I. Seis Partes, Um Instrumento
Nos volumes anteriores, montamos as partes de um mesmo instrumento. O piso diz o que nenhuma faixa automática pode suprimir. O critério classifica cada decisão por reversibilidade e raio de impacto. O ato de linha diz quem assina. A evidência de fila leva à ata o que a linha faz em produção. O efeito do vencimento diz o que acontece quando a revisão não chega.
Cada parte responde a uma pergunta e, sozinha, não resolve a organização. Este volume as reúne numa só página. O leitor que chegou até aqui pela ordem encontrará nela o que já conhece; o que muda é o formato: um instrumento que o Conselho, um auditor ou um regulador consegue ler de uma vez e conferir linha a linha.
O título resume o desenho. Uma matriz, para que a fronteira esteja num só lugar. Um assinante por linha, para que alguém responda pelo critério. Uma prova por linha, para que a assinatura seja conferível.
[Ponto de Inflexão Fiduciária]: Se o Conselho recebe seis documentos, um por assunto, quem verifica que eles não se contradizem antes do incidente?
II. As Onze Colunas
A matriz de roteamento é o instrumento aprovado por quem responde pela decisão, em que cada linha é uma classe de decisão automatizada e cada coluna responde a uma pergunta que o Conselho, um auditor ou um regulador acabará fazendo. Tem onze colunas, em três grupos. Nenhuma foi inventada para este volume; cada uma nasceu de um dos anteriores.
| Grupo | Coluna | Pergunta que responde |
|---|---|---|
| O que se classifica | Classe de decisão | Que decisão automatizada esta linha governa? |
| Piso aplicável | Que direito de quem é afetado a linha não pode suprimir? | |
| Reversibilidade | Se der errado, desfaz-se, e a que custo? | |
| Raio de impacto | O erro fica num caso, num lote, numa carteira ou fora da empresa? | |
| Faixa | Executa com registro, executa com amostragem, revisa antes ou delibera? | |
| Quem responde e quando | Prazo de espera e efeito do vencimento | Quanto a decisão espera revisão e o que acontece quando o prazo vence? |
| Assinante (cargo) | Que cargo de processo assina a linha? | |
| Revisor (cargo) e caixa por faixa | Quem revisa o caso e quantos casos a faixa prevê por turno? | |
| Como se prova e se desfaz | Atributo verificável | O que se testa, com que amostra e que registro comprova? |
| Gatilhos de revalidação | Que mudança obriga a rever a linha, e em que data se revê de qualquer modo? | |
| Quem revoga | Quem pode desfazer a linha e o que acontece com decisões já roteadas? |
As colunas do primeiro grupo vêm do piso e do critério; as do segundo, do ato de linha e do efeito do vencimento. As do terceiro são as que costumam faltar, e é nelas que a matriz deixa de ser descrição e passa a ser instrumento.
Uma linha, de ponta a ponta
Descrevemos uma linha hipotética, sem pretensão de retratar organização alguma. A classe é a dos pedidos de reembolso de valor mais alto. O piso aplicável é o caminho de revisão a pedido e o critério documentado antes do pedido. A decisão é reversível, com custo de estorno, e o raio é um caso individual.
A faixa é “revisa antes”. O prazo de espera é curto e o efeito do vencimento é subir o caso ao cargo de coordenação do processo, nunca executá-lo. O assinante é o cargo de direção responsável pelo processo; o revisor é o cargo de analista de reembolso, com poder de reverter a decisão e caixa por faixa registrada.
O atributo verificável é o que dá peso à linha: a taxa de reversão numa amostra trimestral de casos revisados, conferida por alguém fora da fila, com registro no log da fila e na ata do trimestre. O gatilho de revalidação é qualquer troca de modelo, fornecedor ou escopo, e a revisão de calendário é anual. Quem revoga é a diretoria que assinou, ou o Conselho, por meio da política que enquadra todas as linhas.
Uma linha assim cabe numa linha de planilha. O que não cabe numa planilha é a decisão de assiná-la.
A Diretiva sobre Tomada de Decisão Automatizada do governo do Canadá exige que a avaliação de impacto algorítmico seja revista sempre que a funcionalidade ou o escopo do sistema mudam (item 6.1.3). A diretiva está em vigor desde 01/04/2019 e foi modificada em 24/06/2025.
[Ponto de Inflexão Fiduciária]: Se cada coluna da matriz tem dono, mas nenhuma tem a mesma data de revalidação, o Conselho sabe qual delas está vencida hoje?
III. Matriz de Roteamento: Revalidação, Revogação e Troca de Modelo
A matriz só vale para o sistema que ela descreve. Uma atualização do modelo pode mudar a distribuição das pontuações, e a mesma régua passa a mandar casos diferentes para cada faixa. A linha continua assinada; o sistema que ela governa, não.
O arcabouço de gestão de riscos de IA do NIST, em GOVERN 1.5, pede que o monitoramento contínuo e a revisão periódica do processo de gestão de riscos sejam planejados, com a determinação da frequência da revisão.
No Brasil, a Resolução Normativa nº 518/2022, da Agência Nacional de Saúde Suplementar (ANS), para as operadoras de planos de saúde, determina que os controles internos sejam submetidos a avaliação periódica, no mínimo anual.
Daí as duas formas de revalidação sugeridas para a coluna dos gatilhos: a de calendário, no mínimo anual, e a de evento, disparada por troca de modelo, de fornecedor ou de escopo. A segunda só funciona se a organização souber que a troca ocorreu. Por isso o Inventário de Dependência, proposto na Série 7, passa a ser a fonte da matriz, e o contrato com o fornecedor ganha uma cláusula que merece atenção: o aviso prévio de troca de modelo.
Quem desfaz a linha
A tese desta série prometeu que a linha pudesse ser desfeita. A coluna “quem revoga” é onde a promessa vira registro. Sugere-se que ela diga três coisas: que cargo pode suspender a linha em caso de incidente, que instância pode revogá-la em definitivo e o que acontece com as decisões já roteadas quando isso ocorre. Para esta última, uma regra simples e conferível é que cada decisão siga a linha vigente no momento em que foi roteada, com o registro da versão da matriz anexado à decisão. Sem esse registro, uma revogação cria uma zona em que ninguém sabe qual linha valia.
A matriz entra, assim, no Dossiê de Comando, o conjunto de evidências proposto na Série 7. O Contrato de Autonomia diz o que cada sistema decide sozinho; a matriz diz, classe a classe, quem assinou essa fronteira e como se prova que ela foi respeitada.
Convém que a matriz registre também a data da última revalidação de cada linha, ao lado do gatilho que a antecipa. Com as duas datas, o Conselho vê de relance quais linhas estão em dia, quais venceram e quais foram antecipadas por mudança de modelo, e a conversa deixa de ser sobre a matriz inteira para ser sobre as linhas que mudaram.
[Ponto de Inflexão Fiduciária]: Se o fornecedor troca o modelo sem aviso e quebra o pressuposto da linha, quem na organização descobre, e por qual sistema de aviso e de revalidação?
A crítica procede: matriz pode virar ritual
Em 2017, Lilian Edwards e Michael Veale argumentaram que a transparência, sozinha, é uma falácia como remédio para os danos de sistemas algorítmicos, e que o esforço rende mais em avaliação de impacto e desenho. Em 2025, Lucas Haitsma e Barbara Brink, numa revisão sistemática da literatura publicada na revista Digital Government: Research and Practice, mostraram que a discussão se concentra no momento isolado da revisão e defenderam que o envolvimento humano relevante inclui o desenho do sistema e a supervisão contínua.
As duas críticas se aplicam a uma matriz assinada uma única vez e arquivada. Uma tabela preenchida produz conforto, e conforto não é controle. A resposta está no próprio desenho: uma linha sem teste, sem amostra e sem registro é ritual; uma linha sem gatilho de revalidação é fotografia. Sugere-se que o Conselho leia a matriz linha a linha e devolva as que não tiverem prova.
O que custa é o ato: alguém com mandato lê, discorda de uma faixa, muda um prazo e assina. Um template não substitui essa decisão. A diferença entre os dois se vê nas atas: onde há ato, há faixas devolvidas, prazos alterados e linhas recusadas por falta de prova.
O caso é útil por um motivo específico: o SyRI tinha base legal. Não lhe faltava instrumento; faltava instrumento que pudesse ser lido de fora e conferido. Uma matriz de roteamento assinada, mas opaca, e sem atributo verificável, reproduz o desenho que o tribunal rejeitou.
O caso é do setor público de outro país e entra como ilustração de desenho, e não como padrão aplicável no Brasil. Foi descrito a partir de base de jurisprudência e análise acadêmica, em termos qualitativos.
IV. O Mandato do Conselho Sobre a Matriz
O pedido final ao Conselho é o mais simples da série: que a matriz seja instrumento aprovado e revogável, e que cada linha traga a prova de que funciona.
Na leitura linha a linha, sugere-se que o Conselho faça três perguntas a cada linha, na ordem em que a matriz as apresenta. Quem assina, e em que cargo? Que prova sustenta a linha, e quando foi produzida pela última vez? O que obriga a rever a linha antes da data marcada? Uma linha que não responde às três não está pronta para aprovação, e devolvê-la com a pergunta anotada é parte do ato, e não indício de desconfiança.
A cadência combina com o calendário de governança que a organização já tem: leitura completa uma vez por ano, leitura das linhas alteradas a cada trimestre e leitura extraordinária quando um gatilho de evento dispara. Assim, a matriz não vira mais um documento de ciclo próprio, e sim um instrumento que entra na rotina que o Conselho já cumpre.
☐ Sugere-se aprovar a matriz como instrumento revogável, com assinante nomeado por cargo e data de revalidação por linha.
☐ Recomenda-se vincular cada linha a um teste, a uma amostra e a um registro, de modo que a prova seja conferível por quem está fora da fila.
☐ Orienta-se exigir do fornecedor aviso prévio de troca de modelo, com gatilho de revalidação da linha afetada.
V. O Teste do Ácido
Se o fornecedor trocar o modelo amanhã sem aviso, sua matriz detecta e revalida, ou o Conselho vai descobrir que a linha assinada vale para um sistema que não existe mais?
🏛️ Biblioteca: Metodologia Prática
Protocolo de Aprovação da Matriz
01. Passos para Aprovar e Manter a Matriz
- Reúna as classes de decisão automatizada e preencha, por linha, as colunas dos dois primeiros grupos.
- Defina, para cada linha, o atributo verificável: o que se testa, a amostra e o registro.
- Registre os gatilhos de revalidação, de calendário e de evento, e a fonte do aviso de troca de modelo.
- Nomeie quem revoga, e a regra para as decisões já roteadas.
- Submeta a matriz à diretoria e depois ao Conselho, com a política que a enquadra.
- Leve ao Conselho, a cada ciclo, as linhas devolvidas, alteradas ou revogadas.
02. Quadro de Leitura Crítica da Matriz
| Sinal na linha | Leitura | Providência sugerida |
|---|---|---|
| Atributo verificável vazio | Linha sem prova: ritual | Devolver à diretoria |
| Sem gatilho de evento | Linha vale só até a próxima troca de modelo | Incluir aviso do fornecedor |
| Assinante sem cargo | Autoria atribuída a pessoa ou área genérica | Nomear cargo de processo |
| Nenhuma linha devolvida em um ciclo | Possível aprovação sem leitura | Registrar discordâncias |
03. Glossário
Matriz de roteamento: instrumento aprovado, em que cada linha governa uma classe de decisão automatizada e cada coluna responde a uma pergunta de governança.
Atributo verificável: teste, amostra e registro que comprovam o funcionamento de uma linha.
Revogação: ato que desfaz uma linha, com regra para as decisões já roteadas.
Revalidação: nova aprovação da linha, por calendário ou por evento.
Troca de modelo: substituição ou atualização do modelo pelo fornecedor ou pela organização, que pode alterar a distribuição das decisões entre as faixas.
Dossiê de Comando: conjunto de evidências, proposto na Série 7, de que a organização está no comando da IA.
Template: formato preenchível de instrumento, que não substitui o ato de aprovação.
Inventário de Dependência: registro, proposto na Série 7, de quem fornece cada modelo e em que versão.