De logs a evidencia defendible: trazabilidad, verificabilidad y evidencia proporcional

Guardar todos los prompts no convierte automáticamente un proceso en auditable. Y no guardar nada puede dejarte sin capacidad de reconstruir qué ocurrió cuando una decisión importante fue asistida por IA. Entre ambos extremos hay una pregunta mucho más útil: ¿qué necesitamos poder demostrar?

Tres palabras que conviene separar

• Trazabilidad responde a «qué ocurrió».
• Verificabilidad responde a «qué control podemos comprobar que se ejecutó».
• Evidencia responde a «qué elementos permiten sostener razonablemente una afirmación sobre lo que ocurrió y por qué se aprobó».

No son sinónimos y tampoco implican que exista una obligación universal de registrar todo. La necesidad concreta depende del proceso, el riesgo, el marco aplicable y la finalidad del registro.

Más logs no significa más diligencia

Un sistema puede registrar miles de eventos técnicos y no conservar la información que permite reconstruir una comprobación material. También puede almacenar conversaciones enteras cuando bastaba con una referencia verificada, un resultado de control y una aprobación. El diseño responsable busca proporcionalidad: suficiente para reconstruir y revisar, pero sin una acumulación indiscriminada de información sensible.

Un ejemplo que cualquiera puede entender

Si un profesional utiliza IA para preparar una respuesta con referencias jurídicas, la pregunta no es si el sistema guardó cada token. La pregunta es si, llegado el caso, puede reconstruirse qué referencias se consideraron, contra qué fuente oficial se contrastaron y quién aprobó el resultado final.

La evidencia también tiene coste y ciclo de vida

Registrar demasiado puede aumentar exposición y complejidad; registrar demasiado poco impide demostrar que un control existía. Todo registro útil necesita finalidad, control de acceso y criterio de conservación: desplazar la conversación desde «tenemos logs» hacia «podemos explicar qué control ocurrió antes de firmar».