und betroffene Beschäftigte informieren.

Gehören die Protokolle zu den Dokumentationspflichten der KI-Verordnung?

Sie sind ein eigener Punkt. Die technische Dokumentation und weitere Unterlagen hält der Anbieter nach Artikel 18 zehn Jahre bereit, die automatisch erzeugten Protokolle regeln die Artikel 19 und 26 mit einer Mindestfrist von sechs Monaten.

Was droht bei Verstößen gegen die Betreiberpflichten?

Artikel 99 Absatz 4 sieht für Verstöße gegen die Pflichten der Betreiber nach Artikel 26 Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für KMU gilt nach Absatz 6 der jeweils niedrigere Betrag.

Nächste Schritte

So bereiten Sie Ihre KI auf die Protokollierungspflicht der KI-Verordnung vor

01
KI-Einsätze auflisten
Notieren Sie, wo im Betrieb KI läuft, und markieren Sie alles, was mit Bewerbungen, Leistungsbewertung, Bonität oder Versicherungstarifen zu tun hat.
02
Rolle und Protokollort klären
Halten Sie je System fest, ob Sie Anbieter oder Betreiber sind und wo die Protokolle tatsächlich gespeichert werden. Fragen Sie Ihren Dienstleister nach dem entsprechenden Abschnitt der Betriebsanleitung.
03
Löschfrist begründen
Legen Sie für jedes System eine Aufbewahrungsdauer fest, die den Zweck und das Datenschutzrecht berücksichtigt, und schreiben Sie die Begründung dazu.
04
Freigaben sichtbar machen
Sorgen Sie dafür, dass im Protokoll steht, wer ein KI-Ergebnis freigegeben hat. Bei Unsicherheit über die Einstufung Ihres Systems holen Sie rechtlichen Rat ein.

Ein Protokoll, das niemand liest, schützt wenig. Wenn Sie wissen möchten, ob eines Ihrer Systeme unter Anhang III fallen könnte und wo seine Protokolle heute landen, sehen wir uns das gern gemeinsam mit Ihnen an; die rechtliche Einstufung im Einzelfall bleibt Sache Ihrer Rechtsberatung.