EU AI-loven, artikkel 12: Krav til logging og revisjonsspor

Hva artikkel 12 krever

AI-systemer med høy risiko må, som en del av utformingen, tillate automatisk registrering av hendelser ('logger') i systemets levetid. Loggene må muliggjøre sporbarhet som er tilstrekkelig for overvåking etter markedsføring, tilsyn og menneskelig tilsyn i henhold til artikkel 14.

Artikkel 12 er en av de få forpliktelsene i EU AI-loven som krever en teknisk kapasitet snarere enn bare prosessdokumentasjon – AI-systemet ditt må bokstavelig talt produsere disse postene mens det er i drift.

Hva revisjonssporet ditt må inneholde

Artikkel 12-logger må inneholde tilstrekkelig detalj for å rekonstruere hvordan og hvorfor beslutninger ble tatt:

• Hendelsesbasert logging med pålitelige tidsstempler
• Input som mottas av AI-systemet og output som produseres
• Interne prosesssteg (overveielse, mellomliggende beslutninger, policyvurderinger)
• Menneskelige handlinger: godkjenninger, overstyringer, eskaleringer
• Systemtilstandsdata som er tilstrekkelig til å gjenskape beslutningskonteksten
• Anomale hendelser og hvordan de håndteres

Tekniske krav

Forskriften spesifiserer flere tekniske egenskaper som logginfrastrukturen din må oppfylle:

• Automatisk logging – manuelle loggføringer oppfyller ikke artikkel 12
• Pålitelig, komplett hendelsesregistrering
• Manipuleringssikker, sikker lagring
• Retensjonsperiode som er proporsjonal med det tiltenkte formålet og risikoprofilen
• Kan eksporteres i formater som er egnet for tilsyn

Vanlige mangler ved overholdelse

Basert på vårt arbeid med AI-team i bedrifter, er dette de vanligste manglene ved overholdelse av artikkel 12:

• Logger kun output, ikke begrunnelsen bak det
• Manglende eller ufullstendige poster over menneskelige overstyringer
• Endringsbar logglagring som ikke oppfyller kravene til manipuleringssikkerhet
• Retensjonsperioder som er for korte for tilsyn
• Ingen strukturert eksport – bare ad hoc-databasesøk

Artikkel 11 + vedlegg IV: Teknisk dokumentasjon

Artikkel 11 krever teknisk dokumentasjon som, sammen med loggene i artikkel 12, demonstrerer samsvar.

Vedlegg IV spesifiserer strukturen: systembeskrivelse, tiltenkt formål, designvalg, trenings- og testdata, valideringsprosedyrer, overvåking og selve loggene. Behandle de to som en enkelt arbeidsflyt.