I. A Prova Que Funcionou em Outro Lugar
Quando um sistema de IA sobe de nível, a pergunta decisiva é se a prova foi colhida no lugar onde ele vai atuar. Medir bem em um conjunto de testes e medir bem em um hospital, em uma carteira de crédito ou em uma fila de atendimento são afirmações diferentes, e a distância entre elas é onde o lastro costuma se perder.
Uma das medições mais citadas do progresso dos agentes ilustra a cautela. O METR, organização sem fins lucrativos que avalia agentes avançados, mede o chamado horizonte de tempo: a duração de tarefa, em tempo de um profissional humano, que um modelo conclui em metade das tentativas.
Na atualização de sua metodologia, o METR ampliou a suíte de avaliação de 170 para 228 tarefas e aumentou de 14 para 31 o número de tarefas estimadas em oito horas ou mais de trabalho humano. O relatório estima que o horizonte de tempo dos modelos de fronteira dobra em aproximadamente 188 dias na série completa e em cerca de 129 dias quando considerados apenas os modelos lançados desde 2023, com intervalo de confiança de aproximadamente 104 a 158 dias. Análises do próprio conjunto de resultados também apontam aceleração entre os modelos mais recentes, com estimativas próximas de 89 dias para o período iniciado em 2024. O METR ressalta que as estimativas permanecem sujeitas a ampla incerteza estatística, refletida nos intervalos de confiança divulgados para os modelos avaliados.
A Anthropic, em estudo de 18/02/2026, faz uma distinção que vale para toda a série: o horizonte do METR mede a dificuldade da tarefa, em tempo humano, em um cenário idealizado e sem consequências reais, e não quanto tempo o modelo de fato opera em uso. As duas medições, diz a Anthropic, não são diretamente comparáveis.
Para a diretoria, a consequência é simples. A medição de capacidade mostra que a curva sobe rápido, e a própria incerteza do METR mostra que a evidência para cada modelo e cada tarefa é ainda estreita. Nada disso diz o que um agente específico fará na rotina da organização, que é o que a linha decide.
[Ponto de Inflexão Fiduciária]: Das medições que sustentam hoje a linha de um sistema de IA da organização, quantas foram feitas no ambiente em que ele atua, e quantas vêm de testes públicos ou de fornecedores?
II. 737 MAX: a Premissa Humana Que Ninguém Mediu
O sistema de controle de voo MCAS, do Boeing 737 MAX, esteve envolvido em dois acidentes, em 2018 e 2019, que mataram 346 pessoas. O relatório final da Comissão de Transportes e Infraestrutura da Câmara dos Estados Unidos, divulgado em setembro de 2020, reúne o que a investigação do Congresso encontrou. A série toma dele uma única premissa.
No relatório de 238 páginas, a comissão registra que a Boeing não informou à autoridade de aviação, aos clientes nem aos pilotos dados internos de teste mostrando que um piloto de testes da própria empresa levou mais de 10 segundos para diagnosticar e responder a uma ativação não comandada do MCAS em um simulador, situação que ele descreveu como catastrófica. As diretrizes federais assumem que os pilotos respondem a essa condição em quatro segundos.
A comissão aponta ainda que o teste em simulador é de novembro de 2012, anterior à entrada do sistema em serviço, em 2017, e que a Boeing esperava que os pilotos, em grande parte sem saber que o MCAS existia, conseguissem mitigar qualquer mau funcionamento, e conclui que a Boeing supôs que os pilotos seriam o mecanismo de segurança de reserva de qualquer falha de projeto.
A leitura que interessa à linha de autonomia é de estrutura. O MCAS era uma automação que atuava sem aprovação prévia dos pilotos, e a segurança do arranjo dependia de uma premissa sobre a pessoa: que ela reconheceria e corrigiria a falha em quatro segundos. A premissa tinha o status de um fato, e o teste que a contradisse não chegou a quem decidia.
Duas conclusões de desenho. A primeira: a pessoa que intervém é parte do regime de operação, e o lastro precisa medi-la com as mesmas exigências com que mede a máquina. A segunda: uma medição que contradiz a premissa de que a linha depende é evidência de recuo, e precisa de um caminho até quem assina a linha. O que o caso mostra é a ausência desse caminho.
[Ponto de Inflexão Fiduciária]: Qual premissa sobre o comportamento humano sustenta hoje a linha de um sistema de IA da organização, e quem a mediu na prática?
III. Como Se Constrói um Lastro: o Caso IDx-DR
Há prova bem feita. O melhor exemplo documentado de autonomia concedida a um sistema de IA com evidência pública e verificável é o IDx-DR, software que lê imagens da retina para detectar retinopatia diabética, autorizado pela agência americana de alimentos e medicamentos, a FDA, em 2018. A decisão de classificação (De Novo DEN180001) é um modelo de lastro com escopo estreito.
Entre os 819 participantes plenamente analisáveis, o sistema atingiu sensibilidade de 87,4% e especificidade de 89,5%, com 96,1% de imagens utilizáveis. A FDA exigiu como controle um protocolo que define a mudança no sistema que exigiria nova submissão: a linha só se move com nova prova. O custo aparece no mesmo documento: o valor preditivo positivo foi de 72,7%, de modo que, por conta nossa, cerca de um em cada quatro resultados positivos não correspondia à doença, e a falha principal a evitar é o falso negativo, mitigada pelo encaminhamento e pelo reteste.
Cada elemento do ensaio responde a uma pergunta do lastro. As metas foram fixadas antes, para que a prova pudesse falhar. A referência independente, com avaliadores que não viram a saída do sistema, evitou que o sistema se corrigisse contra si mesmo. Os operadores novatos reproduziram o regime real, com o humano incluído, que o caso do 737 MAX deixou de medir. E o escopo estreito, com doença, população e câmera definidas, declarou onde a prova vale.
A lição inversa pesa tanto quanto a primeira. Esse lastro funciona porque o envelope é pequeno e a tarefa, bem definida. Um agente generalista, que age em tarefas de natureza variada, não tem um envelope assim. Tentar transferir o lastro do primeiro para o segundo repete, em escala, o erro de usar prova de bancada em operação de campo.
No trimestre seguinte, um novo canal de captação passa a trazer clientes de um perfil que quase não aparecia na base de teste. O agente decide sobre eles com a mesma linha, e o acerto médio continua alto, porque a maioria dos pedidos ainda é do perfil antigo. A falha sobre o perfil novo só aparece quando os pedidos negados e os aprovados indevidamente se acumulam.
Ninguém falsificou a prova. Ela valia para um envelope que o novo canal deixou, e nenhum documento dizia onde esse envelope terminava.
Há, por fim, um limite que a estatística elementar impõe, e que é conta desta publicação: se um sistema é testado em n casos independentes sem nenhuma falha, o limite superior da taxa de falha, com confiança de noventa e cinco por cento, fica em torno de três dividido por n. Para sustentar uma taxa de falha abaixo de 1%, são necessários cerca de 300 casos sem falha; para sustentar abaixo de 0,1%, cerca de 3.000. Em ações irreversíveis e raras, o lastro pode simplesmente não chegar à confiança que a linha pediria, e a resposta honesta é manter a linha onde está.
[Ponto de Inflexão Fiduciária]: Para o sistema de IA em que a linha subiu por último, a prova que a sustentou tinha metas fixadas antes, referência independente, e a pessoa que intervém incluída no teste?
IV. Do Implícito ao Declarado: o Envelope de Operação
Chamamos de envelope de operação o conjunto declarado de condições em que a prova que sustenta o lastro vale: tipo de tarefa, população ou carteira, volume, dados, versão do modelo e pessoa que intervém. Fora do envelope, o lastro não se aplica, e a linha recua para a posição que o lastro sustenta. Daqui em diante, apenas “envelope”.
O envelope converte uma afirmação vaga, “o sistema foi testado”, em uma afirmação verificável: foi testado nestas condições e vale nelas. Ele também dá nome ao que um lastro de bancada não tem, que é o regime real. O lastro de bancada pode sustentar uma linha baixa, e o de campo, uma linha mais alta, e a diferença entre as duas precisa estar escrita.
Para que o envelope exista como ato de governança, quatro coisas precisam estar escritas:
- Onde a prova foi colhida. Em bancada, em ambiente de teste, em operação com exame humano ou em operação sem exame, e por quanto tempo.
- Como foi medida. Metas fixadas antes, referência independente e a pessoa que intervém incluída no teste.
- O que a prova não cobre. Tarefas, populações, volumes e versões fora do envelope, que ficam sem lastro até nova prova.
- O que o limite estatístico permite afirmar. O mínimo de casos para a taxa de falha que a linha supõe, e a posição da linha quando o mínimo não foi alcançado.
O registro dessa prova pode incluir dados de pessoas, em especial quando a prova de campo vem de operação real. A privacidade por desenho pede que a evidência seja guardada de forma agregada ou pseudonimizada e com acesso restrito, de modo que o lastro prove o desempenho sem criar um novo acervo de dados pessoais.
☐ Sugere-se pedir à diretoria, para cada sistema que age sem aprovação prévia, a descrição do envelope em que a prova que sustenta a linha foi colhida e do que está fora dele.
☐ Recomenda-se que a prova de cada subida traga as metas fixadas antes, a referência independente e a pessoa que intervém incluída no teste.
☐ Orienta-se indicar quem recebe, e em que prazo, qualquer medição que contrarie uma premissa sobre a qual a linha foi fixada.
V. O Teste do Ácido
Se o regulador, um cliente ou um auditor perguntar amanhã em que condições foi medida a prova que autorizou o principal sistema de IA da organização a agir sem aprovação humana prévia, a organização terá um envelope declarado, com a pessoa que intervém incluída no teste, ou o Conselho vai descobrir que a prova valia em outro lugar?
🏛️ Biblioteca: Metodologia Prática
Protocolo do Envelope Provado
01. Passos para Conferir a Prova
- Liste os sistemas de IA cuja linha de autonomia subiu e a prova que sustentou cada subida.
- Anote onde cada prova foi colhida: bancada, teste, operação com exame ou operação sem exame.
- Confira se as metas foram fixadas antes, se houve referência independente e se a pessoa que intervém foi incluída.
- Registre as condições fora do envelope e a posição da linha nelas.
- Leve o resultado à ata, com a data em que a diretoria apresentará o envelope de cada sistema.
02. Quadro do Envelope de Operação
| Vetor | Indicador | Ação |
|---|---|---|
| Local da prova | Declarado: bancada, teste, operação com ou sem exame | Registrar o local e pedir prova de campo onde só há bancada |
| Método da medição | Metas fixadas antes e referência independente | Rever a prova que não tenha as duas coisas |
| Fora do envelope | Lista de tarefas, volumes e versões sem lastro | Recuar a linha nelas até nova prova |
03. Glossário
Envelope de operação: termo proposto nesta série para o conjunto declarado de condições em que a prova que sustenta o lastro vale.
Prova de bancada: evidência colhida em conjunto de testes ou ambiente controlado, fora da operação real.
Prova de campo: evidência colhida no ambiente em que o sistema atua, com os dados, os volumes e as pessoas reais.
Horizonte de tempo (METR): duração da tarefa, em tempo de um profissional humano, que um modelo conclui com dada taxa de sucesso, como a metade das tentativas.
Sensibilidade e especificidade: proporção dos casos com a doença que o sistema detecta, e proporção dos casos sem a doença que ele corretamente descarta.
Valor preditivo positivo: proporção dos resultados positivos que correspondem à doença.
Referência independente (reference standard): padrão de comparação produzido por avaliadores que não viram a saída do sistema.
Falso negativo: resultado que indica ausência da doença quando ela existe.
MCAS: sistema de controle de voo do Boeing 737 MAX, sigla em inglês de Maneuvering Characteristics Augmentation System (sistema de aumento das características de manobra).
MAX: denominação do modelo de avião comercial Boeing 737 MAX, em que o MCAS foi instalado.