Artikel 19 der Verordnung (EU) 2024/1689 — Automatisch generierte Protokolle. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Auswirkungen.
Zusammenfassung des offiziellen Textes
Artikel 19 der Verordnung (EU) 2024/1689 begründet eine Protokollierungspflicht, die auf zwei Ebenen wirkt: eine gestaltungszeitliche Pflicht für Anbieter und eine betriebliche Pflicht für Betreiber.
Auf Anbieterseite verlangt Artikel 19(1), dass Hochrisiko-KI-Systeme technisch in der Lage sein müssen, während ihrer gesamten Lebensdauer automatisch Protokolle ihres Betriebs zu generieren. Anbieter müssen diese Fähigkeit im technisch machbaren Umfang in das System einbauen und sicherstellen, dass Ereignisse ohne manuellen Eingriff aufgezeichnet werden können. Dies steht in direktem Zusammenhang mit dem umfassenderen Transparenz- und Rückverfolgbarkeitsrahmen in Titel III.
Auf Betreiberseite verlangt Artikel 19(2), dass Betreiber die von den von ihnen betriebenen Hochrisiko-KI-Systemen automatisch generierten Protokolle aufbewahren. Der Mindestzeitraum für die Aufbewahrung beträgt sechs Monate, sofern das Unions- oder anwendbare Mitgliedstaatenrecht keinen längeren Zeitraum vorschreibt. Sektorspezifische Regulierung — zum Beispiel im Finanzwesen, Gesundheitswesen oder in der kritischen Infrastruktur — wird dieses standardmäßige Minimum häufig ablösen.
Die in Artikel 19 vorgesehenen Protokolle dienen mehreren Compliance-Zwecken: Sie unterstützen die Marktüberwachung nach dem Inverkehrbringen gemäß Artikel 72, erleichtern die Vorfallmeldung gemäß Artikel 73 und liefern die evidentielle Grundlage, die nationale zuständige Behörden bei der Marktüberwachung gemäß Kapitel VI benötigen. Der Artikel schreibt selbst nicht das genaue technische Format oder den Detailgrad der Protokolle vor und überlässt diese Einzelheiten harmonisierten Normen und den technischen Dokumentationsanforderungen gemäß Artikel 11 und Annex IV.
Praktische Bedeutung
Für Organisationen, die Hochrisiko-KI-Systeme einsetzen, führt Artikel 19 eine konkrete Datenhaltungspflicht ein, die vom ersten Tag der Bereitstellung an in betriebliche Prozesse eingebaut werden muss.
Betreiber müssen zunächst sicherstellen, dass das von ihnen verwendete KI-System technisch in der Lage ist, automatisch Protokolle zu generieren. Liefert ein Anbieter ein System, dem diese Fähigkeit fehlt, obwohl sie technisch machbar wäre, verletzt der Anbieter seine eigenen Pflichten — der Betreiber trägt jedoch weiterhin die Verantwortung dafür, vor der Bereitstellung eine angemessene Sorgfalt durchzuführen, wie von Artikel 26 verlangt.
In der Praxis bedeutet dies, dass Betreiber von Anbietern klare Dokumentation anfordern sollten, die bestätigt, dass die Protokollierungsfunktionalität vorhanden ist, beschreibt, welche Ereignisse protokolliert werden, und das Protokollformat angibt. Diese Dokumentation sollte Teil der vertraglichen Vereinbarungen zwischen Anbieter und Betreiber sein.
Nach der Inbetriebnahme müssen Betreiber eine Protokollaufbewahrungsrichtlinie einführen, die mindestens sechs Monate abdeckt. Für Organisationen in regulierten Sektoren ist diese Basislinie fast immer verlängert: Ein Krankenhaus, das ein KI-gestütztes Diagnosewerkzeug einsetzt, muss die Protokollaufbewahrung mit der Gesetzgebung zu Krankenakten abstimmen; eine Bank, die ein KI-Kreditscoringssystem einsetzt, muss die Aufzeichnungspflichten für Finanzdienstleistungen berücksichtigen, die häufig eine mehrjährige Aufbewahrung vorschreiben.
Konkrete operative Schritte umfassen: Benennung der Verantwortlichkeit für Protokollspeicherung und Zugriffskontrollen, Sicherstellen, dass Protokolle manipulationssicher und sicher gespeichert sind, Einrichten von Prozessen zur schnellen Abrufung von Protokollen als Reaktion auf eine behördliche Anfrage oder Vorfall-Untersuchung, und Dokumentierung der Aufbewahrungsrichtlinie innerhalb des umfassenderen KI-Governance-Rahmens der Organisation.
Protokolle sollten ausreichende Informationen erfassen, um die dem System bereitgestellten Eingaben, die generierten Ausgaben, die verwendete Modellversion und den Zeitpunkt der Vorgänge zu rekonstruieren — und damit eine sinnvolle nachträgliche Überprüfung zu ermöglichen.
Wesentliche Pflichten
- Anbieter müssen Hochrisiko-KI-Systeme so gestalten und aufbauen, dass sie im technisch machbaren Umfang technisch in der Lage sind, während der gesamten Betriebslebensdauer des Systems automatisch Protokolle ihres Betriebs zu generieren.
- Betreiber müssen die automatisch generierten Protokolle der von ihnen betriebenen Hochrisiko-KI-Systeme für mindestens sechs Monate ab dem Datum der Generierung aufbewahren, oder länger, wenn das anwendbare Unions- oder Mitgliedstaatenrecht dies vorschreibt.
- Betreiber müssen sicherstellen, dass aufbewahrte Protokolle zugänglich und sicher sind und auf Anfrage nationalen zuständigen Behörden bei Marktüberwachungs- oder Vorfalluntersuchungen zur Verfügung gestellt werden können.
- Anbieter müssen die Protokollierungsfähigkeit ihres Systems — einschließlich der Angabe, was protokolliert wird, des Protokollformats und etwaiger bekannter technischer Einschränkungen — als Teil der nach Artikel 11 und Annex IV erforderlichen technischen Dokumentation dokumentieren.
- Wenn sektorspezifische Regulierung strengere oder längere Aufbewahrungsanforderungen auferlegt, müssen Betreiber diese Anforderungen zusätzlich zur und anstelle der sechsmonatigen Basislinie anwenden.
- Betreiber müssen sicherstellen, dass die Protokollierungsinfrastruktur während des gesamten Nutzungszeitraums des Hochrisiko-KI-Systems aufrechterhalten wird und dass die Protokollintegrität gegen Manipulation oder unbeabsichtigte Löschung geschützt ist.
Beziehung zu anderen Artikeln
Artikel 19 ist in Kapitel 3 von Titel III angesiedelt und muss als Teil eines integrierten Rückverfolgbarkeitsrahmens und nicht als isolierte Pflicht gelesen werden.
Er steht in direktem Zusammenhang mit Artikel 12 (Aufzeichnungspflichten), der verlangt, dass Hochrisiko-KI-Systeme so gestaltet werden, dass Aufzeichnungen über ihren Betrieb ermöglicht werden, und mit Artikel 11 und Annex IV, die festlegen, welche technische Dokumentation Anbieter pflegen müssen, einschließlich Beschreibungen der Protokollierungsfähigkeit.
Artikel 19 fließt in Artikel 72 (Marktüberwachung nach dem Inverkehrbringen) ein, der von Anbietern verlangt, die Systemleistung im Feld aktiv zu überwachen — Protokolle sind die primäre Datenquelle für diese Überwachung. Er unterstützt auch Artikel 73 (Meldung schwerwiegender Vorfälle), bei dem Protokolle die evidentielle Grundlage für das Verständnis liefern, was während eines Vorfalls passiert ist.
Die gemäß Artikel 19 aufbewahrten Protokolle gehören zu den Aufzeichnungen, die nationale zuständige Behörden bei Ausübung ihrer Marktüberwachungsbefugnisse gemäß Artikel 74 und 75 anfordern können. Schließlich spiegelt die in Artikel 19 dargelegte Verantwortungsaufteilung zwischen Anbietern und Betreibern den umfassenderen Rahmen wider, der durch Artikel 25 (Verantwortlichkeiten entlang der Wertschöpfungskette) und Artikel 26 (Pflichten der Betreiber) festgelegt wurde.
Zeitplan für die Compliance
Das EU-KI-Gesetz trat am 1. August 2024 in Kraft und leitete einen gestaffelten Anwendungszeitplan ein.
Artikel 19 fällt unter Titel III, Kapitel 3, das die Pflichten für Anbieter und Betreiber von Hochrisiko-KI-Systemen regelt. Das allgemeine Anwendungsdatum für Pflichten bei Hochrisiko-KI-Systemen — einschließlich Artikel 19 — ist der 2. August 2026 für in Annex III aufgeführte Systeme (Hochrisikoanwendungen in Bereichen wie Bildung, Beschäftigung, wesentliche Dienstleistungen und Strafverfolgung). Für Hochrisiko-KI-Systeme, die durch Annex I (Sicherheitskomponenten von Produkten, die durch bestehende Unionsharmonisierungsrechtsvorschriften geregelt werden) erfasst sind, gelten die Pflichten ab dem 2. August 2027, ausgerichtet auf die Erneuerung oder Erstausstellung relevanter Produktkonformitätsbewertungen.
Frühere Anwendungsmeilensteine umfassen das Verbot von KI-Praktiken mit inakzeptablem Risiko (Artikel 5), das ab dem 2. Februar 2025 galt, und Pflichten im Zusammenhang mit Allzweck-KI-Modellen (Titel VII), die ab dem 2. August 2025 galten.
Organisationen, die Hochrisiko-KI-Systeme einsetzen, sollten den 2. August 2026 als harte Compliance-Frist für die Pflichten aus Artikel 19 betrachten, aber weit im Voraus damit beginnen, Protokollaufbewahrungsrichtlinien zu gestalten, Anbieterverträge zu prüfen und sich an sektorspezifischen Aufbewahrungsgesetzen auszurichten — die Komplexität der Unternehmensdaten-Governance macht eine kurzfristige Compliance strukturell schwierig.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Automatisch generierte Protokolle sind Aufzeichnungen, die von Hochrisiko-KI-Systemen erzeugt werden und Ereignisse, Eingaben, Ausgaben und Betriebsdaten während des Lebenszyklus des Systems erfassen. Artikel 19 verlangt von Anbietern sicherzustellen, dass ihre Hochrisiko-KI-Systeme solche Protokolle im technisch machbaren Umfang automatisch generieren, um Rückverfolgbarkeit und Marktüberwachung nach dem Inverkehrbringen zu ermöglichen.
Die primäre Pflicht trifft Betreiber, die automatisch generierte Protokolle für einen durch das anwendbare Recht festgelegten Mindestzeitraum aufbewahren müssen, oder, sofern kein solches Recht besteht, für mindestens sechs Monate. Anbieter müssen die Protokollierungsfähigkeit in das System selbst einbauen. Beide Parteien tragen unterschiedliche, aber komplementäre Verantwortlichkeiten.
Nein. Artikel 19 gilt speziell für Hochrisiko-KI-Systeme im Sinne von Artikel 6 und Annex III des EU-KI-Gesetzes. Allzweck-KI-Systeme und KI-Systeme, die nicht in die Hochrisikokategorie fallen, unterliegen nicht dieser spezifischen Protokollierungsanforderung, auch wenn andere Pflichten anwendbar sein können.
Betreiber müssen automatisch generierte Protokolle mindestens sechs Monate lang aufbewahren, sofern das auf den Betreiber oder den Anwendungsfall anwendbare Unions- oder Mitgliedstaatenrecht keinen anderen, typischerweise längeren Aufbewahrungszeitraum vorschreibt. Betreiber sollten stets sektorspezifische Vorschriften prüfen — etwa solche, die das Gesundheitswesen, den Finanzsektor oder kritische Infrastrukturen betreffen — da diese strengere Anforderungen auferlegen können.
Das Versäumnis, Protokolle wie von Artikel 19 verlangt aufzubewahren, kann einen Verstoß gegen das EU-KI-Gesetz darstellen und Betreiber behördlichen Maßnahmen und Verwaltungsgeldstrafen aussetzen. Protokolle sind auch bei einem Vorfall, einer Sicherheitsuntersuchung oder einer Behördenkontrolle entscheidende Beweismittel, sodass ihr Fehlen die Haftung erheblich verstärken kann.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.