I. A Pergunta Que Antecede a Automação
Quando uma organização decide automatizar uma decisão, costuma discutir três coisas: quanto custa, quanto acerta e quanto tempo economiza. Raramente discute uma quarta, que determina o tamanho do problema se algo der errado: o erro se desfaz, e até onde ele chega antes de alguém notar?
O volume anterior fixou o que nenhuma faixa pode suprimir: o caminho de revisão a pedido e o critério documentado antes do pedido. Acima desse piso, tudo é escolha. E a escolha, para cada classe de decisão, é uma só: com que tratamento ela produz efeito. Executa direto? Executa com registro e conferência posterior? Espera revisão antes? Volta ao colegiado?
A resposta proposta por esta série cabe em duas perguntas que qualquer dono de processo consegue responder sem modelo matemático. Ela não exige sofisticação técnica, e isso é parte do argumento: se o critério é simples, a ausência dele não se explica por complexidade. Explica-se por falta de dono.
[Ponto de Inflexão Fiduciária]: O Conselho que aprova a automação já viu a classificação das decisões, ou aprovou o ganho de eficiência e herdou, sem saber, o risco de escala?
II. O Critério Já É Público
Nada do que se segue é novidade. Os documentos abaixo estão abertos, e é isso que torna a lacuna relevante: a organização não está diante de um problema sem solução conhecida, e sim de uma solução conhecida sem assinatura.
A Diretiva sobre Tomada de Decisão Automatizada do governo do Canadá, em vigor desde 01/04/2019 e modificada em 24/06/2025, classifica cada sistema em quatro níveis de impacto. Nos níveis I e II, a decisão pode ser tomada sem envolvimento humano direto. Nos níveis III e IV, “a decisão final precisa ser tomada por uma pessoa”.
O desenho une a gravidade do impacto à exigência de decisão humana, e o faz por documento aprovado, não por preferência de quem implantou.
A segunda edição do Modelo de Governança de IA de Singapura, de 21/01/2020, propõe escolher o grau de envolvimento humano pela probabilidade e pela severidade do dano, considerando também a reversibilidade. A lista de riscos de aplicações com modelos de linguagem mantida pela fundação OWASP, na edição de 2025, recomenda aprovação humana para ações de alto impacto ao tratar do risco de autonomia excessiva.
A fonte de Singapura foi lida em resumo secundário e e não no documento oficial; por isso o volume a trata como referência de direção, não como citação literal.
A convergência é o dado. Governo, regulador e comunidade técnica chegam, por caminhos diferentes, à mesma estrutura: severidade, probabilidade e reversibilidade orientam quanto envolvimento humano uma decisão pede.
[Ponto de Inflexão Fiduciária]: Se o critério é público, quem dentro da organização o aplica e responde pelo resultado?
III. Faixa de Roteamento: Duas Perguntas, Quatro Quadrantes
Chamamos de faixa de roteamento a forma de tratamento que uma classe de decisão recebe antes de produzir efeito. Cada faixa resulta do cruzamento de duas respostas.
A primeira pergunta: a decisão se desfaz?
Na carta aos acionistas de 2015, Jeff Bezos separou as decisões de consequência relevante e irreversível, portas de mão única, das que podem ser mudadas e desfeitas, portas de mão dupla. Na decisão automatizada, a reversibilidade é concreta e quase sempre verificável antes da implantação. Um estorno que se refaz no dia seguinte, um pedido que volta à fila, uma classificação interna que ninguém de fora vê: decisões que se desfazem com custo baixo. Uma negativa comunicada ao cliente, uma inscrição em cadastro de inadimplentes, um contrato encerrado, um dado publicado: decisões que, mesmo revertidas, já produziram o efeito.
O ponto que costuma escapar é que reversibilidade não é propriedade do modelo, e sim do processo em volta dele. A mesma pontuação pode alimentar uma decisão reversível, como colocar um caso em análise prioritária, ou irreversível, como recusar o caso com comunicação imediata. O que muda a faixa é o que o processo faz com a saída.
A segunda pergunta: até onde o erro vaza?
O raio de impacto distingue um erro que atinge uma pessoa, uma vez, de um que se repete em cada caso do mesmo perfil ou que sai da empresa. Propomos quatro alcances, do menor para o maior: um caso, um lote, uma carteira e fora da empresa.
Na decisão automatizada, a escala é a regra. O mesmo limiar se aplica a cada caso, do mesmo jeito, enquanto ninguém o muda. Um erro de critério raramente fica em um caso: vira lote antes de alguém perceber. Por isso o raio pesa mais aqui do que em decisões humanas equivalentes.
O quadro
| Raio pequeno (caso ou lote) | Raio grande (carteira ou fora da empresa) | |
|---|---|---|
| Reversível | Executa com registro | Executa com amostragem e revisão posterior |
| Irreversível | Revisa antes de produzir efeito | Delibera: decisão de quem responde pela classe |
A faixa “executa com registro” libera a organização do trabalho que não precisa fazer. A faixa “delibera” devolve ao colegiado, ou a quem ele indicar, as decisões que não deveriam estar em fila alguma. As duas intermediárias combinam execução e revisão em momentos diferentes. O quadro não substitui o piso: uma decisão que afeta pessoas pode estar no quadrante reversível e de raio pequeno e, ainda assim, mantém o caminho de revisão a pedido e o critério documentado. Primeiro o piso; depois o critério.
Duas classes, dois destinos
Um exemplo hipotético ajuda a fixar o uso do quadro. Num mesmo sistema de atendimento, a classe “reclassificar o chamado para outra fila interna” é reversível e de raio pequeno: o erro se desfaz na hora seguinte e atinge um chamado. Vai para “executa com registro”. A classe “encerrar o contrato do cliente por inadimplência presumida” é irreversível para quem recebe a comunicação e, se o critério estiver errado, atinge toda a carteira com o mesmo perfil. Vai para “delibera”.
O mesmo modelo e o mesmo fornecedor alimentam as duas classes, e a diferença de tratamento não está na tecnologia. Está no que o processo faz com a saída. É por isso que a classificação se faz por classe de decisão, e não por sistema: um sistema pode ter classes em três faixas diferentes, e o ato que o aprova precisa dizer em qual está cada uma.
Quando a resposta é incerta
Nem toda classe de decisão se deixa responder com segurança às duas perguntas. A reversibilidade pode depender de um processo que ninguém mapeou, e o raio de impacto, de uma carteira cujo tamanho muda. Sugere-se, nesses casos, uma regra de assimetria: na dúvida entre duas faixas, adota-se a mais cautelosa, com data marcada para reclassificar assim que houver informação. A cautela é provisória e tem prazo, o que a distingue da aversão irrefletida ao risco que a carta de 2015 critica.
A referência de Singapura lembra, ainda, que a escolha do envolvimento humano considera outros fatores além da gravidade e da probabilidade do dano, como a existência de recurso para o afetado e a viabilidade operacional da revisão. Uma faixa “revisa antes” que ninguém consegue operar é pior do que uma faixa “executa com amostragem” bem desenhada, porque produz a aparência de revisão sem o seu efeito.
O que o Conselho vê quando a classificação existe
Com a classificação registrada, o Conselho passa a ter um mapa: quantas classes estão em cada faixa, quais mudaram de faixa desde a última reunião e quais aguardam reclassificação. Esse mapa não exige leitura técnica, e é ele que permite perguntar à diretoria por que uma classe irreversível está na faixa de execução, ou por que uma classe reversível ocupa a fila de revisão.
A mudança de faixa merece atenção especial. Uma classe que migra para uma faixa mais permissiva, sem alteração de critério, costuma indicar pressão de volume sobre a fila. Uma que migra para faixa mais restritiva costuma indicar incidente. Em ambos os casos, o registro da data e da razão da mudança é o que transforma uma decisão de ocasião em decisão de governança.
A recomendação dos autores é regular o sistema humano-máquina como um todo, e não apenas acrescentar uma pessoa a ele. Mandar uma decisão para a faixa “revisa antes” não resolve nada se quem revisa não tem informação, tempo ou autoridade para mudar o resultado. O quadro decide para onde a decisão vai; não promete que, chegando lá, ela será boa.
Quem classifica, e quem pode reclassificar
Uma classificação sem dono volta a ser costume. Sugere-se que a faixa de cada classe de decisão seja proposta por quem conhece o processo, validada por quem responde pelo risco e aprovada no ato de linha, de modo que o registro mostre três mãos distintas: a que descreve a decisão, a que mede o dano e a que assume o critério. Quando a mesma pessoa cumpre os três papéis, a faixa tende a refletir a conveniência da operação, não o risco do cliente.
A reclassificação merece o mesmo rito. Se um incidente, uma reclamação recorrente ou uma mudança de modelo desloca uma classe de decisão para uma faixa mais exigente, a mudança passa a valer com data, motivo e autor. O caminho inverso, de afrouxamento, sugere-se que exija a prova de que o erro passou a se desfazer ou a vazar menos. Assim a faixa envelhece com evidência, e o Conselho lê, ao longo do tempo, uma trajetória de critério, não uma sequência de exceções.
A crítica procede: o excesso também custa
A mesma carta de 2015 adverte para o risco inverso: organizações grandes tendem a aplicar o processo pesado das decisões irreversíveis a quase todas, com lentidão e aversão irrefletida ao risco. Classificar como irreversível o que é reversível, por cautela, entope as faixas de revisão e cria o gargalo que depois justifica pular a revisão. O quadro só funciona se for aplicado com a mesma disciplina nas duas direções.
Na prática, a classificação costuma nascer em duas folhas: a lista das classes de decisão que o sistema toca e, ao lado de cada uma, a anotação das respostas às duas perguntas. A lista se faz em uma tarde, por quem conhece o processo. O que costuma faltar não é conhecimento, e sim o ato de transformar a anotação em critério aprovado, com autor e data, de modo que a mesma classe receba a mesma faixa na próxima vez que alguém perguntar.
[Ponto de Inflexão Fiduciária]: A classificação chega ao Conselho antes da implantação, quando ele a aprova, ou depois, quando ele apenas a descobre?
IV. O Mandato do Conselho Sobre a Classificação
O Conselho não precisa avaliar cada classificação. Precisa saber que ela existe, que foi feita antes de ligar o sistema e que é refeita quando o raio de impacto muda: novo produto, nova carteira, novo canal.
☐ Sugere-se classificar toda automação de decisão por reversibilidade e raio de impacto antes de implantar, com a faixa resultante registrada.
☐ Recomenda-se anexar a classificação à aprovação do projeto, para que o Conselho veja o quadrante junto com a estimativa de economia.
☐ Orienta-se reclassificar quando o raio de impacto mudar, e sempre que a decisão passar a atingir uma carteira ou terceiros.
V. O Teste do Ácido
Se a automação mais usada da sua empresa errar amanhã em escala, ela poderá ser desfeita, ou o Conselho vai descobrir que ninguém perguntou isso antes de ligá-la?
🏛️ Biblioteca: Metodologia Prática
Protocolo de Classificação de Decisões
01. Passos para Classificar Cada Classe de Decisão
- Descreva a classe de decisão e o que o processo faz com a saída do modelo.
- Responda se a decisão se desfaz, a que custo e em quanto tempo.
- Responda até onde o erro vaza: caso, lote, carteira ou fora da empresa.
- Cruze as respostas no quadro e registre a faixa de roteamento.
- Confirme que o piso se mantém, qualquer que seja a faixa.
- Anexe a classificação à aprovação do projeto e defina o gatilho de reclassificação.
02. Quadro de Referência das Faixas
| Faixa | Quando se aplica | Cuidado principal |
|---|---|---|
| Executa com registro | Reversível e de raio pequeno | Registro suficiente para reconstruir a decisão |
| Executa com amostragem e revisão posterior | Reversível e de raio grande | Amostra conferida por quem está fora da fila |
| Revisa antes de produzir efeito | Irreversível e de raio pequeno | Revisor com autoridade, informação e tempo |
| Delibera | Irreversível e de raio grande | Decisão de quem responde pela classe, em ata |
03. Glossário
Reversibilidade: possibilidade de desfazer o efeito de uma decisão, e o custo de fazê-lo.
Raio de impacto: alcance do erro: um caso, um lote, uma carteira ou fora da empresa.
Severidade: gravidade do dano que o erro pode causar a quem é afetado.
Probabilidade: chance de o erro ocorrer, usada ao lado da severidade na referência de Singapura.
Recurso: caminho de que dispõe o afetado para contestar uma decisão.
Quadrante: cada uma das quatro combinações entre reversibilidade e raio de impacto.
Porta de mão única: expressão de Jeff Bezos para a decisão de consequência relevante e irreversível.
Faixa de roteamento: forma de tratamento que uma classe de decisão recebe antes de produzir efeito.