EU-AI-Act-Aufbewahrung von Protokollen: Die 6-Monats-Regel (in der Praxis)

Nach dem EU AI Act (Verordnung (EU) 2024/1689) müssen Protokolle eines Hochrisiko-KI-Systems mindestens sechs Monate aufbewahrt werden, das gilt für Anbieter (Provider) nach Artikel 19 und für Betreiber (Deployer) nach Artikel 26(6), jeweils "soweit die Protokolle ihrer Kontrolle unterliegen". Das System muss zudem so gebaut sein, dass es diese Protokolle automatisch erzeugt (Artikel 12). Sechs Monate sind die Untergrenze: Unionsrecht oder nationales Recht, insbesondere Datenschutz- und Branchenregeln, können längere Fristen verlangen, und regulierte Finanzinstitute folgen stattdessen ihrer Aufbewahrungsfrist aus dem Finanzdienstleistungsrecht.

Das ist eine der meistgesuchten, am wenigsten klar beantworteten Fragen zum AI Act: Wie lange muss ich die Protokolle aufbewahren, und wer ist eigentlich verantwortlich? Das Gesetz beantwortet sie in drei kurzen Artikeln, die die meisten Zusammenfassungen überspringen. Hier ist die operative Fassung, was zu protokollieren ist, wer es aufbewahrt, wie lange, und die Ausnahmen, die die Zahl ändern.

Wer muss AI-Act-Protokolle aufbewahren, Anbieter oder Betreiber?

Beide. Das Gesetz teilt die Pflicht, und die Teilung ist wichtig, weil die meisten Unternehmen Betreiber sind, nicht Anbieter.

Der entscheidende Ausdruck ist "soweit die Protokolle ihrer Kontrolle unterliegen". Wenn Ihr SaaS-Anbieter das Modell hostet und die Protokolle hält, liegt dieser Teil in seiner Kontrolle (Anbieterpflicht). Wenn Protokolle in Ihrer Umgebung entstehen, wenn Sie das System ausführen, unterliegen sie Ihrer Kontrolle (Betreiberpflicht). In der Praxis erzeugen viele Bereitstellungen Protokolle auf beiden Seiten, sodass beide Parteien eine Sechs-Monats-Pflicht über ihren eigenen Teil tragen.

Nicht sicher, welche Rolle Sie haben? Diese eine Frage ändert die meisten Ihrer Pflichten, nutzen Sie den Anwendbarkeits-Check oder lesen Sie Muss ich den EU AI Act einhalten?.

Was müssen die Protokolle tatsächlich enthalten (Artikel 12)?

Bevor die Aufbewahrung überhaupt eine Frage ist, muss das System die Protokolle erzeugen. Artikel 12 verlangt von Hochrisiko-KI-Systemen, dass sie die automatische Aufzeichnung von Ereignissen (Protokolle) über die Lebensdauer des Systems technisch ermöglichen, mit Protokollierungsfunktionen, die ein dem Verwendungszweck angemessenes Maß an Rückverfolgbarkeit erlauben. Für die Hochrisiko-Kategorie Biometrie ist das Gesetz genauer, die Protokolle müssen unter anderem den Zeitraum jeder Nutzung, die geprüfte Referenzdatenbank, die Eingabedaten, die zu einem Treffer geführt haben, und die an der Überprüfung der Ergebnisse beteiligten natürlichen Personen erfassen.

Für die meisten Hochrisiko-Systeme bedeutet "dem Verwendungszweck angemessen", dass Ihre Protokolle ausreichen sollten, um:

• Situationen zu erkennen, die dazu führen können, dass das System ein Risiko darstellt oder eine wesentliche Änderung auslöst;
• die Marktbeobachtung zu unterstützen (Artikel 72); und
• die Überwachung des Betriebs durch einen Betreiber gemäß der Betriebsanleitung zu ermöglichen.

Protokollierung ist eine Design-Anforderung (Artikel 12), Aufbewahrung ist eine operative Anforderung (Artikel 19 und 26(6)). Sie brauchen beides: ein System, das die richtigen Ereignisse aufzeichnet, und einen Prozess, der diese Aufzeichnungen mindestens sechs Monate aufbewahrt.

Wie lange ist "mindestens sechs Monate", und wann ist es länger?

Sechs Monate sind die Mindest-Untergrenze, kein fester Zeitraum. Der genaue Wortlaut in Artikel 19 und Artikel 26(6) lautet "für einen dem Verwendungszweck des Hochrisiko-KI-Systems angemessenen Zeitraum von mindestens sechs Monaten, soweit im geltenden Unionsrecht oder nationalen Recht, insbesondere im Datenschutzrecht der Union, nichts anderes vorgesehen ist."

Daraus folgen drei Dinge:

1. "Dem Verwendungszweck angemessen" kann mehr als sechs Monate bedeuten. Ein System, dessen Entscheidungen langlebige Wirkungen haben (ein Kreditmodell, ein Einstellungstool), braucht unter Umständen eine längere Aufbewahrungsfrist, um verteidigbar zu sein. Sechs Monate sind die gesetzliche Untergrenze; die richtige Zahl ist risikogetrieben.
2. Andere Gesetze können die Untergrenze überlagern. Die DSGVO-Grundsätze der Speicherbegrenzung und Datenminimierung, branchenspezifische Aufzeichnungspflichten und Litigation-Hold-Pflichten wirken alle mit AI-Act-Protokollen zusammen. Wo Protokolle personenbezogene Daten enthalten, müssen Sie die Sechs-Monats-Mindestfrist mit dem DSGVO-Grundsatz "nicht länger als nötig" in Einklang bringen, sie lange genug aufbewahren, um Artikel 19/26(6) und jede Branchenregel zu erfüllen, aber nicht unbegrenzt ohne Rechtsgrundlage.
3. Finanzinstitute folgen ihrer eigenen Uhr. Artikel 26(6) ist ausdrücklich: Betreiber, die Finanzinstitute sind und dem Unionsrecht über Finanzdienstleistungen zu interner Governance/Aufzeichnung unterliegen, müssen die Protokolle als Teil der nach diesem Finanzdienstleistungsrecht geführten Dokumentation aufbewahren, d. h. es gilt ihr bestehendes Aufbewahrungsregime, nicht eine separate Sechs-Monats-Regel.

Was das in der Praxis bedeutet

Eine praktikable Compliance-Haltung für die Aufbewahrungspflicht:

1. Bestätigen Sie zuerst, dass Sie Hochrisiko sind. Die Protokollierungs- und Aufbewahrungspflichten nach Artikel 12, 19 und 26(6) gelten für Hochrisiko-Systeme (Anhang III oder Anhang I). Ist Ihr System kein Hochrisiko, bindet Sie diese konkrete Pflicht nicht, klassifizieren Sie es mit der kostenlosen Bewertung, bevor Sie Infrastruktur bauen, die Sie vielleicht nicht brauchen.
2. Stellen Sie sicher, dass das System die Protokolle erzeugt (Artikel 12). Wenn Sie der Anbieter sind, ist das Ihre Bau-Anforderung. Wenn Sie Betreiber eines Drittanbieter-Systems sind, prüfen Sie, ob die Protokollierung des Anbieters angemessen ist und ob Sie Ihren Teil abrufen und aufbewahren können.
3. Setzen Sie die Aufbewahrung auf ≥ 6 Monate, dann passen Sie nach Zweck nach oben an. Standardmäßig sechs Monate; verlängern Sie, wo die Entscheidungen des Systems dauerhafte Folgen haben oder wo Branchen-/Datenschutzrecht es verlangt.
4. Bringen Sie es mit der DSGVO in Einklang. Wenn Protokolle personenbezogene Daten enthalten, dokumentieren Sie die Rechtsgrundlage und die Begründung der Aufbewahrung, damit Sie sowohl die AI-Act-Untergrenze als auch den DSGVO-Grundsatz der Speicherbegrenzung erfüllen.
5. Kartieren Sie die Kontrollgrenzen. Halten Sie schriftlich fest, welche Protokolle Ihrer Kontrolle gegenüber der des Anbieters unterliegen, damit die Sechs-Monats-Pflicht auf jeder Seite klar zugeordnet ist.

Der Fristen-Hintergrund: Hochrisiko-Pflichten, einschließlich dieser Protokollierungs- und Aufbewahrungspflichten, gelten für eigenständige Anhang-III-Systeme ab dem 2. August 2026 und für Anhang-I-eingebettete Systeme (Hochrisiko-KI in regulierten Produkten) ab dem 2. August 2027. Der Digital Omnibus würde diese auf den 2. Dezember 2027 (Anhang III) und den 2. August 2028 (Anhang I) verschieben, aber Stand Juni 2026 ist diese Verschiebung vereinbart, noch kein Gesetz, das Europäische Parlament hat ihr am 16. Juni 2026 zugestimmt (423 dafür, 57 dagegen, 174 Enthaltungen), wobei die förmliche Annahme durch den Rat und die Veröffentlichung im Amtsblatt der EU noch erforderlich sind, bevor die neuen Daten gelten. Bis dahin bleiben die rechtlich geltenden Daten der Zeitplan der ursprünglichen Verordnung (EU) 2024/1689. So oder so ist es Vorlaufzeit, um die Protokollierung ordentlich aufzubauen, kein Grund, sie aufzuschieben, siehe die Fristen nach dem Digital Omnibus.

Die Aufzeichnung falsch zu machen ist keine Fußnote: Ein Verstoß gegen Hochrisiko-Pflichten kann Bußgelder von bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes nach Artikel 99 nach sich ziehen (KMU zahlen den niedrigeren Betrag). Modellieren Sie Ihre Exposition mit dem Bußgeld-Rechner.

Häufig gestellte Fragen

Wie lange müssen EU-AI-Act-Protokolle aufbewahrt werden?

Mindestens sechs Monate. Sowohl Anbieter (Artikel 19) als auch Betreiber (Artikel 26(6)) von Hochrisiko-KI-Systemen müssen die automatisch erzeugten Protokolle aufbewahren, soweit sie ihrer Kontrolle unterliegen, "für einen dem Verwendungszweck angemessenen Zeitraum von mindestens sechs Monaten", sofern nicht Unionsrecht oder nationales Recht (besonders Datenschutzrecht) etwas anderes verlangt. Sechs Monate sind die Untergrenze, keine Obergrenze.

Müssen Betreiber AI-Act-Protokolle aufbewahren, oder nur Anbieter?

Beide. Viele Teams nehmen an, nur der Ersteller (Anbieter) sei verantwortlich, aber Artikel 26(6) legt Betreibern eine eigenständige Sechs-Monats-Aufbewahrungspflicht auf, Unternehmen also, die ein Hochrisiko-KI-System in ihrer beruflichen Tätigkeit nutzen, für die Protokolle unter ihrer Kontrolle. Anbieter tragen die parallele Pflicht nach Artikel 19.

Welche Protokolle verlangt der EU AI Act?

Artikel 12 verlangt von Hochrisiko-KI-Systemen, Ereignisse (Protokolle) über ihre Lebensdauer automatisch aufzuzeichnen, auf einem dem Verwendungszweck angemessenen Maß an Rückverfolgbarkeit, ausreichend, um Risikosituationen zu erkennen, die Marktbeobachtung zu unterstützen (Artikel 72) und die Aufsicht des Betreibers zu ermöglichen. Hochrisiko-Biometriesysteme haben zusätzliche spezifische Protokollierungsanforderungen (Nutzungszeitraum, Referenzdatenbank, abgleichende Eingabedaten und die Personen, die die Ergebnisse überprüfen).

Kann die Aufbewahrungsfrist von sechs Monaten länger sein?

Ja. "Mindestens sechs Monate" ist ein Minimum. Ein "dem Verwendungszweck angemessener" Zeitraum kann länger sein für Systeme mit langlebigen Wirkungen, und andere Gesetze können ihn verlängern, DSGVO, branchenspezifische Aufzeichnungspflichten und Litigation Holds wirken alle mit AI-Act-Protokollen zusammen. Finanzinstitute bewahren die Protokolle unter ihrem bestehenden Aufbewahrungsregime aus dem Finanzdienstleistungsrecht auf, statt nach einer separaten Sechs-Monats-Regel.

Wann beginnt die Aufbewahrungspflicht zu gelten?

Sie gilt, sobald die Hochrisiko-Pflichten gelten. Nach dem heute rechtlich geltenden Zeitplan sind eigenständige Hochrisiko-Systeme (Anhang III) ab dem 2. August 2026 gebunden und Hochrisiko-KI, die in regulierte Produkte eingebettet ist (Anhang I), ab dem 2. August 2027. Der Digital Omnibus würde diese auf den 2. Dezember 2027 (Anhang III) und den 2. August 2028 (Anhang I) verschieben, aber Stand Juni 2026 ist diese Änderung vereinbart und noch nicht in Kraft, das Europäische Parlament hat ihr am 16. Juni 2026 zugestimmt (423 dafür, 57 dagegen, 174 Enthaltungen), wobei die förmliche Annahme durch den Rat und die Veröffentlichung im Amtsblatt der EU noch folgen. Die Pflichten zu verbotenen Praktiken und KI-Kompetenz sind bereits in Kraft (seit 2. Februar 2025), aber Protokollierung/Aufbewahrung ist Teil des Hochrisiko-Regimes zu den Hochrisiko-Daten.

Protokollierung und Aufbewahrung sind ein Ausschnitt des Hochrisiko-Regimes. Um Ihre vollständige Pflichtenliste zu sehen, Risikoklasse, Dokumentation, Aufsicht und Aufzeichnung, führen Sie die kostenlose EU-AI-Act-Bewertung durch. Sie ordnet Ihr System in wenigen Minuten den konkreten Artikeln zu.