O Regulamento da IA é um problema de conservação, e quase ninguém o trata como tal

A capacidade de registar não é um prazo de conservação

O art. 12.º exige que os sistemas de risco elevado permitam tecnicamente o registo automático de eventos durante todo o ciclo de vida do sistema. É um requisito de conceção: a capacidade tem de existir. Durante quanto tempo os registos são efetivamente conservados é outra pergunta, e responde-lhe o art. 19.º — um período adequado à finalidade prevista e, em qualquer caso, não inferior a seis meses.

Confundir as duas coisas produz o erro mais caro aqui disponível: conservar todos os registos durante toda a vida do sistema porque o art. 12.º menciona o ciclo de vida. É desproporcionado, não é exigido, e em sistemas que tratam dados pessoais é uma violação da limitação da conservação sobre o acervo mais volumoso que a organização possui.

Dois relógios no mesmo sistema

Os dez anos do prestador correm da colocação no mercado ou da colocação em serviço. Os dez anos do responsável pela implantação correm da retirada. Num sistema em serviço há oito anos são duas datas separadas por quase uma década, e uma organização que é simultaneamente prestador e responsável pela implantação — caso comum nos sistemas construídos internamente — está sujeita a ambas.

A obrigação do prestador é ainda cumulativa e não rotativa: um sistema atualizado todos os trimestres durante oito anos arrasta toda a sua história documental, porque a documentação tem de mostrar como era o sistema em cada momento, e não como é hoje.

• Os registos de um sistema de risco elevado contêm quase sempre dados pessoais das pessoas sobre as quais o sistema decidiu. Sobre o mesmo ficheiro incidem então dois regimes — o do Regulamento da IA e o do RGPD — e ambas as finalidades pertencem ao registo de atividades.
• O art. 73.º fixa três prazos de comunicação, não um: quinze dias em regra, dez em caso de morte, dois em caso de infração generalizada ou incidente grave na aceção do art. 3.º, ponto 49, alínea b). O prazo corre do momento em que se toma conhecimento, não do encerramento da investigação interna.
• Um modelo retreinado todos os meses não explica uma decisão do ano passado, salvo se a versão então em uso tiver sido conservada. Conservar o modelo — ou pelo menos os seus parâmetros e a sua descrição — torna-se assim um prazo próprio, e é o que ninguém escreve.
• A documentação mantém-se à disposição das autoridades nacionais competentes. É disponibilidade a pedido, não arquivo: uma cópia de segurança que ninguém consiga ler em prazo razoável não cumpre a obrigação.

O teste é o mesmo que funciona na contabilidade: na coluna da conservação está um número, ou está escrito que artefacto segue que norma? Se estiver um número, o registo descreve uma simplificação. Aqui a simplificação é mais recente do que as outras, o que significa que ainda ninguém tropeçou nela — não que seja segura.