Seis meses depois, alguém vai perguntar por que o sistema decidiu aquilo

Uma trilha de auditoria completa registra sete elementos por decisão: a entrada recebida, a versão do modelo e da configuração, os documentos recuperados, a saída produzida, a ação executada, quem autorizou o escopo e o carimbo de tempo.

Desses, a versão é o elemento mais negligenciado e o mais fatal quando falta. O modelo de hoje responde diferente do modelo de seis meses atrás, e sem a versão registrada não há como saber qual dos dois decidiu. A reconstrução morre ali.

O contexto recuperado tem o mesmo peso. Se a decisão usou três documentos, a trilha precisa saber quais três, na versão em que estavam. Documento que foi editado depois da decisão explica o presente, não explica a decisão.

Log técnico serve para diagnosticar falha: latência, erro de chamada, fila travada. Ele foi feito para engenheiro ler, em linguagem de engenheiro, com retenção pensada para depuração.

Trilha de auditoria serve para responder à pergunta de um cliente, de um advogado ou de um regulador, e essa pergunta é de outra natureza: o que o sistema sabia, o que ele decidiu e por quê. O formato precisa ser legível por quem não opera o sistema.

Os prazos de retenção também diferem. Log de sistema costuma expirar em semanas; a decisão que ele registrou pode ser questionada anos depois. Empresa que confunde os dois descobre a diferença quando o log já expirou e a pergunta acabou de chegar.

Guardar tudo indefinidamente parece a solução segura e não é: conflita com o princípio da minimização e com a limitação do prazo de conservação que a LGPD impõe aos dados pessoais. A trilha precisa de política de retenção, não de acúmulo.

A saída é definir a retenção por categoria de decisão: quanto tempo cada registro fica disponível, com qual base legal, e o que é anonimizado ou eliminado ao expirar. Decisão de crédito e decisão de roteirização não pedem o mesmo prazo.

Os artigos 20, 37 e 46 da LGPD se conectam aqui: a revisão de decisão automatizada pressupõe que ela possa ser reconstruída, o relatório de impacto pressupõe registro, e as medidas de segurança pressupõem que o registro não vire ele mesmo uma superfície de exposição.

Existe um teste simples que dispensa auditoria formal: escolher uma decisão aleatória de três meses atrás e tentar reconstruí-la inteira — entrada, versão, contexto, saída, ação, autorização e tempo.

Se a equipe consegue em uma hora, a trilha existe. Se precisa de três dias, de um engenheiro e de boa vontade, a trilha não existe na prática, por mais que os registros estejam tecnicamente gravados em algum lugar.

Repetir o teste periodicamente transforma a reconstrução de exercício de resgate em rotina. O objetivo é que a pergunta do cliente, do advogado ou do regulador encontre uma empresa que já sabe como responder.