Hoe lang mag je een AI-prompt bewaren? En hoe lang moet je juist een auditlog vasthouden? Lange tijd waren dat vooral technische configuratievragen, bepaald door de standaardinstellingen van de gebruikte tools. Een reeks uitleg- en praktijkgidsen uit 2026 laat zien dat die vrijblijvendheid verdwijnt. In een analyse van 3 juli 2026, AI Audit Log Retention Under the EU AI Act, vertaalt DeepInspect de artikelen 12 en 19 van de EU AI Act naar een concreet retentiebeleid. De kern: voor hoog-risico AI-systemen ontstaat een harde ondergrens van minimaal zes maanden logbewaring, terwijl de opslagbeperking uit de GDPR tegelijk vraagt om kortere termijnen voor logs met persoonsgegevens.
Dat spanningsveld maakt bewaartermijnen tot een expliciete beleidsbeslissing. Wie met vertrouwelijke informatie werkt, kan retentie niet langer overlaten aan de default van een dienst, maar moet per datacategorie — prompts, modeloutput en auditlogs — vastleggen wat er geldt en waarom.
De AI Act zet een ondergrens onder auditlogs
De officiële uitleg van de AI Act Service Desk over artikel 12 bevestigt het juridische fundament. Hoog-risico AI-systemen moeten automatische logging over hun hele levensduur mogelijk maken. In die logs moet onder meer worden vastgelegd wat de gebruiksperiode was, welke referentiedatabase is gebruikt, welke inputdata zijn verwerkt en welke natuurlijke personen betrokken waren. Doel van die registratie is traceerbaarheid en ondersteuning van post-market monitoring. Daarmee is bewaring van auditlogs geen best practice, maar een voorwaarde.
De ontwikkelaarsgids van Sota.io, EU AI Act Art.12 Logging & Record-Keeping van 10 april 2026, maakt dit concreet richting log- en retentiearchitectuur. De gids beschrijft zes maanden als de expliciete minimumtermijn voor biometrische identificatiesystemen en als de facto standaard voor andere hoog-risicocategorieën, via de vensters waarbinnen toezicht en onderzoek plaatsvinden. Tegelijk wijst Sota.io erop dat technische documentatie en trainingsrecords voor GPAI-modellen aanzienlijk langer bewaard moeten blijven. Er is dus geen enkele uniforme termijn: het hangt af van het type gegeven en het regime waaronder het valt.
GDPR duwt de andere kant op: niet langer dan nodig
Waar de AI Act een ondergrens legt, werkt de GDPR als bovengrens voor gegevens die personen kunnen identificeren. De retentiegids van AI Policy Desk, AI Data Retention Policy Template for 2026 van 29 mei 2026, legt uit dat artikel 5(1)(e) GDPR geen vaste termijnen voorschrijft, maar het principe van opslagbeperking verankert: persoonsgegevens in bijvoorbeeld promptlogs mogen alleen bewaard worden zolang dat noodzakelijk is voor het verwerkingsdoel.
In het voorgestelde schema van AI Policy Desk krijgen die datacategorieën verschillende termijnen. Promptlogs met persoonsgegevens staan er bijvoorbeeld op dertig dagen, terwijl bias-auditrecords twee jaar krijgen en hoog-risico AI-logs de minimaal zes maanden uit de AI Act aanhouden. Langere bewaartermijnen worden expliciet gekoppeld aan concrete andere verplichtingen, zoals DPIA-eisen of regels als NYC LL144. De boodschap is dat elke termijn een gerechtvaardigde onderbouwing moet hebben, per categorie.
Voor gereguleerde sectoren komt daar nog een laag bij. De checklist van Kognitos, AI Audit Trail Requirements: A 2026 Checklist for Finance van 4 augustus 2026, laat zien dat sectorale regelgeving — bijvoorbeeld in de financiële wereld — vaak bewaartermijnen van vijf tot zeven jaar oplegt. In die context is "zolang nodig" mede bepaald door wettelijke bewaarplichten, zodat AI-logs feitelijk veel langer moeten worden bewaard dan het AI Act-minimum.
Retentie als aantoonbaar beleid per datacategorie
Alles bij elkaar wijzen deze bronnen dezelfde kant op. Bewaartermijnen voor AI-data zijn geen technische default meer, maar een governancekeuze die per categorie moet worden vastgelegd. Een werkbaar beleid onderscheidt daarom minstens drie sporen:
- Prompts en outputs met persoonsgegevens: kort bewaren onder de GDPR-opslagbeperking, met een expliciet gedocumenteerde termijn en een duidelijk verwerkingsdoel.
- Auditlogs van hoog-risico AI-systemen: minimaal zes maanden, gekoppeld aan artikel 12 en de post-market monitoring.
- Sector- en documentatie-gebonden records: langere termijnen waar financiële, GPAI- of andere wettelijke bewaarplichten dat vereisen.
Het lastige zit in de uitvoering. Je moet tegelijk traceerbaarheid behouden én kunnen aantonen dat je niet langer bewaart dan nodig. Dat betekent per workflow zicht houden op welke prompts, outputs en logs nog aanwezig zijn, en auditbaar kunnen vastleggen wanneer data zijn geanonimiseerd of gewist.
Voor een privacy-gerichte verificatieconsole als I am Vera ligt de relevantie precies in die controleerbare uitvoering. Vera is geen taalmodel en geen chatbot, maar een verificatielaag: de voorbewerking en anonimisering vinden plaats op EU-infrastructuur via de Semantic Privacy Shield, en de workflow is ontworpen om alleen geanonimiseerde inhoud naar de geselecteerde AI-modellen te sturen. Bij een mislukte privacycontrole wordt niets doorgestuurd. Zo'n opzet kan helpen om de hoeveelheid identificerende gegevens die überhaupt in logs terechtkomt te beperken, en om per workflow zichtbaar te maken welke stappen zijn gezet.
De nieuwe uitleg rond artikel 12 en 19 verandert niet wat professionals inhoudelijk beoordelen — dat oordeel blijft bij de gebruiker. Wat wél verandert, is de verwachting dat je je bewaartermijnen expliciet kunt uitleggen: hoe lang, voor welke datacategorie, en op grond van welke combinatie van AI Act, GDPR en sectorregels. Wie dat vooraf inricht, hoeft achteraf niet te reconstrueren waarom een prompt nog bestond of een auditlog al was verdwenen.