Um transcript não é um rasto de auditoria de IA

O sinal e os factos que mudam a decisão

A distinção operacional feita pela ISACA é simples: prompt e resposta mostram o resultado, não o caminho de controlo. Para auditar uma decisão sensível é preciso reconstruir quem pediu, que dados foram alcançados, que políticas estavam ativas e que versão executou.

A prova deve ligar identidade do solicitante, linhagem dos dados, estado dos controlos e integridade temporal. Versão do modelo, prompt, políticas e snapshot de dados precisam de identificadores imutáveis ou verificáveis.

O nível de detalhe deve ser proporcional ao impacto e respeitar minimização, retenção e segregação de acesso. Logs incompletos podem expor conteúdo sem provar autorização, criando simultaneamente risco de privacidade e falsa assurance.

Decisão, limites e condição de bloqueio

Defina o evento de auditoria antes do go-live e bloqueie usos sensíveis se os quatro pilares de prova não puderem ser recolhidos.

Logs incompletos podem expor conteúdo sem provar autorização, criando simultaneamente risco de privacidade e falsa assurance.

Execução e prova de conclusão

A execução deve começar por desenhar um esquema comum de evento para pedidos, retrieval, decisões, ferramentas e aprovações. Depois, assinar ou encadear registos e separar conteúdo sensível dos metadados de controlo. O fecho exige executar uma reconstrução cega de uma decisão real por uma equipa independente.

O teste passa apenas se a equipa reproduzir autoridade, dados usados, controlos, versão, resultado e exceções sem depender da memória do operador.

• desenhar um esquema comum de evento para pedidos, retrieval, decisões, ferramentas e aprovações.
• assinar ou encadear registos e separar conteúdo sensível dos metadados de controlo.
• executar uma reconstrução cega de uma decisão real por uma equipa independente.
• O teste passa apenas se a equipa reproduzir autoridade, dados usados, controlos, versão, resultado e exceções sem depender da memória do operador.