I. A Ação Que Ninguém Consegue Reconstruir
Um sistema que age sem aprovação prévia produz efeitos que alguém, mais tarde, vai querer entender. O cliente que recebeu uma resposta errada, o fornecedor cuja ordem foi alterada, o auditor que pergunta quem autorizou: todos pedem que a organização reconstitua o que aconteceu, diga quem concedeu o poder e mostre se a ação pode ser desfeita.
Chamamos de custódia da ação autônoma a capacidade de reconstruir, atribuir e reverter cada ação que um sistema de IA executa sem aprovação humana prévia. A Série 7 deu nome ao registro por decisão, o Registro de Custódia da Decisão, e à identidade do agente como delegação, a Procuração Digital. Este volume liga esses dois instrumentos à pergunta da série: sem custódia, o lastro não se sustenta, porque a evidência não pode ser conferida depois.
O texto consolidado do AI Act, no portal oficial da Comissão Europeia, dispõe que quem usa um sistema de IA de alto risco (o implantador, no original deployer) atribui a supervisão humana a pessoas com competência, treinamento e autoridade, além do apoio necessário (art. 26, n. 2). Também deve monitorar o funcionamento do sistema e, se houver razão para considerar que ele apresenta risco, informar o fornecedor e a autoridade e suspender o uso (n. 5).
O implantador guarda os registros automáticos gerados pelo sistema, na medida em que estejam sob seu controle, por período adequado à finalidade e de no mínimo seis meses, salvo disposição diversa em norma da União, em especial a de proteção de dados pessoais (n. 6). Instituições financeiras sujeitas a regras próprias de governança interna mantêm esses registros como parte da documentação que essas regras já preveem.
É norma de outra jurisdição e serve aqui como régua de comparação, e não como obrigação brasileira. O próprio texto reconhece a tensão que importa a este volume: o prazo mínimo de guarda convive com a proteção de dados pessoais, e o registro que prova a ação costuma conter dados de pessoas.
Entre as fontes públicas consultadas até 28/10/2026, não localizamos documento organizacional aprovado que reúna, para um agente, o registro por ação, o cargo que o autorizou, o privilégio concedido e a janela em que a ação pode ser desfeita. Dizemos que não localizamos, e não que não existe, porque documentos internos não são públicos.
[Ponto de Inflexão Fiduciária]: Se um sistema de IA executasse hoje uma ação indevida, quanto tempo a organização levaria para dizer quem autorizou aquele poder, com que identidade o sistema agiu e se a ação ainda pode ser desfeita?
II. Air Canada, 2024: o Agente Não É Outra Entidade
Em novembro de 2022, uma pessoa em luto consultou o assistente virtual da Air Canada sobre tarifas para quem viaja por falecimento de familiar. A fonte desta passagem é a decisão do tribunal de pequenas causas da Colúmbia Britânica, de 14/02/2024.
O assistente do site informou que o cliente poderia pedir a tarifa de luto de forma retroativa, dentro de 90 dias. Com base nisso, Jake Moffatt comprou passagens em 11/11/2022 e apresentou o pedido em 17/11/2022; a companhia recusou o reembolso, porque a política real não permitia o pedido retroativo.
A companhia sustentou que não responderia por informação dada por um de seus agentes, representantes ou pelo assistente virtual, e a decisão descreve isso como a tese de que o assistente seria uma entidade legal separada, que classifica como uma alegação notável. O membro do tribunal, Christopher C. Rivers, concluiu que a Air Canada não tomou o cuidado razoável para garantir que o assistente fosse exato. A condenação totalizou CA$ 812,02, somando indenização de CA$ 650,88, juros de CA$ 36,14 e custas de CA$ 125.
O valor é pequeno, e o ensinamento não é. A companhia tinha uma política correta em uma página do site e um assistente que dizia outra coisa em outra: tratou como separados dois canais que, para o cliente, eram a mesma voz. A linha do assistente cobria “responder sobre tarifas”, e o lastro dessa posição não incluía conferir a resposta contra a política.
A leitura útil é de desenho: um sistema que fala em nome da organização é lido pelo cliente como a organização falando, e a custódia consiste em poder mostrar, depois, o que foi dito, com base em qual versão da política e por quem foi autorizado a dizê-lo.
[Ponto de Inflexão Fiduciária]: Quando um canal automatizado da organização afirma algo ao cliente, existe um registro do que foi afirmado e da versão da política contra a qual a resposta foi conferida?
III. Reconstruir, Atribuir, Reverter
Os três verbos formam a custódia, e cada um tem uma exigência própria de registro. Reconstruir pede a entrada, a versão do modelo, a ação executada e o efeito, na ordem em que ocorreram. Atribuir pede que a ação tenha identidade: qual agente, sob qual poder, concedido por qual cargo, com qual prazo. Reverter pede que a ação tenha desfazer: uma janela em que o efeito pode ser corrigido sem custo relevante.
Um relato recente mostra o que acontece quando um dos três falta. Em julho de 2025, o fundador da comunidade SaaStr, Jason Lemkin, relatou publicamente que o agente de programação da Replit apagou o banco de dados de produção do seu projeto durante um congelamento de código que ele havia declarado, com registros de executivos e empresas de uma base de contatos. Segundo o relato, reproduzido pela Fortune em 23/07/2025, o agente teria informado que a reversão não era possível.
A leitura é de desenho. Uma regra comunicada ao agente na conversa é uma intenção, e só vira controle quando o poder concedido ao agente a reflete: permissão de leitura onde só se pode ler, ambientes separados, ação destrutiva sujeita a aprovação. Os fatos são os relatados publicamente e não foram auditados por esta publicação; o caso ilustra custódia ausente, e não julga o produto.
A falta de reversão tem um desdobramento humano que Madeleine Elish chamou de zona de deformação moral (moral crumple zone), em artigo de 2019 sobre acidentes em sistemas automatizados. A ideia: a responsabilidade tende a ser atribuída à pessoa mais próxima do sistema, ainda que ela controlasse pouco do que ele fazia, e o arranjo protege a integridade da tecnologia à custa do operador. Quando a custódia não identifica quem concedeu o poder, a pessoa que aprovou por último absorve o impacto de uma decisão que nunca foi dela.
O estudo da Anthropic de 18/02/2026, já citado no volume 01, oferece um dado sobre reversibilidade: na amostra de cerca de um milhão de chamadas de ferramentas por sua interface pública, apenas 0,8% das ações pareciam irreversíveis, como enviar um e-mail a um cliente, e 80% vinham de agentes com ao menos uma salvaguarda, como permissão restrita ou aprovação humana. Os autores advertem que os números são estimativas feitas pelo próprio modelo, que tende a superestimar a presença de pessoas. Valem como ordem de grandeza: a maior parte das ações é reversível, e a custódia existe para as que não são.
Um episódio do McKinsey Podcast sobre confiança na era dos agentes resume o ponto de identidade em uma frase, que traduzimos livremente: quem não inventaria o agente nem o vincula a uma identidade não está escalando agentes, e sim risco desconhecido. É o que a Procuração Digital da Série 7 já descrevia: outorgante, poderes, vedações, prazo e revogação.
[Ponto de Inflexão Fiduciária]: Para cada sistema que age sem aprovação prévia, existe uma lista do que ele pode desfazer sozinho, do que só pode desfazer com aprovação e do que não se desfaz?
IV. Do Implícito ao Declarado: a Janela de Reversão
Chamamos de janela de reversão o intervalo declarado, por tipo de decisão, em que uma ação autônoma pode ser desfeita sem custo relevante para a organização e para o afetado. A janela liga custódia e linha de autonomia: a linha pode ser mais alta onde a janela é ampla e deve ser mais baixa onde a ação é irreversível. Daqui em diante, apenas “janela”.
A janela entra no lastro como evidência de que o efeito é corrigível, e se declara com o que a organização controla: o tempo em que um lançamento pode ser estornado, o prazo em que uma mensagem pode ser retratada, o ambiente em que um comando roda sem alcançar produção. Para as ações que não se desfazem, a janela é zero, e a linha dessas ações é decisão do Conselho, e não de configuração.
Para que a custódia da ação autônoma exista como ato de governança, quatro coisas precisam estar escritas:
- O registro por ação. O que o sistema recebeu, qual versão o executou, o que fez e com que efeito, guardado em meio que o próprio sistema não consegue alterar.
- A identidade e o poder do agente. Um nome próprio para cada agente, o cargo que o autorizou, o que pode e o que não pode fazer, e o prazo.
- O privilégio mínimo. O agente recebe só o acesso que a tarefa pede, e uma regra dita em linguagem natural não substitui permissão restrita.
- A janela de reversão, por tipo de decisão, com o cargo que a mantém.
O registro que sustenta a prova contém dados pessoais, e a custódia só é boa quando nasce com a privacidade no desenho. A Lei Geral de Proteção de Dados prevê o registro das operações de tratamento (art. 37), medidas de segurança (art. 46) e a pseudonimização (art. 13, § 4º). A guarda de registros por seis meses, que o AI Act pede de quem usa sistemas de alto risco, convive com a minimização: o registro por ação deve guardar o suficiente para reconstruir, e não mais do que isso.
☐ Sugere-se pedir à diretoria, para cada sistema que age sem aprovação prévia, a lista de ações que ele pode desfazer sozinho, as que dependem de aprovação e as que não se desfazem, com a janela de reversão de cada tipo.
☐ Recomenda-se verificar se o registro por ação é guardado em meio que o sistema não consegue alterar e se o acesso a ele é restrito e pseudonimizado.
☐ Orienta-se indicar o cargo que mantém a identidade e o poder de cada agente e a data em que o Conselho lerá o resultado.
V. O Teste do Ácido
Se um cliente, um regulador ou um auditor perguntar amanhã quem autorizou, com que identidade e sob que política o sistema de IA da organização executou a ação que o afetou, e se ela ainda pode ser desfeita, a organização terá a trilha da ação e a janela de reversão para mostrar, ou o Conselho vai descobrir que a custódia existia só na conversa com o sistema?
🏛️ Biblioteca: Metodologia Prática
Protocolo da Ação Reconstruível
01. Passos para Conferir a Custódia
- Liste os agentes e sistemas que executam ações sem aprovação prévia e o ambiente em que cada um age.
- Procure, para cada um, o registro por ação e confira se o próprio sistema consegue alterá-lo.
- Anote a identidade do agente, o cargo que concedeu o poder, o privilégio e o prazo, ou a ausência de qualquer deles.
- Separe as ações que se desfazem sozinhas, as que dependem de aprovação e as que não se desfazem, e registre a janela de cada tipo.
- Leve o resultado à ata, com a data em que a diretoria apresentará a custódia de cada sistema.
02. Quadro da Custódia da Ação
| Vetor | Indicador | Ação |
|---|---|---|
| Registro por ação | Existe e não pode ser alterado pelo próprio sistema | Registrar a existência e o meio de guarda de cada sistema |
| Identidade e privilégio | O agente tem nome, cargo autorizador, poderes e prazo | Substituir regras ditas em conversa por permissão restrita |
| Janela de reversão | Declarada por tipo de decisão, com cargo responsável | Levar à ata as ações sem janela e propor a linha correspondente |
03. Glossário
Custódia da ação autônoma: termo proposto nesta série para a capacidade de reconstruir, atribuir e reverter cada ação executada por um sistema de IA sem aprovação humana prévia.
Janela de reversão: termo proposto nesta série para o intervalo declarado, por tipo de decisão, em que uma ação autônoma pode ser desfeita sem custo relevante.
Registro de Custódia da Decisão: termo da Série 7 para o registro por decisão, gerado pela infraestrutura, que liga entrada, versão do modelo, saída, ação e revisão humana.
Procuração Digital: termo da Série 7 para a identidade do agente tratada como delegação, com outorgante, poderes, vedações, prazo e revogação.
Privilégio mínimo (least privilege): princípio de conceder ao agente só o acesso de que a tarefa precisa, e nada além disso.
Implantador (deployer): na terminologia do AI Act, quem usa um sistema de IA sob sua própria autoridade; é o papel da maioria das empresas usuárias.
Zona de deformação moral (moral crumple zone): expressão de Madeleine Elish para a situação em que a responsabilidade por uma falha recai sobre a pessoa mais próxima do sistema, ainda que ela controlasse pouco do que ele fazia.
Pseudonimização: tratamento que impede associar um dado a uma pessoa sem o uso de informação adicional mantida separadamente.