Escalada de Decisões: Protocolos Determinísticos

I. O terceiro elemento da supervisão

Supervisão é vigilância contínua. Limite é contenção técnica. Nenhum dos dois dispensa o terceiro elemento: escalação — o protocolo que interrompe a operação autônoma quando a situação o exige.

A diferença entre um sistema que pode errar e um que pode errar sem consequência detectável está na velocidade e na clareza dessa interrupção. Quando um modelo recomenda ação fora do escopo autorizado, quando a supervisão percebe desvio sistemático, ou quando a taxa de rejeição ultrapassa a referência, o sistema não deve seguir operando: deve parar e chamar alguém.

Escalação não é notificar alguém. É sequência determinística — gatilho, parada, notificação, espera, retomada autorizada — e a falha de qualquer elo é falha da escalação. Onde ela não existe, a supervisão é teórica.

[Ponto de Inflexão Fiduciária]: Se o seu sistema autônomo tomasse uma decisão errada agora, às três horas da manhã de um domingo, ele pararia sozinho ou continuaria até alguém abrir a caixa de entrada na segunda-feira?

II. O que a evidência sustenta, e onde ela termina

Protocolos e mercado:

In re RealPage, N.D. Cal.: ação do Departamento de Justiça dos EUA ajuizada em 23/08/2024; acordo judicial meramente inibitório proposto em 24/11/2025, sem pagamento e com monitor nomeado pela corte; acordo de classe com aprovação preliminar em 21/11/2025, com fundo agregado de US$ 359,9 milhões. Institute for International Finance, Global Financial Services, 2º trimestre/2026: 28,2% dos bancos declaram ter implementado ou estar em conformidade com diretrizes de governança de IA. Stanford HAI, índice de inteligência artificial responsável: incidentes documentados subiram de 233 (2024) para 362 (2025), e a transparência divulgada pelos fabricantes caiu de média 58 para 40.

Escalação automática preventiva. Detecta a violação de limite antes de a ação ser executada: o sistema interrompe a operação, notifica a supervisão e aguarda aprovação. Um motor de preço que recomenda queda de vinte e cinco por cento quando o teto autorizado é vinte deve parar, não publicar. Métrica esperada: zero ações executadas fora do escopo autorizado.

Escalação automática detectiva. A ação foi executada e o desvio aparece depois; o sistema interrompe o lote restante. Cinco rejeições consecutivas de atendimento sem humanização encerram a sessão de decisões. Métrica esperada: tempo entre detectar e remediar medido em produção e publicado internamente.

Escalação manual. Um humano aciona o botão de rejeição ou o comando de parada. É o único tipo que depende de alguém estar olhando. Métrica esperada: latência de resposta medida em produção, não em demonstração.

Escalação por magnitude. O impacto potencial define o roteamento: decisão de crédito acima do valor-limite da política vai para revisor humano, seja qual for a resposta do modelo. Métrica esperada: zero decisões acima da linha de magnitude sem trilha de revisão.

Escalação por frequência. Nenhum erro isolado é grave; a taxa é. Se cinco por cento das recomendações forem rejeitadas numa janela de uma hora, o sistema para. Métrica esperada: sensibilidade do gatilho documentada, com a compensação entre falso positivo e falso negativo escrita em algum lugar.

Há um critério comum a todos: disparado o gatilho, é o protocolo que decide, e não o operador. Só a escalação manual começa numa decisão humana, e mesmo nela quem define o passo seguinte é o protocolo — parar.

O caso RealPage, do jeito que a fonte conta

O software de precificação dinâmica da RealPage tornou-se o maior passivo civil recente do aluguel residencial americano. O Departamento de Justiça ajuizou a ação em 23 de agosto de 2024 e propôs, em 24 de novembro de 2025, um acordo meramente inibitório: fim do uso de dados não públicos de concorrentes em tempo de execução, fim do treinamento de modelo com locação ativa, monitor nomeado pela corte. Sem pagamento. O dinheiro estava em outro lugar — nos acordos com os locatários, que formaram fundo de classe de US$ 359,9 milhões.

Interessa ao Conselho que o custo tenha se materializado na via judicial, e não na regulatória: não houve multa de agência porque não houve caso conduzido por agência. E interessa que as duas vias discutiram outra coisa, o desenho da decisão, e não se o fornecedor tinha meio de parar. Um protocolo de escalação impecável não teria alterado o resultado, porque o erro não era desvio que ninguém detectou — era o funcionamento normal.

Dois números que o mercado deve e não entrega

Não existe levantamento público, com metodologia declarada, que diga que percentual das organizações tem protocolo de escalação documentado e testado. O dado do Institute for International Finance citado acima é adesão a diretrizes, e o de Stanford é registro de incidentes e queda de transparência divulgada: nenhum dos dois alcança capacidade testada de parar.

Tampouco existe norma, entre as públicas aplicáveis ao caso, que fixe tempo-limite numérico para interromper um sistema autônomo. A exigência europeia mais próxima é o artigo 14, parágrafo 4, do regime europeu de inteligência artificial, ao pedir que a supervisão humana tenha capacidade de interferir, interromper ou terminar a operação — sem segundos.

E a Resolução CFM nº 2.454, de 11 de fevereiro de 2026, exige a decisão final do médico, o registro do uso de inteligência artificial no prontuário, o juízo crítico e a classificação de risco: lidas as quinze páginas do texto oficial, não há prazo de parada.

Isso é o estado da evidência, e não uma lacuna que se preencha com estimativa. Sem levantamento publicado e sem norma que fixe segundos, o tempo-limite de parada deixa de ser exigência externa e passa a ser escolha de engenharia da própria organização — e é justamente por isso que ele precisa estar escrito, assinado em ata e medido em produção. Quem não adota um número conscientemente não fica sem número: fica com o número que a arquitetura improvisar.

[Ponto de Inflexão Fiduciária]: Se o Conselho fosse informado de que nenhum regulador fixa tempo-limite para parada de sistemas autônomos, a sua empresa pararia por convicção ou apenas quando for intimada?

III. Por que escalação falha mesmo quando existe

A falha mais comum não é a ausência do protocolo; é a confusão entre ter um protocolo e ter uma capacidade.

Controle sem política. Um botão de parada que ninguém autorizou a pressionar não é controle: é decoração. Para a escalação manual funcionar, alguém precisa saber que tem autoridade formal para interromper uma linha de receita, e o que acontece com o seu desempenho quando interrompe. Sem isso, o botão existe e a latência de uso é infinita — poder técnico de intervir sem autoridade para exercê-lo produz supervisão de fachada.

Gatilho sem janela. A escalação por frequência exige taxa computada sobre intervalo definido, porque sem intervalo não há taxa. Organizações que registram rejeições e publicam painéis acumulados desde o início do mês descobrem o problema quando o prejuízo já é grande demais para ser anomalia individual. O gatilho precisa dizer a janela, o denominador e o que conta como erro.

Retomada sem rito. Sistemas que param e religam sozinhos nunca pararam de verdade: fizeram pausa. A retomada sem aprovação explícita, registrada com nome e horário, converte a escalação em evento transitório e apaga o valor probatório do registro.

Considere o cenário hipotético de uma operadora de saúde suplementar que implantou, em 2025, um motor de autorização de guias com comando de parada na console da auditoria. O comando respondia em menos de dois segundos, era exibido em demonstração e constava no relatório de conformidade como supervisão humana implantada. Em março, uma nova versão do modelo elevou a taxa de negativa automática de guias oncológicos. A operação notou o padrão na quinta-feira, calculou que interromper custaria o nível de serviço do mês à sua gerência e esperou a explicação do fornecedor até segunda. Foram quatrocentos e doze guias negados em três dias úteis. O registro mostrava o comando funcionando — e nenhum documento nomeando quem podia acioná-lo.

Notificação é comunicação. Escalação é parada, notificação, espera e retomada autorizada. Se o sistema continua operando enquanto o aviso é enviado, o que existe é um boletim de ocorrência automático: registra o erro em vez de contê-lo. A formulação mais próxima na norma europeia é o artigo 14, parágrafo 4, ao exigir que o mecanismo permita interferir, interromper ou terminar — não que permita informar.

[Ponto de Inflexão Fiduciária]: Sua organização tem um tempo entre detectar e interromper medido em produção, ou tem uma pessoa de plantão que seria capaz de interromper se fosse acordada às três horas da manhã?

IV. O Protocolo de Escalação Determinística

Escalação deixa de ser intenção quando cada gatilho tem critério escrito, dono nomeado e teste periódico. O roteiro adiante leva de nove a onze semanas e não exige sistema novo: exige decisão registrada.

Diretrizes Consultivas — Escalação Determinística:

☐ Sugere-se ao Conselho determinar que as diretorias de tecnologia e de risco produzam, em até três semanas, o inventário de gatilhos de escalação dos sistemas autônomos críticos, com o nome do responsável que autoriza a retomada e a janela de tempo de cada taxa. Entregável único: uma tabela assinada por dois diretores, estatutários quando possível.

☐ Recomenda-se que nenhuma política de escalação seja considerada em vigor sem teste executado: simular o gatilho em ambiente que reproduz a carga real, medir o tempo entre disparo e parada e registrar o resultado em ata, com data e horário. O instrumento é o relatório trimestral de teste de escalação, apresentado ao Comitê de Auditoria.

☐ Orienta-se o Presidente do Conselho a vincular em ata a autoridade de interrupção a um cargo nomeado, comunicando por escrito ao corpo executivo que exercer essa autoridade não é falha de desempenho. Sem essa ata, o controle continua decorativo.

Os itens são deliberadamente diferentes entre si: o primeiro cria o desenho, o segundo prova a capacidade, o terceiro resolve a autoridade. Só eles juntos produzem a supervisão eficaz que a norma europeia descreve — e o que um advogado vai procurar quando o incidente virar litígio.

Onde entram os números de latência

Os tempos que aparecem na tabela da Biblioteca são escolhas de engenharia desta publicação, não exigência normativa: não há, nas fontes consultadas, prazo legal para parada de sistema autônomo. Servem como referência por uma razão operacional: abaixo de um segundo a parada ocorre antes de o lote seguinte ser publicado; acima de alguns minutos ela apenas documenta o dano. Recomenda-se adotar o número mais estreito que a arquitetura suportar e registrar a justificativa em ata de projeto.

V. O Teste do Ácido

Se amanhã às três horas da manhã o motor autônomo da sua empresa começar a aplicar uma política que nunca foi autorizada a aplicar, e o único humano capaz de interromper estiver dormindo, o Conselho vai descobrir pelo relatório trimestral de exceções ou pela citação judicial — e, quando chegar ao processo, vai conseguir mostrar a ata do teste que mediu o tempo entre o disparo e a parada, com o nome de quem autorizou a retomada?

🏛️ Biblioteca: Metodologia Prática

Protocolo de Escalação Determinística

01. Roteiro de implementação

1. Semanas 1 e 2 — Inventário de gatilhos. Para cada sistema autônomo crítico, responder por escrito a cada tipo: qual desvio dispara parada preventiva, qual taxa dispara parada detectiva, qual janela define a frequência, qual magnitude roteia para humano, quem aciona a parada manual.
2. Semana 3 — Tabela assinada. Consolide gatilho, ação, responsável notificado, dono da retomada e janela de tempo. Dois diretores assinam: é o documento que se apresenta.
3. Semanas 4 e 5 — Codificação. Preventiva, detectiva e frequência viram monitor que interrompe; manual vira interface com autoridade escrita; magnitude vira regra de roteamento.
4. Semana 6 — Fluxo documentado. Desenhe gatilho, detecção, parada, notificação, espera, retomada autorizada. Se faltar o passo “espera”, não é escalação.
5. Semanas 7 e 8 — Teste com carga real. Injete a condição que deveria disparar cada gatilho, meça o tempo entre disparo e parada, registre em ata.
6. Semana 9 em diante — Ciclo. Teste cada tipo em rodízio, com log datado e relatório trimestral ao Comitê de Auditoria.

02. Matriz de escalação

03. Glossário

escalação: interrupção da operação autônoma por protocolo, com retomada condicionada a aprovação humana explícita.

gatilho de escalação: condição escrita e verificável que dispara a interrupção — desvio, taxa, janela, magnitude ou acionamento manual.

kill switch: comando manual de interrupção imediata. É um dos tipos, não o protocolo inteiro.

retomada autorizada: reabertura da operação autônoma apenas após aprovação humana explícita, registrada com nome e horário.

supervisão humana: estrutura de poder, formação e tempo exigida pelo artigo 14 do regime europeu para sistemas de alto risco.