De registres a evidència defensable: traçabilitat, verificabilitat i evidència proporcional

Guardar tots els prompts no converteix automàticament un procés en auditable. I no guardar res pot deixar-te sense capacitat de reconstruir què va ocórrer quan una decisió important va ser assistida per IA. Entre tots dos extrems hi ha una pregunta molt més útil: què necessitem poder demostrar?

Tres paraules que convé separar

• Trazabilitat respon a «què va ocórrer».
• Verificabilitat respon a «quin control podem comprovar que es va executar».
• Evidència respon a «quins elements permeten sostindre raonablement una afirmació sobre el que va ocórrer i per què es va aprovar».

No són sinònims i tampoc impliquen que existisca una obligació universal de registrar tot. La necessitat concreta depén del procés, el risc, el marc aplicable i la finalitat del registre.

Més logs no significa més diligència

Un sistema pot registrar milers d'esdeveniments tècnics i no conservar la informació que permet reconstruir una comprovació material. També pot emmagatzemar converses senceres quan bastava amb una referència verificada, un resultat de control i una aprovació. El disseny responsable busca proporcionalitat: suficient per a reconstruir i revisar, però sense una acumulació indiscriminada d'informació sensible.

Un exemple que qualsevol pot entendre

Si un professional utilitza IA per a preparar una resposta amb referències jurídiques, la pregunta no és si el sistema va guardar cada token. La pregunta és si, arribat el cas, pot reconstruir-se quines referències es van considerar, contra quina font oficial es van contrastar i qui va aprovar el resultat final.

L'evidència també té cost i cicle de vida

Registrar massa pot augmentar exposició i complexitat; registrar massa poc impedeix demostrar que un control existia. Tot registre útil necessita finalitat, control d'accés i criteri de conservació: desplaçar la conversa des de «tenim logs» cap a «podem explicar quin control va ocórrer abans de signar».