I. A Cena: Quem Leva o Quê a Quem
O volume anterior terminou com uma constatação: o critério para classificar decisões já é público. Falta o que nenhum guia entrega, que é dizer quem, dentro da organização, aplica o critério e responde pelo resultado. A resposta começa por separar três papéis que costumam se confundir.
Quem traça e assina a linha. Decide, para cada classe de decisão, em que faixa ela fica. Na distribuição que esta série adota, é a diretoria executiva, que responde pelo processo, pelo orçamento e pelo resultado operacional do sistema.
Quem aprova a política e cobra a prova. É o Conselho, ou o comitê que ele indicar. Não assina cada linha: aprova as regras que toda linha segue e define o que quer ver, periodicamente, como evidência de que elas estão sendo seguidas. O dever que o Conselho não pode deixar de cumprir é exigir que a linha seja ato nomeado, aprovado e revogável.
Quem revisa o caso. Recebe, na fila, as decisões que a linha mandou para revisão. Responde pela decisão daquele caso, não pelo critério que o colocou ali.
Quando os três papéis se misturam, a responsabilidade escorre para a ponta. A diretoria não assinou porque “foi a área técnica que configurou”; o Conselho não cobrou porque “o tema não estava na pauta”; e quem revisa passa a carregar sozinho o peso de todas as decisões que passaram por ele.
[Ponto de Inflexão Fiduciária]: Se nenhum ato diz quem responde pelo quê, a responsabilidade não acaba onde a decisão é tomada, e não onde o critério foi escolhido?
II. O Padrão Já Existe no Brasil
A distribuição de papéis proposta não é invenção desta série. Está em norma brasileira vigente, em setores em que o risco já é tratado como decisão de governança.
A Resolução nº 4.557, do Conselho Monetário Nacional (CMN), atribui ao conselho de administração, no art. 48, as tarefas de “fixar os níveis de apetite por riscos da instituição na RAS e revisá-los” e de aprovar e revisar “as políticas, as estratégias e os limites de gerenciamento de riscos”. A RAS é a Declaração de Apetite por Riscos, em que a instituição registra os níveis de risco que aceita assumir.
No sistema financeiro, o limiar de risco é ato do conselho. A decisão automatizada fora das instituições financeiras raramente tem equivalente.
A Resolução Normativa nº 518, de 29/04/2022, da Agência Nacional de Saúde Suplementar (ANS), trata a gestão de riscos das operadoras de planos de saúde como instrumento para “uniformizar o conhecimento entre os administradores quanto aos principais riscos”, pede controles internos com definição das responsabilidades e, entre as práticas de governança mais avançadas (Anexo III), uma política de gestão de riscos “aprovada(s) e revisada(s) formalmente pelo conselho de administração ou instância equivalente”.
O arcabouço de gestão de riscos de IA do NIST (National Institute of Standards and Technology, órgão de padrões técnicos dos Estados Unidos), publicado em 2023, inclui entre os resultados esperados que a liderança executiva assuma a responsabilidade pelas decisões sobre os riscos de desenvolver e implantar sistemas de IA.
A estrutura é conhecida: o Conselho fixa e revisa os limites; a diretoria executa e responde pela execução. A tese desta série é que ela ainda não chegou à decisão automatizada. Para o dever de cuidado do Conselho, a decisão de Delaware em Marchand v. Barnhill (212 A.3d 805, de 18/06/2019) é referência estrangeira útil: o tribunal afirmou o dever de um esforço de boa-fé para implantar um sistema razoável, no nível do conselho, de monitoramento e reporte sobre risco essencial ao negócio. Entra como régua de comparação, não como obrigação no Brasil.
[Ponto de Inflexão Fiduciária]: Se o direito societário e a regulação setorial já pedem limite aprovado, responsável nomeado e prova periódica para outros riscos, por que o roteamento da decisão ficaria de fora?
III. Ato de Linha: A Decisão Com Autor, Data, Critério e Revalidação
Chamamos de ato de linha a decisão formal, com autor, data, critério e revalidação, que fixa as faixas de roteamento de um sistema. O ato de linha não é um parecer técnico nem uma configuração: é uma decisão da diretoria, que responde por ela, enquadrada por política que o Conselho aprovou.
Como a cena se desenrola
Na reunião da diretoria, o dono de cada sistema que decide em produção apresenta três coisas: as classes de decisão do sistema, a faixa proposta para cada uma, com as duas perguntas do volume anterior respondidas, e o cargo de quem revisa os casos da fila. A diretoria aprova, ajusta ou devolve. O que sai aprovado é o ato de linha do sistema, com data e assinatura.
Na reunião do Conselho ou do comitê, a diretoria apresenta a política que todos os atos seguem (o piso, o critério e a regra de revalidação), e o Conselho a aprova. Junto com a política, define o que quer receber como prova e com que periodicidade. É aqui que entra a evidência de fila, tema do próximo volume.
Na revalidação, anual ou disparada por mudança relevante, como troca de modelo, de fornecedor ou de escopo, o ciclo se repete. Uma linha sem data de revalidação é uma licença única para automatizar.
Revisor com poder de mudar a decisão
A faixa “revisa antes” só funciona se quem revisa puder mudar o resultado. As diretrizes europeias sobre decisões automatizadas, o documento WP251, afirmam que a revisão precisa ser feita por alguém que tenha autoridade e competência para mudar a decisão. A autoridade espanhola de proteção de dados, em análise de 04/03/2024, detalhou quatro condições para que a intervenção humana seja significativa: autoridade atribuída para alterar o resultado, preparo para avaliar a decisão no contexto do sistema, independência diante de pressões da organização e meios práticos para exercer a revisão, entre eles tempo adequado por decisão.
O Regulamento (UE) 2024/1689, o regulamento europeu de IA, segue a mesma lógica no art. 26: quem usa um sistema de alto risco designa pessoas com competência, treinamento e autoridade para supervisioná-lo. Citamo-lo como régua de referência, e não como obrigação para quem opera apenas no Brasil.
Na prática, o ato de linha precisa registrar, para cada faixa de revisão, três coisas além do cargo: se quem revisa pode reverter a decisão sem pedir autorização, que informação recebe junto com o caso e quantos casos a faixa prevê por turno.
[Ponto de Inflexão Fiduciária]: De que serve um nome ao lado de uma decisão que esse nome não pode mudar, e para onde o risco passa a se deslocar?
A crítica procede: assinatura pode virar carimbo
Em 2019, Ben Wagner descreveu a “quase-automação”: sistemas em que o humano está formalmente presente, mas apenas como carimbo, e acaba respondendo por decisões que não controla. No mesmo ano, Madeleine Clare Elish deu nome a um fenômeno vizinho, a zona de amassamento moral, em que o peso da falha do sistema recai sobre o operador mais próximo, protegendo a integridade da tecnologia à custa de quem estava na ponta.
A crítica se aplica diretamente ao que se propõe. Uma fila com nome, sem poder e sem tempo é exatamente a zona descrita por Elish. Por isso o desenho separa os papéis com rigor: quem assina a linha responde pelo critério; quem revisa responde pelo caso, e só pode responder se tiver autoridade, informação e tempo compatíveis com a faixa; e a fila é identificada por cargo de processo e por caixa por faixa, nunca por pessoa. Nenhuma contagem individual de quem revisa entra em ata, painel ou relatório ao Conselho.
Quando o critério muda, o ato muda
Um ato de linha que nunca é revisitado vira retrato de um dia. O modelo é atualizado, o produto muda de público, a norma aplicável é interpretada de outra forma, e a linha traçada na aprovação inicial deixa de descrever o que de fato acontece na fila. Por isso o ato carrega uma data de revalidação, e sugere-se que qualquer mudança relevante de modelo, de base de clientes ou de regra aplicável antecipe essa data em vez de aguardá-la.
A revalidação produz um registro próprio: o que permaneceu, o que foi ajustado, quem assinou o ajuste e qual evidência de fila sustentou a decisão de manter ou mover o limiar. Para o Conselho, o valor está na continuidade. Uma sequência de atos datados, cada um apoiado nos números do período anterior, responde à pergunta que um supervisor, um cliente ou um auditor tende a fazer primeiro: quem decidiu isto, com base em quê, e quando olhou de novo?
O que muda para quem revisa, na prática
Para quem ocupa o cargo de revisor, o ato de linha precisa trazer quatro garantias escritas. A primeira é o poder de reverter sem pedir licença a ninguém acima. A segunda é o pacote de informação que acompanha cada caso: o que o modelo indicou, com base em quê e que dados foram usados. A terceira é o tempo previsto por decisão, compatível com a caixa por faixa. A quarta é um caminho para sinalizar que a própria linha está errada.
Essa quarta garantia é a menos lembrada e a mais útil. Quem revisa todos os dias é quem primeiro percebe que uma classe foi mal classificada: casos que não deveriam estar na fila, ou que deveriam ter ido à deliberação. Se o único caminho do revisor é decidir caso a caso, a informação se perde. Sugere-se que o ato preveja o canal e o cargo que o recebe, e que a sinalização não seja medida como desempenho individual.
O desenho proposto responde ao temor pela divisão do que se assina. Quem assina responde pelo critério, isto é, por ter colocado aquela classe naquela faixa, com a informação disponível na data; não responde pelo mérito de cada caso revisado. A assinatura é revogável e tem data de revalidação, o que delimita no tempo o que foi aprovado. O risco de assinar, assim delimitado, é menor do que o de uma linha que existe sem autor e que será atribuída, depois do incidente, a quem estava mais perto.
IV. O Mandato do Conselho Sobre a Assinatura
Para o Conselho, o ato de linha resolve um problema que costuma aparecer tarde: saber, quando algo dá errado, quem decidiu o quê. Sem o ato, a resposta é reconstruída depois do incidente; com ele, está registrada antes.
☐ Sugere-se formalizar a linha de cada sistema como ato da diretoria, com assinatura, data e prazo de revalidação.
☐ Recomenda-se que o Conselho aprove a política que todos os atos de linha seguem e a revise ao menos uma vez por ano.
☐ Orienta-se registrar, para cada faixa de revisão, o poder de reversão do revisor, a informação que ele recebe e a caixa por faixa, sempre por cargo de processo.
V. O Teste do Ácido
Se um revisor reverter amanhã uma decisão automatizada de alto impacto, ele terá base formal para isso, ou o Conselho vai descobrir que só ele carrega o risco?
🏛️ Biblioteca: Metodologia Prática
Protocolo do Ato de Linha
01. Passos para Formalizar o Ato
- Reúna, por sistema, as classes de decisão e a faixa proposta para cada uma.
- Registre o cargo de processo do revisor, a caixa por faixa e o poder de reversão.
- Submeta o ato à diretoria e registre assinatura e data.
- Anexe a política aprovada pelo Conselho e a regra de revalidação.
- Defina a prova que o Conselho receberá e a periodicidade.
02. Quadro de Papéis
| Papel | Assina ou aprova | Responde por | Prova que apresenta |
|---|---|---|---|
| Diretoria executiva | Ato de linha | Critério de cada faixa | Ato assinado e datado |
| Conselho ou comitê | Política e revisão anual | Exigir ato nomeado e revogável | Cobrança periódica de evidência |
| Revisor (cargo de processo) | Nenhum ato; revisa o caso | Decisão do caso revisado | Registro da revisão e da reversão |
03. Glossário
Ato de linha: decisão formal, com autor, data, critério e revalidação, que fixa as faixas de roteamento de um sistema.
Política: conjunto de regras, aprovado pelo Conselho, que todo ato de linha segue.
Apetite por risco: nível de risco que a organização aceita assumir, registrado por ato do conselho.
Caixa por faixa: quantidade de casos que uma faixa de revisão prevê por turno, registrada por cargo de processo.
Cargo de processo: função responsável por uma etapa do processo, identificada pelo papel e não pela pessoa.
Poder de reversão: autoridade formal do revisor para alterar o resultado da decisão sem pedir autorização.
Quase-automação: expressão de Ben Wagner (2019) para sistemas em que o humano participa apenas como carimbo.
Zona de amassamento moral: conceito de Madeleine Clare Elish (2019) para a atribuição da falha do sistema ao operador mais próximo.