Was Art. 12 konkret vorschreibt
Art. 12 Abs. 1 AI Act verlangt, dass die Technik eines Hochrisiko-KI-Systems die automatische Aufzeichnung von Ereignissen während des gesamten Lebenszyklus ermöglicht — nicht nur während des Testbetriebs, sondern durchgängig im produktiven Einsatz. Das ist keine organisatorische Vorgabe, sondern eine technische Anforderung an das System selbst: Die Protokollierungsfähigkeit muss architektonisch vorgesehen sein, nicht nachträglich als Feature hinzugefügt werden können.
Art. 12 Abs. 2 konkretisiert den Zweck: Die Protokollierung muss Ereignisse erfassen, die relevant sind für
- die Ermittlung von Situationen, die zu einem Risiko im Sinne des Art. 79 Abs. 1 führen können, oder zu einer wesentlichen Änderung,
- die Beobachtung nach dem Inverkehrbringen gemäß Art. 72,
- die Überwachung des Betriebs gemäß Art. 26 Abs. 5.
Damit ist Protokollierung kein Selbstzweck, sondern das technische Rückgrat für drei andere Pflichten: Risikoerkennung, Post-Market-Monitoring und die laufende Überwachung durch Betreiber. Wer die Logs nicht hat, kann diese Pflichten faktisch nicht erfüllen — die Nachweisführung fehlt.
Verschärfte Anforderungen bei biometrischen Systemen
Für Hochrisiko-KI-Systeme nach Anhang III Nummer 1 Buchstabe a — das betrifft biometrische Identifizierungssysteme — geht Art. 12 Abs. 3 über die allgemeine Pflicht hinaus und benennt einen Mindestumfang:
- Aufzeichnung jedes Nutzungszeitraums (Datum und Uhrzeit von Beginn und Ende),
- die Referenzdatenbank, gegen die abgeglichen wurde,
- die Eingabedaten, die zu einer Übereinstimmung geführt haben,
- die Identität der Personen, die die Ergebnisse gemäß Art. 14 Abs. 5 überprüft haben.
Dieser Katalog ist eine Aufzählung von Mindestinhalten, nicht abschließend im Sinne einer Obergrenze. Wer ein solches System betreibt oder anbietet, muss also nachweisen können, wer wann welche Abfrage mit welchem Ergebnis durchgeführt hat und welche natürliche Person die menschliche Überprüfung vorgenommen hat. Das ist ohne strukturierte Protokollierung praktisch nicht rekonstruierbar.
Warum das in der Praxis oft an der falschen Stelle ansetzt
Ein typisches Muster: Bestehende Logging-Infrastruktur ist auf Betriebsstabilität ausgelegt — Fehler, Exceptions, Performance-Metriken. Was fehlt, ist die Verknüpfung zu den in Art. 12 Abs. 2 genannten Zwecken. Konkret zeigen sich drei Lücken immer wieder:
Fehlende Rückverfolgbarkeit einzelner Entscheidungen. Logs erfassen, dass das System gelaufen ist, aber nicht, welche Eingabedaten zu welchem Ergebnis geführt haben. Für die Beobachtung nach Art. 72 und die Betriebsüberwachung nach Art. 26 Abs. 5 reicht das nicht.
Zu kurze Aufbewahrung. Wenn Protokolle nach wenigen Tagen rotiert werden, ist eine spätere Risikoanalyse nach einem gemeldeten Vorfall nicht mehr möglich, weil die relevanten Ereignisse bereits überschrieben sind.
Keine Zuordnung zur menschlichen Aufsicht. Gerade bei Systemen mit Überprüfungspflicht durch natürliche Personen fehlt oft die technische Verknüpfung zwischen Systemergebnis und der Person, die es kontrolliert hat — genau das, was Art. 12 Abs. 3 Buchstabe d für biometrische Systeme ausdrücklich fordert.
Diese Lücken werden selten bei der Entwicklung sichtbar, sondern erst dann, wenn eine Behörde oder ein Betreiber im Rahmen der Marktüberwachung konkrete Nachweise verlangt. Nachrüsten ist dann deutlich teurer als von Anfang an mitzudenken.
Was Anbieter und Betreiber jetzt prüfen sollten
Für Anbieter heißt das: Protokollierungsfunktionen müssen Teil der technischen Spezifikation sein, nicht ein nachgelagertes IT-Thema. Für Betreiber, die auf die Protokolle eines Anbieters angewiesen sind, lohnt sich ein Blick in die Verträge — wird der in Art. 12 Abs. 2 genannte Zweck tatsächlich erfüllt, oder liefert der Anbieter nur generisches Systemmonitoring?
Die Hochrisiko-Pflichten aus Anhang III greifen ab dem 2. August 2026 verbindlich. Wer ein betroffenes System einsetzt oder anbietet, sollte die Protokollierungsarchitektur vorher geprüft haben — nicht erst, wenn eine Aufsichtsbehörde danach fragt.
Ob Ihr System überhaupt unter Anhang III fällt und welche Pflichten konkret greifen, klären Sie am schnellsten mit unserem kostenlosen Risiko-Check unter /einstufung.