Die meisten Unternehmen glauben, konform zu sein, weil sie Logs haben. Das stimmt nicht.
Ein Log wird vom System selbst erzeugt. Ein Rechtsbeweis muss ausserhalb des Systems bestehen.
Das Problem: ein falsches Gefühl der Konformität
Artikel 12 der EU-Verordnung 2024/1689 (AI Act) tritt am 2. August 2026 vollständig in Kraft. Für Hochrisiko-KI-Systeme schreibt er die automatische Protokollierung von Ereignissen über den gesamten Systemlebenszyklus vor, wobei Logs mindestens sechs Monate aufbewahrt und von zuständigen Behörden überwacht werden müssen.
Das Problem ist nicht technischer Natur. Organisationen haben bereits Logs. Das Problem ist, dass interne Logs — vom System selbst erzeugt — unter echtem Druck nicht den Anforderungen der rechtlichen Zulässigkeit genügen: regulatorisches Audit, rechtliche Anfechtung, vertraglicher Streit.
Eine Checkbox auf einer Benutzeroberfläche ist keine Rechenschaftspflicht.
Was nicht unabhängig und nachvollziehbar nachgewiesen werden kann, ist nicht verteidigbar.
Das konkrete Risiko: Eine Organisation investiert in KI-Systeme, erstellt Dokumentation, besteht interne Audits — und stellt dann beim ersten ernsthaften Rechtsstreit oder regulatorischen Audit fest, dass sie nichts hat, was vor Gericht standhält.
Die regulatorische Lücke: Logs vs. Rechtsbeweis
Artikel 12 verlangt Nachvollziehbarkeit. Aber Nachvollziehbarkeit und rechtliche Zulässigkeit sind nicht dasselbe. Dies ist die Unterscheidung, die die meisten Rechts- und Compliance-Teams noch nicht vollständig verstanden haben.
| Dimension | Interner Log | EVIDE-Beweis |
|---|---|---|
| Unabhängigkeit | ✗ Vom zu prüfenden System erzeugt | ✓ Extern hinterlegt, ausserhalb des Quellsystems |
| Unveränderlichkeit | ✗ Vom Systemadministrator änderbar | ✓ SHA-256-Hash, nach Hinterlegung nicht änderbar |
| Struktur | ✗ Narrativer Text, schwer zu vergleichen | ✓ Strukturiertes Schema, klassifizierbar, vergleichbar |
| Classification Replay | ✗ Nicht verfügbar | ✓ taxonomy_version am Datensatz verankert |
| Drittverifikation | ✗ Erfordert Zugang zum Quellsystem | ✓ Unabhängig über Reference-ID verifizierbar |
| Bestand bei Rechtsstreit | ✗ Als selbst erstellt anfechtbar | ✓ Konzipiert zur Unterstützung der Zulässigkeit als unabhängiger externer Beweis |
Die Lösung: vom internen Log zum externen Beweis mit EVIDE
EVIDE — External Evidentiary Deposit — ist die Beweisschicht, die einen Entscheidungsdatensatz in ein portables, verifizierbares und rechtlich zulässiges Objekt verwandelt.
Was sich mit EVIDE ändert
Von intern zu extern — der Datensatz wird ausserhalb des Quellsystems hinterlegt
Von veränderlich zu unveränderlich — SHA-256-Hash zum Zeitpunkt der Hinterlegung berechnet
Von narrativ zu strukturiert und wiederholbar — standardisiertes Schema mit taxonomy_version
Von deklariert zu nachweisbar — menschliche Aufsicht wird ein Zustand, keine Aussage
Schlüsselfelder des EVIDE v1.3 Payloads
- authority.verification — Aufsichtsidentität via DAPI verifiziert
- intervention.rationale — Begründung als Freitext, nicht komprimiert
- intervention.rationale_type — strukturierte Klassifikation der Begründung
- intervention.taxonomy_version — am Datensatz verankerte Taxonomieversion für Classification Replay
- content_hash — SHA-256-Hash des Payloads zur Integritätsprüfung
Das vollständige Schema ist öffentlich verfügbar unter: app.certifywebcontent.com/json
Über die Verankerung hinaus: EVIDE + FEDIS für volle forensische Zulässigkeit
Eine EVIDE-Hinterlegung ist notwendig. Sie ist nicht ausreichend für volle rechtliche Zulässigkeit. Deshalb gibt es FEDIS.
EVIDE — Evidence Layer
Verankert den Entscheidungsdatensatz extern. Garantiert strukturelle Integrität, Hash, UTC-Zeitstempel, verifizierte Autorität. Der Datensatz existiert, ist unveränderlich, ist portabel.
FEDIS — Legal Admissibility Layer
Forensic Evidence Declaration and Integrity Statement. Umhüllt die EVIDE-Hinterlegung mit Erfassungsmethodik, dokumentierter Beweismittelkette und unterzeichneter Integritätserklärung. Der Datensatz wird in Gerichtsverfahren verwendbar.
Die entscheidende Unterscheidung:
EVIDE garantiert, dass der Datensatz existiert und nicht verändert wurde.
FEDIS garantiert, dass der Datensatz als Beweis in einem Rechts- oder Regulierungsverfahren zulässig ist.
Wer diese Lösung braucht
- ⚖️ Legal Teams und Rechtsabteilungen
- 📋 Compliance Officer und DSB
- 🏛️ KI-Governance-Verantwortliche
- 🔍 Risikomanager und Interne Revision
- 🏥 Gesundheitswesen und KI-Diagnostik
- 🏦 Fintech, Kapitalmärkte, M&A
- 👥 HR und KI-Bewertungssysteme
- 🏢 Unternehmen mit Hochrisiko-KI-Einsatz
Wenn Ihr KI-System Entscheidungen trifft, die Menschen betreffen — Einstellungen, Kredite, Diagnosen, Zugang zu Dienstleistungen — fallen Sie in den Anwendungsbereich von AI Act Artikel 12.
August 2026 ist nicht weit. Das erste regulatorische Audit wird in der Praxis festlegen, was “Nachvollziehbarkeit” bedeutet.
Überprüfen Sie Ihre Konformität mit AI Act Artikel 12
Konsultieren Sie das öffentliche EVIDE-Schema oder fordern Sie eine Demo an, um zu sehen, wie EVIDE + FEDIS in Ihr System integriert wird.
Das Framework ist öffentlich definiert als “The </AI> Protocol” und wird forensisch über CertifyWebContent zertifiziert. Diese Dokumentation stellt eine verifizierbare und mit Zeitstempel versehene Aufzeichnung seiner Struktur, Konzepte und Implementierung dar.
