Revisionslog for AI
En revisionslog for AI er en oversigt over, hvem der ændrede AI-indstillinger, og hvordan AI blev brugt: administratorændringer af personer, nøgler og regler og, for hver forespørgsel, hvilken model og hvilken udbyder der betjente den, under hvilken regel.
Hvorfor det betyder noget for virksomheder
Sikkerhedsvurderinger, hændelseshåndtering og tilsynsmyndigheder beder alle om dokumentation for, hvordan AI-brugen styres, og en log er den dokumentation.
En log med metadata, uden indholdet af prompts, giver dokumentationen uden at skabe et nyt lager af fortrolig tekst.
Eksempel
Under gennemgangen af en hændelse eksporterer sikkerhedschefen (CISO) forespørgselsoversigten for én nøgle: hvert kald i perioden, modellen, udbyderen der betjente det, og den regionsregel, der gjaldt.
Hvad det betyder for en virksomhed, der bruger AI-API'er
Beslut, hvad I senere skal kunne dokumentere, og log det: som regel hvem der ændrede hvilken indstilling, og for hver forespørgsel brugeren eller nøglen, model, udbyder, region og resultat. Hold prompts ude af loggen, medmindre I har en grund til at gemme dem, for en log fuld af prompts bliver selv et følsomt datalager. Bruger I et AI-system, der er klassificeret som højrisiko efter AI-forordningen, for eksempel AI, der sorterer jobansøgere, skal idriftsættere opbevare de logfiler, systemet genererer automatisk, i det omfang de er under deres kontrol, i mindst seks måneder.
Hvor begrebet er defineret: For højrisiko-AI-systemer fastsætter AI-forordningen reglerne: artikel 12 kræver, at sådanne systemer teknisk muliggør automatisk registrering af hændelser (logfiler), og artikel 26, stk. 6, kræver, at idriftsættere opbevarer logfilerne i mindst seks måneder. For anden brug af AI foreskriver ingen lov et format.
Sådan løser Standard Compute det
Hver ændring, en administrator foretager, registreres med værdierne før og efter, og I kan eksportere en oversigt over hver forespørgsel med modellen, udbyderen der betjente den, og den regionsregel, der gjaldt, opbevaret i 12 måneder.
Spørgsmål, virksomheder stiller
- Kræver AI-forordningen, at vi logger hver prompt?
- Nej. Logningspligterne i artikel 12 og 26 gælder højrisiko-AI-systemer og vedrører de hændelser, systemerne registrerer. Efter den digitale omnibus om kunstig intelligens (forordning (EU) 2026/1744) gælder højrisikoreglerne for systemer i bilag III fra 2. december 2027.
- Bør en revisionslog for AI indeholde prompts?
- Som regel ikke. Metadata som bruger, nøgle, model, udbyder, tokens og resultat besvarer de fleste spørgsmål om sikkerhed og omkostninger. Gemmer I promptteksten, opstår der endnu en kopi af fortrolige data, som skal beskyttes og have en opbevaringsperiode.
- Hvor længe skal vi gemme AI-logs?
- Længe nok til jeres håndtering af hændelser, revision og juridiske behov. For højrisiko-AI-systemer fastsætter AI-forordningen mindst seks måneder for idriftsættere, medmindre andet er fastsat i gældende EU-ret eller national ret, navnlig EU-retten om beskyttelse af personoplysninger.