Dziennik audytu AI
Dziennik audytu AI to zapis tego, kto zmieniał ustawienia AI i jak AI była używana: zmiany administratorów dotyczące osób, kluczy i reguł, a dla każdego żądania informacja, który model i który dostawca je obsłużył i według jakiej reguły.
Dlaczego to ważne dla firm
Oceny bezpieczeństwa, obsługa incydentów i organy nadzorcze wymagają dowodów na to, jak zarządza się wykorzystaniem AI, a dziennik jest tym dowodem.
Dziennik z metadanymi, bez treści promptów, dostarcza dowodów bez tworzenia nowego zbioru poufnych tekstów.
Przykład
Podczas analizy incydentu CISO eksportuje dziennik żądań dla jednego klucza: każde wywołanie w danym okresie, model, dostawcę, który je obsłużył, i obowiązujące ograniczenie regionalne.
Co to oznacza dla firmy korzystającej z API AI
Ustalcie, co będziecie musieli później udowodnić, i to logujcie: zwykle kto zmienił które ustawienie, a dla każdego żądania użytkownika lub klucz, model, dostawcę, region i wynik. Nie zapisujcie promptów w logu, chyba że macie powód, aby je przechowywać, bo log pełen promptów sam staje się wrażliwym zbiorem danych. Jeśli korzystacie z systemu AI zakwalifikowanego w AI Act jako system wysokiego ryzyka, na przykład AI, która ocenia kandydatów do pracy, podmioty stosujące muszą przechowywać generowane automatycznie przez system rejestry zdarzeń, które znajdują się pod ich kontrolą, przez co najmniej sześć miesięcy.
Gdzie pojęcie jest zdefiniowane: Dla systemów AI wysokiego ryzyka reguły ustala AI Act: art. 12 („Rejestrowanie zdarzeń”) wymaga, aby takie systemy umożliwiały automatyczne rejestrowanie zdarzeń („rejestry zdarzeń”), a art. 26 ust. 6 wymaga, aby podmioty stosujące przechowywały te rejestry przez co najmniej sześć miesięcy. W przypadku innych zastosowań AI żaden przepis nie określa formatu.
Jak robi to Standard Compute
Każda zmiana administratora jest zapisywana z wartością przed i po, a dla każdego żądania możecie wyeksportować model, dostawcę, który je obsłużył, i obowiązujące ograniczenie regionalne; te dane są przechowywane przez 12 miesięcy.
Pytania, które zadają firmy
- Czy AI Act wymaga logowania każdego promptu?
- Nie. Obowiązki dotyczące rejestrów zdarzeń z art. 12 i 26 dotyczą systemów AI wysokiego ryzyka i zdarzeń, które te systemy rejestrują. Po zmianach wprowadzonych rozporządzeniem (UE) 2026/1744 (omnibus cyfrowy dotyczący AI) przepisy o systemach wysokiego ryzyka z załącznika III stosuje się od 2 grudnia 2027 r.
- Czy dziennik audytu AI powinien zawierać prompty?
- Zwykle nie. Metadane, takie jak użytkownik, klucz, model, dostawca, tokeny i wynik, odpowiadają na większość pytań o bezpieczeństwo i koszty. Przechowywanie treści promptów tworzy kolejną kopię poufnych danych, która wymaga ochrony i okresu przechowywania.
- Jak długo przechowywać logi AI?
- Tak długo, jak wymagają tego obsługa incydentów, audyt i obowiązki prawne. Dla systemów AI wysokiego ryzyka AI Act przewiduje dla podmiotów stosujących co najmniej sześć miesięcy, o ile mające zastosowanie prawo Unii lub prawo krajowe, w szczególności prawo dotyczące ochrony danych osobowych, nie stanowi inaczej.