Protokollierungspflicht

Protokollierung bedeutet, dass ein System automatisch festhält, was es getan hat: welche Eingaben es verarbeitet hat, wann es gelaufen ist, welche Ergebnisse es ausgegeben hat und wer damit gearbeitet hat. Die Verordnung (EU) 2024/1689 sieht solche Aufzeichnungen vor allem für Systeme mit erhöhtem Risiko vor. Sie sollen die Ereignisse während des Betriebs erfassen, und die entstehenden Protokolle sind aufzubewahren, soweit sie der Kontrolle unterliegen. Bereitstellen muss diese Funktion der Anbieter, aufbewahren muss die Protokolle in der Regel der Betreiber.

Für Handwerks- und Baubetriebe ist die unmittelbare Pflicht selten einschlägig, weil die meisten eingesetzten Anwendungen nicht in die Hochrisikokategorie fallen. Textentwürfe, Spracherkennung fürs Bautagebuch, Belegerkennung oder Terminvorschläge gehören zum Bereich mit geringem Risiko. Anders sieht es aus, wenn ein System Entscheidungen über Beschäftigte vorbereitet oder unmittelbar in sicherheitsrelevante Prüfungen eingebunden ist.

Was das im Betrieb bedeutet

Unabhängig von der Rechtspflicht ist Nachvollziehbarkeit im Bauumfeld ein praktischer Wert. Wer nach zwei Jahren einen Nachtrag verteidigen oder einen Mangel zuordnen muss, braucht die Herkunft von Angaben. Wenn Mengenansätze aus einer KI-gestützten Mengenermittlung stammen oder ein Protokoll aus einem Diktat entstanden ist, sollte am Dokument erkennbar sein, wie es zustande kam und wer es freigegeben hat.

Dafür genügt in aller Regel eine schlanke Lösung. Ergebnisse werden im Dokumentenmanagement abgelegt statt nur im Chatverlauf, mit Datum, Bearbeiter und einem Hinweis auf das verwendete Werkzeug. Bei automatisierten Abläufen, etwa einer Terminvereinbarung durch einen Telefonassistenten, ist ein Gesprächsprotokoll ohnehin sinnvoll, damit Zusagen gegenüber Kunden belegbar bleiben.

Zu beachten ist die andere Seite. Protokolle über Beschäftigte sind Daten, die Rückschlüsse auf Verhalten und Leistung zulassen. Sie unterliegen der Leistungs- und Verhaltenskontrolle und damit gegebenenfalls der Mitbestimmung. Umfang, Zugriff und Aufbewahrungsdauer gehören deshalb ausdrücklich festgelegt, statt Standardeinstellungen des Anbieters unverändert zu übernehmen.

Auch die Aufbewahrungsdauer verdient eine bewusste Entscheidung. Protokolle, die niemand auswertet, sind kein Sicherheitsgewinn, sondern ein zusätzlicher Datenbestand, der im Löschkonzept mitgeführt werden muss. Sinnvoll ist eine Dauer, die sich an der Nutzung orientiert: so lange, wie ein Nachweis gegenüber Auftraggeber oder Kunde realistisch gebraucht wird, und nicht länger, nur weil der Speicherplatz es zulässt.

Als Einstieg reicht eine Spalte in der Systemliste: Protokolliert das Werkzeug, was genau, wie lange und wer kann es einsehen. Daraus ergibt sich fast von selbst, wo etwas abgeschaltet, wo etwas dokumentiert und wo nichts weiter veranlasst werden muss.