2. As Quatro Arquiteturas — Configurações de Autoridade, Não Pontos numa Escala

A Secção 1.2 prometeu que as quatro arquiteturas não seriam pontos numa escala única de "quanto automatizar", mas configurações distintas de autoridade ao longo dos quatro estágios funcionais de Parasuraman, Sheridan e Wickens. Esta secção cumpre essa promessa separando, em cada arquitetura, quem seleciona uma ação candidata, quem a autoriza, e quem a implementa. Estas três operações não coincidem necessariamente na mesma pessoa nem no mesmo momento, e confundi-las apaga exatamente a granularidade que a Secção 1.2 importou de Parasuraman, Sheridan e Wickens.

A cadeia formal do Artigo 5 — $\text{Ambiente} \rightarrow \text{IA} \rightarrow \text{Humano} \rightarrow \text{Ambiente}$ — foi construída para introduzir os dois Lens Models e a mediação da recomendação. Aqui, o objeto central é outro: quem pode agir, e quem pode impedi-lo. Por isso, esta secção usa uma cadeia mais explícita, com a ação como elo próprio:

$$\text{Ambiente} \rightarrow \text{IA} \rightarrow \text{Decisão Humana} \rightarrow \text{Ação} \rightarrow Y_e$$

Nota metodológica que a tabela por si só não transmite: em humano-sobre-o-loop e autonomia operacional delimitada, a IA nunca "autoriza" a ação — a autorização relevante foi concedida antes, por uma pessoa ou organização, ao definir o envelope operacional. A política algorítmica seleciona ou desencadeia a ação individual dentro dessa delegação. Em autonomia humana assistida, por outro lado, a separação entre "seleção" e "autorização" que a tabela mantém para as restantes três arquiteturas colapsa: é a mesma decisão humana que seleciona e autoriza, num único ato — o que distingue claramente esta arquitetura de humano-no-loop, onde seleção algorítmica e autorização humana são verdadeiramente dois atos separados, por agentes diferentes.

A diferença entre a primeira e a segunda linha desta tabela merece ser dita em prosa: em autonomia humana assistida, a recomendação da IA entra como uma pista entre outras num julgamento humano que inicia a seleção da ação. Em humano-no-loop, a política algorítmica apresenta uma proposta concreta, estabelecendo uma opção de partida que o supervisor pode aprovar, rejeitar ou modificar. Esta diferença não elimina necessariamente a integração humana de pistas — um sistema humano-no-loop pode disponibilizar ao supervisor as pistas diretas, a evolução temporal dos sinais, alternativas de ação, a incerteza estimada, e a possibilidade de alterar a proposta, não apenas aceitá-la ou recusá-la. O que a diferença desloca é a arquitetura cognitiva da escolha: a proposta da IA funciona como âncora e enquadramento, tornando a deliberação humana mais vulnerável à aprovação rotineira precisamente quando a interface não oferece contexto, alternativas e autoridade substantiva. A degradação para uma tarefa de confirmação binária não é, portanto, uma propriedade definicional de humano-no-loop — é um risco de desenho, e uma instância específica do desacoplamento supervisório já definido na Secção 1.4.

2.1. Autonomia Humana Assistida

Esta é a arquitetura a que a cadeia de dois Lens Models do Artigo 5 se aplica mais diretamente — mas "mais diretamente" não significa "sem condições". A auditoria via $G_{humano}$ e os pesos condicionais $\hat{w}_{Z_j}$ pressupõe que: o supervisor recebe um conjunto observável de pistas; as pistas diretas e a recomendação algorítmica estão registadas; a decisão humana tem uma forma modelável; o critério está suficientemente definido; e a ação não torna o critério observado trivialmente endógeno — esta última condição será retomada, na sua forma fraca e forte, na Secção 3 do Artigo 5. Quando estas condições se verificam, o output da IA pode ser modelado como $Z_{IA}$, ao lado das pistas diretas disponíveis ao supervisor.

Há uma ligação natural entre janela temporal curta, elevado número de pistas, e uma recomendação saliente — mas a consequência não é inevitavelmente over-reliance. É uma hipótese diagnóstica entre várias: o resultado pode ser também subponderação da recomendação, atenção excessiva a uma pista ambiental saliente, atrasos de decisão, ou delegação seletiva apenas em certos regimes. A janela temporal curta pode aumentar o risco de a recomendação se tornar uma âncora decisória desproporcionada — hipótese que o Artigo 5 permite examinar através do peso condicional atribuído a $Z_{IA}$, da consistência da política humana, e dos padrões de aceitação, modificação ou rejeição, não através de uma dedução automática a partir da estrutura da tarefa.

2.2. Humano-no-Loop

Esta arquitetura pode reduzir o tempo necessário para iniciar uma decisão, porque a política algorítmica apresenta uma opção concreta de partida. Essa eficiência, porém, só se realiza de forma legítima se o supervisor continuar a receber contexto suficiente, alternativas efetivas, e autoridade substantiva para modificar ou rejeitar a proposta — não é uma propriedade automática da arquitetura, é uma condição de desenho que a interface tem de cumprir.

Nos termos de Sterz et al. (2024), a supervisão eficaz exige poder causal, acesso epistémico, autocontrolo, e intenções adequadas ao papel de supervisão; uma aprovação humana só mitiga risco se o supervisor puder compreender a situação, contestar a proposta, e executar uma trajetória alternativa de ação. A aprovação automática e rotineira não deve ser atribuída, isoladamente, a uma falha de autocontrolo. Pode resultar de qualquer combinação entre: falta de poder causal para alterar a proposta apresentada; acesso insuficiente às pistas necessárias para a avaliar; fadiga, pressão temporal, ou carga de trabalho excessiva; incentivos organizacionais que recompensam a aprovação rápida; competência insuficiente para avaliar a decisão; ausência de alternativas visíveis na interface; ou um desenho de interface que apresenta a recomendação como inevitável. A auditoria desta arquitetura não deve, portanto, procurar uma causa única para a aprovação rotineira, mas testar cada uma destas hipóteses separadamente.

Um indicador de auditoria relevante, mas que exige qualificação: uma taxa de aprovação próxima de 100%, isoladamente, não prova desacoplamento — a IA pode estar bem calibrada, ou as propostas podem ser genuinamente de baixo risco. Só se torna um sinal a investigar quando combinada com tempos de decisão muito curtos, ausência de modificações às propostas, e baixa capacidade de deteção de propostas erradas em testes controlados ou em auditoria retrospetiva.

2.3. Humano-sobre-o-Loop

Os quatro estágios funcionais são automatizados por defeito — a IA deteta, analisa, decide e age sem esperar por autorização prévia — e a autoridade humana passa a ser exercida por exceção: vetar, suspender ou reconfigurar dentro de uma janela de intervenção. A cadeia de intervenção humana não é, contudo, equivalente à cadeia da Secção 2.1 — é observada apenas nos episódios que ativam alerta, suspeita, discordância ou iniciativa supervisória. A sua auditoria exige, por isso, tratar explicitamente a seleção dos casos de intervenção: os dados de intervenção não representam a distribuição integral de casos que a IA resolveu autonomamente, e generalizar a partir deles sem reconhecer essa seleção é um erro de amostragem, não de teoria.

Mais fundamentalmente, o veto só é real se puder ocorrer antes do limiar relevante de irreversibilidade:

$$t_{\text{até irreversibilidade}} > t_{\text{deteção}} + t_{\text{compreensão}} + t_{\text{decisão}} + t_{\text{intervenção}}$$

— onde cada termo inclui, implicitamente, a latência de sensores, de comunicação, de alerta, e de transmissão do próprio comando de intervenção. Esta condição é necessária, mas não suficiente: mesmo quando a janela temporal permite intervenção, o controlo humano só é efetivo se o supervisor dispuser também de acesso epistémico, competência, autoridade causal, e carga de trabalho compatível — os restantes quatro fatores já definidos na Secção 1.4. Quando a desigualdade temporal falha, o sistema pode manter uma interface de override, mas não mantém controlo humano operacional — há apenas registo posterior ou governação diferida. Esta condição é consistente com a preocupação central da ironia de Bainbridge, entendida como continuidade conceptual e não como atribuição literal: uma arquitetura pode exigir do humano competência de recuperação precisamente depois de a operação normal ter reduzido as oportunidades para exercitar e preservar essa competência.

2.4. Autonomia Operacional Delimitada

A presença humana desloca-se inteiramente para fora do ciclo de decisão individual e passa a residir na definição do envelope operacional, na validação do sistema antes do deployment, na manutenção e calibração dos sensores, e na governação contínua. A cadeia operacional mantém a forma $E \rightarrow D_{IA} \rightarrow A_{IA} \rightarrow Y_e$, sem o segundo Lens Model do Artigo 5 e sem interrupção prevista caso a caso.

Isto não torna esta arquitetura imune a auditoria — apenas desloca o que se audita, de decisão para fronteira. Mas "auditoria de fronteira" não se esgota em medir com que frequência a operação se aproxima dos seus limiares. Um sistema pode falhar dentro do envelope, sem nunca se aproximar de um limiar definido, porque os sensores degradaram, a relação pista-critério mudou, um novo modo de falha surgiu, a ação deixou de produzir o efeito físico esperado, ou a distribuição dos dados se alterou sem cruzar nenhuma fronteira explícita. A auditoria de fronteira deve avaliar, no mínimo:

Esta arquitetura continua a permitir uma descrição de um estágio da relação entre política algorítmica, ação e desfecho observado — mas a interpretação do achievement torna-se, ainda assim, especialmente delicada quando a ação altera o próprio $Y_e$. Este problema não é exclusivo da autonomia operacional delimitada: qualquer intervenção, humana ou algorítmica, pode endogeneizar o critério que a avalia — uma paragem humana de uma máquina previne a falha exatamente tanto quanto uma paragem automática. O que muda nesta arquitetura não é a probabilidade de endogeneidade, mas a dificuldade de a desemaranhar: sem mediação humana caso a caso, e sem a heterogeneidade de julgamento que diferentes supervisores introduziriam entre si — a mesma heterogeneidade que Kleinberg et al. (2018) exploraram como instrumento de identificação no Artigo 5 —, torna-se estruturalmente mais difícil separar a qualidade da política algorítmica, o efeito causal da própria ação, a seleção dos casos em que a ação ocorreu, e a alteração do critério pelo controlo exercido. É esta ausência de variação natural, não uma maior propensão à endogeneidade em si, que torna esta arquitetura a mais exigente para auditar — e que este artigo assinala como extensão a desenvolver, não como instrumento já disponível.

2.5. Uma Dimensão Transversal: Recuperabilidade

A dimensão que atravessa as quatro arquiteturas não é a reversibilidade da ação, entendida como propriedade única e abstrata, mas a recuperabilidade do sistema — a capacidade de desfazer, compensar, ou conter os efeitos de uma ação antes de ocorrer dano irreversível. Esta não é uma contribuição original deste artigo; é antes uma consideração já consolidada em frameworks práticos de controlo de autonomia de sistemas de IA, ainda que nem sempre integrada de forma sistemática na literatura académica que cruza CCT, arquitetura de autoridade, e auditoria ecológica — é precisamente essa integração, não a descoberta do princípio, que este artigo propõe. A sua relevância aqui exige, contudo, distinguir vários sentidos que a palavra "reversível" frequentemente confunde:

Reduzir carga num motor pode ser trivialmente reversível como comando, e ainda assim economicamente irreversível pela produção perdida. Parar uma linha pode ser reversível como ação técnica, mas perigosa ou dispendiosa consoante o estado do processo no momento da paragem. Autonomia operacional delimitada é mais defensável quando as ações autorizadas são recuperáveis nestes múltiplos sentidos dentro da janela relevante, quando existe fallback seguro, e quando o custo de um falso positivo permanece proporcional ao risco evitado — não quando a ação é, em abstrato, "reversível".

---

Com as quatro arquiteturas formalmente definidas, a Secção 3 pode agora retomar a questão deixada em aberto desde a Secção 1: como devem as propriedades da tarefa condicionar a distribuição de autoridade? A hipótese central não é que tarefas mais analíticas produzam automaticamente desacoplamento supervisório — uma tarefa pode ser altamente estruturada, mensurável, decomponível e validada, e nesse caso autonomia operacional delimitada pode ser inteiramente adequada, sem que exista sequer expectativa de intervenção humana caso a caso a desacoplar-se. O risco emerge, antes, de uma conjunção específica de quatro condições: automação fiável na rotina, intervenção humana rara, responsabilidade humana residual, e exceções críticas, opacas ou temporalmente exigentes. É nessa combinação — não na "analiticidade" da tarefa isoladamente — que o desacoplamento supervisório se torna mais silencioso e mais difícil de detetar.