Was ist Audit-Log?

Der Nutzen wird meist erst im Ernstfall sichtbar, und dann sofort. Wenn eine vertrauliche Information in einer Antwort auftaucht, ist die erste Frage, wer sie abgerufen hat und aus welcher Quelle sie stammte. Ohne Protokoll lässt sich das nicht rekonstruieren, und Sie können weder den Umfang eingrenzen noch belegen, dass Sie ihn eingegrenzt haben.

Bei der Auswahl lohnt es sich, genau hinzusehen, was tatsächlich protokolliert wird. Manche Produkte erfassen nur Anmeldungen und administrative Änderungen, andere auch Abfragen und die verwendeten Dokumente. Ebenso wichtig sind Aufbewahrungsdauer, Exportmöglichkeit und die Frage, ob Administratoren Einträge löschen können. Ein Protokoll, das sich verändern lässt, taugt als Nachweis wenig.

Hier berührt das Thema die Mitbestimmung. Eine Protokollierung, die Verhalten oder Leistung von Beschäftigten überwachen kann, fällt in den Bereich des § 87 Abs. 1 Nr. 6 BetrVG. Wo ein Betriebsrat besteht, gehört das Thema früh auf den Tisch, gemeinsam mit der Frage, welche Auswertungen erlaubt sein sollen. § 90 Abs. 1 Nr. 3 BetrVG sieht zudem eine Unterrichtung über die Planung von Arbeitsverfahren einschließlich des Einsatzes von KI vor.

Sie brauchen ein belastbares Protokoll, sobald ein Werkzeug Zugriff auf Firmenwissen hat, sobald Sie Nachweise gegenüber Kunden führen müssen oder sobald eine Prüfung ansteht. Für ein abgeschottetes Werkzeug ohne Personenbezug ist eine schlanke Protokollierung ausreichend. Legen Sie die Anforderung fest, bevor Sie Angebote vergleichen.

Was ein brauchbares Protokoll leisten sollte

• Anmeldungen, Rechteänderungen und administrative Eingriffe mit Zeitstempel.
• Nachvollziehbarkeit, welche Quellen eine Antwort verwendet hat.
• Eine festgelegte Aufbewahrungsdauer und die Möglichkeit zum Export.
• Schutz davor, dass Einträge nachträglich verändert werden.
• Eine abgestimmte Regel, wer auswerten darf und zu welchem Zweck.

Welche Begriffe hängen damit zusammen?

• Berechtigungskonzept: Die Regel, wer welche Inhalte sehen darf. Bei Firmensuche entscheidet sie darüber, ob eine Einführung überhaupt zulässig ist.
• Single Sign-on: Anmeldung über das vorhandene Firmenkonto. Voraussetzung dafür, Zugänge zentral zu entziehen.
• Technische und organisatorische Maßnahmen: Die konkreten Schutzmaßnahmen eines Anbieters, die als Anlage zum Auftragsverarbeitungsvertrag gehören.

Wo wird Audit-Log in der Auswahl konkret?

Begriffe helfen erst, wenn sie an einer Entscheidung hängen. Audit-Log spielt vor allem in KI-Assistenten & LLM-Plattformen eine Rolle. Dort sehen Sie, wie die geprüften Lösungen mit dem Punkt umgehen, jeweils mit Quelle und Stand-Datum.