Na máquina Windows 7 que acabei de testar, existem dois registros PrintService. O Administrativo, e o Operacional. Você precisa habilitar explicitamente o log operacional. (Eu já habilitei o meu, então finja que diz Habilitar ao invés de Desabilitar).
Agoraimprimaalgo:
Você pode precisar clicar com o botão direito do mouse nessa imagem e abrir em uma nova guia para obter uma visualização melhor. Ele irá informá-lo sobre cada trabalho que está sendo colocado em spool, impresso, excluído, etc., e de qual usuário ele veio. Veja o log no servidor de impressão. Para o meu teste, usei apenas o gravador XPS local, mas imagino que estava enviando o trabalho para uma impressora remota.
Edit: eu esqueci mais uma coisa. Nas configurações da Diretiva de Auditoria do Windows, por meio da configuração Diretiva de Grupo ou Diretiva de Segurança Local, na seção Ferramentas Administrativas, no Painel de Controle.
Depois de definir a Política de Auditoria, clique com o botão direito do mouse no nome da impressora na pasta Impressoras, clique no item de menu Propriedades / Segurança / Avançado / Auditoria e adicione uma entrada de auditoria para rastrear a atividade da impressora. As entradas de auditoria serão gravadas no log de segurança, visível por meio do Visualizador de Eventos.