EU AI Act Άρθρο 19: πόσο πραγματικά πρέπει να κρατάς τα logs

«Κράτα τα logs των συστημάτων υψηλού κινδύνου για έξι μήνες.» Έτσι συνοψίζεται συνήθως το Άρθρο 19, και είναι μια διατύπωση ελλιπής με τρόπο που έχει σημασία.

Οι έξι μήνες είναι το κάτω όριο, όχι η απάντηση

Στην πραγματικότητα το Άρθρο 19 δεν λέει «έξι μήνες», αλλά να κρατάς τα αυτόματα παραγόμενα logs για όσο διάστημα αρμόζει στον σκοπό του συστήματος, και πάντως για έξι μήνες τουλάχιστον. Η πραγματική διάρκεια, επομένως, καθορίζεται από το τι ακριβώς κάνει το σύστημα. Αν τα logs χρειάζεται να στηρίξουν μια έρευνα που εκτείνεται πέρα από το εξάμηνο, τότε η διαγραφή τους τον έκτο μήνα δεν αποτελεί συμμόρφωση αλλά παράβαση.

Η GDPR δεν συντομεύει αυτόματα τη διατήρηση

Η ρήτρα «εκτός αν ο νόμος ορίζει διαφορετικά» λειτουργεί ως εξαίρεση και όχι ως κανόνας που μικραίνει τον χρόνο διατήρησης. Πολλοί επικαλούνται την GDPR για να κρατήσουν τα logs λιγότερο, κάτι που είναι συνήθως λάθος, αφού μια νομική υποχρέωση διατήρησης συνιστά από μόνη της επαρκή βάση για να κρατάς τα δεδομένα. Η GDPR, στην ουσία, πιέζει προς την αντίθετη κατεύθυνση: να μην κρατάς τα logs επ' αόριστον, να περιορίζεις στο ελάχιστο τα προσωπικά δεδομένα που περιέχουν και να ελέγχεις ποιος έχει πρόσβαση σε αυτά.

Η υποχρέωση ακολουθεί τον έλεγχο

Το Άρθρο 19 αναθέτει την υποχρέωση στον πάροχο, ενώ το Άρθρο 26 την καθρεφτίζει στον deployer, με τον καθένα να είναι υπεύθυνος για τα logs που βρίσκονται υπό τον δικό του έλεγχο. Σε μια πραγματική ανάπτυξη, λοιπόν, το ποιος κρατά τα logs πρέπει οπωσδήποτε να ξεκαθαρίζεται στη σύμβαση. Αν το αφήσεις άγραφο, καταλήγεις στο χειρότερο δυνατό σενάριο: logs που διαγράφονται πρόωρα και κανέναν υπεύθυνο να λογοδοτήσει.

Το θέμα συνδέεται άμεσα με τη δήλωση AI του Άρθρου 50, με τις βασικές υποχρεώσεις των μικρών επιχειρήσεων και με την τεκμηρίωση τύπου NIST AI RMF.