Checklist de jurnalizare și păstrare a evidențelor

Un checklist eficient integrează trasabilitatea în activitatea obișnuită. Identificați mai întâi sistemul IA complet, scopul prevăzut, rolul companiei, clasificarea și evidențele aflate efectiv sub controlul său. Definiți apoi setul minim care explică rezultate importante, modificări, acțiuni umane, controale și incidente. Atribuiți capturarea, accesul, revizuirea, păstrarea și ștergerea și testați dacă un evaluator autorizat poate reconstrui faptele.

Pentru sistemele IA cu risc ridicat, articolul 12 din AI Act impune înregistrarea automată a evenimentelor pe durata de viață. Articolele 19 și 26 cer furnizorilor și implementatorilor să păstreze logurile generate automat aflate sub controlul lor pentru o perioadă adecvată și, în general, cel puțin șase luni, dacă alte legi nu prevăd altfel. Aceasta nu justifică înregistrarea sau păstrarea nelimitată a tuturor datelor.

1. Confirmați domeniul

• [ ] Documentați numele, proprietarul, scopul, utilizatorii, persoanele afectate, intrările, ieșirile și deciziile.
• [ ] Cartografiați modelele, sursele, regulile, pașii umani, integrările și acțiunile ulterioare.
• [ ] Înregistrați rolul, analiza riscului ridicat, ipotezele, aprobarea și declanșatorii reevaluării.
• [ ] Separați logurile companiei, clientului și furnizorului și identificați regulile de confidențialitate, securitate, muncă, sector și contract.

2. Definiți întrebări și evenimente minime

• [ ] Asociați fiecare întrebare de investigație sau audit cu un eveniment și câmpurile minime.
• [ ] Includeți versiunile sistemului, modelului și configurației, timpul și identificatorii de corelare.
• [ ] Înregistrați controalele, erorile, excepțiile, acțiunile umane, schimbările, plângerile și remedierea.
• [ ] Versionați schema și testați automat câmpurile obligatorii.

O evidență utilă răspunde unei întrebări. Telemetria de disponibilitate arată rar ce versiune a produs un rezultat. Stocarea implicită a prompturilor, documentelor, răspunsurilor și identităților poate crește riscul; folosiți referințe protejate, hash-uri, rezumate sau eșantioane restrânse când sunt suficiente.

3. Atribuiți responsabilitatea

• [ ] Numiți un responsabil pentru fiecare sistem.
• [ ] Atribuiți instrumentarea ingineriei; scopul și schimbările produsului; modelele și evaluările echipelor ML; accesul și integritatea securității; minimizarea confidențialității; cerințele și testele conformității.
• [ ] Documentați explicit limitele clienților și furnizorilor.

4. Integrați dovezile în livrare

• [ ] Legați domeniul, clasificarea, versiunile și evaluările de versiunea lansată.
• [ ] Solicitați procesului de implementare să emită identificatori, aprobări, starea controalelor și referința de revenire.
• [ ] Capturați automat excepțiile, intervențiile, plângerile și incidentele și reevaluați schimbările semnificative.

Dovezile trebuie să apară acolo unde se ia decizia. Automatizați completitudinea de rutină și păstrați analiza umană pentru schimbări și excepții importante.

5. Protejați accesul și integritatea

• [ ] Clasificați evidențele, separați accesul operațional de investigații și aplicați privilegii minime, autentificare, criptare și logarea accesului.
• [ ] Guvernați exportul, protecția împotriva modificării, conservarea în incidente și documentația schemei.

6. Păstrați și ștergeți pe clase

• [ ] Definiți scopul, momentul inițial, data ștergerii și minimul aplicabil din articolul 19 sau 26.
• [ ] Armonizați minimizarea, regulile sectoriale, contractele, incidentele și blocările.
• [ ] Includeți stocarea principală, analiza, exporturile, replicile și copiile de rezervă; aprobați excepțiile și testați ștergerea.

„Cel puțin șase luni” nu este o perioadă universală; se referă la anumite loguri automate de risc ridicat aflate sub controlul operatorului.

7. Revizuiți și escaladați

• [ ] Declanșați revizuirea după schimbări semnificative, identificatori lipsă, controale eșuate, override-uri neobișnuite, performanță neașteptată sau utilizare neautorizată.
• [ ] Definiți destinația, severitatea, timpul, decidentul și dovada închiderii pentru fiecare declanșator.
• [ ] Urmăriți remedierile, tendințele și eșantioanele bazate pe risc.

8. Testați lanțul probator

• [ ] Reconstruiți o versiune, un rezultat și o excepție până la închidere.
• [ ] Verificați accesul, exportul și ștergerea în toate copiile guvernate.
• [ ] Înregistrați lacunele, responsabilii, termenele și retestările.

Testul trebuie făcut de cineva care nu a creat dosarul. Dacă depinde de mesaje private sau memoria unei persoane, procesul nu este repetabil.

Pornire într-o săptămână

Alegeți un flux important. Documentați domeniul, rolul, clasificarea, întrebările, furnizorii și lacunele. Stabiliți schema, responsabilitatea, accesul, păstrarea și declanșatorii. Testați reconstrucția, creați o listă scurtă de remedieri și reutilizați modelul pentru următorul risc.

După modificarea din 2026, regulile de risc ridicat pentru anexa III se aplică din 2 decembrie 2027, iar cele pentru sisteme integrate în produse reglementate din anexa I din 2 august 2028.

FAQ

Care este scopul practic?

Un evaluator autorizat trebuie să poată reconstrui activitatea, controalele, acțiunile umane, schimbările și urmărirea importante, nu să maximizeze datele colectate.

Trebuie păstrate toate prompturile și răspunsurile?

Nu. Alegeți câmpurile pentru un scop definit și folosiți metadate minimizate, referințe protejate, hash-uri sau eșantioane restrânse când sunt suficiente.

Cum se dovedește eficacitatea?

Prin teste de reconstrucție, acces, export și ștergere, lacune documentate și retestare după remediere.

Surse

• Regulamentul (UE) 2024/1689 consolidat la 27 iulie 2026, în special articolele 12, 19 și 26.
• Regulamentul (UE) 2026/1744 privind datele modificate.
• Comisia Europeană, „AI Act”, calendarul și prezentarea actuală.