O regulamento europeu fala em registro automático de eventos, logs guardados por pelo menos seis meses e literacia em IA. Vale para quem está no Brasil quando o resultado do sistema é usado na União. E o calendário mudou em julho de 2026. O que entra no log, o que não pode entrar e como provar que ninguém mexeu.
Publicado em 2026-10-07 por Rafael Hickmann, Fundador da Atlasberg. Leitura de 8 minutos.
O artigo 2º, parágrafo 1º, alínea c, do Regulamento (UE) 2024/1689 aplica o AI Act a prestadores e implementadores de sistemas de IA estabelecidos ou situados num país terceiro, quando o resultado produzido pelo sistema de IA for utilizado na União. Não importa onde o servidor está, nem onde a empresa está. Importa onde o resultado é usado.
Na prática, isso pega três perfis de empresa brasileira. O banco ou a fintech que atende clientes em Portugal e usa IA na esteira de crédito ou no atendimento. O SaaS com clientes europeus cujo produto tem um modelo embutido. E a subsidiária brasileira de um grupo europeu, que vai receber a exigência da matriz antes de receber a de qualquer regulador. Vale lembrar também que o projeto de lei brasileiro de IA em discussão no Congresso foi escrito olhando para o texto europeu, então os mesmos registros tendem a servir aqui.
Em 8 de julho de 2026 foi assinado o Regulamento (UE) 2026/1744, conhecido como Digital Omnibus on AI, publicado no Jornal Oficial em 24 de julho e em vigor desde o dia 27. Ele adiou as obrigações dos sistemas de risco elevado e reescreveu alguns artigos. Quem planejou a conformidade pelo calendário de 2024 precisa refazer a conta.
Adiamento não é dispensa. Uma trilha de auditoria só serve de prova se tiver histórico, e quem começar a montar a trilha em dezembro de 2027 vai chegar lá sem passado. O prazo novo é para a obrigação valer. O momento de ter os registros funcionando é agora.
O artigo 12, nº 1, diz que os sistemas de IA de risco elevado devem permitir tecnicamente o registo automático de eventos (logs) ao longo da vida útil do sistema. O nº 2 diz para que servem esses registros: identificar situações que possam representar risco ou configurar modificação substancial, facilitar o monitoramento pós-comercialização e permitir ao implementador monitorar o funcionamento do sistema. O nº 3 fixa um mínimo para os sistemas biométricos, que inclui o período de cada utilização, a base de dados de referência consultada e os dados de entrada.
Para quem usa, e não constrói, o artigo que importa é o 26, nº 6. Os implementadores de sistemas de risco elevado devem conservar os registos gerados automaticamente, na medida em que estejam sob o seu controlo, por um período adequado à finalidade e de, no mínimo, seis meses. O segundo parágrafo do mesmo número diz que as instituições financeiras sujeitas à legislação europeia de serviços financeiros guardam esses logs como parte da documentação exigida por essa legislação, o que no Brasil conversa diretamente com os cinco anos da Resolução CMN 4.893.
Completam o quadro o artigo 14, que exige supervisão humana efetiva, com alguém capaz de intervir, e o artigo 13, que obriga o prestador a dar ao implementador informação suficiente para operar o sistema e interpretar o resultado.
Essa é a parte que a maioria das discussões pula. Três coisas que parecem log não servem de prova.
O que a gente entende por trilha de auditoria é o contrário disso. Um evento por requisição, gerado automaticamente pelo gateway, com quem pediu, qual modelo, qual provedor, qual foi a decisão de política e um hash do conteúdo. Nunca o texto. Cada evento carrega o hash do anterior e a cadeia é assinada, com âncoras periódicas, de modo que alterar um evento quebra tudo o que vem depois. E existe um verificador independente que roda offline, para o auditor conferir sem precisar confiar em quem gerou.
O Omnibus reescreveu o artigo 4º. O texto de 2024 pedia um nível suficiente de literacia em IA do pessoal. O texto novo pede que prestadores e implementadores tomem medidas para apoiar o desenvolvimento da literacia em IA do seu pessoal, e diz expressamente que a obrigação não exige garantir um nível específico a nenhuma pessoa. Ficou mais leve, mas continua em vigor desde fevereiro de 2025, e continua pedindo evidência de que as medidas existem. Saber quem usa IA, com que frequência e para quê é o ponto de partida de qualquer programa desses, e é um dado que a trilha já tem.
O gateway não classifica o risco do seu sistema, não faz a avaliação de impacto sobre os direitos fundamentais do artigo 27 e não escreve a documentação técnica. Essas obrigações são da empresa, e a maioria delas depende de saber o que o sistema faz, não de como ele foi chamado. O que o gateway entrega é a camada de registro: a prova de que cada chamada aconteceu, quem fez, o que foi decidido e que ninguém alterou depois. Este artigo é a leitura de quem constrói a ferramenta, não parecer jurídico.
Para aprofundar: A documentação do grupo Conformidade mostra o painel por artigo. A página do protocolo Atlasberg lista o vocabulário completo dos eventos de auditoria, que é o que um auditor vai perguntar primeiro.
A Atlasberg constrói a camada de controle entre uma empresa e todos os modelos de IA. A Atlasberg Platform autentica cada requisição com uma chave virtual, filtra por política e DLP, roteia para o provedor certo e grava numa trilha de auditoria encadeada por hash, com uma API compatível com a OpenAI para as aplicações só trocarem a URL base.
Os artigos deste blog são escritos pelo time de engenharia e relatam medições em tráfego real, com as premissas impressas ao lado do resultado. Para falar com o time, escreva para [email protected] ou use https://atlasberg.com/pt-br/contato.
Agentes: esta página também está disponível em Markdown em /pt-br/blog/ai-act-registro-e-trilha-de-auditoria.md, ou pedindo esta URL com o cabeçalho Accept: text/markdown. Índice de tudo: /llms.txt.