1. A Tradição Recebida — Genealogia, Vocabulário Multidimensional, Controvérsia, e o Limite entre Autoridade e Controlo
1.1. Genealogia
A ideia de que os modos de cognição devem ser considerados no desenho de sistemas distribuídos não começa com sistemas AI-IoT. Hamm (1989) constitui um precedente conceptual confirmado: o título e o resumo acessíveis do seu trabalho estabelecem explicitamente que modos de cognição devem ser considerados no desenho de sistemas que exigem decisão distribuída. O grau de sobreposição metodológica entre esse artigo e a proposta apresentada aqui permanece, contudo, indeterminado enquanto o texto integral não for examinado. A referência aparece também na bibliografia de Dhami e Thomson sobre a relevância da Cognitive Continuum Theory, o que confirma a sua pertença à genealogia reconhecida da tradição de Hammond, mas não permite reconstruir o seu argumento em detalhe.
Esse precedente basta para fixar uma fronteira de originalidade. A contribuição deste artigo não é afirmar, pela primeira vez, que modos de cognição são relevantes para o desenho de sistemas de decisão distribuída. Essa ligação geral já foi formulada. A contribuição está numa operacionalização contemporânea para sistemas AI-IoT: traduzir o perfil estrutural da tarefa, definido pelas propriedades da Cognitive Continuum Theory, num envelope condicional de autonomia; distribuir autoridade entre política algorítmica, supervisor humano e mecanismos físicos de segurança; especificar gatilhos de escalada, veto, suspensão e recuperação; e ligar posteriormente essa arquitetura a uma auditoria ecológica da cadeia de decisão.
Também Illankoon, Tretten e Kumar (2019) constituem um antecedente relevante, mas não idêntico. Os autores propõem um enquadramento para compreender a cognição humana perante comportamento anómalo de máquinas, informado por teorias de cognição, conhecimento explícito e implícito, consciência situacional e, entre outras referências, pela Cognitive Continuum Theory. O seu contributo confirma que a CCT é relevante para a interação humano-máquina em manutenção e para a resposta a anomalias técnicas. Não substitui, porém, uma classificação explícita de tarefas pelas onze propriedades estruturais da CCT, nem uma tipologia de distribuição de autoridade entre IA, humano e mecanismos de segurança.
A distinção importa porque "considerar a cognição" é uma fórmula demasiado ampla para orientar desenho. Um sistema pode reconhecer que o operador tem limitações cognitivas e, ainda assim, limitar-se a acrescentar mais alertas, mais dashboards ou mais explicações a uma arquitetura cuja distribuição de autoridade permanece mal definida. A questão deste artigo é mais específica: dadas as propriedades estruturais de uma tarefa ciber-física, quando deve a IA apenas informar, quando deve propor, quando pode agir sob veto, e quando — se alguma vez — pode operar sem intervenção humana contemporânea?
A resposta não é uma atribuição fixa de competências entre "humano" e "máquina". É uma arquitetura condicional, dependente de regime, de risco, de tempo disponível, de reversibilidade, de qualidade dos dados e de capacidade real de recuperação.
1.2. Vocabulário Multidimensional
O vocabulário mais influente para descrever essas escolhas foi desenvolvido na tradição dos níveis de automação. Parasuraman, Sheridan e Wickens (2000) propuseram um modelo que distingue quatro estágios funcionais: aquisição de informação, análise de informação, seleção de decisão e ação, e implementação da ação. A importância duradoura desse modelo não está apenas nos seus dez níveis de automação, mas na rejeição implícita de uma ideia demasiado simples: que um sistema possa ser descrito por um único grau global de automação.
Automação não é uma variável única. Um sistema pode automatizar quase inteiramente a aquisição de dados — recolher sinais de sensores, filtrar ruído, sincronizar séries temporais e detetar valores anómalos — mas deixar a interpretação ao humano. Pode automatizar análise e classificação, mas exigir autorização humana antes da implementação da ação. Pode ainda automatizar uma ação física estritamente delimitada, como reduzir carga ou parar uma máquina perante um limite de segurança, sem automatizar a decisão mais ampla sobre manutenção, substituição de equipamento ou reconfiguração do processo.
As quatro arquiteturas propostas mais adiante não são, por isso, quatro pontos numa escala única de "quanto automatizar". São configurações de autoridade sobre decisão e ação, compatíveis com diferentes graus de automação em cada estágio funcional.
A genealogia desta tradição remonta à chamada Fitts list, associada ao relatório de Paul Fitts (1951) sobre engenharia humana para navegação aérea e controlo de tráfego. A lista procurava distribuir funções a partir de capacidades comparadas de humanos e máquinas. Esta lógica tornou-se mais tarde conhecida, de forma abreviada, como MABA-MABA — Men Are Better At / Machines Are Better At. A atribuição deve, contudo, ser feita com cuidado: Fitts é a origem da lista e da lógica comparativa; não deve ser apresentado como autor do acrónimo posterior.
A influência histórica da lógica MABA-MABA não a torna suficiente. Dekker e Woods (2002) criticaram precisamente a ideia de que a coordenação humano-automação possa ser resolvida por uma substituição estática de funções: identificar aquilo em que humanos seriam melhores, identificar aquilo em que máquinas seriam melhores, e dividir o trabalho em conformidade. O problema não é apenas que uma tabela fixa de competências deixa de funcionar quando o contexto muda. É que a própria introdução da automação altera o trabalho humano que a tabela pretendia alocar. O operador deixa de executar diretamente determinadas tarefas e passa a monitorizar, interpretar, confirmar, recuperar, gerir exceções e responder a falhas que o desenho anterior pode não ter previsto.
É essa crítica que justifica a arquitetura proposta neste artigo. A questão não é simplesmente "quem é melhor nesta tarefa?". É: "que trabalho humano é criado pela automação, em que regimes esse trabalho é viável, e que autoridade deve o humano conservar quando o sistema deixa o domínio para o qual foi concebido?"
1.3. Controvérsia Interna
A tradição dos níveis de automação não chega ao Artigo 4 como um conjunto pacífico de resultados. Ela contém uma controvérsia empírica relevante sobre a relação entre grau de automação, desempenho de rotina, consciência situacional e desempenho perante falha.
Onnasch, Wickens, Li e Manzey (2014) conduziram uma meta-análise baseada em dados de dezoito experiências. Encontraram que níveis mais elevados de automação tendem a melhorar o desempenho de rotina e a reduzir a carga de trabalho quando a automação funciona corretamente, mas podem prejudicar o desempenho quando a automação falha e reduzir a consciência situacional do operador. Este padrão tornou-se associado à metáfora do lumberjack effect: uma automação pode aumentar o desempenho enquanto corta as "árvores" rotineiras, mas deixar o operador menos preparado para agir quando a ferramenta falha ou quando a situação deixa de ser rotineira.
O resultado não deve ser transformado numa lei simples contra a automação. A própria literatura sugere que os efeitos dependem do estágio funcional automatizado, do desenho da interação, da fiabilidade do sistema, da possibilidade de recuperação e da natureza da tarefa. Existem indicações de que consequências negativas são especialmente relevantes quando a automação atravessa a fronteira entre automatizar aquisição ou análise de informação e automatizar seleção de decisão ou ação. Esta possibilidade reforça a tese deste artigo: o problema não é apenas quanto automatizar; é o que automatizar, em que estágio funcional, sob que condições de tarefa e com que capacidade de recuperação humana.
A generalização do lumberjack effect para ambientes de trabalho complexos permanece contestada. Jamieson e Skraaning questionaram se os trade-offs identificados em tarefas mais controladas ou laboratoriais se transferem diretamente para contextos operacionais complexos. Wickens, Onnasch, Sebok e Manzey responderam que o estudo crítico não oferecia um teste adequado do efeito; Jamieson e Skraaning replicaram, defendendo que ambientes de trabalho complexos são precisamente aqueles em que a generalização precisa de ser examinada. A controvérsia posterior deslocou ainda a discussão para uma questão conceptual anterior: Skraaning e Jamieson (2023) argumentaram que "falha de automação" é frequentemente utilizada sem uma definição suficientemente clara, dificultando a comparação entre estudos, sistemas e intervenções.
A consequência para este artigo é direta. A tipologia proposta não resolve a controvérsia sobre automação e consciência situacional; herda-a. O que pode fazer é tornar explícitas as condições sob as quais uma determinada distribuição de autoridade parece defensável e, depois, exigir que essa escolha seja auditada contra o comportamento efetivo do sistema e contra o ambiente.
1.4. Autoridade Desenhada vs. Capacidade Supervisória Efetiva
As três subsecções anteriores partilham um pressuposto que precisa agora de ser tornado explícito e depois quebrado: que a posição do humano numa arquitetura — "no loop", "sobre o loop" — descreve a sua relação real com o sistema. Não descreve. Descreve apenas a relação pretendida.
Esta distinção tem, felizmente, um ancoradouro académico direto e recente. Sterz, Baum, Biewer, Hermanns, Lauber-Rönsberg, Meinel e Langer (2024), num artigo publicado na ACM Conference on Fairness, Accountability, and Transparency, propõem que a supervisão humana de sistemas de IA de alto risco só é efetiva se o supervisor tiver: poder causal suficiente sobre o sistema e os seus efeitos; acesso epistémico adequado aos aspetos relevantes da situação; autocontrolo; e intenções adequadas ao seu papel. Os autores argumentam que isto equivale a exigir que o supervisor seja moralmente responsável e tenha intenções compatíveis com essa responsabilidade — uma supervisão nominalmente atribuída, mas desprovida de qualquer uma destas condições, não é supervisão, é ficção jurídica.
Este artigo propõe uma operacionalização de engenharia dessas quatro condições, orientada a sistemas ciber-físicos em tempo real, e não pretende substituí-las nem redescobri-las: o poder causal de Sterz et al. corresponde, no contexto operacional aqui tratado, à autoridade real do supervisor para contrariar ou suspender uma ação; o acesso epistémico corresponde à informação disponível e interpretável no momento da decisão. A esta base acrescentam-se duas dimensões que a literatura de fatores humanos em ambientes de alto risco já trata como determinantes do desempenho supervisório, embora as quatro condições filosóficas de Sterz et al. não as isolem como categorias próprias: o tempo disponível para perceber, decidir e intervir — a mesma dimensão que a meta-análise de Onnasch et al. liga à consciência situacional — e a carga de trabalho, entendida como o número de sistemas e alertas concorrentes sob supervisão. Esta última dimensão, juntamente com a competência para compreender a situação e a recomendação, corresponde de perto aos Performance Influencing Factors já estabelecidos na engenharia de segurança de processos industriais de alto risco — nomeadamente pressão temporal, carga de trabalho e competência — que operadores e engenheiros de manutenção em contextos como o do Argus já reconhecem do seu próprio vocabulário de segurança.
O controlo humano efetivo depende, portanto, conjuntamente de cinco fatores — informação, tempo, competência, autoridade, carga de trabalho — sem que isto constitua uma função matemática validada; é, no mesmo espírito qualitativo da equação da cadeia ainda não derivada no Artigo 5, uma notação abreviada para uma dependência conjunta, não uma fórmula a calcular. Uma arquitetura formalmente humano-sobre-o-loop só é substantivamente humana-sobre-o-loop se estes cinco fatores forem, em conjunto, suficientes. Se um deles falhar de forma material — por exemplo, se o tempo até dano for inferior ao tempo necessário para deteção, interpretação e intervenção — o sistema entra no que este artigo designa por desacoplamento supervisório: a falha em que o humano permanece formalmente responsável, mas deixa de estar funcionalmente ligado ao ciclo de perceção, interpretação, decisão e intervenção.
Vale a pena notar, ainda, que as duas últimas condições de Sterz et al. — autocontrolo e intenções adequadas ao papel — não são substituídas por esta operacionalização, mas encontram uma expressão empírica direta na arquitetura de auditoria já desenvolvida no Artigo 5: a distinção entre agregado e o peso condicional é, em bom rigor, uma forma de medir precisamente se o autocontrolo do supervisor perante a recomendação algorítmica se mantém — a assinatura de over-reliance é, lida à luz de Sterz et al., uma falha de autocontrolo tornada estatisticamente visível.
O desacoplamento supervisório não é uma quinta arquitetura. É um modo de degradação transversal, que pode afetar qualquer uma das arquiteturas formalmente concebidas para incluir supervisão humana — e é precisamente por poder ocorrer sem que nada na arquitetura formal mude que é tão difícil de detetar sem auditoria.
1.5. Posicionamento e Transição
A postura adotada aqui ecoa a do Artigo 1 perante a tradição de Brunswik e a do Artigo 3 perante a Cognitive Continuum Theory. A tradição de níveis de automação, e agora a literatura sobre efetividade da supervisão humana, serão usadas como vocabulário partilhado e como fonte de problemas bem formulados; não serão tratadas como verdade validada nem como escala universal de maturidade técnica.
A próxima secção traduz este vocabulário em quatro arquiteturas de autoridade: autonomia humana assistida — a IA informa, recomenda, prioriza ou explica; o humano decide e age; humano-no-loop — a IA propõe; a ação exige autorização humana explícita; humano-sobre-o-loop — a IA pode agir dentro de um envelope; o humano monitoriza e pode vetar, suspender ou reconfigurar em tempo útil; e autonomia operacional delimitada, também referida como humano-fora-do-loop por desenho — a IA age sem intervenção humana contemporânea em decisões individuais, dentro de um domínio operacional e de limites de segurança explicitamente definidos. Cada arquitetura será definida não apenas pelo grau abstrato de intervenção humana, mas por quem recebe pistas, quem pode autorizar uma ação, quem a executa, quem pode vetá-la e quem responde quando o sistema sai do regime previsto — e cada uma delas, independentemente do seu desenho formal, permanece vulnerável ao desacoplamento supervisório definido acima.
Nas arquiteturas de autonomia humana assistida e humano-no-loop, a cadeia central é
que o Artigo 5 formaliza e audita diretamente. Na arquitetura humano-sobre-o-loop, a cadeia de ação por defeito é
mas pode ser interrompida, a qualquer momento dentro da janela disponível, por uma cadeia de intervenção humana equivalente à anterior. Na autonomia operacional delimitada, a cadeia operacional reduz-se à mesma forma sem interrupção prevista caso a caso, permanecendo a presença humana ao nível da definição do envelope, validação, manutenção e governação — não da decisão individual. Estas duas últimas arquiteturas exigem, portanto, uma extensão ou uma variante da auditoria em cadeia; não podem ser tratadas como aplicações mecânicas do modelo de dois estágios desenvolvido no Artigo 5.
Reconhecer este limite não enfraquece a tipologia. Pelo contrário: impede que "supervisão humana" seja invocada como rótulo confortável quando, na prática, a pessoa já não possui autoridade decisória contemporânea sobre a ação do sistema — e prepara o terreno para a Secção 3, onde o desacoplamento supervisório aqui definido se torna o instrumento com que se examina a tentação de automatizar mais precisamente nas tarefas que o Artigo 3 classificou como mais próximas do polo analítico.