O gate de aprovação: como a Aura sugere sem nunca decidir

Quando um sistema usa IA para produzir conteúdo que tem consequência — uma conduta clínica, um documento, uma resposta ao cliente — existem duas formas de colocar um humano no meio.

A primeira é pedir confirmação: a IA escreve, aparece um diálogo, alguém clica em "confirmar" e o texto é gravado. A segunda é tornar a sugestão estruturalmente incapaz de virar registro: ela nasce numa tabela que não é a tabela de verdade, e existe exatamente um caminho — auditado — que a promove.

As duas parecem equivalentes na tela. Não são nem um pouco.

Por que o diálogo de confirmação não basta

O diálogo é uma convenção de interface. Ele depende de todo caminho do código passar por ele.

Basta um lugar em que a chamada da IA grava direto — um endpoint novo, um processo em lote, uma correção de emergência — e a garantia evapora. E ninguém percebe: a tela antiga continua pedindo confirmação, o comportamento visível não muda, e o registro que entrou sem revisão é idêntico ao que entrou com.

É o mesmo problema dos invariantes de arquitetura: regra que depende de todo mundo lembrar já foi quebrada em algum lugar.

Como implementamos

A regra tem uma frase só: serviço de IA grava apenas na tabela de sugestões.

Nenhum caminho de IA escreve em prontuário, prescrição, protocolo ou conversa com o cliente. A sugestão nasce com o caso que a originou, o modelo que a produziu e o conteúdo proposto. Ela é um objeto de primeira classe — não um rascunho na memória.

E existe uma função, uma só, que aplica uma sugestão à entidade real. É ela que:

• verifica se quem está aprovando tem autoridade para aquilo;
• registra quem aprovou, quando e o que mudou em relação ao que a IA propôs;
• e só então escreve no registro definitivo.

O resultado é que a pergunta "esse conteúdo foi revisado?" deixa de depender de confiança. A resposta está no dado.

O que isso muda na prática

Para o profissional. Ele revisa, edita e aprova — ou descarta. A edição é registrada, o que significa que o sistema sabe (e pode mostrar) o quanto a sugestão precisou ser corrigida. Isso é feedback real sobre a qualidade do modelo, não impressão.

Para a responsabilidade. No contexto clínico, a autoria e a responsabilidade técnica são indelegáveis — e um sistema que permitisse conteúdo de IA virar prontuário direto estaria criando um registro sem autor responsável. A fila de aprovação é o que mantém a cadeia intacta.

Para o produto. A fila vira uma tela útil por si só: o que está esperando revisão, há quanto tempo, de quem. Sem ela, "a IA sugeriu alguma coisa" é um evento que só existe enquanto a aba está aberta.

O detalhe que quase sempre escapa

Nada aprovado, nada sai — inclusive para fora.

É comum tratar o gate como uma proteção do banco de dados e esquecer dos canais. Uma resposta rascunhada pela IA para uma mensagem do cliente não pode ser enviada antes da aprovação, mesmo que o envio aconteça por outro serviço. O gate tem que cobrir a saída, não só a gravação.

No nosso caso isso é explícito: nada que não foi aprovado chega ao aplicativo do cliente final.

Onde essa arquitetura custa caro

Vale ser honesto sobre o preço.

• Latência de fluxo. O conteúdo não fica pronto na hora; fica pronto quando alguém revisa. Para uso onde a espera não faz sentido, o gate é o desenho errado.
• Fila que ninguém olha. Se a revisão não estiver no caminho natural do trabalho, a fila cresce e o recurso morre. A fila precisa aparecer onde a pessoa já está.
• Tabela a mais. Sugestão vira dado com ciclo de vida próprio: expira, é descartada, ocupa espaço. Dá trabalho.

Nada disso é motivo para abrir mão. É motivo para desenhar a fila com o mesmo cuidado que se desenha a tela principal.

O resumo

"A IA sugere, o profissional decide" é uma frase de marketing quando é um aviso na interface, e é uma propriedade do sistema quando a sugestão não tem como virar registro sem passar por uma função auditada.

A diferença entre as duas só importa no dia em que alguém pergunta quem aprovou aquilo. E esse dia sempre chega.