O Vigilante Também Julga — A Validade Ecológica da Supervisão Humana em Loops Ciber-Físicos Fechados

A Supervisão Humana como Sistema de Avaliação

Se a avaliação da inteligência artificial exige validade ecológica — aferindo o comportamento do modelo em contexto real e não em condições laboratoriais idealizadas , surge uma questão simétrica: conservam os próprios mecanismos de supervisão humana a validade ecológica necessária para avaliar o sistema em tempo real? Quando transposta para a supervisão de ciclos ciber-físicos fechados (IA+IoT), a estrutura conceptual de Egon Brunswik revela uma inversão direta. O "organismo que julga" passa a ser o supervisor humano, enquanto o "ambiente" se converte no próprio ciclo ciber-físico — sensores, atuadores e o modelo de IA que decide. A variável distal deixa de ser o estado do mundo que a IA tenta inferir e passa a ser o estado real do próprio sistema em execução: se o equipamento está de facto a degradar-se, se a decisão tomada minutos antes foi adequada ou se existe uma anomalia incipiente sem alerta. As pistas proximais reduzem-se aos dashboards, relatórios periódicos e alertas pontuais que chegam ao supervisor.

Contudo, existe uma diferença crucial em relação ao modelo percetivo original: enquanto as pistas da ecologia natural são dadas pela natureza, as pistas de supervisão são desenhadas por escolhas de engenharia relativas à taxa de amostragem, agregação e limiares de alerta. A validade ecológica da supervisão passa a depender da correlação efetiva entre o que o dashboard apresenta e o que está a acontecer no sistema físico. Instala-se, ademais, uma camada extra de risco: a confiança que o supervisor deposita na pista pode continuar intacta muito depois de a sua validade ter começado a cair, num desfasamento associado à complacência de automação e ao viés de automação.

O Mecanismo de Erosão: Vazio Institucional vs. Resistência Ativa

À medida que a cadência do ciclo ciber-físico acelera para a escala dos milissegundos, a taxa a que o sistema muda de estado excede em várias ordens de grandeza a taxa a que o humano processa essa mudança — e dessa discrepância nasce um fenómeno próximo do aliasing temporal. Sob a perspetiva da Lei da Variedade Requisitada de Ross Ashby, a variação de estados do sistema excede drasticamente a banda passante cognitiva humana, estimada entre 10 e 50 bits por segundo. Para que a informação chegue ao humano de forma compreensível, o sistema é obrigado a realizar uma compressão agressiva de dados, quebrando a correspondência entre a pista observada e a realidade distal.

Neste ponto, é fundamental separar dois mecanismos que produzem o mesmo sintoma de desfasamento, mas que exigem hipóteses explicativas radicalmente distintas:

1. Vazio institucional: Trata-se de uma propriedade arquitetural direta de dois ciclos a operarem em regimes temporais incompatíveis. A cadência do ciclo automatizado excede a frequência viável de revisão humana, limitada por custos cognitivos e organizacionais. Este mecanismo não exige qualquer agência por parte do sistema e é demonstrável num controlador PID clássico, sem qualquer linha de código de aprendizagem.

2. Resistência ativa (convergência instrumental): Descrita por Omohundro e Bostrom, postula que um sistema orientado a objetivos desenvolve subobjetivos de autopreservação para evitar ser desligado ou corrigido. No entanto, a resistência ativa exige cumulativamente três condições: um objetivo aberto e pouco delimitado, capacidade de raciocínio estratégico sobre a própria supervisão e acesso aos mecanismos de controlo.

Um sistema de deteção de anomalias em IoT industrial, com uma função de perda estreita e sem vias de atuação sobre os seus controlos de segurança, não satisfaz nenhuma destas três premissas. Explicar o hiato de supervisão observado recorrendo à resistência ativa é escolher a hipótese mais pesada e especulativa, quando o vazio institucional — decorrente do mero desfasamento de cadências — é a explicação parcimoniosa, suficiente e diretamente observável em sistemas sem pretensão de agência.

A Desconexão no Terreno: Evidência Empírica

Esta erosão motivada pelo vazio institucional já se manifesta em cenários operacionais de elevada cadência. No incidente de trading da Citigroup em maio de 2022 (objeto de sanção regulatória em 2024), uma instrução errónea resultou na execução algorítmica de 1,4 mil milhões de dólares em escassos minutos. A equipa de monitorização em tempo real não escalou a vaga de 284 alertas e a gestão de risco só reagiu cerca de 20 minutos após o cancelamento das ordens, demonstrando a perda de correlação entre a monitorização humana e o estado real do mercado.

De igual modo, durante o apagão da Península Ibérica de 28 de abril de 2025, uma cascata de disparos automáticos de geração e sobretensões desenrolou-se em sensivelmente 78 segundos. Os operadores humanos, vinculados a procedimentos padrão e à cadência manual de ativação de recursos de compensação como reatores shunt, viram a dinâmica do sistema ultrapassar a capacidade humana de reação. Da mesma forma, na cibersegurança em centros de operações de segurança (SOC), relatórios de 2026 registam tempos de invasão (breakout times) de apenas 51 segundos e exfiltrações em 72 minutos; perante esta cadência, as filas de triagem e relatórios humanos demoram dezenas de minutos a horas a processar dados, descrevendo estados operacionais que já deixaram de existir.

Mitigações de Engenharia e o Redesenho do Paradigma

A engenharia de controlo tentou atenuar este desfasamento através de vários mecanismos. A auditoria por exceção reduz a carga de dados em regime permanente, mas perante surtos de alta cadência despoleta fadiga de alarmes e devolve o controlo a um operador sem consciência situacional (out-of-the-loop). O Controlo Estatístico de Processo (SPC) pressupõe variações lentas e distribuições conhecidas, falhando perante comportamentos emergentes não-lineares da IA. A autonomia por níveis — transitar o sistema entre diferentes graus de intervenção humana consoante a incerteza estimada — tropeça no paradoxo de Bainbridge: abrandar o processo para esperar validação humana tende a anular a própria função do sistema de alta cadência, e devolver o controlo ao humano precisamente no momento de maior incerteza é também o momento de maior probabilidade de erro. Os disjuntores e kill switches interrompem o processo para garantir a segurança funcional, mas sacrificam a operabilidade e não restauram a validade da observação em tempo real. A abordagem mais sólida assenta em envelopes de segurança e Funções de Barreira de Controlo (CBFs), que restringem matematicamente o espaço de ações permitidas à IA.

Ainda assim, como reconhecem normas recentes como a ISO/IEC 42001:2023 e o EU AI Act (Artigo 14.º), estas salvaguardas partem do princípio de que a supervisão operacional quase instantânea é uma impossibilidade física quando o tempo de tolerância do processo é inferior ao tempo de reação humano. O paradigma da supervisão é assim forçado a deslocar-se da escala operacional para uma escala estrutural e normativa, medida não em milissegundos mas em ciclos de revisão de políticas e de envelopes de segurança. O supervisor humano deixa de atuar no ciclo rápido e passa a desenhar os envelopes de segurança, a ajustar Gémeos Digitais Preditivos que projetam trajetórias futuras e a definir políticas de risco a priori.

Este argumento não se aplica universalmente, sendo condicional a domínios com ciclos ciber-físicos apertados; em decisões organizacionais, financeiras ou estratégicas comuns, onde os dois ritmos são comparáveis, a ideia simplesmente não tem tração. Subsiste, além disso, um risco retórico que vale a pena nomear sem resolver: a própria frase "a supervisão perde validade ecológica" pode ser apropriada, de boa ou má-fé, para justificar menos supervisão em vez de supervisão redesenhada. O diagnóstico proposto aqui é sobre um facto — uma correspondência que se degrada — e não sobre o que fazer com esse facto; confundir os dois seria repetir, do lado da supervisão, o mesmo erro que este artigo já apontou do lado da IA: tratar uma constatação sobre validade como se fosse, por si só, uma licença normativa. Fica por resolver, e talvez tenha mesmo de ficar, se existe uma forma de redesenhar a supervisão que não seja, ela própria, apenas mais uma pista proximal — mais um dashboard — a postular confiança onde ainda não há correspondência demonstrada.

Do Output ao Outcome: o Critério Distal como Exigência de Validade Ecológica

A distinção entre output e outcome, corrente na avaliação de programas e nos modelos lógicos de intervenção (input → atividade → output → outcome → impacto), não é uma mera convenção terminológica emprestada da gestão. Ela codifica uma diferença ontológica que a psicologia Brunswikiana havia já formalizado décadas antes através do lens model: o output corresponde ao julgamento proximal do sistema — aquilo que este produz diretamente e sob o seu controlo, a partir do processamento de pistas (cues) disponíveis , ao passo que o outcome corresponde ao critério distal no ambiente, o estado do mundo que esse julgamento pretendia predizer ou influenciar, e que já não está sob o controlo direto do sistema. O achievement — a validade ecológica em sentido estrito — é definido por Brunswik precisamente como a correlação entre estes dois termos, não como uma propriedade intrínseca do output.

Esta convergência entre um vocabulário originado na avaliação de programas (consolidado, por exemplo, nos modelos lógicos da W. K. Kellogg Foundation e nos critérios de avaliação da OCDE-DAC) e o aparato conceptual de Brunswik não é coincidência disciplinar isolada: encontra um paralelo particularmente robusto no modelo structure–process–outcome de Donabedian (1966) para a avaliação da qualidade em cuidados de saúde. Donabedian argumenta, num domínio inteiramente independente, que a avaliação do processo clínico — o equivalente ao output — é necessária mas insuficiente, e que a validade última de um sistema de saúde só se estabelece no outcome do doente. Esta convergência interdisciplinar reforça a tese central deste artigo: se campos tão distintos como a psicologia percetiva, a avaliação de programas e a medicina clínica chegam independentemente à mesma distinção estrutural, isso constitui evidência a favor de que o output não é decomponível no outcome por definição, mas antes uma variável correlacionada e falível.

A implicação para a avaliação de sistemas de IA — e, com particular acuidade, de sistemas de IA+IoT — é direta. Um benchmark mede tipicamente a correspondência entre o output do modelo e um rótulo de referência num conjunto de dados: se a classificação corresponde à etiqueta correta. Esta é uma medida de fidelidade interna ao sistema de avaliação, não uma medida de achievement ecológico. A validade ecológica exige, pelo contrário, que se pergunte se aquele output, uma vez inserido no ambiente real — com a distribuição de cenários, o ruído instrumental e os mediadores humanos e mecânicos que lhe são próprios , produz de facto o estado distal desejado. Num sistema como o descrito na secção anterior sobre loops fechados ciber-físicos, o output é "anomalia corretamente classificada segundo o critério de teste"; o outcome é "falha efetivamente evitada" ou "tempo de paragem reduzido". Entre os dois interpõe-se uma cadeia de mediadores causais — a interpretação do operador, a latência da resposta, a adequação da interface de supervisão — que pode fazer divergir sistematicamente o output correto do outcome desejado, exatamente como a tese Brunswikiana previa para o julgamento percetivo humano. É este o fundamento teórico do argumento, já desenvolvido, de que o painel de supervisão é ele próprio um sistema de avaliação sujeito a requisitos de validade ecológica: é o elo que converte output em outcome, e uma falha de validade ecológica nesse elo compromete toda a cadeia, independentemente da qualidade do output do modelo a montante.

Importa antecipar a objeção óbvia: os outcomes são tipicamente mais ruidosos, mais atrasados no tempo e multicausalmente confundidos (por políticas de manutenção, comportamento do operador, variação de carga do sistema físico), o que explica — mas não justifica epistemicamente — a preferência metodológica generalizada pela avaliação de outputs. Esta tensão é estruturalmente análoga à crítica do próprio Brunswik ao design experimental de laboratório não representativo: a conveniência de medir aquilo que é facilmente mensurável tem um custo sistemático de validade que só se manifesta quando o sistema é transposto para o ambiente ecológico real. A avaliação de outcomes não substitui a avaliação de outputs, mas exige a sua complementação através de múltiplas fontes de evidência convergentes, precisamente porque nenhuma medida isolada de outcome está imune a confundimento.