Revisjonslogg for KI
En revisjonslogg for KI er en oversikt over hvem som endret KI-innstillinger og hvordan KI ble brukt: administratorendringer av personer, nøkler og regler, og for hver forespørsel hvilken modell og hvilken leverandør som betjente den, under hvilken regel.
Hvorfor det er viktig for bedrifter
Sikkerhetsvurderinger, hendelseshåndtering og tilsynsmyndigheter ber alle om dokumentasjon på hvordan KI-bruken styres, og en logg er den dokumentasjonen.
En logg med metadata, uten innholdet i promptene, gir dokumentasjonen uten å skape et nytt lager av konfidensiell tekst.
Eksempel
Under gjennomgangen av en hendelse eksporterer sikkerhetssjefen (CISO) forespørselsoversikten for én nøkkel: hvert kall i perioden, modellen, leverandøren som betjente det, og regionregelen som gjaldt.
Hva dette betyr for en bedrift som bruker KI-API-er
Bestem hva dere kan trenge å dokumentere senere, og logg det: som regel hvem som endret hvilken innstilling, og for hver forespørsel bruker eller nøkkel, modell, leverandør, region og utfall. Hold prompter ute av loggen hvis dere ikke har en grunn til å lagre dem, for en logg full av prompter blir selv et lager av sensitive data. Bruker dere et KI-system med høy risiko etter KI-forordningen, for eksempel KI som sorterer jobbsøkere, skal idriftsettere oppbevare loggene systemet genererer automatisk, i den grad de er under deres kontroll, i minst seks måneder. KI-forordningen er EØS-relevant, men er per 9. november 2026 ikke innlemmet i EØS-avtalen eller gjennomført i norsk rett. Norske virksomheter kan likevel være omfattet allerede nå, for eksempel gjennom enheter i EU.
Hvor begrepet er definert: For KI-systemer med høy risiko setter KI-forordningen reglene: artikkel 12 (på engelsk) krever at slike systemer teknisk muliggjør automatisk registrering av hendelser (logger), og artikkel 26 nr. 6 krever at idriftsettere oppbevarer loggene i minst seks måneder. For annen KI-bruk foreskriver ingen lov et format.
Slik løser Standard Compute det
Hver endring en administrator gjør, logges med gammel og ny verdi, og dere kan eksportere en oversikt over hver forespørsel med modell, leverandøren som betjente den og regionregelen som gjaldt, lagret i 12 måneder.
Spørsmål bedrifter stiller
- Krever KI-forordningen at vi logger hver prompt?
- Nei. Loggpliktene i artikkel 12 og 26 gjelder KI-systemer med høy risiko og hendelsene disse systemene registrerer. Etter den digitale omnibusen om KI, forordning (EU) 2026/1744, gjelder reglene om høy risiko for systemer i vedlegg III fra 2. desember 2027. Det er EUs datoer: i Norge gjelder forordningen først når den er innlemmet i EØS-avtalen og gjennomført i norsk rett.
- Bør en revisjonslogg for KI inneholde prompter?
- Som regel ikke. Metadata som bruker, nøkkel, modell, leverandør, tokens og utfall svarer på de fleste spørsmål om sikkerhet og kostnad. Lagrer dere teksten i promptene, oppstår enda en kopi av konfidensielle data som må beskyttes og ha en lagringstid.
- Hvor lenge bør vi oppbevare KI-logger?
- Lenge nok for hendelseshåndtering, revisjon og rettslige behov. For KI-systemer med høy risiko setter KI-forordningen minst seks måneder for idriftsettere, med mindre annen unionsrett eller nasjonal rett, særlig om vern av personopplysninger, bestemmer noe annet.