Wenn ein AI-Agent eine falsche Nachricht sendet, einen Datensatz verändert oder unerwartet hohe Kosten erzeugt, reicht die letzte Modellantwort nicht zur Aufklärung. Sie brauchen einen nachvollziehbaren Ablauf: Auftrag, verwendete Quellen, Modellroute, Tool-Aufrufe, Freigaben, Fehler und Resultat.
Ein technischer Trace und ein Audit Log erfüllen dabei unterschiedliche Zwecke. Der Trace hilft beim Debugging. Der Auditpfad beantwortet, wer oder was wann mit welcher Berechtigung welche Wirkung ausgelöst hat.
Welche Ereignisse gehören in einen Auditpfad?
Für operative Agenten sind mindestens folgende Ereignisse relevant:
- Identität des Benutzers und des Agenten,
- Zweck und ID des Workflows,
- verwendete Modell- und Promptversion,
- abgerufene Quellen und Berechtigungsentscheidung,
- Tool-Name, Parameter, Resultat und Fehlerstatus,
- menschliche Freigabe oder Ablehnung,
- endgültige Wirkung im Zielsystem,
- Kosten, Laufzeit und Abbruchgrund.
Nicht jedes Detail muss im selben Log liegen. Wichtig ist eine gemeinsame Trace-ID, mit der sich die Kette rekonstruieren lässt.
Rohprompts sind nicht automatisch die richtige Antwort
Vollständige Prompts und Tool-Ausgaben erleichtern Debugging, können aber Personendaten, Geschäftsgeheimnisse oder Zugangsinformationen enthalten. Eine pauschale Vollprotokollierung erzeugt ein zweites sensibles Datensystem.
Definieren Sie deshalb pro Feld, ob es vollständig, maskiert, gehasht, zusammengefasst oder gar nicht gespeichert wird. Für viele Auditfragen genügt die ID einer Quelle oder eines Datensatzes statt seines vollständigen Inhalts.
Unveränderbarkeit und Korrekturen
Auditdaten sollten nachträglich nicht still überschrieben werden können. Korrekturen brauchen einen neuen Eintrag, der den früheren referenziert. Zugriff auf Logs muss getrennt vom Zugriff auf den Agentenbetrieb geregelt sein.
Das bedeutet nicht, dass Logs unbegrenzt gespeichert werden. Aufbewahrungsfristen, Löschpflichten und rechtliche Anforderungen bleiben bestehen. Unveränderbarkeit innerhalb einer Frist und definierte Löschung danach sind miteinander vereinbar.
Modellantwort, Tool-Wirkung und Geschäftsergebnis trennen
Ein Agent kann eine korrekte Tool-Anfrage formulieren, während das Zielsystem sie ablehnt. Umgekehrt kann ein Tool erfolgreich antworten, aber das Geschäftsergebnis falsch sein. Protokollieren Sie deshalb getrennt:
- was das Modell vorgeschlagen hat,
- was die Laufzeit erlaubt hat,
- was das Tool zurückgemeldet hat,
- was im Zielsystem tatsächlich verändert wurde.
Diese Trennung verhindert, dass ein erfolgreicher HTTP-Status mit einem korrekten Ergebnis verwechselt wird.
Audit Logs für Evaluation nutzen
Gut strukturierte Logs sind nicht nur für Vorfälle nützlich. Sie liefern reale Testfälle: wiederholte Retries, häufig abgelehnte Freigaben, ungeeignete Quellen oder teure Routen. Aus diesen Fällen lassen sich Regressionstests bauen.
Verwenden Sie produktive Daten nur innerhalb der vereinbarten Datenschutzgrenzen. Für Evaluationen können Inhalte anonymisiert oder durch repräsentative Testfälle ersetzt werden.
Was gehört in ein Management-Reporting?
Führungskräfte brauchen keine Rohtraces. Ein operatives Reporting sollte zeigen:
- Zahl und Art ausgeführter Agentenaktionen,
- Anteil menschlich freigegebener Aktionen,
- abgebrochene oder blockierte Versuche,
- Fehler und wiederkehrende Ursachen,
- Kosten pro erfolgreichem Workflow,
- offene Risiken und Änderungen an Regeln.
So wird der Auditpfad zu einem Steuerungsinstrument statt zu einem Datenarchiv, das erst nach einem Vorfall geöffnet wird.
Quellen
- NIST, AI Risk Management Framework: https://www.nist.gov/itl/ai-risk-management-framework
- OpenTelemetry, Traces: https://opentelemetry.io/docs/concepts/signals/traces/
- OWASP Logging Cheat Sheet: https://cheatsheetseries.owasp.org/cheatsheets/Logging_Cheat_Sheet.html
- Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter: https://www.edoeb.admin.ch/
Nächster Schritt
Definieren Sie für einen Agenten zehn Ereignisse, die im Auditpfad sichtbar sein müssen. Entscheiden Sie pro Feld, ob Inhalt, Referenz oder Hash gespeichert wird. Spielen Sie danach einen Fehlerfall durch und prüfen Sie, ob eine unabhängige Person den Ablauf ohne Zugriff auf das Entwicklungssystem rekonstruieren kann.