Artikel 12 der Verordnung (EU) 2024/1689 — Protokollierung. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 12 der Verordnung (EU) 2024/1689 legt verbindliche Protokollierungsanforderungen für Hochrisiko-KI-Systeme fest. Der Artikel befindet sich in Titel III, Kapitel 2, das die technischen und Governance-Anforderungen festlegt, die Hochrisiko-KI-Systeme erfüllen müssen, bevor sie auf dem EU-Markt in Verkehr gebracht oder in Betrieb genommen werden.
Die Kernpflicht lautet, dass Hochrisiko-KI-Systeme so konzipiert und entwickelt werden müssen, dass sie über Protokollierungsfähigkeiten verfügen, die die automatische Aufzeichnung von Ereignissen — allgemein als Protokolle bezeichnet — während der Betriebsdauer des Systems ermöglichen. Diese Protokolle dienen einem doppelten Zweck: Sie unterstützen die Marktüberwachung nach der Markteinführung durch den Anbieter gemäß Artikel 72 und ermöglichen es nationalen zuständigen Behörden, ihre Aufsichts- und Ermittlungsfunktionen wahrzunehmen.
Artikel 12(2) legt fest, dass Protokollierungsfähigkeiten mindestens folgendes aufzeichnen müssen: den Zeitraum jeder Nutzung des Systems (Beginn- und Enddatum und -uhrzeit), die Referenzdatenbank, gegen die Eingabedaten geprüft wurden, soweit zutreffend, Eingabedaten, die zu einer bestimmten Ausgabe oder einem bestimmten Ergebnis geführt haben, und — soweit biometrische Identifizierungssysteme betroffen sind — die Identität natürlicher Personen, die an der Überprüfung der Ergebnisse beteiligt waren.
Der Artikel legt die Designpflicht eindeutig bei den Anbietern. Protokollierung muss konstruktiv in das System integriert sein, nicht nachträglich hinzugefügt werden. Dies spiegelt die übergeordnete "Privacy by Design"-Philosophie der Verordnung wider. Betreiber, die diese Systeme einsetzen, tragen ergänzende Pflichten nach Artikel 26, während ihrer Nutzung des Systems generierte Protokolle aufzubewahren, soweit sich diese unter ihrer Kontrolle befinden.
Was dies in der Praxis bedeutet
Für Anbieter, die Hochrisiko-KI-Systeme entwickeln oder auf dem EU-Markt in Verkehr bringen, verlangt Artikel 12, dass technische Entscheidungen in der Designphase getroffen werden, nicht nach der Inbetriebnahme. Protokollierung muss ein architektonisches Merkmal des Produkts sein.
Betroffene Parteien. Jede Organisation, die ein Hochrisiko-KI-System im Sinne von Artikel 6 und Anhang III entwickelt, in Verkehr bringt oder in Betrieb nimmt, unterliegt Artikel 12. Dazu gehören Systeme, die bei der Bewerberauswahl, Kreditwürdigkeitsbewertung, biometrischen Identifizierung, kritischen Infrastrukturverwaltung, Bildungsbewertung, Strafverfolgung, Grenzkontrolle und Rechtspflege eingesetzt werden, unter anderem. Betreiber — Organisationen, die das Hochrisiko-KI-System eines Anbieters in ihrem eigenen Kontext einsetzen — haben sekundäre Pflichten zur Aufbewahrung der von ihnen kontrollierten Protokolle.
Erforderliche konkrete Maßnahmen. Ein Anbieter muss eine automatisierte Protokollierung implementieren, die die erforderlichen Datenpunkte ohne manuellen Eingriff erfasst. Zum Beispiel muss ein Anbieter eines KI-gestützten Lebenslauf-Screening-Tools sicherstellen, dass das System jede Recruiting-Sitzung, die zur Schulung oder Kalibrierung des Modells verwendete Datensatzversion und die Eingaben (Bewerberprofile), die jede Ausgabe (Ranking oder Empfehlung) generiert haben, protokolliert. Ein Betreiber, der dieses Tool einsetzt, muss diese Protokolle aufbewahren und den Behörden auf Anfrage zur Verfügung stellen.
Ermittlungsnutzen. Protokolle dienen in erster Linie der rückwirkenden Analyse. Wenn ein System ein diskriminierendes Ergebnis produziert oder Schaden verursacht, müssen Regulierungsbehörden in der Lage sein, zu rekonstruieren, was passiert ist. Unvollständige, überschriebene oder unzugängliche Protokolle vereiteln diesen Zweck und setzen sowohl Anbieter als auch Betreiber einem Durchsetzungsrisiko aus.
Verhältnismäßigkeit. Der konkrete Umfang dessen, was protokolliert werden muss, ist auf den Typ des Systems abgestimmt. Biometrische Systeme unterliegen den detailliertesten Anforderungen. Anbieter sollten ihre Protokollierungsdesignentscheidungen in der technischen Dokumentation gemäß Artikel 11 dokumentieren.
Wesentliche Pflichten
- Protokollierung durch Design. Hochrisiko-KI-Systeme müssen mit automatischen Ereignisprotokollierungsfähigkeiten konzipiert und entwickelt werden, die vor der Markteinführung oder Inbetriebnahme in die Systemarchitektur integriert sind.
- Mindestprotokollinhalt. Protokolle müssen mindestens folgendes erfassen: den Betriebszeitraum jeder Nutzungssitzung, die für die Eingabeverifizierung verwendete Referenzdatenbank, soweit zutreffend, die Eingabedaten, die jede Ausgabe oder Entscheidung produziert haben, und — für biometrische Identifizierungssysteme — die Identitäten natürlicher Personen, die Ergebnisse verifiziert haben.
- Aufbewahrung von Betreiberprotokollen. Betreiber müssen während ihrer Nutzung eines Hochrisiko-KI-Systems generierte Protokolle für den nach geltendem Recht erforderlichen Zeitraum aufbewahren und mindestens für die Dauer, die zur Unterstützung der Marktüberwachung nach der Markteinführung und regulatorischer Ermittlungen erforderlich ist.
- Zugänglichkeit für Behörden. Protokolle müssen nationalen zuständigen Behörden auf Anfrage zur Verfügung stehen, um die Aufsicht, Vorfallsuntersuchung und Marktüberwachungsaktivitäten zu erleichtern.
- Rückverfolgbarkeit von Ausgaben. Das Protokollierungssystem muss die Rekonstruktion einer Kausalkette von einer spezifischen Eingabe zu einer spezifischen Ausgabe ermöglichen, um Rechenschaftspflicht und das Recht auf Erklärung zu unterstützen, soweit es gilt.
- Abstimmung mit der technischen Dokumentation. Die Protokollierungsarchitektur und ihr Umfang müssen in der nach Artikel 11 gepflegten technischen Dokumentation beschrieben werden, um Konsistenz zwischen dem System in der Entwurfsform und dem überwachten System zu gewährleisten.
Verhältnis zu anderen Artikeln
Artikel 12 kann nicht isoliert gelesen werden. Er funktioniert als Teil eines Netzwerks miteinander verknüpfter Anforderungen in Titel III, Kapitel 2.
Artikel 9 (Risikomanagementsystem) begründet den übergreifenden Rahmen, in den die Protokollierung einfliesst — Protokolle erzeugen die Betriebsdaten, die für die Identifizierung und Bewertung von Risiken im realen Einsatz benötigt werden.
Artikel 11 (Technische Dokumentation) verlangt von Anbietern, die Protokollierungsarchitektur und -fähigkeiten als Teil der umfassenderen technischen Akte zu dokumentieren, die notifizierten Stellen vorgelegt oder für die behördliche Inspektion aufbewahrt wird.
Artikel 17 (Qualitätsmanagementsystem) verlangt von Anbietern, ein Qualitätsmanagementsystem zu unterhalten, das die Protokollierung in breitere Betriebskontrollen und Korrekturmaßnahmeverfahren integriert.
Artikel 26 (Pflichten der Betreiber) überträgt Betreibern die Pflicht, die unter ihrer Kontrolle stehenden Protokolle aufzubewahren und mit Anbietern und Behörden zu kooperieren, wodurch Artikel 12 zu einer gemeinsamen Verantwortung in der gesamten Lieferkette wird.
Artikel 72 (Marktüberwachung nach der Markteinführung) ist der nachgelagerte Verbraucher von Artikel-12-Protokollen — das Überwachungssystem stützt sich auf Betriebsprotokolle, um nach der Inbetriebnahme Leistungseinbußen, unerwartete Ausgaben und aufkommende Risiken zu erkennen.
Artikel 73 (Meldung schwerwiegender Vorfälle) verwendet Protokolldaten als primäre Beweise, wenn Anbieter verpflichtet sind, schwerwiegende Fehlfunktionen oder Vorfälle den Marktüberwachungsbehörden zu melden.
Zeitplan für die Compliance
Die KI-Verordnung (Verordnung 2024/1689) trat am 1. August 2024 in Kraft, zwanzig Tage nach der Veröffentlichung im Amtsblatt der Europäischen Union.
Die Anwendung der Verordnung erfolgt phasenweise:
- 2. Februar 2025 — Verbote von KI-Praktiken mit unannehmbarem Risiko (Titel II, Artikel 5) wurden anwendbar.
- 2. August 2025 — Regeln für KI-Modelle mit allgemeinem Verwendungszweck (Titel VIII) und Governance-Pflichten (Titel III, Kapitel 4 über notifizierte Stellen; Titel VI über Governance) wurden anwendbar.
- 2. August 2026 — Pflichten für in Anhang III aufgeführte Hochrisiko-KI-Systeme beginnen für die meisten Kategorien zu gelten. Artikel 12 fällt in diese Phase. Anbieter und Betreiber von Hochrisiko-KI-Systemen müssen zu diesem Datum über konforme Protokollierungsfähigkeiten verfügen.
- 2. August 2027 — Verlängerte Frist für Hochrisiko-KI-Systeme, die von bestehenden sektoriellen Harmonisierungsvorschriften der Union gemäß Anhang I abgedeckt werden (z. B. Maschinen, Medizinprodukte), und diesen Sektoren zusätzliche Zeit gibt, bestehende Konformitätsbewertungsrahmen anzupassen.
Organisationen, die Hochrisiko-KI-Systeme entwickeln, sollten den 2. August 2026 als feste Compliance-Frist für die Protokollierungsanforderungen nach Artikel 12 betrachten, wobei Design und Tests der Protokollierungsinfrastruktur weit im Voraus abgeschlossen sein sollten, um Raum für Konformitätsbewertungsverfahren nach Artikel 43 zu lassen.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Artikel 12 verlangt, dass Hochrisiko-KI-Systeme so konzipiert und gebaut werden, dass sie über Fähigkeiten verfügen, die die automatische Aufzeichnung von Ereignissen — Protokollen — während ihrer gesamten Betriebsdauer ermöglichen. Diese Protokolle müssen die Marktüberwachung nach der Markteinführung ermöglichen und die Untersuchung von Vorfällen oder schwerwiegenden Fehlfunktionen erleichtern.
Die Hauptpflicht liegt bei den Anbietern von Hochrisiko-KI-Systemen. Anbieter müssen sicherstellen, dass die Protokollierungsfähigkeit von vornherein in das System eingebaut ist, bevor das System in Verkehr gebracht oder in Betrieb genommen wird.
Protokolle müssen mindestens Ereignisse erfassen, die für die Identifizierung von Risiken für Gesundheit, Sicherheit oder Grundrechte während der Systemnutzung relevant sind. Dazu gehören der Zeitraum jeder Nutzung, die Referenzdatenbank, gegen die Eingabedaten geprüft wurden, Eingabedaten, die zu einer bestimmten Ausgabe geführt haben, und die Identität der natürlichen Personen, die an der Überprüfung der Ergebnisse beteiligt waren.
Die Verordnung legt in Artikel 12 selbst keine einheitliche Aufbewahrungsfrist fest, aber Protokolle müssen für den Zeitraum aufbewahrt werden, der zur Erfüllung der Pflichten nach der Verordnung erforderlich ist, einschließlich der Marktüberwachung nach der Markteinführung gemäß Artikel 72. Sektorspezifische Regeln können zusätzliche Aufbewahrungsanforderungen auferlegen.
Nein. Artikel 12 gilt speziell für Hochrisiko-KI-Systeme, wie sie in Artikel 6 definiert und in Anhang III der Verordnung (EU) 2024/1689 aufgelistet sind. KI-Systeme mit allgemeinem Verwendungszweck und Systeme mit geringerem Risiko unterliegen nicht diesem Artikel, sofern sie nicht auch als Hochrisiko qualifizieren.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.