Audit-Trail für KI-Chatbots: was Sie protokollieren müssen und was Sie besser löschen
Muss ein KI-Chatbot jede Unterhaltung protokollieren? Für den normalen Kundenservice-Chatbot gilt die Protokollpflicht aus Art. 12 der KI-Verordnung nicht, und für Hochrisiko-Systeme erst ab Dezember 2027. Was trotzdem gilt, kommt aus der DSGVO, und die zieht in zwei Richtungen. Wir zeigen, welche Felder ein Protokoll braucht, wie eine Zeile bei uns aussieht und welche Chatbots doch unter die strengen Regeln fallen.
Die kurze Antwort zuerst. Für einen normalen Chatbot auf der Website, im Kundenportal oder im Helpdesk gibt es keine Pflicht aus der KI-Verordnung, jede Unterhaltung zu protokollieren. Die Protokollpflicht in Art. 12 gilt nur für Hochrisiko-Systeme, und für die nach dem Digital Omnibus erst ab dem 2. Dezember 2027. Was für Ihren Chatbot gilt, kommt aus der DSGVO. Die verlangt, dass Sie die Verarbeitung belegen können, und gleichzeitig, dass Sie nicht mehr speichern als nötig.
Ein gutes Protokoll löst beides. Es hält fest, dass etwas passiert ist, wann, mit welchem Modell und mit welchem Ergebnis, ohne den Wortlaut jeder Unterhaltung über Jahre aufzubewahren. Wie das aussieht, zeigen wir unten an einer Zeile aus unserem eigenen System.
Die Rechtsgrundlagen haben wir am 2. Oktober 2026 im Amtsblatt der EU nachgelesen: die KI-Verordnung (EU) 2024/1689, den Digital Omnibus (EU) 2026/1744 und die DSGVO.
Was die KI-Verordnung verlangt und für wen
Art. 12 verlangt, dass Hochrisiko-KI-Systeme Ereignisse während ihres gesamten Lebenszyklus automatisch aufzeichnen können. Feste Mindestinhalte nennt der Artikel nur für einen einzigen Fall, die biometrische Fernidentifizierung (Anhang III Nr. 1 Buchstabe a). Eine Aufbewahrungsfrist steht in Art. 12 nicht.
Die oft genannten sechs Monate stehen an anderer Stelle: in Art. 19 Abs. 1 für den Anbieter und in Art. 26 Abs. 6 für das Unternehmen, das ein Hochrisiko-System einsetzt. Beide Vorschriften verlangen eine Aufbewahrung von mindestens sechs Monaten, soweit das Datenschutzrecht oder andere Vorschriften nichts anderes bestimmen.
All das betrifft nur Hochrisiko-Systeme. Und die haben einen neuen Zeitplan. Der Digital Omnibus, in Kraft seit dem 27. Juli 2026, hat die Pflichten aus Kapitel III, zu denen Art. 12, 19 und 26 gehören, verschoben: auf den 2. Dezember 2027 für Systeme nach Anhang III und auf den 2. August 2028 für Systeme nach Anhang I, also KI in Produkten wie Maschinen oder Medizingeräten.
Für den Chatbot gilt dagegen schon heute Art. 50: Er muss sich als KI zu erkennen geben. Eine Protokollpflicht enthält Art. 50 nicht. Was beim Hinweis genügt und was nicht, steht in unserem Beitrag zur KI-Kennzeichnungspflicht.
Wann ein Chatbot doch Hochrisiko ist
Hochrisiko ist ein System wegen seiner Aufgabe, nicht wegen seiner Technik. Ein Chatbot, der Öffnungszeiten nennt, Termine annimmt oder Retouren erklärt, steht in keiner Nummer von Anhang III. Derselbe Chatbot kann aber in den Anhang rutschen, wenn er mehr tut:
| Der Chatbot … | Fundstelle in Anhang III |
|---|---|
| sichtet, filtert oder bewertet Bewerbungen | Nr. 4 Buchstabe a |
| bewertet die Kreditwürdigkeit von Privatpersonen | Nr. 5 Buchstabe b |
| bewertet Risiken oder Preise bei Lebens- und Krankenversicherungen | Nr. 5 Buchstabe c |
| bewertet und priorisiert Notrufe oder Rettungseinsätze | Nr. 5 Buchstabe d |
Die Grenze ist im Alltag schneller überschritten, als es klingt. Ein Bewerber-Chatbot, der Fragen beantwortet, ist unproblematisch. Einer, der aus den Antworten eine Rangliste für die Personalabteilung macht, ist es nicht mehr. Wer unsicher ist, findet im Wissenseintrag Was ist ein Hochrisiko-KI-System? die Prüffragen.
Was die DSGVO verlangt: zwei Pflichten, die gegeneinander ziehen
Für den normalen Chatbot ist die DSGVO die eigentliche Grundlage. Sie enthält keine Vorschrift, die sagt „protokollieren Sie jede Unterhaltung“. Sie enthält aber zwei Pflichten, zwischen denen Sie Ihr Protokoll bauen müssen.
Die Pflicht zum Nachweis. Nach Art. 5 Abs. 2 müssen Sie nachweisen können, dass Sie die Grundsätze der Verordnung einhalten, nach Art. 24 mit geeigneten technischen und organisatorischen Maßnahmen. Fragt ein Kunde nach Art. 15, welche Daten Sie über ihn haben, gehören gespeicherte Chatverläufe dazu. Ohne jedes Protokoll lässt sich weder das eine noch das andere sauber beantworten.
Die Pflicht zur Sparsamkeit. Nach Art. 5 Abs. 1 Buchstabe e dürfen Daten, die eine Person identifizierbar machen, nur so lange gespeichert werden, wie der Zweck es erfordert. Die Frist gehört nach Art. 30 Abs. 1 Buchstabe f in Ihr Verzeichnis der Verarbeitungstätigkeiten. Nach Art. 32 müssen die Protokolle so geschützt sein wie die Daten selbst.
Die Datenschutzkonferenz hat diese Spannung in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ vom Mai 2024 aufgegriffen. Sie empfiehlt als Voreinstellung, keine Eingabehistorie über die Sitzung hinaus zu speichern, und weist darauf hin, dass gespeicherte Verläufe bei einem unberechtigten Zugriff bisherige Aktivitäten und persönliche Informationen offenlegen.
Eine Behörde, die eine konkrete Speicherfrist für Chatprotokolle nennt, haben wir nicht gefunden. Die Frist legen Sie selbst fest und begründen sie mit dem Zweck.
Die Lösung: Metadaten dauerhaft, Wortlaut nur kurz
Die meisten Fragen, die man später an ein Chatprotokoll stellt, brauchen den Wortlaut gar nicht. Wann hat der Chatbot an einen Menschen übergeben? Welches Modell lief an dem Tag? Wurde die Unterhaltung als Beschwerde erkannt? Hat ein Mitarbeiter die Antwort bestätigt oder geändert? Das alles steht in Metadaten.
Für den Wortlaut genügt dauerhaft ein Prüfwert, ein SHA-256-Hash der Eingabe. Aus dem Hash lässt sich der Text nicht zurückrechnen. Liegt der Text aber noch woanders vor, etwa im Ticketsystem oder in der Mail des Kunden, lässt sich mit dem Hash beweisen, dass genau dieser Text verarbeitet wurde.
So sieht eine Zeile im Protokoll unseres eigenen Systems AgentGuard für einen Chatbot-Turn aus. Die Felder sind die echten Spalten, die Werte sind ein erfundenes Beispiel und gekürzt:
{
"tenant_id": "kunde-07",
"seq": 18342,
"occurred_at": "2026-10-02T08:14:03.512Z",
"agent_id": "website-chat",
"action_type": "message",
"target": "kunde:pseudonym-3a9e",
"outcome": "escalate",
"deciding_gate": "human_approval",
"reason": "Kündigungswunsch erkannt, an Mitarbeiter übergeben",
"model": "claude-sonnet-5-5",
"input_hash": "9b74c9897bac770ffc029102a200c5de…",
"human_review": "none",
"prev_hash": "e3b0c442…",
"hash": "7d865e95…",
"sig": "…"
}Was die Felder leisten:
targetenthält ein Pseudonym statt Name und Mailadresse. Die Zuordnung zur Person liegt getrennt und lässt sich nach Ablauf der Frist löschen, ohne das Protokoll anzufassen.modelnennt die genaue Modellversion. In einem Jahr will niemand raten, welches Modell an einem bestimmten Tag geantwortet hat.outcomeundreasonhalten fest, was der Chatbot getan hat: beantwortet, abgelehnt oder an einen Menschen übergeben.human_reviewzeigt, ob ein Mitarbeiter die Antwort bestätigt oder überstimmt hat.prev_hashundhashverketten jede Zeile mit der vorigen, dazu ist sie signiert. Wird nachträglich eine Zeile geändert oder gelöscht, passt die Kette nicht mehr. Die Datenbankrolle, mit der das System schreibt, darf Zeilen außerdem nur anlegen, nicht ändern.
Der Wortlaut der Unterhaltung liegt bei uns nicht in dieser Tabelle. Wo er gebraucht wird, etwa um Antworten zu verbessern, liegt er getrennt und mit einer eigenen, kurzen Frist.
Was in Ihr Protokoll gehört
Für einen Chatbot ohne Hochrisiko-Aufgabe empfehlen wir diese Aufteilung. Das ist unsere Empfehlung, keine gesetzliche Liste:
| Was | Wie lange | Wozu |
|---|---|---|
| Zeitpunkt, Pseudonym, Modellversion, Ergebnis, Übergabe an Menschen | so lange, wie Sie Nachweise brauchen, z. B. die Dauer der Kundenbeziehung | Rechenschaft, Fehlersuche, Auskunft |
| Hash der Eingabe und der Antwort | wie die Metadaten | Beleg, ohne Klartext |
| Wortlaut der Unterhaltung | kurz, z. B. 30 Tage, danach löschen | Fehlersuche, Beschwerden |
| Zuordnung Pseudonym zu Person | bis zum Ende des Zwecks | Auskunft nach Art. 15, Löschung |
| Version des KI-Hinweises, der angezeigt wurde | wie die Metadaten | Beleg für Art. 50 |
Die letzte Zeile ist keine Pflicht, aber nützlich. Ändern Sie die Begrüßung des Chatbots, können Sie später zeigen, welcher Hinweis an einem bestimmten Tag zu sehen war.
Drei Fehler sehen wir in Projekten immer wieder. Der erste: Die einzigen Protokolle liegen beim Anbieter des Sprachmodells, mit dessen Fristen und Zugriffsregeln, nicht mit Ihren. Der zweite: Es wird nur die Anfrage des Kunden protokolliert, nicht die vielen Zwischenschritte eines Agenten, der im Hintergrund Datenbanken abfragt oder Mails schreibt. Der dritte: Der Wortlaut liegt unbefristet in einer Logdatei auf dem Server, die niemand löscht, weil niemand von ihr weiß.
Wenn aus dem Chatbot später ein Hochrisiko-System wird
Wer heute ein Protokoll mit Zeitpunkt, Modellversion, Ergebnis und menschlicher Prüfung führt, hat für die Protokollierung nach Art. 12 eine gute Grundlage. Kommt später eine Aufgabe aus Anhang III dazu, ist bis zum 2. Dezember 2027 vor allem die Aufbewahrung anzupassen: dann mindestens sechs Monate nach Art. 26 Abs. 6, statt einer selbst gewählten kürzeren Frist.
Die allgemeinen Pflichten zur Protokollierung, auch für Agenten jenseits des Chatbots, haben wir im Wissenseintrag AI Audit Trail: was muss geloggt werden? zusammengefasst. Warum ein Protokoll fälschungssicher sein muss, damit es im Streitfall etwas wert ist, steht im Beitrag Beweisen Sie, dass Ihre KI das entschieden hat.
Häufige Fragen
- Muss ein KI-Chatbot nach dem AI Act Protokolle führen?
- Ein normaler Chatbot für Kundenservice, FAQ oder Terminanfragen nicht. Die Protokollpflicht in Art. 12 der KI-Verordnung gilt nur für Hochrisiko-KI-Systeme, und ein solcher Chatbot steht in keiner Nummer von Anhang III. Für Hochrisiko-Systeme nach Anhang III gilt Art. 12 nach dem Digital Omnibus (VO 2026/1744) zudem erst ab dem 2. Dezember 2027.
- Wie lange müssen Chatprotokolle aufbewahrt werden?
- Für normale Chatbots schreibt kein Gesetz eine Mindestfrist vor. Die DSGVO verlangt im Gegenteil, personenbezogene Daten nur so lange zu speichern, wie es für den Zweck nötig ist (Art. 5 Abs. 1 Buchstabe e). Die Frist legen Sie selbst fest und tragen sie ins Verzeichnis der Verarbeitungstätigkeiten ein (Art. 30 Abs. 1 Buchstabe f). Die sechs Monate, die oft genannt werden, stammen aus Art. 19 und Art. 26 Abs. 6 der KI-Verordnung und betreffen nur Hochrisiko-Systeme.
- Warum sollte man überhaupt protokollieren, wenn es keine Pflicht gibt?
- Weil Sie nach Art. 5 Abs. 2 und Art. 24 DSGVO nachweisen müssen, dass Ihre Verarbeitung die Regeln einhält, und weil Sie einem Kunden nach Art. 15 Auskunft über seine Daten geben müssen. Dazu kommt der praktische Grund: Wenn der Chatbot einem Kunden etwas Falsches zusagt, wollen Sie wissen, was er gesagt hat und warum.
- Wann wird ein Chatbot zum Hochrisiko-System?
- Wenn er eine Aufgabe aus Anhang III der KI-Verordnung übernimmt. Beispiele: Er sichtet oder filtert Bewerbungen (Nr. 4 Buchstabe a), er bewertet die Kreditwürdigkeit von Privatpersonen (Nr. 5 Buchstabe b) oder er stuft Notrufe ein (Nr. 5 Buchstabe d). Entscheidend ist die Aufgabe, nicht die Technik.
- Sollte man den vollständigen Chattext speichern?
- Nur kurz und nur, wenn es einen Zweck dafür gibt. Dauerhaft genügen meist Metadaten und ein Prüfwert (Hash) der Eingabe. Damit lässt sich später belegen, dass eine bestimmte Unterhaltung so stattgefunden hat, ohne den Klartext jahrelang vorzuhalten. Auch die Datenschutzkonferenz empfiehlt in ihrer Orientierungshilfe zu KI, Eingabehistorien nicht ohne Weiteres über die Sitzung hinaus zu speichern.