Jakie logi z systemów AI trzeba przechowywać
Log z systemu AI nie jest tym samym co log aplikacji. Aplikacja zapisuje, co się wydarzyło technicznie. System AI musi zapisać także, na jakiej podstawie coś się wydarzyło i kto na to pozwolił.
Co mówi przepis?
Artykuł 12 wymaga, żeby systemy wysokiego ryzyka technicznie umożliwiały automatyczne rejestrowanie zdarzeń przez cały cykl życia systemu. Artykuł 26 nakłada na podmiot stosujący obowiązek przechowywania tych logów przez okres odpowiedni do przeznaczenia systemu, co do zasady nie krótszy niż sześć miesięcy.
Krótsza wersja: system ma umieć logować, a firma ma te logi zachować.
Co powinno się znaleźć w logu z działania agenta?
Trzy warstwy. Pierwsza to samo zdarzenie. Druga to podstawa decyzji. Trzecia to skutek i możliwość cofnięcia.
- Co się wydarzyło: jakie działanie, na jakich danych, o której godzinie.
- Na jakiej podstawie: która reguła polityki zaklasyfikowała to działanie i do którego poziomu.
- Kto pozwolił: automat czy człowiek, a jeśli człowiek, to który.
- Jakie dowody towarzyszyły decyzji: wynik testów, weryfikacja, treść przygotowana do wysłania.
- Co dalej: czy działanie da się cofnąć i w jaki sposób.
Dlaczego zwykły log aplikacji nie wystarcza?
Bo odpowiada na pytanie „co się stało”, a kontrola pyta „dlaczego wolno było”. Jeśli agent wysłał wiadomość do klienta, log aplikacji pokaże żądanie HTTP i kod odpowiedzi. Nie pokaże, czy ktokolwiek to zatwierdził.
Druga różnica dotyczy zaufania do samego zapisu. Log, który da się nadpisać, jest wart tyle, ile zaufanie do osoby z dostępem do serwera. Dlatego zapisy decyzji trzyma się w formie, do której można tylko dopisywać, powiązanej łańcuchem skrótów.
Jak długo je trzymać?
Artykuł 26 wskazuje okres odpowiedni do przeznaczenia systemu i nie krótszy niż sześć miesięcy, o ile inne przepisy nie mówią inaczej. W praktyce dłuższa retencja wynika częściej z przepisów branżowych i z terminów przedawnienia roszczeń niż z samego AI Act.
Warto rozdzielić retencję od zawartości. Zapis decyzji może być trzymany dłużej niż treść, której dotyczył, jeśli ta treść zawiera dane osobowe.
Zastrzeżenie
To nie jest porada prawna, a artykuły 12 i 26 w pełnym zakresie dotyczą systemów wysokiego ryzyka. Podajemy je jako punkt wyjścia, bo praktyka zapisu decyzji przydaje się niezależnie od klasyfikacji systemu.
Źródła
- Article 12: Record-keepingEU Artificial Intelligence Act, odczytano 2026-09-09
- Article 26: Obligations of deployers of high-risk AI systemsEU Artificial Intelligence Act, odczytano 2026-09-09