Open-Source Artikel-12-Protokollierungsbibliothek für die Einhaltung des EU-KI-Gesetzes

Was das ist

Eine quelloffene TypeScript-Bibliothek, die eine Artikel-12-konforme Protokollierungsinfrastruktur für KI-Systeme bereitstellt, die von der EU-KI-Verordnung betroffen sind. Sie ist speziell für Node.js-Anwendungen entwickelt, die das Vercel AI SDK verwenden.

Wichtige Details

Die Bibliothek adressiert die Anforderungen von Artikel 12 der EU-KI-Verordnung, die im August 2024 in Kraft treten und eine automatische Ereignisaufzeichnung mit einer sechsmonatigen Aufbewahrung für Hochrisiko-KI-Systeme vorschreiben. Rechtsexperten interpretieren dies als Anforderung einer ausschließlich anfügbaren Ledger-Funktionalität anstelle von Standard-Anwendungsprotokollierung.

Die Implementierung umfasst:

• Middleware, die KI-Modelle umschließt, um jeden Inferenzaufruf zu erfassen
• Strukturierte JSONL-Protokollierung in Ihren eigenen S3-Bucket oder lokalen Dateisystem
• SHA-256-Hash-Ketten zwischen Einträgen zur Manipulationserkennung
• Automatische Durchsetzung einer mindestens 180-tägigen Aufbewahrungsfrist
• CLI-Tool zur Rekonstruktion spezifischer Entscheidungen und Überprüfung der Protokollintegrität
• Abdeckungsbefehl, der potenzielle Protokollierungslücken identifiziert (Auslassungen werden als größeres praktisches Risiko als Bearbeitungen angemerkt)

Die Bibliothek ist bewusst einfach im Design: TypeScript-basiert, auf Vercel AI SDK Middleware ausgerichtet, unterstützt S3- oder lokale Dateisystem-Speicherung und verwendet lineare Hash-Ketten. Sie funktioniert auch mit dem Mastra-Agentic-Framework, und der Maintainer begrüßt PRs zur Erweiterung von Integrationen.

Wie in der HN-Diskussion erwähnt, bietet die Bibliothek manipulationserkennbare Protokollierung anstelle von manipulationssicherer Absicherung. Sie erkennt Veränderungen, verhindert aber nicht die vollständige Rekonstruktion der Kette durch jemanden mit Speicherzugriff. Das Design setzt auf Defense-in-Depth mit S3 Object Lock (Compliance-Modus) auf der Infrastrukturebene und Hash-Ketten-Verifizierung auf der Anwendungsebene. Externe Zeitstempelung (wie OpenTimestamps oder RFC 3161) könnte als optionale Funktion für unabhängige zeitliche Verankerung hinzugefügt werden.

Laut der regulatorischen Interpretation des Entwicklers erfordert Artikel 12 eine "automatische Aufzeichnung", die Überwachung und Rekonstruktion ermöglicht, wobei aktuelle Leitlinien manipulationssichere Speicherung nicht vorschreiben – nur vertrauenswürdige, überprüfbare Aufzeichnungen.