{"id":58051,"date":"2026-08-19T18:56:23","date_gmt":"2026-08-19T16:56:23","guid":{"rendered":"https:\/\/truescreen.io\/analysen\/ki-verordnung-artikel-12-protokollierung\/"},"modified":"2026-08-19T18:56:23","modified_gmt":"2026-08-19T16:56:23","slug":"ki-verordnung-artikel-12-protokollierung","status":"publish","type":"analysen","link":"https:\/\/truescreen.io\/de\/analysen\/ki-verordnung-artikel-12-protokollierung\/","title":{"rendered":"KI-Verordnung Artikel 12: Protokollierungspflichten f\u00fcr Hochrisiko-KI"},"content":{"rendered":"
\n
\n

KI-Verordnung Artikel 12: Protokollierungspflichten f\u00fcr Hochrisiko-KI<\/h1>\n<\/div>\n<\/div>\n
\n
\n

Ver\u00f6ffentlicht am 19. August 2026<\/p>\n

Artikel 12 der KI-Verordnung<\/a> (Verordnung (EU) 2024\/1689) verlangt, dass Hochrisiko-KI-Systeme die automatische Aufzeichnung von Ereignissen \u00fcber ihre gesamte Lebensdauer technisch erm\u00f6glichen. Die Vorschrift gilt ab dem 2. August 2026 vollst\u00e4ndig. F\u00fcr Betreiber erg\u00e4nzt Artikel 26 eine spiegelbildliche Pflicht: Die Protokolle sind mindestens sechs Monate aufzubewahren, sofern Unionsrecht oder nationales Recht keine l\u00e4ngere Frist vorsieht.<\/p>\n

Der Verordnungstext ist pr\u00e4zise bei den Zielen und d\u00fcnn bei der operativen Umsetzung. Welche Ereignisse sind zu protokollieren? In welchem Format? Wer tr\u00e4gt die Verantwortung f\u00fcr Speicherung und Unversehrtheit? Die Antwort reicht \u00fcber die technische Protokollierung hinaus: Wer die automatische Aufzeichnung mit der Sechsmonatsfrist und einer beweiskr\u00e4ftigen Beglaubigung der Aufzeichnungen verbindet, \u00fcbertrifft das regulatorische Minimum und baut einen belastbaren Pr\u00fcfpfad auf.<\/p>\n

Was Artikel 12 f\u00fcr die Protokollierung von KI-Systemen verlangt<\/h2>\n

Jedes Hochrisiko-KI-System muss so ausgelegt sein, dass es Ereignisse automatisch aufzeichnet. Die Protokolle m\u00fcssen die Funktionsweise des Systems vom Einsatz bis zur Au\u00dferbetriebnahme vollst\u00e4ndig nachvollziehbar machen und jede algorithmisch getroffene Entscheidung abdecken. Artikel 12 Absatz 2 nennt drei Zwecke: die Erkennung von Risikosituationen nach Artikel 79, die Beobachtung nach dem Inverkehrbringen nach Artikel 72 und die \u00dcberwachung des Betriebs nach Artikel 26 Absatz 5. Eine manuelle Aufzeichnung gen\u00fcgt nicht. Das System selbst muss die Eintr\u00e4ge ohne Zutun des Betreibers erzeugen.<\/p>\n

\n

Hochrisiko-KI-Systeme m\u00fcssen technisch die automatische Aufzeichnung von Ereignissen (Protokollierung) \u00fcber die Lebensdauer des Systems erm\u00f6glichen.<\/p>\n

Artikel 12 Absatz 2, Verordnung (EU) 2024\/1689<\/p>\n<\/blockquote>\n

Welche Ereignisse und wie lange<\/h3>\n

Betreiber von Hochrisiko-KI-Systemen m\u00fcssen die automatisch erzeugten Protokolle nach Artikel 26 Absatz 6 mindestens sechs Monate ab Entstehung des jeweiligen Eintrags aufbewahren. Die Frist gilt je Eintrag, nicht je Einsatzzyklus. Sektorale Vorschriften, einschlie\u00dflich der DSGVO, wenn Protokolle personenbezogene Daten enthalten, k\u00f6nnen die Frist verl\u00e4ngern. Die Speicherinfrastruktur muss den nationalen Markt\u00fcberwachungsbeh\u00f6rden auf Anfrage Zugang gew\u00e4hren. Aufbewahrung allein gen\u00fcgt nicht: Die Protokolle m\u00fcssen \u00fcber den gesamten Zeitraum lesbar, unversehrt und zueinander in Beziehung setzbar bleiben.<\/p>\n

Welche Ereignisse konkret zu protokollieren sind, h\u00e4ngt von der Systemkategorie ab. Artikel 12 Absatz 2 verlangt alle Angaben, die n\u00f6tig sind, um das Verhalten des Systems im Hinblick auf erkannte Risiken zu rekonstruieren. F\u00fcr Systeme zur biometrischen Fernidentifizierung nach Anhang III Nummer 1 Buchstabe a wird Artikel 12 Absatz 3 konkreter: Zeitstempel jeder Nutzung, die abgefragte Referenzdatenbank, die Eingabedaten, die zu einem Treffer gef\u00fchrt haben, und die Kennung des Personals, das die Ergebnisse \u00fcberpr\u00fcft hat. F\u00fcr andere Hochrisiko-Systeme existiert keine abschlie\u00dfende Liste. Ma\u00dfstab ist die vollst\u00e4ndige Rekonstruierbarkeit der algorithmischen Entscheidungen.<\/p>\n

Welche KI-Systeme als Hochrisiko gelten<\/h3>\n

Anhang III der Verordnung benennt acht Bereiche: biometrische Identifizierung, Betrieb kritischer Infrastruktur, allgemeine und berufliche Bildung, Besch\u00e4ftigung und Personalverwaltung, Zugang zu wesentlichen Diensten wie Kredit, Versicherung und \u00f6ffentliche Leistungen, Strafverfolgung, Migrationssteuerung und Rechtspflege. Auch Systeme, die als Sicherheitsbauteil von Produkten dienen, die bereits harmonisiertem Unionsrecht unterliegen, etwa Medizinprodukte, Maschinen oder Spielzeug, fallen darunter. Die Einstufung richtet sich nach Anwendungsfall und Einsatzkontext, nicht nach der zugrunde liegenden Technik.<\/p>\n

Pflichten des Anbieters und Pflichten des Betreibers<\/h3>\n

Die Verordnung trennt zwei Rollen. Der Anbieter entwickelt das System oder bringt es in Verkehr. Er muss die Protokollierungsarchitektur entwerfen, festlegen, welche Ereignisse aufgezeichnet werden, und die Protokolle in auswertbaren Formaten bereitstellen. Der Betreiber setzt das System im eigenen Betrieb ein. Er muss die Protokolle mindestens sechs Monate aufbewahren, sie den \u00dcberwachungsbeh\u00f6rden auf Anfrage zug\u00e4nglich machen und beobachten, ob das System innerhalb der Vorgaben des Anbieters arbeitet.<\/p>\n

An dieser Stelle wird es f\u00fcr viele Eink\u00e4ufer unbequem: Der Erwerb eines Hochrisiko-Systems von einem externen Anbieter befreit von nichts davon. F\u00fcr Aufbewahrung und Zug\u00e4nglichkeit der Protokolle bleibt der Betreiber verantwortlich, unabh\u00e4ngig davon, wer das System gebaut hat.<\/p>\n

Zu ber\u00fccksichtigen ist au\u00dferdem das Zusammenspiel mit zwei benachbarten Vorschriften. Artikel 11 verpflichtet Anbieter, vor dem Inverkehrbringen technische Unterlagen zu erstellen. Artikel 18 verpflichtet Betreiber, diese Unterlagen zehn Jahre nach der R\u00fccknahme des Systems zug\u00e4nglich zu halten. W\u00e4hrend Artikel 12 automatische Ereignisprotokolle mit einer Mindestfrist von sechs Monaten verlangt, deckt Artikel 18 die technischen Unterlagen und die Konformit\u00e4tsnachweise mit einem Horizont von zehn Jahren ab. Beide Pflichten setzen voraus, dass sich die Unversehrtheit auf Verlangen nachweisen l\u00e4sst.<\/p>\n

Bu\u00dfgelder und Fristen: was Verst\u00f6\u00dfe ab August 2026 kosten<\/h2>\n

Verst\u00f6\u00dfe gegen die Aufzeichnungspflichten l\u00f6sen Geldbu\u00dfen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes aus, je nachdem, welcher Betrag h\u00f6her ist. Das ist die zweite von drei Stufen nach Artikel 99. Die erste Stufe, vorbehalten den verbotenen Praktiken nach Artikel 5, reicht bis 35 Millionen Euro oder 7 Prozent des Umsatzes. Die dritte, f\u00fcr unrichtige Angaben gegen\u00fcber Beh\u00f6rden, bis 7,5 Millionen Euro oder 1 Prozent. F\u00fcr kleine und mittlere Unternehmen sowie Start-ups gilt jeweils der niedrigere der beiden Betr\u00e4ge.<\/p>\n

\n\n\n\n\n\n\n\n\n
Frist<\/th>\nGeltungsbereich<\/th>\nRechtsgrundlage<\/th>\n<\/tr>\n<\/thead>\n
2. Februar 2025<\/td>\nVerbot inakzeptabler Praktiken wie Social Scoring und unterschwellige Beeinflussung<\/td>\nArt. 5<\/td>\n<\/tr>\n
2. August 2025<\/td>\nPflichten f\u00fcr KI-Modelle mit allgemeinem Verwendungszweck und Governance<\/td>\nArt. 51 bis 56<\/td>\n<\/tr>\n
2. August 2026<\/td>\nVollst\u00e4ndige Geltung f\u00fcr Hochrisiko-Systeme nach Anhang III, einschlie\u00dflich Artikel 12<\/td>\nArt. 6 bis 49<\/td>\n<\/tr>\n
2. August 2027<\/td>\nKI-Systeme unter bereits bestehendem sektoralem Recht, etwa Medizinprodukte und Fahrzeuge<\/td>\nArt. 113<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n
\n\n\n\n\n\n\n\n
Stufe<\/th>\nVersto\u00df<\/th>\nH\u00f6chstbetrag<\/th>\n<\/tr>\n<\/thead>\n
Stufe 1<\/td>\nVerbotene Praktiken nach Artikel 5<\/td>\n35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes<\/td>\n<\/tr>\n
Stufe 2<\/td>\nPflichten f\u00fcr Hochrisiko-Systeme, einschlie\u00dflich Aufzeichnung nach Artikel 12<\/td>\n15 Mio. Euro oder 3 Prozent des weltweiten Jahresumsatzes<\/td>\n<\/tr>\n
Stufe 3<\/td>\nUnrichtige oder unvollst\u00e4ndige Angaben gegen\u00fcber Beh\u00f6rden<\/td>\n7,5 Mio. Euro oder 1 Prozent des weltweiten Jahresumsatzes<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

Die Kopplung an den weltweiten Umsatz folgt dem Muster der DSGVO und skaliert das Risiko mit der Unternehmensgr\u00f6\u00dfe. Einen Punkt \u00fcbersehen viele: Unvollst\u00e4ndige oder nicht \u00fcberpr\u00fcfbare Protokolle gegen\u00fcber der Markt\u00fcberwachung vorzulegen, ist selbst ein Versto\u00df der dritten Stufe, auch wenn das zugrunde liegende System im \u00dcbrigen konform ist.<\/p>\n

Wie sich die Unversehrtheit der Protokolle beweiskr\u00e4ftig sichern l\u00e4sst<\/h2>\n

Artikel 12 sagt, was aufzuzeichnen ist. Er sagt nichts dar\u00fcber, wie diese Aufzeichnungen nachtr\u00e4glich vor Ver\u00e4nderung gesch\u00fctzt werden. Technische Protokollierung allein gew\u00e4hrleistet keine Unversehrtheit \u00fcber die Zeit. Eine Protokolldatei l\u00e4sst sich ver\u00e4ndern, \u00fcberschreiben oder l\u00f6schen, ohne eine Spur zu hinterlassen, solange sie nicht durch Mechanismen gesichert ist, die von dem System unabh\u00e4ngig sind, das sie erzeugt hat.<\/p>\n

Sollen diese Aufzeichnungen in einem Verwaltungs- oder Gerichtsverfahren tragen, wird daraus eine Frage der Beweiskette. Jedes Ereignis muss erfasst, mit einem qualifizierten Zeitstempel nach eIDAS versehen und durch einen Dritten unver\u00e4nderlich gemacht werden, der weder Anbieter noch Betreiber ist. Ohne diesen Schritt ist ein Protokoll ein internes Dokument. Mit ihm wird es zum Nachweis.<\/p>\n

\n

Die L\u00fccke, die die meisten Organisationen \u00fcbersehen: Artikel 12 schreibt vor, was zu protokollieren ist, nicht aber, wie die Protokolle vor Ver\u00e4nderung zu sch\u00fctzen sind. Ein gew\u00f6hnlicher Datenbankeintrag l\u00e4sst sich spurlos \u00e4ndern.<\/p>\n<\/blockquote>\n

TrueScreen, the Data Authenticity Platform, erm\u00f6glicht es, Protokolle von KI-Systemen mit Beweiswert zu beglaubigen. \u00dcber die Schnittstelle werden die Eintr\u00e4ge an der Quelle erfasst und mit qualifizierten Zeitstempeln nach eIDAS versehen, im Einklang mit ISO\/IEC 27037 f\u00fcr die Sicherung digitaler Beweismittel. Die Daten werden ab dem Moment der Aufzeichnung unver\u00e4nderlich. F\u00fcr Betreiber von Hochrisiko-Systemen liegt der praktische Nutzen darin, dass beglaubigte Protokolle die vollst\u00e4ndige Beweiskette von der Entstehung des Ereignisses bis zur Vorlage bei einer Pr\u00fcfung oder vor Gericht dokumentieren.<\/p>\n

\n

FAQ: Protokollierungspflichten nach der KI-Verordnung<\/h2>\n
\n
\nWie lange m\u00fcssen Protokolle von Hochrisiko-KI-Systemen aufbewahrt werden?<\/span>
\n+<\/span><\/summary>\n
Mindestens sechs Monate ab Entstehung des jeweiligen Eintrags, nach Artikel 26 Absatz 6 der Verordnung (EU) 2024\/1689. Die Frist gilt je Eintrag, nicht je Einsatzzyklus. Sektorales Recht und die DSGVO k\u00f6nnen l\u00e4ngere Fristen vorschreiben, und die Protokolle m\u00fcssen \u00fcber den gesamten Zeitraum lesbar, unversehrt und zueinander in Beziehung setzbar bleiben.<\/div>\n<\/details>\n
\nBefreit der Kauf eines KI-Systems von einem Anbieter von den Pflichten?<\/span>
\n+<\/span><\/summary>\n
Nein. Der Anbieter verantwortet die Protokollierungsarchitektur, der Betreiber die Aufbewahrung und die Zug\u00e4nglichkeit gegen\u00fcber den Markt\u00fcberwachungsbeh\u00f6rden. Diese Pflicht bleibt beim Betreiber, unabh\u00e4ngig davon, wer das System entwickelt hat.<\/div>\n<\/details>\n
\nWas kostet ein Versto\u00df gegen die Aufzeichnungspflichten?<\/span>
\n+<\/span><\/summary>\n
Bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag h\u00f6her ist. Das ist die zweite von drei Bu\u00dfgeldstufen nach Artikel 99. F\u00fcr kleine und mittlere Unternehmen sowie Start-ups gilt der niedrigere der beiden Betr\u00e4ge. Unvollst\u00e4ndige oder nicht \u00fcberpr\u00fcfbare Protokolle vorzulegen ist zus\u00e4tzlich ein Versto\u00df der dritten Stufe.<\/div>\n<\/details>\n
\nWelche Ereignisse m\u00fcssen protokolliert werden?<\/span>
\n+<\/span><\/summary>\n
Eine abschlie\u00dfende Liste gibt es nur f\u00fcr Systeme zur biometrischen Fernidentifizierung: Zeitstempel jeder Nutzung, abgefragte Referenzdatenbank, Eingabedaten mit Treffer und Kennung des \u00fcberpr\u00fcfenden Personals. F\u00fcr andere Hochrisiko-Systeme gilt der Ma\u00dfstab des Artikels 12 Absatz 2: alles, was n\u00f6tig ist, um das Verhalten des Systems im Hinblick auf erkannte Risiken vollst\u00e4ndig zu rekonstruieren.<\/div>\n<\/details>\n
\nGen\u00fcgt technische Protokollierung, um die Anforderungen zu erf\u00fcllen?<\/span>
\n+<\/span><\/summary>\n
F\u00fcr die reine Vorschrift ja, f\u00fcr die Beweisf\u00fchrung nicht. Artikel 12 regelt, was aufzuzeichnen ist, nicht, wie die Aufzeichnungen vor nachtr\u00e4glicher Ver\u00e4nderung gesch\u00fctzt werden. Eine Protokolldatei l\u00e4sst sich spurlos \u00e4ndern. Erst die Beglaubigung durch einen unabh\u00e4ngigen Dritten mit qualifiziertem Zeitstempel nach eIDAS macht aus einem internen Dokument einen Nachweis.<\/div>\n<\/details>\n<\/div>\n<\/section>\n<\/div>\n<\/div>\n
\n
\n
\n
\n

Protokolle, die einer Pr\u00fcfung standhalten<\/h2>\n

TrueScreen beglaubigt Protokolleintr\u00e4ge \u00fcber eine Schnittstelle an der Quelle, mit qualifiziertem Zeitstempel nach eIDAS und dokumentierter Beweiskette nach ISO\/IEC 27037.<\/p>\n

Kostenlos testen<\/a>
\nKontakt aufnehmen<\/a>\n<\/div>\n

\"TrueScreen\"<\/div>\n<\/div>\n<\/div>\n<\/div>","protected":false},"featured_media":55888,"template":"","class_list":["post-58051","analysen","type-analysen","status-publish","has-post-thumbnail","hentry"],"acf":[],"_links":{"self":[{"href":"https:\/\/truescreen.io\/de\/wp-json\/wp\/v2\/analysen\/58051","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/truescreen.io\/de\/wp-json\/wp\/v2\/analysen"}],"about":[{"href":"https:\/\/truescreen.io\/de\/wp-json\/wp\/v2\/types\/analysen"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/truescreen.io\/de\/wp-json\/wp\/v2\/media\/55888"}],"wp:attachment":[{"href":"https:\/\/truescreen.io\/de\/wp-json\/wp\/v2\/media?parent=58051"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}