ISO/IEC 42001:2023, Anhang A

Was ISO 42001 an Ereignisprotokollen für KI-Systeme verlangt, und was Logsiegel dazu beiträgt

ISO 42001 ist das Managementsystem für KI, gedacht als Gegenstück zu ISO 27001 für Informationssicherheit. Es verlangt ausdrücklich Ereignisprotokolle für KI-Systeme. Logsiegel ist ein solches Protokoll, mit dem Zusatz, dass seine Unverändertheit beweisbar ist.

Für wen das gilt

Organisationen, die ein KI-Managementsystem nach ISO/IEC 42001 aufbauen oder zertifizieren lassen, als Anbieter oder als Nutzer von KI-Systemen. Zunehmend auch als Nachweis gegenüber Kunden, die KI-Governance in Ausschreibungen verlangen, und als Baustein für die Konformität mit dem AI Act.

Was das Regelwerk an Aufzeichnungen verlangt

Die relevanten Maßnahmen aus Anhang A:

Fundstelle	Anforderung
A.6.2.8	Aufzeichnung von Ereignisprotokollen des KI-Systems: Die Organisation legt fest, in welchen Phasen des Lebenszyklus Ereignisprotokolle geführt werden, mindestens jedoch während der Nutzung des KI-Systems.
A.6.2.6	Betrieb und Überwachung: Der Betrieb des KI-Systems ist entsprechend der Dokumentation zu überwachen; Abweichungen sind zu erkennen.
A.6.2.5	Bereitstellung: Anforderungen an die Bereitstellung, einschließlich der Bedingungen, unter denen das System betrieben wird.
A.8.4	Kommunikation von Vorfällen: Verfahren, um Vorfälle mit dem KI-System an Nutzer, Betroffene und Behörden zu kommunizieren; das setzt belastbare Aufzeichnungen voraus.
A.9.4, A.10.3	Verantwortliche Nutzung und Lieferanten: Anforderungen an die verantwortliche Nutzung und an Lieferanten, deren Einhaltung nachweisbar sein muss.
Kap. 9.1, 9.2	Überwachung, Messung, Analyse; internes Audit. Der Auditor braucht Aufzeichnungen, denen er vertrauen kann.

Was Logsiegel dazu beiträgt heute

Ereignisprotokoll während der Nutzung (A.6.2.8). Der LiteLLM-Adapter protokolliert jede Modellanfrage mit Zeitpunkt, Modell, Token-Zahlen und Prüfsummen; Modellwechsel, menschliche Eingriffe und Anomalien sind eigene Ereignisarten. Die Attribute folgen den OpenTelemetry-GenAI-Konventionen.
Unveränderte Aufzeichnung, prüfbar. Jeder Eintrag ist per Hash mit dem vorigen verkettet; in Abständen wird eine Merkle-Wurzel gebildet und mit Ed25519 signiert (Prüfpunkt). Nachträgliche Änderung, Umsortierung oder Kürzung lässt logsiegel verify fehlschlagen. Für den Auditor nach Kap. 9.2 heißt das: Er prüft die Aufzeichnung, statt ihr zu glauben.
Abweichungen belegen (A.6.2.6). Fehler und Ausreißer werden als anomaly aufgezeichnet und sind damit Teil der beweisbaren Kette, nicht einer separaten, veränderbaren Fehlerliste.
Kommunikation von Vorfällen (A.8.4). logsiegel receipt erzeugt für eine einzelne Aktion eine Datei aus Eintrag, Einschluss-Beweis und signiertem Prüfpunkt. Ein Prüfer, Kunde oder Gericht prüft sie offline gegen Ihren veröffentlichten Schlüssel, ohne Zugriff auf Ihre Systeme und ohne den Rest des Protokolls zu sehen.
Aufbewahrung nachweisbar. Ein signierter Prüfpunkt belegt, dass das Protokoll zu einem Zeitpunkt eine bestimmte Länge und einen bestimmten Inhalt hatte. Wer später kürzt, wird gegen jeden früher ausgegebenen Prüfpunkt oder Beleg auffällig.
Lesbares Dossier. logsiegel export schreibt das Protokoll als Markdown-Dossier für Menschen, die keine Kommandozeile bedienen wollen.
Nur Metadaten im Protokoll. In die Kette gelangen Ereignis-Metadaten und gesalzene Prüfsummen; Eingaben und Ausgaben liegen getrennt, je Eintrag verschlüsselt. Ein Eintrag lässt sich per Schlüssel-Löschung (Crypto-Shredding) inhaltlich löschen, ohne dass die Kette bricht.

Was in Arbeit ist geplant

Ereignis-Taxonomie für Agenten mit Abbildung auf ISO/IEC 24970 (KI-Ereignisprotokollierung, in Entwicklung) und prEN 18229-1, damit die Protokolle die Sprache der kommenden Normen sprechen.
MCP-Proxy für Werkzeugaufrufe, unabhängiger Zeuge für Prüfpunkte.

Was Logsiegel nicht leistet

Das Managementsystem. KI-Politik, Rollen, Risiko- und Folgenabschätzung (A.5), Datenmanagement (A.7), Lebenszyklus-Dokumentation (A.6.2.2 bis A.6.2.4): eigene Arbeit.
Überwachung als Tätigkeit. A.6.2.6 verlangt, dass jemand hinschaut. Logsiegel liefert unveränderte Aufzeichnungen, keine Auswertung.
Vollständigkeit. Bewiesen wird, dass Aufgezeichnetes unverändert ist, nie, dass alles aufgezeichnet wurde. Das ist eine Integrationsfrage: Der Adapter muss an einer Stelle sitzen, die jede Aktion passieren muss (LiteLLM heute, MCP-Proxy in Arbeit).
Schutz gegen den Betreiber selbst. Wer den Signaturschlüssel hält, könnte das Protokoll neu schreiben und neu signieren. Das fällt genau dann auf, wenn jemand anderes einen früheren Prüfpunkt oder Beleg besitzt. Geben Sie Prüfpunkte deshalb aus der Hand; die Gegenzeichnung durch einen unabhängigen Zeugen ist die nächste Ausbaustufe.
Zeitangaben. Zeitstempel im Protokoll sind bis zur Gegenzeichnung durch einen Zeugen oder einen qualifizierten Zeitstempeldienst eine Behauptung des Betreibers.
Rechtliche Bewertung. Ob Ihr System unter das Regelwerk fällt, welche Pflichten konkret greifen und ob ein Beleg im Einzelfall genügt, entscheidet Ihre Rechts- oder Compliance-Prüfung, nicht dieses Werkzeug.

So setzen Sie es dafür ein

1. Installieren und ein Protokoll anlegen

Das SDK ist Python, Apache 2.0, ohne Server und ohne Konto. Der Ursprung (origin) benennt das System, dessen Handeln protokolliert wird.

pip install logsiegel
logsiegel init ./trail --origin "acme.example/support-agent"

2. Adapter an der Stelle einbinden, die jede Aktion passieren muss

Läuft Ihr KI-Verkehr über LiteLLM, wird jede Vervollständigung ein signierbarer inference-Eintrag, Fehler werden als anomaly aufgezeichnet. Menschliche Eingriffe protokollieren Sie ausdrücklich als eigenes Ereignis.

import litellm
from logsiegel.integrations.litellm_logger import LogsiegelLogger

litellm.callbacks = [LogsiegelLogger("/var/lib/logsiegel/prod", store_payload=True)]

3. Lebenszyklus-Ereignisse ausdrücklich protokollieren

A.6.2.8 spricht von Phasen des Lebenszyklus. Protokollieren Sie neben der Nutzung auch Modellwechsel und Bereitstellungen als eigene Ereignisse, dann ist die Phase im Protokoll ablesbar.

logsiegel log ./trail --event model_change \
  --attr gen_ai.request.model=gpt-5 --attr previous=gpt-4.1 --attr approved_by="ml-board"

4. Prüfpunkte setzen und aus der Hand geben

Setzen Sie Prüfpunkte regelmäßig (etwa per Cron) und legen Sie sie außerhalb Ihrer Infrastruktur ab: beim Prüfer, beim Kunden, in einem fremden Repository. Erst ein Prüfpunkt, den Sie nicht mehr allein kontrollieren, macht das Protokoll gegen Sie selbst beweiskräftig.

logsiegel checkpoint ./trail
logsiegel verify ./trail

5. Bei einer Anfrage den Beleg aushändigen

Statt Datenbankauszügen liefern Sie einen einzelnen Beleg. Die Gegenseite prüft ihn im Browser unter logsiegel.com/verifier oder per Kommandozeile, beides offline.

logsiegel receipt ./trail --seq 1284 --out receipt.json
logsiegel verify-receipt receipt.json --pubkey logsiegel.pub

Weitere Regelwerke: EU AI Act DSGVO DORA NIS2 / KRITIS ISO/IEC 27001 GoBD eIDAS Übersicht

Rechtsstand September 2026. Diese Seite ist eine technische Einordnung durch das Projekt, keine Rechtsberatung und keine Konformitätsaussage. Fundstellen bitte am jeweils aktuellen Normtext prüfen. Korrekturen gern per GitHub-Issue.