De logs a evidencia defendible: trazabilidade, verificabilidade e evidencia proporcional

Gardar todos os prompts non converte automaticamente un proceso en auditable. E non gardar nada pode deixarche sen capacidade de reconstruír que ocorreu cando unha decisión importante foi asistida por IA. Entre ambos os extremos hai unha pregunta moito máis útil: que necesitamos poder demostrar?

Tres palabras que convén separar

• Trazabilidade responde a «que ocorreu».
• Verificabilidade responde a «que control podemos comprobar que se executou».
• Evidencia responde a «que elementos permiten soster razoablemente unha afirmación sobre o que aconteceu e por que se aprobou».

Non son sinónimos e tampouco implican que exista unha obriga universal de rexistrar todo. A necesidade concreta depende do proceso, o risco, o marco aplicable e a finalidade do rexistro.

Máis logs non significa máis dilixencia

Un sistema pode rexistrar miles de eventos técnicos e non conservar a información que permite reconstruír unha comprobación material. Tamén pode almacenar conversas enteiras cando bastaba cunha referencia verificada, un resultado de control e unha aprobación. O deseño responsable busca proporcionalidade: suficiente para reconstruír e revisar, pero sen unha acumulación indiscriminada de información sensible.

Un exemplo que calquera pode entender

Se un profesional utiliza IA para preparar unha resposta con referencias xurídicas, a pregunta non é se o sistema gardou cada token. A pregunta é se, chegado o caso, pode reconstruírse que referencias se consideraron, contra que fonte oficial se contrastaron e quen aprobou o resultado final.

A evidencia tamén ten custo e ciclo de vida

Rexistrar demasiado pode aumentar a exposición e a complexidade; rexistrar demasiado pouco impide demostrar que un control existía. Todo rexistro útil necesita finalidade, control de acceso e criterio de conservación: desprazar a conversa desde «temos logs» cara a «podemos explicar que control ocorreu antes de asinar».