4. Da Classificação à Escolha — Um Heurístico de Desenho, Não uma Tabela de Correspondência

4.1. Por Que Não Uma Tabela

A tentação óbvia, depois de três secções a construir aparelho conceptual, é fechar tudo numa tabela: tarefas analíticas → autonomia operacional delimitada; tarefas intuitivas → humano-no-loop; tarefas quasirracionais → humano-sobre-o-loop. Esta secção resiste deliberadamente a essa tentação, e não por escrúpulo estético — é exatamente o erro que a Secção 1.2 já identificou na Fitts list e na lógica MABA-MABA que dela derivou: uma alocação estática de funções, decidida uma vez a partir de uma propriedade isolada da tarefa, que deixa de funcionar assim que o contexto muda. Dekker e Woods (2002) não criticaram a Fitts list por estar mal preenchida; criticaram-na por pressupor que a pergunta "quem é melhor nisto?" tem uma resposta fixa.

A classificação da tarefa restringe o espaço de arquiteturas defensáveis; não escolhe sozinha uma arquitetura. O Artigo 3 fornece um perfil estrutural da tarefa; o Artigo 4 usa-o como insumo para desenho; o Artigo 5 audita a execução real. Nenhum dos três substitui os outros. O que as três secções anteriores oferecem, em vez de uma correspondência fixa, é um conjunto de condições e perguntas diagnósticas que, aplicadas a um cenário operacional concreto — não a um tipo de tarefa em abstrato —, estreitam esse espaço. É esse heurístico que esta secção formaliza.

4.2. O Heurístico: Cinco Portas de Decisão, Não Uma Sequência Mecânica

"Portas" descreve melhor a lógica do que "sequência": uma arquitetura precisa de passar por todas, mas nenhuma é definitiva — uma resposta obtida numa porta posterior pode reabrir uma decisão já tomada numa porta anterior. A tabela seguinte resume a função de cada uma antes do desenvolvimento em prosa:

Condição prévia — o critério e o domínio operacional são auditáveis? Antes de distribuir qualquer autoridade, é preciso saber que resultado a arquitetura pretende preservar, prevenir ou otimizar, e em que condições essa relação pode ser observada. Se a ação altera o próprio desfecho usado para avaliá-la, ou se o critério é inobservável, contestado, ou fortemente endógeno — as formas fraca e forte já distinguidas na Secção 3 do Artigo 5 —, a escolha arquitetural não pode ser tratada como validada apenas por desempenho histórico. O cenário exige desenho causal adicional, limites conservadores, e auditoria reforçada antes de qualquer uma das perguntas seguintes fazer sentido.

Pergunta 1 — A desigualdade temporal é sequer satisfazível? A condição da Secção 2.3 tem de ser verificada para o cenário concreto:

$$t_{\text{até irreversibilidade}} > t_{\text{deteção}} + t_{\text{compreensão}} + t_{\text{decisão}} + t_{\text{intervenção}}$$

Se esta desigualdade não se sustenta, humano-sobre-o-loop com veto em tempo real não é uma opção genuína, independentemente de quão desejável pareça em abstrato — pode haver interface de override, notificação, ou revisão posterior, mas não controlo humano operacional real. Nestes casos, a escolha está entre autonomia operacional delimitada, com ação automática conservadora, e arquiteturas aplicadas a um estágio anterior do processo, onde a janela ainda é suficiente.

Pergunta 2 — Qual a classificação da tarefa, ou subtarefa, no continuum? Aqui entra a classificação do Artigo 3 — mas não como resposta, como ponto de partida, e ao nível de granularidade correto. Uma tarefa globalmente quasirracional pode conter subtarefas muito diferentes: deteção de ultrapassagem de limite físico, estimação de risco, diagnóstico de causa, seleção de ação, ativação de interlock, agendamento de manutenção, decisão económica de parar produção. Algumas destas subtarefas podem justificar autonomia operacional delimitada; outras podem exigir humano-no-loop; outras, apoio à decisão. A quasirracionalidade da tarefa no seu conjunto torna difícil defender uma arquitetura uniforme para o processo inteiro — mas não exclui automaticamente arquiteturas extremas para subações estreitas, recuperáveis e fisicamente protegidas. A sua consequência correta não é a rejeição de qualquer arquitetura "extrema", é a necessidade de decompor a tarefa por regime, subfunção e ação antes de distribuir autoridade — precisamente a disciplina que a Secção 3.5 do Artigo 3 já exige ("por tarefa e modo de falha, não por ativo industrial em abstrato"). Uma classificação incerta ou contestada, por sua vez, deve estreitar o envelope de autoridade — limitar ações a opções recuperáveis, acionar estado seguro, exigir validação adicional, ou escalar para decisão humana quando o tempo o permite. Conservador não significa necessariamente "mais humano"; significa menor delegação de ação irreversível sob incerteza, e nalguns cenários de janela temporal curta a opção mais conservadora é precisamente uma ação automática limitada, não uma aprovação humana que não há tempo de exercer com substância.

Pergunta 3 — Qual o perfil de recuperabilidade das ações candidatas? Os cinco sentidos distinguidos na Secção 2.5 — comando, física, temporal, económica, segurança — têm de ser avaliados para a ação específica (reduzir carga, parar uma linha, acionar um interlock, adiar manutenção), não para a tarefa em geral. A mesma classe de falha pode produzir ações com perfis de recuperabilidade radicalmente diferentes consoante o cenário exato, como a Secção 3.6 já ilustrou.

Pergunta 4 — As quatro condições do paradoxo aplicam-se a este cenário? Automação fiável na rotina, intervenção humana rara, responsabilidade humana residual, e exceções críticas, opacas ou temporalmente exigentes. Se as quatro coexistem, qualquer arquitetura que preserve responsabilidade humana residual sem intervenção frequente exige justificação especialmente rigorosa e mecanismos ativos de preservação de competência — mas as condições podem coexistir com maior ou menor intensidade, e o que importa não é apenas a sua presença binária, é o produto entre a probabilidade de desacoplamento e a gravidade da consequência caso ocorra, já discutido na Secção 3.5.

Pergunta 5 — Os cinco fatores de controlo efetivo são sustentáveis ao longo do tempo? A Secção 1.4 definiu controlo humano efetivo como dependente conjuntamente de informação, tempo, competência, autoridade e carga de trabalho. Um desenho pode satisfazer os cinco fatores no dia da validação e ainda assim degradar-se — por rotação de pessoal, por aumento do número de sistemas sob supervisão do mesmo operador, por erosão de competência pelo mecanismo da Secção 3.3, por drift que altera a classificação prática da tarefa, ou por uma mudança no processo que reduz a recuperabilidade assumida. Esta não é a última pergunta de uma cadeia linear — é a porta que reabre qualquer uma das anteriores, o que torna o heurístico um processo de verificação contínua, não uma decisão única tomada no momento do desenho.

4.3. O Que Este Heurístico Não É

Duas ressalvas, ambas herdadas da disciplina já estabelecida no resto da trilogia. Primeiro, este heurístico não está empiricamente validado — é uma proposta de desenho, construída a partir de precedentes teóricos e de um paradoxo bem fundamentado, mas não testada em ambiente controlado. A Secção 1.3 já notou que a própria tradição de níveis de automação da qual este artigo herda vocabulário tem uma controvérsia empírica não resolvida sobre a generalização dos seus achados centrais; este heurístico herda essa mesma incerteza, não a resolve. Segundo, as portas não produzem uma resposta automática — produzem um espaço de arquiteturas defensáveis, mais estreito do que o espaço original de quatro, mas raramente reduzido a uma única opção. A escolha final dentro desse espaço continua a exigir julgamento de engenharia, custo, e tolerância ao risco que este artigo não pretende substituir.

4.4. Ilustração: Argus, Revisitado

Aplicando o heurístico ao cenário de deteção de anomalia térmica já descrito na Secção 3.6 (deteção com antecedência suficiente, redução de carga tecnicamente segura, custo de falso positivo limitado): o critério e o domínio estão razoavelmente bem definidos, sem endogeneidade forte aparente (condição prévia); a desigualdade temporal sustenta-se com folga (Pergunta 1); a tarefa classifica-se próxima do polo analítico com confiança razoável (Pergunta 2); a recuperabilidade é alta em quase todos os sentidos (Pergunta 3); as condições do paradoxo podem aplicar-se, mas a consequência operacional do desacoplamento é mitigada pelo perfil de recuperabilidade assumido para este cenário específico (Pergunta 4); e os cinco fatores de controlo parecem sustentáveis com vigilância de rotina (Pergunta 5). O espaço resultante inclui humano-sobre-o-loop com mecanismos moderados de preservação de competência, e possivelmente autonomia operacional delimitada para o sub-caso de redução de carga especificamente, mantendo humano-sobre-o-loop apenas para a decisão de paragem completa.

No cenário de vibração e falha de rolamento, com coordenação produtiva relevante e custo de intervenção tardia elevado: a desigualdade temporal pode ainda sustentar-se, mas com menor folga; a classificação é quasirracional, não analítica pura, e possivelmente heterogénea por subtarefa — a deteção do sinal pode ser mais analítica do que a decisão de parar a produção (Pergunta 2); a recuperabilidade é baixa em pelo menos dois sentidos, económico e de segurança (Pergunta 3); as condições do paradoxo aplicam-se com consequência elevada, dado o perfil de recuperabilidade (Pergunta 4); e os cinco fatores exigem mecanismos ativos, não apenas vigilância de rotina (Pergunta 5). O espaço resultante exclui autonomia operacional delimitada para a decisão ampla de paragem sem salvaguardas adicionais, e admite humano-sobre-o-loop apenas condicionado a mecanismos ativos de preservação de competência, exercícios de deteção periódicos, e uma auditoria formal adaptada a intervenções humanas raras e selecionadas. O Artigo 5 fornece a arquitetura conceptual de partida para essa auditoria, mas a sua extensão ao humano-sobre-o-loop permanece um problema explicitamente aberto, já sinalizado na Secção 2.3.

---

Este heurístico fecha o arco do Artigo 4: da tradição herdada e da sua controvérsia (Secção 1), através das quatro arquiteturas formalmente definidas (Secção 2) e do paradoxo que explica porque nenhuma é universalmente correta (Secção 3), até a um instrumento de desenho que cruza essas peças sem colapsar na tabela estática que a Secção 1.2 já tinha avisado contra. O que resta em aberto — se a arquitetura escolhida, uma vez implementada, mantém efetivamente correspondência com o ambiente que este heurístico pressupõe — é a questão que o Artigo 5 permite auditar condicionalmente, através da cadeia Ambiente → IA → Humano → Ação → Ambiente, sob especificação explícita do critério, das unidades de decisão, e das fronteiras do sistema.