De AI-verordening is een bewaarprobleem, en bijna niemand behandelt haar zo

Loggingcapaciteit is geen bewaartermijn

Art. 12 vereist dat systemen met een hoog risico de automatische registratie van gebeurtenissen technisch mogelijk maken gedurende de levensduur van het systeem. Dat is een ontwerpeis: de capaciteit moet er zijn. Hoe lang de registraties werkelijk worden bewaard is een andere vraag, en die beantwoordt art. 19 — een periode die past bij het beoogde doel en in elk geval niet korter dan zes maanden.

De twee door elkaar halen levert de duurste fout op die hier beschikbaar is: alle logs bewaren gedurende de hele levensduur omdat art. 12 de levensduur noemt. Dat is onevenredig, het wordt niet geëist, en bij systemen die persoonsgegevens verwerken is het een schending van de opslagbeperking op het omvangrijkste bestand dat de organisatie heeft.

Twee klokken op hetzelfde systeem

De tien jaar van de aanbieder lopen vanaf het in de handel brengen of in bedrijf stellen. De tien jaar van de gebruiksverantwoordelijke lopen vanaf het uit de handel nemen. Bij een systeem dat acht jaar in bedrijf is zijn dat twee data die bijna een decennium uit elkaar liggen, en een organisatie die tegelijk aanbieder en gebruiksverantwoordelijke is — gebruikelijk bij zelfgebouwde systemen — valt onder beide.

De verplichting van de aanbieder is bovendien cumulatief en niet rollend: een systeem dat acht jaar lang elk kwartaal is bijgewerkt draagt zijn hele documentatiegeschiedenis mee, want de documentatie moet tonen hoe het systeem er op elk moment uitzag, niet hoe het er nu uitziet.

• Logs van een systeem met een hoog risico bevatten vrijwel altijd persoonsgegevens van de mensen over wie het systeem besliste. Op hetzelfde bestand werken dan twee regimes — dat van de AI-verordening en dat van de AVG — en beide doelen horen in het verwerkingsregister.
• Art. 73 kent drie meldtermijnen, niet één: vijftien dagen in de regel, tien dagen bij overlijden, twee dagen bij een wijdverbreide inbreuk of een ernstig incident in de zin van art. 3, punt 49, onder b. De termijn loopt vanaf de kennisname, niet vanaf het afsluiten van het interne onderzoek.
• Een model dat maandelijks wordt hertraind kan een beslissing van vorig jaar niet verklaren, tenzij de toen gebruikte versie is bewaard. Het model bewaren — of ten minste de parameters en de beschrijving — wordt daarmee een eigen bewaartermijn, en wel degene die niemand opschrijft.
• De documentatie wordt ter beschikking gehouden van de bevoegde nationale autoriteiten. Dat is beschikbaarheid op verzoek, geen archivering: een back-up die niemand binnen redelijke tijd kan lezen voldoet niet.

De toets is dezelfde die bij de boekhouding werkt: staat er in de bewaarkolom een getal, of staat er welk artefact onder welke bepaling valt? Staat er een getal, dan beschrijft het register een vereenvoudiging. Hier is de vereenvoudiging jonger dan de andere, wat betekent dat er nog niemand over gestruikeld is — niet dat zij veilig is.