Checklist de registo e conservação

Uma checklist eficaz torna a rastreabilidade trabalho operacional normal. Primeiro identifique o sistema de IA completo, finalidade, papel da empresa, classificação e registos realmente sob o seu controlo. Depois defina o mínimo que explique resultados importantes, alterações, ações humanas, controlos e incidentes. Atribua captura, acesso, revisão, conservação e eliminação e teste se um revisor autorizado consegue reconstruir o ocorrido.

Para sistemas de IA de risco elevado, o artigo 12 do AI Act exige registo automático ao longo da vida do sistema. Os artigos 19 e 26 exigem que fornecedores e responsáveis pela implantação conservem logs automáticos sob o seu controlo por período adequado e, em regra, pelo menos seis meses, salvo disposição diferente de outra lei. Isto não autoriza registar tudo nem conservar indefinidamente.

1. Confirmar o âmbito

• [ ] Documentar nome, proprietário, finalidade, utilizadores, pessoas afetadas, entradas, saídas e decisões.
• [ ] Mapear modelos, fontes, regras, passos humanos, integrações e ações posteriores.
• [ ] Registar papel, análise de risco elevado, pressupostos, aprovação e gatilhos de reavaliação.
• [ ] Separar logs da empresa, cliente e fornecedor e identificar regras de privacidade, segurança, trabalho, setor e contratos.

2. Definir perguntas e eventos mínimos

• [ ] Associar cada pergunta de investigação ou auditoria a um evento e campos mínimos.
• [ ] Incluir versões de sistema, modelo e configuração, tempo e identificadores de correlação.
• [ ] Registar controlos, erros, exceções, ações humanas, alterações, reclamações e correções.
• [ ] Versionar o esquema e testar automaticamente campos obrigatórios.

Um registo útil responde a uma pergunta. Telemetria de disponibilidade raramente prova qual versão produziu um resultado. Guardar prompts, documentos, respostas e identidades por defeito pode aumentar o risco; use referências protegidas, hashes, resumos ou amostras restritas quando bastem.

3. Atribuir responsabilidades

• [ ] Nomear um responsável por sistema.
• [ ] Atribuir instrumentação à engenharia; finalidade e alterações ao produto; modelos e avaliações a ML; acesso e integridade à segurança; minimização à privacidade; requisitos e testes à conformidade.
• [ ] Documentar limites de clientes e fornecedores.

4. Integrar provas na entrega

• [ ] Ligar âmbito, classificação, versões e avaliações à versão lançada.
• [ ] Fazer a implantação emitir identificadores, aprovações, estado dos controlos e referência de reversão.
• [ ] Capturar exceções, intervenções, reclamações e incidentes automaticamente e reavaliar alterações materiais.

As provas devem nascer onde a decisão ocorre. Automatize a completude de rotina e reserve julgamento humano para alterações e exceções relevantes.

5. Proteger acesso e integridade

• [ ] Classificar registos, separar acesso operacional e investigativo e aplicar privilégio mínimo, autenticação, cifragem e log de acessos.
• [ ] Governar exportação, proteção contra alterações, preservação em incidentes e documentação do esquema.

6. Conservar e eliminar por classe

• [ ] Definir finalidade, início, data de eliminação e mínimo aplicável dos artigos 19 ou 26.
• [ ] Conciliar minimização, regras setoriais, contratos, incidentes e bloqueios.
• [ ] Abranger armazenamento principal, analytics, exportações, réplicas e backups; aprovar exceções e testar eliminação.

“Pelo menos seis meses” não é prazo universal; refere-se a determinados logs automáticos de risco elevado sob controlo do operador.

7. Rever e escalar

• [ ] Iniciar revisão por alteração material, identificador em falta, controlo falhado, override anormal, desempenho inesperado ou uso não autorizado.
• [ ] Definir destino, gravidade, prazo, decisor e prova de encerramento para cada gatilho.
• [ ] Acompanhar correções, tendências e amostras baseadas no risco.

8. Testar a cadeia de provas

• [ ] Reconstruir um lançamento, um resultado e uma exceção até ao encerramento.
• [ ] Verificar acesso, exportação e eliminação em todas as cópias governadas.
• [ ] Registar lacunas, responsáveis, datas e novos testes.

O teste deve ser feito por quem não criou o processo. Se depender de mensagens privadas ou da memória de uma pessoa, ainda não é repetível.

Arranque numa semana

Escolha um fluxo importante. Documente âmbito, papel, classificação, perguntas, fornecedores e lacunas. Acorde esquema, responsabilidades, acesso, conservação e gatilhos. Teste a reconstrução, crie uma lista curta de correções e reutilize o padrão no risco seguinte.

Após a alteração de 2026, as regras de risco elevado para o anexo III aplicam-se em 2 de dezembro de 2027 e para sistemas em produtos regulados do anexo I em 2 de agosto de 2028.

FAQ

Qual é o objetivo prático?

Permitir que um revisor autorizado reconstrua atividade, controlos, ações humanas, alterações e seguimento relevantes, não maximizar os dados recolhidos.

É necessário conservar todos os prompts e respostas?

Não. Selecione campos segundo uma finalidade definida e use metadados minimizados, referências protegidas, hashes ou amostras restritas quando suficientes.

Como provar que funciona?

Com testes de reconstrução, acesso, exportação e eliminação, lacunas documentadas e novos testes após correção.

Fontes

• Regulamento (UE) 2024/1689 consolidado em 27 de julho de 2026, especialmente artigos 12, 19 e 26.
• Regulamento (UE) 2026/1744 sobre datas alteradas.
• Comissão Europeia, “AI Act”, calendário e visão geral atuais.