Registo de decisões de IA: como documentar riscos, controlos e evidências

O que é um registo de decisões e para que serve

Um registo de decisões de IA é um histórico estruturado das decisões relevantes sobre a conceção, configuração, validação, implementação e alterações de um sistema. A sua utilidade não está em acumular documentos, mas em permitir reconstruir o que foi decidido, porquê, quem assumiu a decisão, que controlo foi posto em prática e que evidências sustentam a verificação desse controlo. Pode abranger decisões técnicas e organizacionais, desde a escolha de um limiar até à definição de quem revê as respostas do sistema.

Este registo ajuda a explicar o processo às equipas internas, a auditores ou a autoridades, mas, por si só, não constitui prova de conformidade. Também não substitui a documentação técnica, os registos operacionais, a avaliação de riscos nem as obrigações legais que possam aplicar-se a uma organização ou a um sistema específico. O guia da Agência Espanhola de Supervisão da Inteligência Artificial sobre registos aborda obrigações de conservação aplicáveis a determinados responsáveis por sistemas de alto risco; não se deve presumir que se aplicam automaticamente a qualquer ferramenta de IA.

Convém delimitar o âmbito desde o início. Indique a que sistema e versão se refere, que utilizações previstas abrange, quem mantém o registo e que tipos de decisões devem ser anotados. Uma alteração que não modifique o comportamento nem a utilização poderá ser documentada de forma resumida; uma modificação dos dados, dos limiares, da população utilizadora ou da supervisão humana poderá exigir uma avaliação mais completa. A decisão de registar e o nível de detalhe devem ser proporcionais ao impacto e ao contexto, sem serem apresentados como uma regra jurídica universal.

Campos práticos para documentar cada decisão

Não existe um conjunto de campos que possa ser considerado mínimo e suficiente para todos os sistemas, utilizações e obrigações. Como base operacional, uma entrada deve permitir identificar o sistema e a sua versão, a data, a pessoa responsável, a decisão tomada, o risco ou necessidade que a motivou, o controlo associado, as evidências disponíveis e o resultado da verificação. Acrescentar o estado, as limitações e uma data ou condição de revisão facilita a manutenção posterior.

Uma entrada clara distingue risco, controlo e evidências. O risco descreve um dano possível num contexto específico; o controlo é uma medida concreta destinada a preveni-lo, reduzi-lo ou detetá-lo; as evidências mostram o que foi verificado e com que resultado. Por exemplo, «erros de classificação» é demasiado vago se não forem identificados a população e a utilização. «Mantém-se a revisão humana para casos de baixa confiança» descreve uma medida, mas ainda é necessário especificar como se identifica um caso de baixa confiança e como se demonstra que a revisão ocorreu.

Registe referências estáveis aos artefactos, em vez de usar apenas nomes genéricos. Uma referência útil pode incluir um identificador, a versão, a data, a localização interna autorizada e a pessoa responsável pela custódia. Proteja os dados pessoais ou confidenciais com controlos de acesso adequados e evite copiar para o registo informações sensíveis que não sejam necessárias. Se uma evidência deixar de estar disponível, anote a ocorrência e a ação necessária para a recuperar ou repetir a verificação.

Relacionar riscos, controlos e testes

Construa uma cadeia rastreável: risco concreto, objetivo de mitigação, controlo implementado, método de verificação e resultado. Cada ligação deve poder ser acompanhada através de identificadores coerentes. Se um controlo mitigar vários riscos, registe cada relação; se um risco exigir várias medidas, documente cada controlo e as dependências entre eles. Assim, evita-se que uma lista de riscos fique desligada das atividades de engenharia ou das decisões operacionais.

As evidências devem corresponder à configuração e à utilização avaliadas. Um relatório de testes relativo a uma versão anterior pode servir de antecedente, mas não demonstra automaticamente a eficácia de uma alteração posterior. Indique o ambiente, os dados ou cenários utilizados, os critérios de aceitação, o resultado e as limitações. Quando um teste não abranger todas as condições reais, registe essa lacuna e indique a supervisão ou medida adicional aplicada.

Os testes quantitativos nem sempre são suficientes. Para uma medida organizacional — como a revisão humana — poderá ser pertinente conservar procedimentos em vigor, amostras de casos revistos, registos de escalamento e verificações de que o pessoal recebeu instruções. O nível de evidência depende do risco e da afirmação que se pretende sustentar. A auditoria algorítmica pode ajudar a estruturar a revisão das medidas de mitigação e dos controlos, mas uma recomendação geral não demonstra, por si só, que uma medida concreta tenha sido aplicada ou seja eficaz.

Processo de criação e manutenção

Comece por inventariar os sistemas e as versões e defina quem tem autoridade para aprovar decisões e quem mantém as evidências. Estabeleça convenções comuns para identificar riscos, controlos e artefactos. Cada entrada deve ter uma pessoa responsável; indicar apenas uma equipa genérica ou uma caixa de correio sem uma função atribuída dificulta o acompanhamento. Defina também quem pode aceder ao registo e como são geridas as alterações e correções.

Anote as decisões quando são tomadas ou quando as evidências são validadas, e não meses mais tarde, durante uma auditoria. Relacione cada alteração relevante com a versão afetada e conserve um histórico que permita perceber quando o registo foi atualizado. Ao rever uma entrada, verifique se o risco continua a ser pertinente, se o controlo permanece aplicado, se as evidências correspondem à versão atual e se as limitações ou ações pendentes continuam em aberto.

Não existe uma frequência de revisão única que possa ser recomendada como obrigação geral para todos os sistemas. Defina revisões periódicas proporcionais ao contexto e acrescente revisões desencadeadas por acontecimentos: nova versão, alteração dos dados ou do fornecedor, mudança da utilização prevista, incidentes, resultados de acompanhamento diferentes do esperado ou alterações regulamentares aplicáveis. Se não tiver havido alterações, registe a revisão e a respetiva conclusão, em vez de deixar que a ausência de uma anotação pareça uma omissão.

Critérios de auditabilidade e erros frequentes

Um registo auditável deve ser compreensível sem depender da memória de quem o criou. Cada entrada deve ser legível, datada, atribuível e ligada a artefactos acessíveis a quem tiver autorização. Completude não significa incluir tudo: significa que está presente a informação necessária para reconstruir a decisão, que as lacunas são assinaladas e que as afirmações não vão além do que as evidências permitem concluir.

Evite descrever controlos com verbos imprecisos, como «monitorizar» ou «melhorar», sem explicar quem os executa, quando e como é verificado o seu cumprimento. Evite também apresentar uma política, uma avaliação de impacto ou uma caixa de aprovação como prova de eficácia. Esses documentos podem ser pertinentes, mas demonstram coisas diferentes. O guia de auditoria de tratamentos com IA da Agência Espanhola de Proteção de Dados oferece contexto institucional para rever tratamentos, mas não transforma um modelo de registo numa garantia automática de conformidade.

Antes de uma auditoria, selecione algumas decisões e percorra-as nos dois sentidos: de cada risco até ao controlo e às evidências, e de cada teste até à decisão que o utiliza. Verifique se as ligações continuam disponíveis, se as versões coincidem, se os responsáveis estão identificados e se as exceções têm explicação. Se for detetada uma lacuna, registe-a como constatação, com responsável e acompanhamento; não a oculte substituindo retroativamente uma evidência incompleta.

Critérios práticos para começar

Comece com um modelo curto e teste-o numa decisão real antes de o transformar num formulário extenso. Se um campo não ajudar a identificar, explicar, verificar ou manter uma decisão, avalie se deve constar do registo ou de outro artefacto relacionado. A estrutura deve permitir percorrer a cadeia entre risco, medida e evidências sem duplicar desnecessariamente a documentação técnica ou os registos operacionais.

Ajuste a conservação, as permissões de acesso e o nível de detalhe às obrigações aplicáveis, ao tipo de dados e às necessidades de auditoria. Consulte a documentação regulamentar e as orientações institucionais em vigor para o caso concreto: as obrigações podem depender da função da organização, do tipo de sistema e da sua utilização. O registo ajuda a organizar e explicar as evidências; não substitui a análise jurídica nem demonstra, por si só, que o sistema está em conformidade.

Como critério final, considere uma entrada pronta quando outra pessoa autorizada conseguir reconstruir, com base no registo, o que foi decidido, que risco foi abordado, que controlo foi aplicado, que evidências foram analisadas, quais são as suas limitações e quando deve voltar a ser revista. Se faltar algum desses elementos, assinale a incerteza e atribua uma ação. Ser transparente quanto a uma lacuna documentada é mais útil do que afirmar eficácia sem suporte verificável.

Continue a explorar

Correções e transparência

Se encontrar informação incorreta ou desatualizada, envie-nos a página e a fonte que devemos rever.