Quando se aplicam o registo e a conservação e o que fazer depois

O registo e a conservação não se aplicam da mesma forma a todas as funcionalidades SaaS. Os artigos 12.º, 19.º e 26.º do AI Act dizem respeito a sistemas de IA de risco elevado e dependem do papel de fornecedor ou responsável pela implantação e dos logs controlados pela organização. Outros sistemas podem exigir registos por segurança, privacidade, contratos, qualidade ou incidentes, mas essas finalidades não devem ser confundidas com as obrigações de risco elevado.

Comece pelo âmbito: sistema, finalidade prevista, workflow, papel, classificação e perguntas probatórias. Depois registe apenas eventos e decisões necessários à rastreabilidade, monitorização, supervisão e investigação. Proteja-os, justifique os prazos e teste se um revisor autorizado consegue reconstruir um evento relevante.

O que exige o AI Act

O artigo 12.º exige que sistemas de risco elevado permitam tecnicamente o registo automático de eventos durante o seu ciclo de vida. A capacidade deve garantir rastreabilidade adequada à finalidade, ajudar a identificar riscos ou alterações substanciais e apoiar a monitorização pós-comercialização e operacional.

É um requisito de conceção para fornecedores. O artigo 19.º obriga-os a conservar logs automáticos sob o seu controlo; o artigo 26.º impõe obrigação paralela aos responsáveis pela implantação. O mínimo geral é seis meses, salvo disposição diferente do direito aplicável, e o período deve ser adequado à finalidade. Separadamente, o fornecedor conserva determinada documentação técnica, de qualidade e conformidade durante dez anos.

Não existe um esquema universal. O artigo 12.º especifica dados para alguns sistemas biométricos remotos; nos restantes, o desenho deve ser proporcional. Consulte o guia do AI Act para fornecedores SaaS.

Quando se aplicam as obrigações

Responda a quatro perguntas: a funcionalidade é um sistema de IA; é de risco elevado ao abrigo do artigo 6.º e anexos I ou III; qual é o papel da empresa; e quais logs controla realmente? Regras e automações convencionais não se tornam IA só porque tratam dados. A finalidade prevista e as exceções são essenciais.

Uma empresa que desenvolve e comercializa sob o seu nome pode ser fornecedor; quem utiliza o sistema de terceiro sob a sua autoridade pode ser responsável pela implantação. Nova finalidade, rebranding ou alteração substancial podem mudar a análise. Fornecedor e cliente controlam frequentemente partes distintas da cadeia probatória.

A alteração de 2026 fixou 2 de dezembro de 2027 para artigo 6.º, n.º 2 e anexo III, e 2 de agosto de 2028 para artigo 6.º, n.º 1 e anexo I. Use este tempo: provas históricas ausentes não podem ser criadas depois.

Quando outros registos continuam necessários

Fora do risco elevado podem ser necessários eventos de autenticação, configuração e incidentes; provas de consentimento, pedidos, acesso ou eliminação; históricos de serviço e alteração; versões, avaliações, aprovações e rollback. Identifique para cada classe a finalidade jurídica, contratual, de segurança ou operacional real.

“Não é de risco elevado” não significa “não guardar nada”, mas o AI Act também não justifica guardar indefinidamente prompts, documentos, outputs e identidades. Por vezes basta um identificador, referência protegida, hash, resultado estruturado ou amostra.

Workflow prático

1. Documente finalidade, utilizadores, pessoas afetadas, decisão, entradas, saídas, ambientes, integrações, modelos, fontes, ações posteriores e revisão humana.
2. Registe papel, classificação, factos, revisor, aprovação, incertezas e gatilhos. Para terceiros, use as perguntas antes de adotar ferramentas internas de IA.
3. Defina perguntas: que versão produziu o resultado, que fontes e controlos foram usados, se houve revisão humana e que ação se seguiu?
4. Associe perguntas aos registos mínimos: identificador, hora fiável, versões, contexto, referências, resultado dos controlos, ação humana, resultado posterior e integridade.
5. Nomeie um responsável global e responsáveis por instrumentação, acesso, privacidade, pedidos, exceções, eliminação e correção. Aplique autenticação forte, encriptação, limites de exportação e monitorização.
6. Defina prazos por classe e teste separadamente reconstrução e eliminação em produção, analytics, exportações, arquivos e backups aplicáveis.

Erros e próximos passos

Telemetria normal não é automaticamente uma pista de auditoria: disponibilidade e latência raramente explicam configuração, controlos e ações humanas. Uma só parte pode não controlar toda a cadeia; contratos, documentação e configuração devem coincidir. Não aplique seis meses a tudo nem desenhe apenas para auditoria. Reavalie em releases, mudanças de fornecedor, riscos e incidentes. Veja os erros comuns de registo e conservação.

Escolha um workflow importante e crie uma ficha com limite, finalidade, papel, classificação, fontes, perguntas, responsáveis e gatilhos. Associe cinco a dez perguntas aos registos mínimos e faça um teste independente antes da próxima release. Isto acompanha as novas expectativas de AI governance e os controlos pedidos por compradores.

FAQ

Aplica-se a toda funcionalidade de IA?

Não. Os artigos discutidos abrangem sistemas de risco elevado; outras finalidades podem ainda exigir registos.

Fornecedor e responsável pela implantação guardam os mesmos logs?

Não necessariamente. Cada um conserva os logs automáticos relevantes sob o seu controlo.

Seis meses são sempre corretos?

Não. É o mínimo geral para os logs de risco elevado abrangidos, salvo outro direito. Outras classes podem ter prazos distintos.

Fontes

• Regulamento (UE) 2024/1689, artigos 12.º, 18.º, 19.º e 26.º.
• Regulamento (UE) 2026/1744 sobre as datas alteradas.
• Comissão Europeia, “AI Act”, calendário atual.