# O gate de aprovação: como a Aura sugere sem nunca decidir > Fazer a IA "pedir confirmação" é um aviso na tela. Fazer a sugestão ser incapaz de virar registro é arquitetura. A diferença entre as duas decide quem responde pelo erro. Publicado em 2026-06-30 por Time Orion · Blog da Orion Versão canônica: https://orion.moe/blog/gate-de-aprovacao-da-aura Índice do blog: https://orion.moe/blog --- Quando um sistema usa IA para produzir conteúdo que tem consequência — uma conduta clínica, um documento, uma resposta ao cliente — existem duas formas de colocar um humano no meio. A primeira é pedir confirmação: a IA escreve, aparece um diálogo, alguém clica em "confirmar" e o texto é gravado. A segunda é tornar a sugestão **estruturalmente incapaz** de virar registro: ela nasce numa tabela que não é a tabela de verdade, e existe exatamente um caminho — auditado — que a promove. As duas parecem equivalentes na tela. Não são nem um pouco. ## Por que o diálogo de confirmação não basta O diálogo é uma convenção de interface. Ele depende de todo caminho do código passar por ele. Basta um lugar em que a chamada da IA grava direto — um endpoint novo, um processo em lote, uma correção de emergência — e a garantia evapora. E ninguém percebe: a tela antiga continua pedindo confirmação, o comportamento visível não muda, e o registro que entrou sem revisão é idêntico ao que entrou com. É o mesmo problema dos [invariantes de arquitetura](/blog/invariantes-de-arquitetura-no-ci): regra que depende de todo mundo lembrar já foi quebrada em algum lugar. ## Como implementamos A regra tem uma frase só: **serviço de IA grava apenas na tabela de sugestões**. Nenhum caminho de IA escreve em prontuário, prescrição, protocolo ou conversa com o cliente. A sugestão nasce com o caso que a originou, o modelo que a produziu e o conteúdo proposto. Ela é um objeto de primeira classe — não um rascunho na memória. E existe uma função, uma só, que aplica uma sugestão à entidade real. É ela que: - verifica se quem está aprovando tem autoridade para aquilo; - registra **quem** aprovou, **quando** e **o que mudou** em relação ao que a IA propôs; - e só então escreve no registro definitivo. O resultado é que a pergunta "esse conteúdo foi revisado?" deixa de depender de confiança. A resposta está no dado. ## O que isso muda na prática **Para o profissional.** Ele revisa, edita e aprova — ou descarta. A edição é registrada, o que significa que o sistema sabe (e pode mostrar) o quanto a sugestão precisou ser corrigida. Isso é feedback real sobre a qualidade do modelo, não impressão. **Para a responsabilidade.** No contexto clínico, a autoria e a responsabilidade técnica são indelegáveis — e um sistema que permitisse conteúdo de IA virar prontuário direto estaria criando um registro sem autor responsável. A fila de aprovação é o que mantém a cadeia intacta. **Para o produto.** A fila vira uma tela útil por si só: o que está esperando revisão, há quanto tempo, de quem. Sem ela, "a IA sugeriu alguma coisa" é um evento que só existe enquanto a aba está aberta. ## O detalhe que quase sempre escapa Nada aprovado, nada sai — inclusive para fora. É comum tratar o gate como uma proteção do banco de dados e esquecer dos canais. Uma resposta rascunhada pela IA para uma mensagem do cliente não pode ser enviada antes da aprovação, mesmo que o envio aconteça por outro serviço. O gate tem que cobrir a **saída**, não só a gravação. No nosso caso isso é explícito: nada que não foi aprovado chega ao aplicativo do cliente final. ## Onde essa arquitetura custa caro Vale ser honesto sobre o preço. - **Latência de fluxo.** O conteúdo não fica pronto na hora; fica pronto quando alguém revisa. Para uso onde a espera não faz sentido, o gate é o desenho errado. - **Fila que ninguém olha.** Se a revisão não estiver no caminho natural do trabalho, a fila cresce e o recurso morre. A fila precisa aparecer onde a pessoa já está. - **Tabela a mais.** Sugestão vira dado com ciclo de vida próprio: expira, é descartada, ocupa espaço. Dá trabalho. Nada disso é motivo para abrir mão. É motivo para desenhar a fila com o mesmo cuidado que se desenha a tela principal. ## O resumo "A IA sugere, o profissional decide" é uma frase de marketing quando é um aviso na interface, e é uma propriedade do sistema quando a sugestão não tem como virar registro sem passar por uma função auditada. A diferença entre as duas só importa no dia em que alguém pergunta quem aprovou aquilo. E esse dia sempre chega.