Was verlangt dieProtokollierungspflicht?
Automatische Protokolle schreibt die KI-Verordnung nur für Hochrisiko-Systeme vor, und auch dort erst ab Dezember 2027.
Direkt zur Anfrage
Sprechen wir über Ihr Projekt.
Erst prüfen wir, ob das Vorhaben zu Ihrem Geschäftsmodell passt. Dann folgt ein Vorschlag mit Phasen und Aufwand.
KI-Governance besprechen oder anrufen: +49 151 1576 5566Die Protokollierungspflicht der KI-Verordnung verlangt, dass Hochrisiko-KI-Systeme Ereignisse über ihren gesamten Lebenszyklus automatisch aufzeichnen können. Anbieter und Betreiber bewahren diese Protokolle mindestens sechs Monate auf, soweit sie bei ihnen liegen. Anwendbar ist das alles noch nicht.
- Betroffen sind nur Hochrisiko-Systeme, etwa Software zur Auswahl von Bewerbern oder zur Bonitätsprüfung von Privatpersonen.
- Nach dem Digital Omnibus gelten die Regeln ab dem 2. Dezember 2027 (Anhang III) und ab dem 2. August 2028 (Anhang I).
- Sechs Monate sind die Untergrenze, das Datenschutzrecht zieht nach oben eine Grenze.
Welche Systeme fallen unter die Protokollierungspflicht?
Nur Hochrisiko-Systeme, und die erkennt man auf zwei Wegen. Anhang I erfasst KI, die Sicherheitsbauteil eines Produkts unter EU-Produktrecht ist. Anhang III nennt Einsatzbereiche, in denen KI über Menschen mitentscheidet, für Unternehmen vor allem Personalauswahl und Leistungsbewertung, die Kreditwürdigkeit von Privatpersonen sowie Tarife bei Lebens- und Krankenversicherungen.
Selbst dort gibt es eine Ausnahme: Nach Artikel 6 Absatz 3 gilt ein System aus Anhang III nicht als hochriskant, wenn es das Ergebnis einer Entscheidung nicht wesentlich beeinflusst. Und ein Chat, der Produktfragen beantwortet, steht in keiner der Listen.
Ab wann müssen KI-Systeme protokollieren?
Die Protokollierung von KI-Systemen ist 2026 für niemanden unmittelbar Pflicht. Ursprünglich sollten die Hochrisiko-Regeln für Anhang III ab dem 2. August 2026 gelten, die Verordnung (EU) 2026/1744 hat das auf den 2. Dezember 2027 verschoben, für Anhang I auf den 2. August 2028.
Bestandssysteme, die vorher in Betrieb gingen, erfasst der neu gefasste Artikel 111 Absatz 2 nur, wenn sie danach in ihrer Konzeption erheblich verändert werden. Was „erheblich“ im Einzelfall heißt, ist noch offen. Wer eine Personal- oder Bonitätssoftware ohnehin bald erneuert, fragt die Protokollierung deshalb gleich beim Kauf mit ab.
Was hält ein brauchbares KI-Protokoll fest?
Eine feste Feldliste gibt es nur für die biometrische Fernidentifizierung. Bewährt hat sich trotzdem eine kurze Faustregel: wann das System lief, mit welcher Version und welchen Einstellungen, was hineinging, was herauskam und wer das Ergebnis freigegeben hat. Bei KI-Agenten kommt dazu, welche Werkzeuge sie aufgerufen haben.
Personenbezogene Inhalte halten Sie dabei knapp, oft genügt ein Verweis auf den Vorgang, und das erleichtert die Löschung, denn auch für Protokolle gilt die Speicherbegrenzung der DSGVO.
Häufige Fragen
Wer speichert automatisch erzeugte Protokolle?
Anbieter und Betreiber, jeweils soweit die Protokolle ihrer Kontrolle unterliegen, nach Artikel 19 und Artikel 26 Absatz 6. Läuft das System beim Anbieter, regeln Sie den Zugriff im Vertrag.
Muss ich die Protokolle meines Website-Chatbots aufbewahren?
Aus der KI-Verordnung nicht, solange der Chat kein Hochrisiko-System ist. Speichert er personenbezogene Daten, gelten aber die Regeln der DSGVO, einschließlich Rechenschaftspflicht.
Wie lange bleibt die technische Dokumentation aufbewahrt?
Zehn Jahre ab dem Inverkehrbringen, das verlangt Artikel 18 vom Anbieter. Davon getrennt laufen die automatisch erzeugten Protokolle mit ihrer Mindestfrist von sechs Monaten.
Begriffe, die Sie im selben Zusammenhang kennen sollten
KI-Verordnung (AI Act) · Anbieter, Betreiber, Einführer und Händler (KI-Verordnung) · KI-Governance · Agentic AI (agentische KI) · KI-Agent · Zum KI-Glossar A-Z
Ein Protokoll, das niemand liest, schützt wenig; eines, das zeigt, wer was freigegeben hat, beantwortet die meisten Rückfragen von selbst.