I. A Promessa Que a Política Faz Sem Dizer
Políticas de IA costumam afirmar que as decisões de alto risco passam por revisão humana. A frase tranquiliza o comitê que a aprova, o auditor que a lê e o cliente que a recebe em resposta a um questionário. Ela carrega, porém, uma promessa de capacidade que raramente se declara: para cumprir a revisão, alguém precisa ter tempo, e o tempo de uma pessoa tem limite.
Quanto tempo, de quantas pessoas, para quantas decisões, na hora mais carregada, com que folga para o dia em que o volume dobra? A frase da política não responde, e o Conselho que a aprova costuma não perguntar, porque a pergunta soa como detalhe operacional. Esta série sustenta o contrário: é a pergunta que separa a revisão que existe de fato da revisão que existe apenas no papel.
No capítulo Designing Organizations for an Information-Rich World (“Desenhando organizações para um mundo rico em informação”), publicado em obra organizada por Martin Greenberger (Johns Hopkins Press, p. 40-41), o economista Herbert Simon escreve que o que a informação consome é bastante óbvio: consome a atenção de seus receptores. Por isso, uma riqueza de informação cria uma pobreza de atenção.
O argumento é de organização, e não de psicologia individual: quem emite sinais em abundância precisa de um critério para alocar a atenção escassa de quem os recebe.
Uma fila de revisão de IA reúne as condições do argumento de Simon. O sistema produz saídas na velocidade da máquina, e uma pessoa as examina na velocidade humana. A capacidade de produzir cresce com a contratação de computação; a de examinar cresce com a contratação de pessoas, e só até onde cada uma sustenta a atenção, sobretudo nos minutos em que tudo chega junto.
A Série 8 perguntou quem assinou a linha que separa o que a organização delibera do que executa sem deliberar, e propôs que a ata trouxesse a evidência de fila. Esta série começa onde aquela termina: depois que a linha é assinada, parte das decisões segue para uma pessoa, e resta saber quanta atenção cabe nela e se alguém escreveu esse número.
Antes de propor qualquer caminho, procuramos o que existe. Entre as fontes públicas que localizamos até 16/10/2026, nenhum documento organizacional aprovado reúne o número de decisões que uma função de revisão examina com atenção em janelas de tempo declaradas, a base do cálculo, a reserva para o pico, a regra de excedente assinada por um cargo nomeado e a revisão periódica. Dizemos que não localizamos, e não que não existe, porque documentos internos não são públicos.
[Ponto de Inflexão Fiduciária]: Quando a política da organização promete revisão humana, existe algum documento aprovado que diga quantas decisões essa revisão consegue examinar com atenção na hora mais carregada do dia?
II. Milford Haven, 1994: Dois Operadores e Uma Janela Curta
Em 24/07/1994, uma explosão atingiu a refinaria da Texaco em Pembroke, perto de Milford Haven, no País de Gales. O órgão britânico de saúde e segurança no trabalho, o Health and Safety Executive, investigou o acidente e publicou o relatório em 1997. Desse relatório a série toma um único fato, sobre a sala de controle.
O relatório The explosion and fires at the Texaco Refinery, Milford Haven, 24 July 1994 (ISBN 0 7176 1413 1) registra que a explosão ocorreu às 13h23 e que, nos últimos 10,7 minutos antes dela, os dois operadores tiveram de reconhecer, confirmar e agir sobre 275 alarmes, apresentados à taxa de um a cada dois ou três segundos (pars. 101 e 102).
A instalação tinha cerca de 2.040 alarmes configurados (par. 103). Segundo o relatório, 87% dos alarmes eram de prioridade alta e 13% de baixa, apenas um era de emergência, e não havia uma filosofia para definir prioridades (par. 104). Quanto ao alarme de nível alto no tambor da tocha de queima, acionado às 12h56, não há evidência de que tenha sido visto (par. 105).
A recomendação nº 6 pede que os alarmes sejam limitados ao número que um operador consegue monitorar com eficácia e que a segurança da planta não dependa da resposta humana a um alarme do sistema de controle (par. 130). Ressalva do próprio relatório: a contagem exata não pôde ser feita, porque 4 dos 16 registros de alarmes perderam todos os dados, e o número de 275 vem do registro que sobreviveu (par. 102).
Três leituras são possíveis, e convém separá-las. A primeira é aritmética, e é nossa, não do HSE: pouco menos de onze minutos com 275 alarmes dão cerca de vinte e seis alarmes por minuto para a dupla, ou cerca de treze por operador. Se os mesmos 275 alarmes se espalhassem por seis horas de trabalho, seriam menos de um por minuto.
A segunda leitura é a do desenho. O relatório não trata a sobrecarga como falha de atenção de quem estava na sala: registra alarmes demais, quase todos de prioridade alta, sem filosofia para definir prioridades e sem controle sobre o seu número. A recomendação nº 6 desloca a pergunta, pois em vez de indagar por que as pessoas não deram conta, pede que se limite o que é posto diante delas.
A terceira leitura é a do limite do que se pode afirmar. A expressão “ninguém orçou a atenção” é leitura desta série, e não conclusão do HSE, que fala em alarmes, prioridades e limites. O relatório tampouco reduz o acidente à atenção, e não diz que os operadores ignoraram o alarme das doze horas e cinquenta e seis minutos: diz que não há evidência de que tenha sido visto.
A folha de orientação Better alarm handling (“Tratamento adequado de alarmes”), publicada pelo HSE em março de 2000, resume a causa em poucas palavras: alarmes demais e mal priorizados. O volume seguinte examina o que essa disciplina organizou desde então.
[Ponto de Inflexão Fiduciária]: Se a sala de controle de uma refinaria precisou de uma recomendação oficial para limitar os alarmes ao que dois operadores conseguem monitorar, qual documento cumpre esse papel para a fila de revisão da organização?
III. A Mesma Anatomia, Outra Máquina
Uma sala de controle e uma fila de revisão de IA têm a mesma anatomia: algo gera sinais, alguém os recebe, e quem gera controla a taxa de chegada. Na refinaria, era a própria instalação. Na fila de revisão, é o sistema de IA, e o limiar que decide quantas saídas seguem para uma pessoa é uma configuração que a organização escolhe.
A atenção humana, além disso, não se acumula nem se empresta. O que sobra de manhã não paga o que falta à tarde, e o que sobra no dia não paga o que falta nos minutos em que os itens chegam juntos. Por isso a gestão de alarmes mede a taxa média e também a de pico, em janelas curtas, e não só o total do dia.
Numa segunda-feira de fechamento do mês, a pessoa que revisa abre a fila no início do expediente. Há mais casos do que o dia comporta, a maior parte chega na primeira hora, e há uma meta de casos por hora no painel. Ela faz o que pessoas razoáveis fazem: examina com cuidado os casos que parecem difíceis e aprova com rapidez os que parecem rotineiros.
Nada nesse cenário é descuido de alguém. Falta o documento entre o comitê e a revisora, aquele que diria quantas decisões a revisão examina com atenção na hora de maior chegada e no dia inteiro. Sem ele, o tamanho real da revisão é decidido, minuto a minuto, por quem está diante da fila.
Um cuidado de leitura precisa acompanhar a analogia. Alarme não é decisão, e uma sala de controle não é um comitê de crédito. O alarme tem consequência e resposta definidas de antemão; o item de uma fila de IA, em geral, não. A analogia vale pela estrutura, e não pela medida: nenhum número de Milford Haven se transporta para uma fila de revisão de IA, e esta série não fará essa transposição. O que se transporta é a pergunta.
[Ponto de Inflexão Fiduciária]: Se a política promete revisão humana e a organização nunca declarou quanto cabe, quem responde pela diferença entre a promessa e a capacidade real da fila?
IV. Do Implícito ao Declarado: o Teto de Atenção
Chamamos de teto de atenção da supervisão humana o número máximo de decisões que uma função de revisão examina com atenção em uma janela de tempo declarada, depois de descontada a reserva para o pico. Por função de revisão entende-se o conjunto de pessoas, tempo e regras que examina as saídas de um sistema de IA antes, ou logo depois, de produzirem efeito. Daqui em diante, apenas “teto de atenção”.
Declaram-se duas janelas. A curta, com dez e sessenta minutos como ponto de partida, protege contra a rajada. O dia de trabalho de quem revisa protege contra o desgaste. As duas são necessárias, porque a conta pode fechar numa e falhar na outra, como o volume 04 mostra com números.
Para que o teto de atenção exista como ato de governança, quatro coisas precisam estar escritas:
- Quem revisa e por quanto tempo. As pessoas presentes em cada janela, e não só a média do dia, e as horas efetivas de revisão, já descontadas pausas e outras tarefas.
- Quanto cada decisão exige. Os minutos de atenção por tipo de decisão, valor que a própria organização declara.
- A maior concentração já vista e a reserva. O pico observado em cada janela curta e a parcela da capacidade que fica guardada para ele.
- O que acontece quando passa do teto. Quais itens passam à frente, quais esperam e quem assina essa ordem.
A quarta coisa importa mais do que parece. Numa fila única, em que tudo compete com tudo, o item mais relevante pode esperar atrás do menos relevante, e o critério que decide a ordem é decisão de governança, e não detalhe de configuração da ferramenta. Os volumes 05 e 06 tratam dele.
O teto de atenção não é meta de produtividade, que mede quantos casos a organização quer ver concluídos, nem avaliação de pessoas, nem número de mercado. É a declaração, com autor e data, de quanto a organização consegue examinar com atenção. Na Série 7, a Custódia do Supervisor nomeou o dever de preservar, medir e proteger a capacidade de quem supervisiona a IA; aqui se trata do medir.
Quem revisa não é o elo fraco do arranjo, e sim o elo que a organização esqueceu de dimensionar. Uma equipe que aprova rápido o que parece rotineiro responde, com racionalidade, a uma fila que ninguém calibrou, e a correção está no desenho e na ata.
☐ Sugere-se pedir à diretoria, função de revisão por função de revisão, o documento que declara quantas decisões são examinadas com atenção na hora mais carregada e no dia de trabalho, com autor e data.
☐ Recomenda-se que a política de revisão humana passe a citar o número declarado, e não apenas a existência da revisão.
☐ Orienta-se indicar o cargo que mantém o levantamento das funções de revisão e a data da próxima leitura pelo Conselho.
V. O Teste do Ácido
Se o regulador, um cliente ou um auditor perguntar amanhã quantas decisões a revisão humana dos sistemas de IA da organização examina com atenção na hora mais carregada do dia, a organização entregará um número aprovado, com autor e data, ou o Conselho vai descobrir que a política prometeu uma capacidade que ninguém declarou?
🏛️ Biblioteca: Metodologia Prática
Protocolo da Promessa Declarada
01. Passos para Conferir a Promessa
- Liste as funções de revisão humana de sistemas de IA em produção, uma por fila, e o cargo que responde por cada uma.
- Procure, em cada uma, o documento que declara quantas decisões são examinadas com atenção na janela curta e no dia de trabalho.
- Anote autor, data e aprovação de cada número encontrado. Número de apresentação de fornecedor ou de mensagem conta como resposta negativa até estar em documento aprovado.
- Registre as divergências entre política, contrato, procedimento e painel: cada uma já é um achado.
- Leve o resultado à ata, com a data em que a diretoria apresentará o teto de atenção de cada função.
02. Quadro da Promessa de Atenção
| Vetor | Indicador | Ação |
|---|---|---|
| Política de revisão humana | Cita o número de decisões examinadas com atenção, com autor e data | Incluir o número, ou registrar a ausência, na próxima revisão |
| Fila de revisão | Existe registro da maior chegada de itens em janela curta | Extrair do histórico a maior chegada em dez e em sessenta minutos |
| Ata do comitê | Há data para a diretoria apresentar o teto de atenção | Aprovar a frase para a ata e o cargo responsável |
03. Glossário
Teto de atenção da supervisão humana: termo proposto nesta série para o número máximo de decisões que uma função de revisão examina com atenção em uma janela de tempo declarada, depois de descontada a reserva para o pico.
Função de revisão: conjunto de pessoas, tempo e regras que examina as saídas de um sistema de IA antes, ou logo depois, de produzirem efeito.
Janela curta: intervalo de poucos minutos, como dez ou sessenta, em que se mede a concentração de itens que chegam a uma função de revisão.
Rajada: concentração de itens que chegam a uma função de revisão numa janela curta, em volume superior ao que ela examina com atenção nesse intervalo.
Reserva para o pico: parcela da capacidade de revisão deixada sem uso em condições normais, para absorver aumentos de volume, trocas de modelo e dias atípicos.
Evidência de fila: termo da Série 8 para as medidas mínimas, produzidas pela própria organização, de como as decisões se distribuem entre as faixas e do que acontece com as que vão para revisão.
Custódia do Supervisor: termo da Série 7 para o dever da organização de preservar, medir e proteger a capacidade de quem supervisiona a IA.