Artigo 12.º: conservação de registos na IA policial
Como a conservação de registos do artigo 12.º da EU AI Act se aplica à IA policial — auditoria admissível em tribunal, cadeia de custódia e normas probatórias.
O artigo 12.º da EU AI Act exige que os sistemas de IA de alto risco registem automaticamente os eventos relevantes para identificar riscos e assegurar a rastreabilidade. A IA policial — classificada como de alto risco ao abrigo do Anexo III, secções 6 a 8, quando utilizada para a avaliação de riscos de pessoas singulares, ferramentas do tipo polígrafo, avaliação da fiabilidade das provas ou análise criminal — deve manter trilhos de auditoria admissíveis em tribunal, capazes de resistir ao escrutínio jurídico, estabelecer a cadeia de custódia das provas digitais e apoiar as auditorias de organismos de supervisão independentes.
O registo da IA policial acarreta as implicações jurídicas mais elevadas de qualquer setor: estes registos podem determinar se as provas são admissíveis num processo penal, se os direitos de um suspeito foram respeitados e se as decisões assistidas por IA podem resistir à revisão judicial. Ao contrário de outros setores, os registos da IA policial não são de acesso público, mas devem ser auditáveis por organismos de supervisão independentes e autoridades de proteção de dados. Esta página explica as obrigações específicas de conservação de registos, as normas probatórias e as violações ao nível do código que a Scanara deteta.
O que deve ser registado nos sistemas de IA policial?
Resultados das decisões da IA e respetiva fundamentação
Cada avaliação de risco, avaliação de provas ou resultado preditivo gerado pela IA deve ser registado com: data e hora, versão do modelo, o resultado da decisão, a pontuação de confiança e os principais fatores que determinaram o resultado. Estes registos devem ser suficientemente detalhados para explicar o papel da IA em qualquer ação policial subsequente.
Referências e proveniência dos dados de entrada
Registe as referências a todos os dados de entrada utilizados em cada decisão: consultas a bases de dados, fontes de informações, fontes de dados de sensores e qualquer pré-processamento aplicado. A cadeia de custódia começa na ingestão dos dados — o registo deve estabelecer de onde vieram os dados e como foram transformados antes de chegarem ao sistema de IA.
Registos das decisões e ações dos agentes
Registe qual o agente que analisou o resultado da IA, que ação tomou (investigar, encaminhar, arquivar) e se se afastou da recomendação da IA. O artigo 14.º exige uma supervisão humana efetiva — os registos devem demonstrar que os agentes tomaram decisões independentes em vez de seguirem cegamente os resultados da IA.
Consultas a bases de dados de referência e listas de vigilância
O artigo 12.º(1) exige o registo da base de dados de referência com a qual os dados de entrada foram verificados. Para a atividade policial, registe cada consulta à base de dados: quais as bases de dados pesquisadas, os parâmetros da consulta, os resultados devolvidos e a versão da base de dados. As consultas a listas de vigilância são particularmente sensíveis e exigem um registo reforçado.
Registos de acesso ao sistema e de consultas
Registe cada utilizador que acedeu ao sistema de IA, quais as consultas que executou e quais os resultados que recebeu. O registo de acessos é essencial para detetar utilizações indevidas (vigilância não autorizada, pesquisas exploratórias) e para responder a pedidos de acesso à informação e transparência sobre os padrões de utilização do sistema.
Metadados da cadeia de custódia
Para os resultados da IA que possam vir a constituir prova num processo penal, registe os metadados da cadeia de custódia: quem gerou o resultado, quando, como foi armazenado, quem lhe acedeu posteriormente e se o resultado foi modificado. Para a admissibilidade das provas, é necessária uma cadeia ininterrupta desde o sistema de IA até ao tribunal.
Principais obrigações de conservação de registos para a atividade policial
O registo da IA policial deve cumprir as normas probatórias mais exigentes de qualquer setor. Os registos não são apenas documentação de conformidade — são potenciais provas em processos penais e revisões judiciais de ações policiais. A arquitetura de registo deve ser concebida tendo a admissibilidade em tribunal como requisito primordial.
Trilhos de auditoria admissíveis em tribunal
Os registos de decisões da IA utilizados em processos penais devem cumprir as normas de admissibilidade das provas: armazenamento inviolável (hashing criptográfico ou suportes de escrita única), marcas temporais precisas a partir de relógios sincronizados, cadeia de custódia ininterrupta desde a geração até à apresentação em tribunal e contexto técnico suficiente para o depoimento de peritos.
Não público mas auditável
Os registos da IA policial não são de acesso público — mas o artigo 26.º(5) exige que estejam disponíveis para auditoria pela autoridade de fiscalização do mercado. Os organismos de supervisão independentes, as autoridades de proteção de dados e os tribunais devem poder aceder aos registos de decisões da IA e examiná-los. Conceba os controlos de acesso para uma auditabilidade por níveis, em vez de uma transparência pública.
Pedidos de acesso à informação e transparência
As leis sobre registos públicos podem exigir a divulgação de estatísticas agregadas de utilização dos sistemas de IA, sob reserva de isenções policiais para investigações em curso. Os registos devem ser estruturados de forma a apoiar a geração de relatórios agregados (número de consultas, distribuição das decisões, padrões demográficos) sem expor os detalhes de casos individuais.
Conservação: prazos dos processos penais
A AI Act exige um mínimo de 6 meses. Os registos policiais devem normalmente ser conservados durante toda a duração da investigação, do processo penal e do período de recurso conexos. No caso de crimes graves, isto pode prolongar-se por décadas. As políticas de conservação devem ter em conta a possibilidade de os registos de decisões da IA se tornarem provas relevantes anos após a decisão original.
Sobreposições regulamentares
A conservação de registos da IA policial rege-se por um quadro regulamentar distinto que inclui a Diretiva relativa à proteção de dados em matéria penal (que substitui o GDPR no tratamento policial), os códigos nacionais de processo penal e os requisitos de cooperação internacional. A conformidade com o artigo 12.º deve ter em conta estas obrigações setoriais.
Diretiva relativa à proteção de dados em matéria penal (LED)
A Diretiva (UE) 2016/680 rege o tratamento de dados pessoais pelas autoridades policiais. A LED exige o registo da recolha, alteração, consulta, divulgação, combinação e apagamento de dados pessoais. Os registos dos sistemas de IA ao abrigo do artigo 12.º devem integrar-se com os requisitos de registo do artigo 25.º da LED, criando um trilho de auditoria unificado para as operações de tratamento de dados.
Códigos nacionais de processo penal
O código de processo penal de cada Estado-Membro da UE estabelece normas de admissibilidade das provas. Os registos de decisões da IA que possam ser utilizados em processos penais devem cumprir estas normas nacionais, que variam nos seus requisitos de autenticação, documentação da cadeia de custódia e apresentação por peritos.
Regime de proteção de dados da Europol
Para os sistemas de IA utilizados na cooperação policial transfronteiriça, o Regulamento Europol impõe requisitos específicos de tratamento de dados e de registo. Os registos de decisões da IA partilhados através dos canais da Europol devem cumprir as normas de qualidade dos dados e os requisitos de registo de acessos da Europol, além do artigo 12.º.
Regras de prova dos tribunais
As normas relativas às provas digitais variam entre os Estados-Membros da UE, mas geralmente exigem: autenticidade (o registo é o que afirma ser), integridade (o registo não foi alterado), fiabilidade (o sistema que o gerou é fidedigno) e pertinência (o registo diz respeito à questão em causa). A infraestrutura de registo dos sistemas de IA deve suportar os quatro elementos.
Violações comuns detetadas pela Scanara
Registo através de print() em vez de JSON estruturado
Código de decisão da IA policial que utiliza instruções print ou registo em texto não estruturado. Os trilhos de auditoria admissíveis em tribunal exigem registos estruturados e analisáveis por máquina, que possam ser consultados, verificados e apresentados como prova de forma fiável. O texto não estruturado não cumpre as normas de admissibilidade.
Versão do modelo em falta nos eventos de decisão
Pontos de extremidade de avaliação de risco ou de avaliação de provas da IA que registam resultados sem anotar a versão do modelo, a configuração ou a versão dos dados de treino. A defesa contestará as provas da IA se o estado exato do sistema no momento da decisão não puder ser estabelecido a partir dos registos.
Registos escritos em disco local sem conservação
Escrita dos registos de decisões da IA em armazenamento efémero sem uma conservação duradoura e inviolável. Os registos da IA policial podem ser necessários anos ou décadas após a decisão original para processos de recurso ou revisão de casos por resolver. O armazenamento efémero é fundamentalmente incompatível com os prazos da justiça penal.
Sem metadados da cadeia de custódia
Resultados da IA armazenados sem registo da cadeia de custódia: quem gerou o resultado, quem lhe acedeu, se foi modificado ou copiado e como foi transferido. Sem uma cadeia de custódia ininterrupta, as provas geradas pela IA podem ser declaradas inadmissíveis num processo penal.
Lista de verificação de conformidade com o artigo 12.º para a atividade policial
Registar cada decisão policial assistida por IA
Gere eventos de registo estruturados para cada avaliação de risco, avaliação de provas, resultado de análise criminal e consulta a bases de dados. Inclua a data e hora, a versão do modelo, as referências de entrada, o resultado e os fatores contribuintes.
Registar as decisões e ações dos agentes
Registe a identidade dos agentes que analisaram os resultados da IA, a sua decisão e se se afastaram da recomendação da IA. Demonstre uma supervisão humana efetiva em cada ação policial assistida por IA.
Manter uma cadeia de custódia admissível em tribunal
Utilize armazenamento inviolável com hashing criptográfico. Mantenha uma cadeia de custódia ininterrupta desde a geração do resultado da IA, passando pelo armazenamento, acesso e apresentação em tribunal. Registe todos os acessos aos registos de decisões da IA.
Integrar com o registo do artigo 25.º da LED
Assegure que os registos dos sistemas de IA cumprem os requisitos de registo da Diretiva relativa à proteção de dados em matéria penal para o tratamento de dados pessoais. Crie um trilho de auditoria unificado que abranja tanto o registo de decisões da IA como os registos de tratamento de dados da LED.
Permitir o acesso à supervisão independente
Conceba controlos de acesso por níveis que permitam às autoridades de fiscalização do mercado, às autoridades de proteção de dados e aos organismos de supervisão independentes auditar os registos de decisões da IA sem comprometer as investigações em curso.
Perguntas frequentes
Recursos relacionados
Artigo 12.º: conservação de registos
Requisitos completos do artigo 12.º em todos os setores.
IA policial — Centro setorial
Guia completo de conformidade com a EU AI Act para a IA policial.
Artigo 13.º: transparência para a atividade policial
Requisitos de transparência para os sistemas de IA policial.
Artigo 12.º: conservação de registos para a biometria
Registo de correspondências biométricas e trilhos de auditoria de listas de vigilância.
Como o Scanara ajuda
O Scanara automatiza a conformidade com o Regulamento de IA do código ao dossiê. Ligue os seus repos GitHub e obtenha relatórios de conformidade em minutos.