What is the AI Evidence Chain™?

The AI Evidence Chain™ is RaaSify.AI's seven-stage framework for producing audit-ready evidence of AI governance. The stages are Business Intent, Data, Build, Validation, Deployment, Monitoring and Incident Response. It was created by Ma Cherie Cortez, PhD, and is a registered trademark (BOIP Reg. No. 1551399).

What is the difference between an AI audit trail and AI logging?

Logging records what happened inside a system. An audit trail also records the decisions people made around it: why the system was adopted, who approved it, how it was tested and what was done after an incident. Logs are one input to the Monitoring stage. They are not the whole trail.

Does a small business need an AI audit trail?

Yes, if AI influences decisions about people, such as hiring, lending or customer service, or if a customer, investor, partner or board member asks how you govern AI. Legal duties under the EU AI Act depend on the risk tier of each system and on whether you are its provider or deployer. A basic trail is still worth keeping for lower-risk tools, because it is what you show when someone asks.

How long should AI records be kept?

For high-risk systems under the EU AI Act, automatically generated logs must be kept for at least six months (Article 19 for providers, Article 26(6) for deployers). Providers must keep technical documentation for 10 years (Article 18). Other laws, contracts and sector rules can require longer. Logs often contain personal data, so the retention period also has to respect data protection law.

Do I need software to build an AI audit trail?

No. A spreadsheet and a shared folder are enough for a company with a handful of AI tools. Governance platforms earn their cost when you have many systems, several teams, or systems you build yourself. Decide after the inventory, when you know what you have.

Do I need a consultant to build an AI audit trail?

Not always. If you use a handful of low-risk AI tools and someone inside the company has time to own the work, you can start on your own. Outside help is worth it when AI influences decisions about people, when a customer, auditor or regulator has asked for evidence, when you face a deadline, or when nobody in-house can judge what counts as sufficient evidence. A fixed-scope assessment is usually enough to find out which case you are in.

Should I map to the EU AI Act, ISO/IEC 42001 or the NIST AI RMF?

They do different jobs. The EU AI Act is law for organizations that provide or use AI systems in the EU. ISO/IEC 42001 is a certifiable management system standard. The NIST AI RMF is a voluntary framework from the US National Institute of Standards and Technology. The AI Evidence Chain™ maps to all three, so one set of evidence can serve whichever applies to you.

When do the EU AI Act high-risk obligations apply?

Stand-alone high-risk systems listed in Annex III must comply by 2 December 2027. High-risk AI embedded in regulated products under Annex I must comply by 2 August 2028. Both dates were moved by the Digital Omnibus on AI in 2026. The delay does not cover prohibited practices, general-purpose AI model obligations or the general transparency rules.

AI Governance

Como construir um registro de auditoria de IA: a cadeia de evidências de IA em 7 etapas™

Meu querido Cortez
06 de outubro de 2026

Como construir uma trilha de auditoria de IA | Cadeia de Evidências de IA™

Como construir um registro de auditoria de IA: a cadeia de evidências de IA em 7 etapas™ para pequenas empresas

Uma política de IA define o que deve acontecer. Um registro de auditoria comprova o que aconteceu.

Resposta curta: Um registro de auditoria de IA é o conjunto de registros que permite a alguém de fora da sua equipe reconstruir como um sistema de IA foi aprovado, quais dados ele utiliza, como foi testado, quem o colocou em uso e como ele se comportou desde então. A Cadeia de Evidências de IA™ é a estrutura de sete etapas da RaaSify.AI para construir esse registro: Intenção de Negócio, Dados, Construção, Validação, Implantação, Monitoramento e Resposta a Incidentes.

A maioria das orientações sobre trilhas de auditoria de IA é voltada para empresas com uma equipe de plataforma. Elas abordam armazenamentos de logs imutáveis, hashes criptográficos e IDs de correlação. Isso é útil para quem desenvolve produtos de IA, mas não se aplica a uma empresa de 40 pessoas que utiliza o Microsoft Copilot, o ChatGPT e os recursos de IA em seus softwares de RH e CRM.

Este guia destina-se a essa empresa. Ele aborda o que um auditor, regulador ou cliente irá solicitar, as sete etapas que serão testadas, onde os registros de auditoria geralmente falham e como verificar se o seu resistiria a questionamentos.

O que é um registro de auditoria de IA?

Um registro de auditoria de IA é uma evidência documentada, mantida ao longo de toda a vida útil de um sistema de IA, que responde a cinco perguntas:

O que o sistema faz e por que o utilizamos?
Que dados são inseridos e temos permissão para usá-los?
Como foi configurado e testado antes de as pessoas começarem a utilizá-lo?
Quem aprovou e quem é responsável por verificar os resultados?
O que aconteceu depois, inclusive quando as coisas deram errado?

Um registro de auditoria é mais abrangente do que um log. Um log registra eventos dentro do sistema. Um registro de auditoria também registra as decisões humanas relacionadas a ele: a aprovação, a assinatura do teste, a revisão mensal, o acompanhamento de incidentes.

Uma empresa pode ter registros completos e ainda assim não ter nenhuma trilha de auditoria, porque ninguém consegue comprovar quem decidiu que o sistema era adequado para uso.

Por que uma política de IA não é suficiente?

Uma política é uma declaração de intenções. Órgãos reguladores, auditores e clientes verificam se há evidências de que a política foi seguida.

A pergunta geralmente é feita assim: "Mostre-me como esse sistema de IA toma decisões e prove que você está monitorando-o." Um documento de política não pode responder a essa pergunta. Uma aprovação datada, um registro de teste e três meses de anotações de revisão, sim.

Três grupos fazem essa pergunta:

Reguladores. A Lei da UE sobre IA exige documentação técnica, manutenção de registros, supervisão humana e monitoramento para sistemas de IA de alto risco. Para sistemas autônomos de alto risco, essas obrigações se aplicam a partir de 2 de dezembro de 2027, após a Lei Digital Omnibus sobre IA ter alterado a data de 2 de agosto de 2026.
Auditores. A ISO/IEC 42001 é uma norma de sistema de gestão. A certificação baseia-se em informações documentadas, auditoria interna e análise crítica pela gestão, e não apenas na política em si.
Clientes. Clientes e parceiros maiores estão começando a perguntar como você governa a IA antes de fecharem negócio. Uma resposta convincente precisa de algo para mostrar.

Esse tempo extra não é uma pausa. É a oportunidade para reunir as provas antes que alguém as solicite.

O que é a Cadeia de Evidências de IA™?

A AI Evidence Chain™ é uma estrutura de governança de IA em sete etapas, criada por Ma Cherie Cortez, PhD, fundadora da RaaSify.AI. Ela cria um registro rastreável ao longo do ciclo de vida de um sistema de IA, permitindo que cada decisão apoiada por IA seja justificada perante um órgão regulador, um auditor ou um conselho.

É chamada de cadeia porque cada etapa depende da anterior. Um relatório de monitoramento pouco vale se ninguém puder demonstrar o que o sistema foi aprovado para fazer. Um elo perdido interrompe toda a cadeia.

As sete etapas são:

Intenção comercial. Por que cada sistema de IA existe, para que serve, quem o possui e quem o aprovou. Isso abrange todos os sistemas em uso, incluindo a IA paralela e os recursos de IA presentes em softwares pelos quais você já paga.
Dados. Quais dados alimentam cada sistema, de onde vieram (sua proveniência) e se esse uso é legal e apropriado.
Construir. Como o sistema foi construído ou configurado, e o registro dessa configuração.
Validação. Como o sistema foi testado quanto à precisão, imparcialidade e segurança antes de entrar em operação, com resultados que você pode apresentar.
Implantação. Quem aprovou a entrada em operação, sob quais condições e quais mecanismos de proteção e supervisão humana foram implementados?
Monitoramento. Como o comportamento no mundo real é monitorado após o lançamento e quem o revisa.
Resposta a incidentes. O que acontece quando o sistema causa um problema: quem age, quem é informado e o que é registrado.

A maioria das organizações consegue descrever algumas dessas etapas em uma conversa. Pouquíssimas conseguem apresentar evidências para todas as sete. Essa lacuna entre o conhecimento sobre governança e a capacidade de comprová-la é o que uma trilha de auditoria preenche.

Onde costumam ocorrer interrupções nos registros de auditoria de IA?

Cada etapa responde a uma pergunta que um auditor, regulador ou cliente pode fazer. A tabela mostra a pergunta e como uma lacuna normalmente se apresenta em uma pequena empresa.

A AI Evidence Chain™ mapeia cada etapa aos artigos relevantes da Lei de IA da UE, às cláusulas da ISO/IEC 42001 e às funções da Estrutura de Gestão de Riscos de IA do NIST, de modo que um único conjunto de evidências atenda a todos os três requisitos. Esse mapeamento cláusula por cláusula, aplicado aos seus próprios sistemas, é o que a Auditoria AI Evidence Chain™ oferece.

Como criar um registro de auditoria de IA?

Você constrói um histórico de auditoria de IA um sistema de cada vez, produzindo evidências para cada uma das sete etapas em ordem. Em resumo:

Escolha um sistema. Comece pelo sistema de IA que mais afeta seus clientes ou funcionários.
Registre a intenção comercial. Por que o sistema existe, quem o detém e quem o aprovou.
Rastreie os dados. O que contém, de onde vem e se pode ser usado.
Documente a construção. Como o sistema está configurado e o que mudou desde o lançamento.
Guarde o comprovante de validação. Como foi testado antes de as pessoas confiarem nele.
Registre a decisão de implantação. Quem aprovou a entrada em operação, sob quais condições e quem supervisiona o resultado?
Monitorar e responder. Analise o comportamento do sistema em um ritmo fixo e registre o que acontece quando algo dá errado.

Em seguida, repita o processo para o próximo sistema. O que é considerado evidência suficiente em cada etapa depende do nível de risco do sistema e das regras aplicáveis ao seu caso. É aí que reside a maior parte do julgamento.

Uma pequena empresa pode criar um registro de auditoria de IA sem uma equipe de conformidade?

Sim. Uma pequena empresa não precisa de um departamento de compliance ou de uma plataforma de registro de logs para começar. Ela precisa de três coisas: um responsável nomeado para cada sistema de IA, um local centralizado para os registros e uma revisão mensal que realmente aconteça. Esses KPIs de governança de IA fornecem dados mensuráveis para essa revisão.

Antes de construir qualquer coisa, descubra qual é a sua situação atual. Escolha o sistema de IA que mais impacta seus clientes ou funcionários e responda a sete perguntas, uma para cada etapa:

Você pode dizer quem aprovou e por que a empresa o utiliza?
Você sabe quais dados são inseridos nisso e se você tem permissão para usar esses dados dessa forma?
Poderia mostrar como está configurado atualmente e o que mudou desde o lançamento?
Existe algum registro de como foi testado antes de as pessoas começarem a utilizá-lo?
Existe uma pessoa designada como responsável por verificar os resultados?
Alguém analisou o comportamento do sistema nos últimos três meses?
Se isso causar algum problema amanhã, todos saberão o que fazer e onde o incidente será registrado?

Cada "não" representa um elo quebrado na corrente. A maioria das empresas encontra vários. Muitas também descobrem mais IA do que esperavam: as organizações normalmente descobrem de 30 a 40% mais sistemas de IA do que imaginavam ter, após a realização de um inventário adequado.

Como você sabe se seu registro de auditoria de IA funciona?

Execute o teste de seis meses. Escolha uma decisão apoiada por IA de seis meses atrás e tente reconstruí-la apenas a partir dos registros, sem perguntar a ninguém o que se lembram.

Você deve ser capaz de mostrar qual sistema foi usado, como estava configurado na época, quais dados continha, quem o aprovou para esse uso, quem revisou a saída e se algo deu errado posteriormente. Cada pergunta que você não consegue responder a partir de um registro é um elo quebrado.

Cinco erros que destroem a maioria dos caminhos:

Comprar uma ferramenta antes de fazer o inventário. Uma plataforma de registro de logs não pode registrar sistemas que ninguém conhece.
Guardando provas nas caixas de entrada e nas mentes. Se a aprovação estiver armazenada no e-mail de uma pessoa, ela será removida quando essa pessoa sair.
Salvando apenas os testes que foram aprovados. Os testes que falharam e as correções que se seguiram são a prova mais forte de que a validação foi real.
Tratar a IA do fornecedor como um problema do fornecedor. Nos termos da Lei de IA da UE, uma empresa que utiliza um sistema de alto risco tem as suas próprias obrigações enquanto implementadora, incluindo a supervisão humana, a monitorização e a manutenção de registos.
Fazendo isso uma vez. Um rastro que termina no dia do lançamento comprova que o sistema estava sendo controlado no dia do lançamento.

Perguntas frequentes

O que é a Cadeia de Evidências de IA™?

A AI Evidence Chain™ é a estrutura de sete etapas da RaaSify.AI para produzir evidências de governança de IA prontas para auditoria. As etapas são: Intenção de Negócio, Dados, Construção, Validação, Implantação, Monitoramento e Resposta a Incidentes. Foi criada por Ma Cherie Cortez, PhD, e é uma marca registrada (BOIP Reg. No. 1551399).

Qual a diferença entre um registro de auditoria de IA e um registro de IA?

O registro de eventos documenta o que aconteceu dentro de um sistema. Uma trilha de auditoria também registra as decisões tomadas em relação a ele: por que o sistema foi adotado, quem o aprovou, como foi testado e o que foi feito após um incidente. Os registros de eventos são apenas uma entrada para a etapa de monitoramento. Eles não representam toda a trilha de auditoria.

Uma pequena empresa precisa de um registro de auditoria de IA?

Sim, se a IA influenciar decisões sobre pessoas, como contratação, empréstimos ou atendimento ao cliente, ou se um cliente, investidor, parceiro ou membro do conselho perguntar como você governa a IA. As obrigações legais sob a Lei de IA da UE dependem do nível de risco de cada sistema e se você é o provedor ou o implementador. Um registro básico ainda é válido para ferramentas de baixo risco, pois é o que você apresenta quando alguém pergunta.

Por quanto tempo os registros de IA devem ser mantidos?

Para sistemas de alto risco, conforme definido na Lei de IA da UE, os registros gerados automaticamente devem ser mantidos por pelo menos seis meses (Artigo 19 para provedores, Artigo 26(6) para implementadores). Os provedores devem manter a documentação técnica por 10 anos (Artigo 18). Outras leis, contratos e normas setoriais podem exigir um período mais longo. Os registros geralmente contêm dados pessoais, portanto, o período de retenção também deve respeitar a legislação de proteção de dados.

Preciso de algum software para criar um registro de auditoria de IA?

Não. Uma planilha e uma pasta compartilhada são suficientes para uma empresa com algumas ferramentas de IA. Plataformas de governança justificam o investimento quando você tem muitos sistemas, várias equipes ou sistemas desenvolvidos internamente. Decida isso após o inventário, quando souber o que você tem.

Preciso de um consultor para criar um registro de auditoria de IA?

Nem sempre. Se você usar algumas ferramentas de IA de baixo risco e alguém na empresa tiver tempo para se responsabilizar pelo trabalho, você pode começar sozinho. A ajuda externa vale a pena quando a IA influencia decisões sobre pessoas, quando um cliente, auditor ou órgão regulador solicita evidências, quando você tem um prazo a cumprir ou quando ninguém na empresa consegue avaliar o que constitui evidência suficiente. Uma avaliação de escopo definido geralmente basta para determinar em qual caso você se encontra.

Devo seguir a Lei de IA da UE, a norma ISO/IEC 42001 ou o RMF de IA do NIST?

Elas desempenham funções diferentes. A Lei de IA da UE é uma legislação para organizações que fornecem ou utilizam sistemas de IA na UE. A ISO/IEC 42001 é uma norma de sistema de gestão certificável. O NIST AI RMF é uma estrutura voluntária do Instituto Nacional de Padrões e Tecnologia dos EUA. A Cadeia de Evidências de IA™ abrange todas as três, portanto, um único conjunto de evidências pode servir para qualquer uma que se aplique ao seu caso.

Quando se aplicam as obrigações de alto risco da Lei de IA da UE?

Os sistemas autônomos de alto risco listados no Anexo III devem estar em conformidade até 2 de dezembro de 2027. A IA de alto risco incorporada em produtos regulamentados pelo Anexo I deve estar em conformidade até 2 de agosto de 2028. Ambas as datas foram prorrogadas pela Lei Digital Omnibus sobre IA em 2026. O adiamento não abrange práticas proibidas, obrigações de modelos de IA de uso geral ou as regras gerais de transparência.

Por onde você deve começar?

Comece com a autoavaliação de sete perguntas e o teste de seis meses em um sistema. Se forem identificadas lacunas, ou se preferir que as lacunas sejam encontradas para você, é exatamente isso que a Auditoria de Cadeia de Evidências por IA™ faz.

Trata-se de uma avaliação de escopo fixo, com duração de 4 semanas, dos seus sistemas de IA, abrangendo todas as sete etapas, mapeadas de acordo com a Lei de IA da UE, a norma ISO/IEC 42001 e o NIST AI RMF. Você receberá um inventário completo de IA, um relatório de lacunas etapa por etapa e um roteiro de remediação priorizado. Não há obrigação de continuar após esse período.

Se você já sabe que a trilha precisa ser construída dentro de um prazo, então... O Sprint de Governança de 90 Dias cria isso. Se existe e precisa ser mantido ativo mensalmente, isso é Governança de IA como Serviço.

Agende sua chamada de avaliação da Auditoria AI Evidence Chain™

Sobre o autor

Ma Cherie Cortez, PhD, é a fundadora da RaaSify.AI e criadora da AI Evidence Chain™. Ela possui 27 anos de experiência em liderança global de TI, incluindo trabalho de governança de IA corporativa com empresas como Philips, AB InBev, DLL e Lloyds Banking Group. Atualmente, ela aplica essa experiência a pequenas e médias empresas que se preparam para a Lei de IA da UE e para a norma ISO/IEC 42001. A RaaSify.AI é uma parceira de treinamento certificada pela EXIN.

AI Evidence Chain™ é uma marca registrada de Ma Cherie Cortez, PhD. Registro BOIP nº 1551399, registrado em 25 de agosto de 2026.

Fontes