De registres a evidència defensable: traçabilitat, verificabilitat i evidència proporcional

Guardar tots els prompts no converteix automàticament un procés en auditable. I no guardar res pot deixar-te sense capacitat de reconstruir què va passar quan una decisió important va ser assistida per IA. Entre ambdós extrems hi ha una pregunta molt més útil: què necessitem poder demostrar?

Tres paraules que convé separar

• Traçabilitat respon a «què va passar».
• Verificabilitat respon a «quin control podem comprovar que es va executar».
• Evidència respon a «quins elements permeten sostenir raonablement una afirmació sobre el que va ocórrer i per què es va aprovar».

No són sinònims i tampoc impliquen que existeixi una obligació universal de registrar-ho tot. La necessitat concreta depèn del procés, el risc, el marc aplicable i la finalitat del registre.

Més logs no significa més diligència

Un sistema pot registrar milers d'esdeveniments tècnics i no conservar la informació que permet reconstruir una comprovació material. També pot emmagatzemar converses senceres quan n'hi havia prou amb una referència verificada, un resultat de control i una aprovació. El disseny responsable busca proporcionalitat: suficient per reconstruir i revisar, però sense una acumulació indiscriminada d'informació sensible.

Un exemple que qualsevol pot entendre

Si un professional utilitza IA per preparar una resposta amb referències jurídiques, la pregunta no és si el sistema va guardar cada token. La pregunta és si, arribat el cas, es pot reconstruir quines referències es van considerar, contra quina font oficial es van contrastar i qui va aprovar el resultat final.

L'evidència també té cost i cicle de vida

Registrar massa pot augmentar l'exposició i la complexitat; registrar massa poc impedeix demostrar que un control existia. Tot registre útil necessita finalitat, control d'accés i criteri de conservació: desplaçar la conversa des de «tenim logs» cap a «podem explicar quin control va passar abans de signar».