欧盟人工智能法案第 12 条：日志记录和审计跟踪要求

第 12 条的要求

高风险人工智能系统必须通过设计，允许在整个系统生命周期内自动记录事件（“日志”）。日志必须能够提供足够的追溯性，以便进行上市后监测、监管检查以及第 14 条规定的人工监督。

第 12 条是欧盟人工智能法案中少数几项要求技术能力而非仅要求流程文档的义务之一——您的 AI 系统在运行过程中必须实际生成这些记录。

您的审计跟踪必须捕获的内容

第 12 条的日志必须捕获足够详细的信息，以便重建决策是如何以及为什么做出的：

• 具有可靠时间戳的事件级别日志记录
• AI 系统接收的输入和产生的输出
• 内部流程步骤（审议、中间决策、策略评估）
• 人工干预操作：批准、覆盖、升级
• 系统状态数据，足以重现决策上下文
• 异常事件及其处理

技术要求

该法规规定了您的日志记录基础设施必须满足的几个技术属性：

• 自动日志记录——手动日志条目不符合第 12 条的要求
• 可靠、完整的事件记录
• 防篡改、安全的存储
• 保留期限与预期目的和风险状况成比例
• 可导出为适合监管审查的格式

常见的合规性差距

根据我们与企业 AI 团队的合作，以下是第 12 条最常见的合规性差距：

• 仅记录输出，而不记录产生输出的推理过程
• 缺少或不完整的人工干预记录
• 可变的日志存储，不符合防篡改要求
• 保留期限过短，无法进行监管检查
• 没有结构化导出——只有临时数据库查询

第 11 条 + 附录 IV 技术文档

第 11 条要求提供技术文档，该文档与第 12 条的日志一起，证明符合性。

附录 IV 规定了结构：系统描述、预期目的、设计选择、训练和测试数据、验证程序、监控以及日志本身。将这两者视为一个工作流程。