Controlo humano por design: a doutrina da não-paralisia pontuada

O debate público sobre IA autónoma na defesa costuma oscilar entre dois extremos igualmente improdutivos. De um lado, o pânico que gostaria de vetar qualquer autonomia, exigindo um humano no circuito para cada microdecisão. Do outro, a euforia que gostaria de delegar tudo à máquina, apresentando a supervisão humana como um atraso a eliminar. As duas posições erram pelo mesmo motivo: tratam o controlo humano como uma questão de quantidade, quando o que importa é a posição.

A Zendrix adota uma terceira via, a que chamamos doutrina da não-paralisia pontuada. Parte de uma constatação simples: em ciberdefesa, o relógio do adversário não é o relógio do comité. Paralisar a operação para consultar um humano a cada passo entrega a iniciativa a quem ataca. Mas abdicar de toda a supervisão transfere a responsabilidade para um artefacto que não a pode assumir. A doutrina resolve esta tensão posicionando a autoridade humana exatamente onde ela muda o resultado — e libertando a velocidade de máquina em todo o resto.

Duas falhas simétricas

A paralisia é fácil de reconhecer: nenhuma ação ocorre sem aprovação humana, e o sistema torna-se um espetador caro enquanto a intrusão avança. A abdicação é mais subtil, porque se disfarça de eficiência: o sistema age, declara sucesso e não há ninguém que possa responder pelo efeito produzido. Em ambos os casos, o resultado final é o mesmo — perda de controlo. No primeiro, por excesso de fricção; no segundo, por ausência de supervisão.

A não-paralisia pontuada trata estas duas falhas como igualmente graves. Não tenta maximizar a intervenção humana nem minimizá-la. Pergunta, para cada classe de decisão, se a presença humana altera a probabilidade de um resultado correto. Onde altera, o humano é obrigatório. Onde não altera, exigir a sua presença é apenas construir um gargalo com aparência de virtude.

Há ainda um terceiro erro, menos discutido: supor que o operador humano possui, por definição, mais contexto do que o sistema. Em ambientes saturados de telemetria, o oposto costuma ser verdade. Um humano sobrecarregado decide pior do que uma máquina dentro de um envelope bem definido — não porque lhe falte capacidade, mas porque lhe falta tempo e contexto organizado. Projetar controlo humano é, antes de tudo, projetar o contexto que torna a decisão humana possível.

Onde a autoridade humana é inegociável

Há decisões que nunca são delegadas. Decisões com risco de vida exigem sempre autoridade humana — independentemente da latência, do custo operacional ou da sofisticação do sistema. O mesmo se aplica a ações irreversíveis de consequência estratégica e a escaladas que mudem o estado das relações entre instituições. Nesses pontos, a plataforma observa, correlaciona, simula, recomenda e prepara — mas não cruza a linha da decisão.

É importante entender o que "autoridade humana" significa no desenho. O humano não é um botão de emergência acionado quando tudo já correu mal, nem um carimbo numa fila de aprovações. É parte da arquitetura. Por isso a pergunta de engenharia não é "o humano aprova?", mas "o humano tem contexto suficiente para decidir em segundos?". A diferença é enorme: um sistema que entrega ao operador uma decisão já preparada — com opções, consequências previstas e incerteza explicitada — permite uma decisão humana rápida e bem informada. Um sistema que despeja dados brutos no colo do operador transforma a supervisão em teatro.

Velocidade de máquina onde a consequência é reversível

Do outro lado da linha estão as operações que não devem esperar: deteção, correlação, priorização, enriquecimento de contexto, contenção reversível, recolha de evidência e resposta proporcional. Nessa faixa, a autonomia opera à velocidade de máquina, dentro de um envelope formal que define limites explícitos de ação. A autonomia não é autoridade: executa o que pode executar, e sabe exatamente o que não pode.

Esta disciplina é o que torna a autonomia útil em vez de assustadora. Um sistema que age sem saber onde estão os seus limites é um risco; um sistema que conhece os seus limites e opera perto deles com segurança é uma vantagem operacional. A não-paralisia é pontuada precisamente porque os pontos de paragem são escolhidos com critério — não herdados de uma doutrina genérica. E, como toda a capacidade da plataforma, cada ação nessa faixa é executada dentro de um envelope formal, com trilha de auditoria e verificação criptográfica do efeito declarado.

Vale a pena repetir o ponto central: autonomia com envelope não é uma concessão feita à pressa. É o que permite ao operador humano dormir sabendo que a plataforma reage em milissegundos a eventos reversíveis — e o acorda quando a decisão é dele. Este é o equilíbrio que procuramos: nem o sistema decide tudo, nem o humano é chamado para tudo.

Ética como engenharia, não como disclaimer

Nada disto funciona como discurso. Se o controlo humano não está no desenho, não existe. Por isso a plataforma mantém uma trilha de auditoria resistente a adulteração, assina criptograficamente os artefactos que produz e registra, para cada ação, a autoridade sob a qual foi executada e o efeito que declarou. As auditorias reconstroem decisões meses depois. Os níveis de autonomia são formais e verificáveis, não narrativos.

Ética operacional, neste sentido, é uma disciplina de engenharia: prova-se com evidência, não com intenção. Padrões abertos, verificação criptográfica e auditoria contínua não são acessórios de conformidade — são o que permite confiar num sistema que age mais rápido do que qualquer humano consegue acompanhar.

A autonomia acelera a defesa; o humano decide o que importa. Esta é a doutrina. Não trava a operação: é o que permite operar à velocidade máxima sem perder o controlo daquilo que realmente importa.