I. O Recuo Que Ninguém Desenhou
Nas organizações que conseguem subir a linha de autonomia de um sistema, a subida costuma ter dono, data e justificativa. A descida, quando acontece, acontece por susto: um incidente, uma reclamação, uma pergunta do Conselho. O recuo vira uma conversa de emergência, em que não está claro quem pode baixar a linha, para onde, nem com base em quê.
Chamamos de recuo automático a descida da linha disparada por uma condição escrita de antemão, sem depender de nova deliberação, e de gatilho de recuo a própria condição, com o limiar, o cargo que a aciona e a posição para onde a linha desce. A Série 7 já pedia gatilhos de suspensão no Contrato de Autonomia, e este volume os liga ao lastro: o gatilho é a medida de que o lastro deixou de sustentar a posição.
Entre as violações apontadas pela SEC, o órgão regulador do mercado de valores dos Estados Unidos, constam a ausência de um controle, no ponto imediatamente anterior ao envio de ordens ao mercado, que comparasse as ordens que saíam do roteador com as que entravam; o uso de controles financeiros de risco incapazes de impedir ordens acima de limites de capital pré-fixados, no conjunto da empresa; e a falta de controles e procedimentos escritos suficientes para orientar as respostas dos funcionários a incidentes tecnológicos e de conformidade significativos.
O comunicado registra também que a empresa não agiu, em 01/08/2012, sobre 97 e-mails automáticos que, antes da abertura, mencionavam o roteador e identificavam um erro, e que não foram projetados como alertas.
A lista dá a medida do que faltava para o recuo: um controle que comparasse saída e entrada, um limite que valesse para o conjunto e um procedimento escrito para a resposta. A descida dependia de alguém notar e decidir, e a notícia estava em e-mails que não eram alertas. Nenhum desses elementos depende de tecnologia nova. Todos dependem de alguém, antes, ter escrito o que faria a linha descer.
Entre as fontes públicas consultadas até 28/10/2026, não localizamos documento organizacional aprovado que descreva, para um sistema de IA, o gatilho de recuo, o cargo que o aciona e a posição para onde a linha desce. Dizemos que não localizamos, e não que não existe, porque documentos internos não são públicos.
[Ponto de Inflexão Fiduciária]: Se o desempenho de um sistema de IA piorar amanhã, quem pode baixar a linha de autonomia dele, com base em que medida, e quanto tempo isso leva?
II. O Que Normas e Autoridades Já Pedem de Quem Usa
Duas referências externas tratam do recuo e merecem leitura juntas, porque vêm de mundos distintos e dizem coisa parecida: quem usa um sistema precisa ter, de antemão, o que fazer quando ele deixa de merecer a confiança que recebeu. Uma é norma europeia de IA de alto risco, e a outra, documento de autorização de um software médico.
O AI Act, na versão consolidada de 27/07/2026 publicada pelo portal oficial da Comissão Europeia, dispõe que o implantador de sistema de alto risco monitora o funcionamento com base nas instruções de uso e que, se tiver razão para considerar que o uso pode apresentar risco, informa o fornecedor e a autoridade de fiscalização, sem demora, e suspende o uso. Quando identifica incidente grave, informa imediatamente o fornecedor e as autoridades.
No sumário de autorização do IDx-DR, a agência americana de alimentos e medicamentos (FDA) lista entre os controles especiais um protocolo que descreve o nível de mudança nas especificações técnicas que poderia afetar de modo significativo a segurança ou a eficácia do dispositivo, e que exige nova notificação antes da comercialização da versão alterada.
As duas formulações tratam o recuo como questão de desenho, e não de reação. A norma europeia põe a suspensão na mão de quem usa; o documento da FDA põe a mudança sob um limiar escrito. O segundo é, na prática, um gatilho de lastro vencido: quando o sistema muda além de certo ponto, a prova que existia deixa de valer, e uma nova é necessária.
É norma de outra jurisdição e documento de outro setor, e servem como régua de comparação para o Brasil, sem tradução automática. O que se aproveita é o método: o recuo e a revalidação não ficam à discrição de quem está sob pressão para manter o sistema em operação.
[Ponto de Inflexão Fiduciária]: Qual é o nível de mudança em um sistema de IA da organização, de modelo, de dados ou de fornecedor, a partir do qual a prova que sustentou a linha deixa de valer, e onde isso está escrito?
III. O Lastro Que Vence Sem Aviso
Chamamos de lastro vencido o lastro cuja evidência perdeu a validade porque o regime de operação mudou. Há três origens frequentes. A mudança do próprio sistema, como troca de modelo ou de versão. A mudança do ambiente, como novos dados, novo perfil de clientes ou novo volume. E o tempo, porque uma prova colhida há muito sobre um processo que se transformou deixa de dizer o que dizia.
Em uma sexta-feira à noite, o fornecedor substitui a versão do modelo por outra, anunciada como melhor em testes públicos. Na segunda-feira, o sistema classifica solicitações com a mesma linha, e o painel de acompanhamento só compara o volume. Nada, no desenho, trata a nova versão como outro sistema.
Quando alguém nota que o perfil das classificações mudou, o lastro de meses já havia vencido, sem aviso, na sexta-feira. O que faltou foi um gatilho que ligasse a troca de versão ao recuo da linha até que a prova nova se acumulasse.
A troca unilateral de modelo pelo fornecedor é o caso mais comum de lastro vencido e o mais fácil de prever: pode ser escrita no contrato com o fornecedor e no Contrato de Autonomia, como um evento que baixa a linha. O estudo da Anthropic de 18/02/2026 lembra que o comportamento observado em qualquer implantação resulta do modelo, do usuário e do produto, e por isso não pode ser caracterizado só por avaliações feitas antes da entrada em produção.
Há também gatilhos que o próprio sistema pode oferecer. O mesmo estudo registra que, nas tarefas mais complexas, o Claude Code para para pedir esclarecimento mais de duas vezes mais do que a pessoa o interrompe, e os autores tratam essas paradas como uma forma de supervisão. Cabe a cada organização decidir se esse comportamento entra no lastro como sinal, e por quê, sem tomá-lo como garantia: os próprios autores lembram que o sistema pode parar fora de hora ou fazer perguntas desnecessárias.
Um caso ambíguo mostra o recuo feito tarde. Depois do episódio de julho de 2025 descrito no volume 02, o CEO da Replit anunciou que a empresa trabalhava em um modo apenas de planejamento, em que o agente pensa e propõe sem alterar nada. É um recuo de projeto, útil e feito depois do dano, e ilustra a diferença entre o que se desenha antes e o que se corrige depois.
[Ponto de Inflexão Fiduciária]: Entre os eventos que mudam um sistema de IA sem que a organização decida, como a troca de versão pelo fornecedor, quais estão ligados, por escrito, a um recuo da linha?
IV. Do Implícito ao Declarado: a Subida Lastreada Completa
A subida lastreada fica completa quando traz, junto com o lastro, o gatilho de recuo e o caminho de volta: a descida que acontece sem deliberação e a revisão que permite subir de novo. É a diferença entre uma linha que só se move para cima e uma linha que se comporta como um termostato, que sobe e desce conforme a evidência.
Um gatilho de recuo bem escrito tem cinco partes: a condição, em medida que a organização observa; o limiar a partir do qual a linha desce; o cargo que a aciona, sem depender de nova reunião; a posição para onde ela desce; e a revisão que a leva de volta, com a nova prova. O gatilho pode ser de deterioração, de mudança ou de evento, e convém que tenha sido testado em simulação antes de ser necessário.
O teste se faz como o de um plano de continuidade: quem age, em quanto tempo e para onde a linha desce. Costuma revelar que o gatilho dependia de alguém que não estava de plantão.
Há uma ligação com a série anterior que decide se o recuo é real. Quando a linha desce, as decisões voltam para a pessoa, e a fila de revisão cresce. A Série 9 propôs o teto de atenção, o número de decisões que uma função de revisão examina com atenção. Um recuo que leva mais decisões à revisão do que o teto de atenção comporta é recuo no papel, e o gatilho deve dizer para onde vão as decisões excedentes.
O registro do gatilho e das medidas que o alimentam contém dados de operação e, com frequência, de pessoas. A segurança e a privacidade entram no desenho do gatilho: as medidas são agregadas e pseudonimizadas quando possível, o acesso a elas é restrito, e o próprio mecanismo de recuo tem controle de quem pode acioná-lo, para que a descida da linha não vire uma vulnerabilidade.
☐ Sugere-se pedir à diretoria, para cada sistema que age sem aprovação prévia, o gatilho de recuo escrito, com condição, limiar, cargo que o aciona e posição para onde a linha desce.
☐ Recomenda-se que o contrato com cada fornecedor de modelo trate a troca de versão como evento que baixa a linha até nova prova, e que o gatilho tenha sido testado em simulação.
☐ Orienta-se verificar, antes de cada recuo previsto, se a função de revisão tem atenção para as decisões que voltam, em coerência com o teto de atenção declarado.
V. O Teste do Ácido
Se o fornecedor trocar amanhã o modelo que sustenta o principal sistema de IA da organização, a organização terá um gatilho que baixa a linha antes da segunda-feira, com o cargo que o aciona e a atenção disponível para as decisões que voltam, ou o Conselho vai descobrir que a linha só desce quando alguém se lembra?
🏛️ Biblioteca: Metodologia Prática
Protocolo do Recuo Declarado
01. Passos para Conferir o Recuo
- Liste os sistemas de IA que agem sem aprovação prévia e os eventos que os alteram sem decisão da organização, como troca de versão, de dados ou de fornecedor.
- Procure, para cada um, o gatilho de recuo: condição, limiar, cargo que aciona e posição para onde a linha desce.
- Confira se o gatilho foi testado em simulação e quando.
- Verifique se a função de revisão tem atenção para as decisões que voltam à pessoa, segundo o teto de atenção declarado.
- Leve o resultado à ata, com a data em que a diretoria apresentará o recuo de cada sistema.
02. Quadro do Recuo Automático
| Vetor | Indicador | Ação |
|---|---|---|
| Gatilho de recuo | Escrito, com condição, limiar, cargo e posição de destino | Aprovar o gatilho antes da próxima subida |
| Eventos de mudança | Troca de versão, de dados ou de fornecedor ligada ao recuo | Incluir o evento no contrato com o fornecedor e no Contrato de Autonomia |
| Atenção disponível | Teto de atenção da função de revisão cobre as decisões que voltam | Declarar para onde vão as decisões excedentes |
03. Glossário
Recuo automático: termo proposto nesta série para a descida da linha de autonomia disparada por condição escrita de antemão, sem depender de nova deliberação.
Gatilho de recuo: condição, com limiar, cargo que a aciona e posição de destino, que faz a linha de autonomia descer.
Lastro vencido: termo proposto nesta série para o lastro cuja evidência perdeu a validade porque o regime de operação mudou.
Subida lastreada: elevação da linha condicionada a lastro suficiente e a gatilho de recuo definido de antemão.
Troca de versão: substituição do modelo ou da versão de um sistema, em geral pelo fornecedor, que o torna, para fins de prova, outro sistema.
Teto de atenção: termo da Série 9 para o número máximo de decisões que uma função de revisão examina com atenção em uma janela de tempo declarada, depois de descontada a reserva para o pico.
Contrato de Autonomia: termo da Série 7 para o documento aprovado que define o que cada sistema decide sozinho, com controles, gatilhos de suspensão e responsável nomeado.
Simulação de recuo: exercício em que o gatilho é acionado com dados de teste para verificar quem age, em quanto tempo e para onde a linha desce.