Auditlog voor AI
Een auditlog voor AI is een registratie van wie AI-instellingen heeft gewijzigd en hoe AI is gebruikt: wijzigingen door admins aan personen, sleutels en regels, en per verzoek welk model en welke provider het onder welk beleid heeft bediend.
Waarom dit belangrijk is voor bedrijven
Securitybeoordelingen, incidentrespons en toezichthouders vragen allemaal om bewijs van hoe het AI-gebruik wordt beheerst, en een log is dat bewijs.
Een log van metadata, zonder de inhoud van prompts, levert het bewijs zonder een nieuwe opslag van vertrouwelijke tekst te creëren.
Voorbeeld
Tijdens een incidentanalyse exporteert een CISO het verzoekrecord van één sleutel: elke aanroep in de periode, het model, de provider die hem bediende en de geldende regioregel.
Wat dit betekent voor een bedrijf dat AI-API's gebruikt
Bepaal wat u later moet kunnen aantonen en log dat: meestal wie welke instelling heeft gewijzigd, en per verzoek de gebruiker of sleutel, het model, de provider, de regio en de uitkomst. Houd prompts buiten het log, tenzij u een reden hebt om ze op te slaan, want een log vol prompts wordt zelf een opslag van gevoelige data. Gebruikt u een AI-systeem dat onder de AI-verordening als systeem met een hoog risico geldt, bijvoorbeeld AI die sollicitaties filtert, dan moeten gebruiksverantwoordelijken de automatisch gegenereerde logs die onder hun controle vallen ten minste zes maanden bewaren.
Waar het begrip is gedefinieerd: Voor AI-systemen met een hoog risico stelt de AI-verordening de regels: artikel 12 eist dat zulke systemen gebeurtenissen automatisch registreren ("logs"), en artikel 26, lid 6, eist dat gebruiksverantwoordelijken die logs ten minste zes maanden bewaren. Voor ander AI-gebruik schrijft geen wet een vorm voor.
Zo regelt Standard Compute dit
Elke wijziging door een admin wordt vastgelegd met de oude en de nieuwe waarde, en u exporteert van elk verzoek een record met het model, de provider die het bediende en de geldende regioregel, 12 maanden bewaard.
Vragen die bedrijven stellen
- Moeten we onder de AI-verordening elke prompt loggen?
- Nee. De registratieplichten in de artikelen 12 en 26 gelden voor AI-systemen met een hoog risico en gaan over de gebeurtenissen die die systemen registreren. Na de digitale omnibus inzake AI (Verordening (EU) 2026/1744) gelden de regels voor systemen met een hoog risico uit bijlage III vanaf 2 december 2027.
- Hoort de inhoud van prompts in een AI-auditlog?
- Meestal niet. Metadata zoals gebruiker, sleutel, model, provider, tokens en uitkomst beantwoorden de meeste vragen over security en kosten. Wie de tekst van prompts opslaat, maakt een extra kopie van vertrouwelijke data die bescherming en een bewaartermijn nodig heeft.
- Hoe lang moeten we AI-logs bewaren?
- Lang genoeg voor uw incidentrespons, audits en juridische behoeften. Voor AI-systemen met een hoog risico legt de AI-verordening gebruiksverantwoordelijken ten minste zes maanden op, tenzij anders is bepaald in het toepasselijke Unie- of nationaal recht, met name het recht inzake de bescherming van persoonsgegevens.