Por que separamos Intenção, Aprovação e Autorização de Execução em Sistemas com Agentes

Na engenharia de software corporativo contemporânea, a expressão “o agente autônomo tomou uma decisão” tornou-se um atalho comum de linguagem — e uma das premissas arquiteturais mais arriscadas quando aplicada a processos críticos de negócio.

Modelos de linguagem (LLMs) possuem capacidade analítica notável para sintetizar dados desestruturados, correlacionar eventos operacionais e formular hipóteses complexas. Contudo, modelos probabilísticos não possuem discernimento de responsabilidade jurídica, não compreendem o custo de uma mutação errônea no mundo físico e não devem deter credenciais diretas sobre canais de escrita.

Na Codelevel, ao projetar tanto nossa fundação horizontal (Workspace) quanto nossas verticais operacionais (como o OpenPharma), adotamos um princípio estrito de isolamento de responsabilidades:

Intenção ≠ Decisão Humana ≠ Autorização de Execução

Esses três conceitos representam fronteiras de segurança e domínios de estado completamente desacoplados. Quando qualquer um desses estados é colapsado ou tratado como sinônimo do outro, o sistema perde rastreabilidade, expõe a operação a falhas silenciosas e inviabiliza auditorias confiáveis.

1. O antipadrão da execução direta e o colapso de estados

O padrão mais frequente em implementações ingênuas de agentes é o acoplamento direto entre raciocínio em linguagem e execução de ferramentas (tool use). Nesse modelo simplista:

1. O modelo de linguagem recebe um objetivo de negócio e ferramentas com credenciais diretas de escrita (chaves de API de mensageria, tokens de CRM ou conexões a bancos de dados);
2. Durante o raciocínio em loop (ReAct ou similar), o modelo decide invocar uma ferramenta com determinados parâmetros;
3. O runtime executa imediatamente a mutação externa, assumindo que a geração do texto constitui autorização suficiente.

As falhas estruturais desse desenho tornam-se evidentes em ambientes de produção:

• Efeitos externos por alucinação ou contexto desatualizado: Uma interpretação equivocada de uma regra de negócio ou um dado transitório no prompt resulta em mutações materiais reais (side-effects no mundo físico) antes que qualquer validação humana ocorra;
• Ausência de idempotência e loops de repetição: Se a chamada externa oscila com lentidão ou erro temporário de rede, o agente pode reenviar o payload gerando duplicidades involuntárias no sistema de destino;
• Inexistência de sujeito responsável: Em caso de dano operacional ou questionamento regulatório, não há assinatura humana que comprove quem validou a ação e sob quais evidências objetivas a decisão foi tomada.

2. A anatomia dos três estados isolados

Para garantir que a inteligência artificial acelere o trabalho sem comprometer a estabilidade do negócio, cada ação material segue um pipeline determinístico dividido em três fronteiras explícitas.

┌─────────────────────────┐      ┌─────────────────────────┐      ┌─────────────────────────┐
│       ESTADO 1          │      │       ESTADO 2          │      │       ESTADO 3          │
│   Intenção de IA        │ ───► │    Decisão Humana       │ ───► │  Autorização & Canal    │
│  (Payload Imutável)     │      │   (Human Gate Review)   │      │  (Fail-Closed & Check)  │
└─────────────────────────┘      └─────────────────────────┘      └─────────────────────────┘

Estado 1: Intenção e Formulação de Proposta (Agent Domain)

A IA opera estritamente como uma máquina de formulação de propostas. Seu papel é analisar o estado da operação, correlacionar registros, sugerir correções ou rascunhar comunicações.

O artefato produzido neste estágio é um objeto de intenção imutável (IntentProposal), composto por:

• Identificador de contexto: hash do estado lido e versão dos dados que embasaram o raciocínio;
• Evidências auditáveis: referências para as entidades reais e fontes primárias consultadas;
• Payload estruturado: a proposta de texto, comando ou ajuste em estrutura tipada e validada;
• Nível de criticidade: classificação de impacto e risco da ação pretendida.

O agente não possui credenciais para o canal final de escrita. Ele possui apenas a capacidade de registrar a proposta em um barramento intermediário de deliberação.

Estado 2: Decisão no Human Gate (Governance Domain)

A proposta de intenção é submetida a um operador humano qualificado através do Human Gate — a etapa deliberada de validação e julgamento humano.

Neste momento, a responsabilidade de negócio é exercida:

• O operador valida a pertinência comercial ou operacional da proposta apresentada;
• Confirma se as evidências anexadas condizem com o cenário real da empresa;
• Pode aprovar, rejeitar com justificativa registrada, ou solicitar reformulação com parâmetros corrigidos;
• Ao aprovar, gera uma assinatura de deliberação (HumanApprovalSignature) associada ao seu usuário autenticado, carimbo temporal e hash exato do payload avaliado.

Uma aprovação no Human Gate expressa formalmente a decisão do operador, mas ainda não realiza a mutação física.

Estado 3: Autorização de Execução e Barramento Transacional (Execution Bus)

Uma vez deliberada, a ação entra na fila do barramento de execução transacional (TransactionalExecutionBus). Este componente é completamente desacoplado tanto do modelo de IA quanto da interface do operador.

Antes de qualquer chamada ao canal de destino, o barramento executa checagens determinísticas de pré-voo (pre-flight checks):

1. Chave de idempotência: Assegura que a ação nunca foi despachada anteriormente, eliminando o risco de envios duplicados;
2. Checagem de limites operacionais: Valida se a cota do canal, janela de horário e cadência de envio estão dentro dos limites autorizados;
3. Verificação de estado inalterado: Confirma se a entidade de destino (ex.: cliente, pedido, requisição) não mudou de status entre o momento da deliberação humana e o instante do despacho;
4. Despacho com contenção segura (fail-closed): Em caso de qualquer inconsistência ou indisponibilidade, o envio é abortado imediatamente sem corromper o estado do sistema.

3. O ciclo de vida operacional e a máquina de estados

A transição entre esses domínios é governada por uma máquina de estados finita determinística, representada na Figura 3.

Um princípio fundamental desta máquina de estados é que abortos pré-envio não consomem nem corrompem a intenção. Se um operador decide rejeitar uma proposta no Human Gate, ou se o barramento de autorização detecta que o registro de destino foi alterado por outro canal, a intenção é finalizada como ABORTED_FAIL_CLOSED sem gerar resíduos transacionais nem efeitos colaterais.

4. Rastreabilidade de ponta a ponta e a Trilha de Auditoria

Qualquer sistema corporativo que utilize agentes deve ser capaz de responder com precisão matemática a perguntas essenciais de auditoria:

• Qual modelo propôs essa ação e com base em quais evidências?
• Qual operador humano aprovou o payload e em qual data e horário?
• Qual chave de autorização permitiu o despacho no canal?
• Qual foi a resposta física retornada pelo serviço de destino?

A resposta a essas perguntas é assegurada por uma trilha de auditoria imutável (audit journal append-only). Cada evento é registrado sequencialmente com hashes encadeados.

Além disso, após o despacho, nosso barramento adota a prática de leitura física de confirmação (physical readback): o sistema não confia unicamente no código de status retornado pela chamada; ele efetua uma consulta de leitura no canal de destino para confirmar que a mutação pretendida de fato persistiu de forma idêntica ao payload aprovado.

5. Princípios práticos para engenharia de agentes

Ao projetar sistemas operacionais com agentes de IA, recomendamos cinco diretrizes de arquitetura:

1. Nunca conceda credenciais de mutação ao runtime do modelo: Agentes devem interagir com APIs de consulta e formular intenções. Credenciais de escrita pertencem exclusivamente ao barramento de execução;
2. Modele propostas como dados estruturados e imutáveis: Evite strings soltas como saída de agentes. Utilize schemas rigorosos (JSON Schema, Zod, Pydantic) com campos obrigatórios para contexto e evidências;
3. Mantenha o Human Gate no fluxo crítico: A automação deve acelerar a preparação, a pesquisa e a redação, mas a decisão e a responsabilidade devem permanecer humanas;
4. Implemente idempotência nativa e contenção fail-closed por padrão: Toda ação externa precisa de uma chave de idempotência determinística e política de cancelamento seguro;
5. Registre tudo em uma trilha imutável de auditoria: Decisões operacionais exigem histórico claro de proveniência para segurança, conformidade e evolução contínua da engenharia.

Conclusão: Autonomia com controle e integridade

A verdadeira maturidade no uso de agentes de inteligência artificial em ambientes corporativos não reside em eliminar a supervisão humana, mas em potencializar a capacidade operacional de pessoas qualificadas com ferramentas que preparam trabalho de alta precisão.

Ao estabelecer uma barreira intransponível entre o ato de propor, o ato de decidir e o ato de autorizar a execução, a Codelevel constrói sistemas de software onde a inteligência artificial acelera o negócio com garantias formais de governança, segurança e estabilidade operacional.