Modos de autonomia do Robô e aprovação humana (HITL)

Visão geral

Autonomia define quanto o Robô (o Maestro atuando dentro da conversa) age por conta própria versus quando ele pede a confirmação de uma pessoa. Você escolhe o nível de confiança, e ele vale para a atuação do Robô no atendimento.

São três modos:

• Piloto automático — o Robô executa por conta própria, sem esperar aprovação.
• Copiloto — o Robô propõe cartões (rascunho de mensagem ou ação de módulo); você revisa e envia. Nada sai sozinho.
• Híbrido (Exigir aprovação / HITL) — o Robô age sozinho no dia a dia, exceto em ações sensíveis, que ficam paradas aguardando a sua aprovação.

O princípio de segurança é direto: no Híbrido, nada sensível ou definitivo acontece sem aprovação; no Copiloto, nada é enviado sem você. Você decide quanto confiar.

Existem análogos deste conceito em outras áreas da plataforma: os departamentos do Cérebro têm um nível de autonomia próprio (incluindo um tier "Perguntar antes"), e os Follow-ups têm aprovação de rascunho de IA. Os dois estão em "Veja também".

Pré-requisitos

• Maestro habilitado e um Robô/agente configurado no inbox.
• Permissão de administrador para definir o modo de autonomia.
• Um administrador da conta para aprovar: a notificação de aprovação, o escudo e a fila chegam só aos administradores. O agente atribuído à conversa (ou, na falta dele, o time) é @mencionado na nota privada.
• As ferramentas por módulo que você quer que sejam propostas/parqueadas precisam estar habilitadas — veja o artigo de ferramentas.

Passo a passo

1. Na configuração do Robô, escolha o modo de autonomia: Piloto automático, Copiloto ou Híbrido (Exigir aprovação).
2. Para mudar somente uma conversa, abra o painel lateral do Maestro, clique no card Modo de autonomia e escolha outro modo. O card informa Definido para esta conversa; use Usar padrão do Robô para remover a exceção. Somente administradores podem fazer essa alteração.
3. No Copiloto: o Robô propõe cartões (rascunho ou ação de módulo); você revisa e envia/confirma — nada sai sozinho (detalhes no artigo do copiloto generativo).
4. No Híbrido: em ações do dia a dia o Robô age; ao chegar uma ação sensível, ela é parqueada — o Robô publica uma nota privada que @menciona o agente atribuído à conversa ou, na falta dele, o time (a menção dispara a notificação nativa) e cria um cartão de aprovação com um id de ação.
5. Um administrador da conta toca/clica no indicador Maestro do cabeçalho da conversa para abrir o painel; os atalhos ao lado permitem Pausar, Retomar ou Assumir o atendimento. Aprovações pendentes ficam visíveis no escudo numerado. No painel, escolha Aprovar ou Rejeitar. Ao Aprovar, a ação exata que estava parada é reexecutada; a nota registra quem aprovou. Somente administradores da conta veem o escudo numerado e a fila de aprovações, e somente eles podem Aprovar ou Rejeitar. Os demais agentes veem a nota privada na conversa, mas não a fila.
6. No Piloto automático: o Robô executa por conta própria (ações sensíveis ainda ficam registradas na trilha de auditoria).
7. Acompanhe o resultado no cartão e na linha de atividade da conversa.

Configurações & opções

Notas privadas e atendimento humano

Uma nota privada não pausa nem retoma o Robô. Use notas para a comunicação interna sem mudar quem atende o contato. Se o Robô já estava pausado, a nota preserva essa pausa. Uma resposta pública enviada por uma pessoa, uma atribuição humana explícita ou a ação Assumir continuam acionando a pausa conforme as configurações do agente. Use Retomar para devolver o atendimento.

Os três modos de autonomia

O que conta como ação sensível no Híbrido (fica parqueado)

• Atribuir a um time, executar uma macro, marcar a conversa como resolvida.
• Escritas de CRM, Tarefas, Agenda (criar/editar/remarcar/cancelar compromisso) e Pagamentos.
• Recuperação de comércio (cartão de recuperação ao cliente), cancelar uma cadência de follow-up, inscrever em grupo de distribuição e disparar uma rodada de colaboração.
• Escritas em banco de dados, gerar vídeo, contratos (criar/enviar/lembrar) e delegar a um subagente quando essa delegação estiver marcada como sensível.

O que o Robô faz livremente (mesmo no Híbrido)

• Responder ao contato, adicionar etiquetas, notas internas, reações, gerar imagem, buscas na base de conhecimento e demais consultas somente leitura.

Atualizações do cadastro do contato

Ao atualizar nome, e-mail, documento ou endereço, o Robô confere os campos devolvidos pela API. Uma resposta que não confirma a mudança não é anunciada como cadastro concluído. A alteração pode ter sido gravada: confira o contato antes de tentar novamente. Endereço oculto ou mascarado não é tratado como vazio para uma atualização parcial.

Quando só a máscara do documento está visível, a confirmação se limita à máscara e ao tipo; os dígitos ocultos não foram conferidos. Uma falha temporária na consulta do cadastro também não significa que o contato não existe. As permissões dos campos e a aprovação no Híbrido continuam valendo.

Contratos enviados pelo Robô

Enviar um contrato para assinatura é uma ação sensível: no modo Híbrido ela fica parqueada para aprovação. No modo Autônomo, o que o Robô pode fazer é decidido pela conta em Contratos > Configurações > Agente de IA, com as duas opções desligadas por padrão:

• A IA pode enviar contratos para assinatura: desligada, o Robô não envia e avisa que uma pessoa precisa enviar. Ligada, ele envia somente para o contato da conversa que está atendendo.
• A IA pode assinar pelo lado da empresa automaticamente: desligada, o contrato enviado pelo Robô fica aguardando uma pessoa clicar em Assinar pela empresa na página do contrato. Ligada, a IA assina documentos com efeito jurídico em nome da empresa, sem conferência humana.

Se a opção de assinatura automática for desligada antes da assinatura acontecer, o contrato enviado continua aguardando a empresa; assinaturas já realizadas permanecem válidas. Uma ação aprovada por uma pessoa no modo Híbrido é executada com as permissões dessa pessoa e segue a regra do envio humano. Se a mensagem estiver registrada na conversa, mas sua publicação estiver pendente, o resultado informa publication_pending: confira a entrega antes de repetir e conserve a mesma chave da tentativa.

A ferramenta Enviar contrato para assinatura também precisa estar habilitada nas ferramentas do Robô. Habilitá-la ali não substitui as opções de Contratos: a plataforma confere as duas a cada envio.

Ação exclusivamente humana

• Aprovar um rascunho de IA de Follow-up é sempre humano — o Robô nunca aprova o próprio rascunho. Isso vale em qualquer modo (veja o artigo de Follow-ups).

O cartão e a nota de aprovação

• A nota privada @menciona o agente atribuído à conversa (ou, na falta dele, o time) e referencia o id da ação; a menção aciona a notificação nativa da plataforma para quem foi mencionado.
• O cartão de aprovação fica no painel do Maestro da conversa, com Aprovar e Rejeitar, e aparece só para administradores da conta.
• A decisão fica registrada com quem aprovou — e, ao aprovar, a ação exata parqueada é reexecutada.

Macro aprovada roda com as permissões de quem aprova

• Quando o Robô parqueia executar uma macro e um administrador aprova, a macro roda como quem aprovou: com as permissões, o acesso às conversas e a identidade dessa pessoa, e não com as do usuário técnico do Maestro. Mensagens enviadas pela macro saem em nome de quem aprovou, e uma ação de atribuir a quem executa atribui a essa pessoa.
• Antes de aprovar, a plataforma confere se você pode executar aquela macro naquela conversa. Se não puder (por exemplo, uma macro pessoal de outra pessoa ou publicada para outro público), a aprovação é recusada com o motivo, nada é executado e a ação continua pendente para quem tiver permissão, ou para ser rejeitada.
• A permissão é conferida de novo no momento da execução: se ela for removida entre a aprovação e a execução, a macro não roda.
• Quando o Robô executa uma macro sozinho, no Piloto automático, ele continua usando o usuário técnico do Maestro.
• Aprovação humana do Flow Builder: um fluxo que usa a etapa Aprovação humana para aprovar uma ação parqueada do Robô não aprova mais uma macro. A etapa termina com falha e a macro continua pendente, sem ser executada, porque ela precisa rodar com as permissões de uma pessoa e o fluxo não tem uma. Para migrar, deixe a macro para um administrador aprovar ou rejeitar no painel do Maestro e ajuste o fluxo para tratar a falha dessa etapa (por exemplo, avisando a equipe), sem repetir a mesma aprovação automaticamente. As demais ações continuam podendo ser aprovadas pelo fluxo.

Transferência para humano: status, prioridade e resumo

Ao transferir uma conversa para um time humano, o Robô define o status (aberta, pendente, adiada ou resolvida) e a prioridade (nenhuma, baixa, média, alta ou urgente) da conversa. Cada um pode ser um valor fixo ou "Maestro decide": nesse modo o próprio Robô escolhe o valor mais adequado por conversa, no momento da transferência — um valor fixo sempre prevalece sobre a escolha do Robô. A nota de transferência enviada ao atendente inclui o motivo e um resumo da conversa (gerado na hora quando ainda não há um resumo acumulado), para a pessoa assumir com contexto.

Assumido por humano (o Robô recua e volta sozinho)

Quando uma pessoa responde na conversa (pelo painel ou pelo celular) ou pausa o Robô, ele recua naquela conversa — para de responder para não atropelar o atendimento humano. Isso vale só para aquela conversa; nas demais o Robô continua normalmente.

Duas opções controlam o retorno:

• Com Retomar automaticamente desligado, o Robô fica pausado naquela conversa até uma pessoa devolvê-la a ele — não há retorno por tempo.
• O relógio conta a partir da última mensagem humana: se a pessoa responder de novo, a janela recomeça.
• O tempo mínimo aceito é de 1 minuto; valores menores são elevados a esse piso.
• A configuração é por Robô (vale para todas as caixas em que ele atende).

Onde o modo se aplica e o análogo por departamento

• O modo configurado no Robô vale como padrão nas caixas em que ele atua. Uma conversa pode ter uma exceção persistente; a precedência é conversa → Robô. A mudança vale a partir do próximo turno, não interrompe uma resposta em andamento e não executa nem descarta aprovações já pendentes.
• Os departamentos do Cérebro têm o seu próprio nível de autonomia (incluindo "Perguntar antes") — configuração à parte, detalhada no artigo de departamentos.

Casos de uso

• Time novo na IA: comece no Copiloto e revise tudo antes de enviar.
• Operação com confiança e trilhos: Híbrido — respostas de rotina sozinhas, movimentos de dinheiro/dados aguardando aprovação.
• Alto volume de baixo risco: Piloto automático para toques simples, ou Híbrido para a maioria dos casos.
• Delegação sensível a subagente mantida sob aprovação no Híbrido.

Dicas, limites e boas práticas

• O pedido de aprovação apresenta a ação em linguagem clara e os nomes dos times ou pessoas quando podem ser confirmados na conta. Se o nome estiver indisponível, confira o destino antes de decidir; uma referência numérica não confirma a identidade.

• Se a fila não carregar, use Tentar novamente. Um erro de consulta não significa que não existem pedidos pendentes.

• Evolua a confiança gradualmente: Copiloto → Híbrido → Piloto automático.

• Garanta que um administrador acompanhe as aprovações: só administradores recebem a notificação de aprovação e podem decidir. O agente atribuído (ou o time) é apenas @mencionado na nota privada.

• Revise os pendentes com frequência para o fluxo não acumular.

• Aprovar reexecuta a ação exata parqueada — confira os dados antes de aprovar; se algo mudou, rejeite e peça de novo.

• Só ferramentas habilitadas são propostas; deixe as mais poderosas começando com aprovação.

Retomar depois de uma transferência

Ao confirmar Retomar pelo atendimento, a conversa volta ao Robô e a marca da transferência anterior é liberada. Se um fluxo ainda tiver prioridade, o Robô aguarda sua liberação. A última mensagem pendente pode ser entregue ao Robô dentro do limite de uma hora; uma mensagem mais recente substitui a anterior. Falha ou confirmação pendente não libera o atendimento automaticamente.

A sincronização também reconhece uma retomada explícita confirmada pela API, sem desfazer uma transferência humana mais recente. Se uma conversa antiga aparecer ativa, mas continuar bloqueada pela transferência anterior, confirme Retomar novamente. Uma ativação automática por tempo não remove essa marca por si só.

Solução de problemas

• "Não consigo aprovar uma macro": a macro roda com as suas permissões. Confira se você pode executá-la (macros pessoais e seletivas têm público restrito) e se tem acesso à conversa. Quem tiver permissão pode aprová-la, ou você pode rejeitar a ação.
• "Meu fluxo parou de aprovar uma macro": a etapa Aprovação humana do Flow Builder não aprova macros, porque elas rodam com as permissões de quem aprova. Aprove ou rejeite a macro no painel do Maestro e ajuste o fluxo para tratar a falha da etapa, sem repeti-la automaticamente.
• "A ação não executou": no Híbrido, uma ação sensível fica parada — um administrador precisa aprovar no painel do Maestro.
• "Ninguém viu o pedido de aprovação": a notificação de aprovação vai para os administradores da conta — confira as notificações deles. A nota privada @menciona o agente atribuído à conversa ou, na falta dele, o time.
• "A fila de aprovações mostra um erro em vez da lista": o Maestro não conseguiu ler a fila naquele momento. Nada foi aprovado, rejeitado ou apagado, e as aprovações podem continuar esperando — por isso a fila não aparece vazia. Use Tentar novamente em instantes; enquanto isso, as notas privadas nas conversas continuam mostrando o que está parado.
• "O Robô agiu sozinho numa ação que eu queria revisar": ela não está na lista de sensíveis ou o modo é Piloto automático — mude para Híbrido.
• "Não consigo aprovar um rascunho de IA de Follow-up pelo Robô": a aprovação de rascunho é humana por design — veja o artigo de Follow-ups.
• "Aprovar não funciona e o cartão diz que o Maestro está pausado": depois de uma transferência para humano, ou quando alguém pausa ou assume a conversa, o Robô recua naquela conversa e nenhuma aprovação pode ser executada ali. Nada foi executado. Se a ação não é mais necessária (por exemplo, a transferência já aconteceu), recuse a proposta. Se ainda for, retome o Maestro na conversa e então aprove. Uma proposta de transferência de time é encerrada sozinha quando o próprio Robô já transferiu a conversa: ela some do painel, e um clique numa tela desatualizada avisa que ela foi substituída pela transferência feita pelo robô, sem executar nada.

Conferir uma aprovação

O texto acompanha o idioma da interface, sem alterar o nome cadastrado nem os parâmetros da execução.

Depois de Aprovar ou Recusar, a interface confirma, no idioma em que você a usa, quando a decisão foi aplicada. Quando a decisão não é aplicada, ela explica o que aconteceu com a tentativa: nada foi executado e a proposta continua pendente (resolva a causa, por exemplo retomando o Maestro, e aprove de novo); nada foi executado e esta proposta não pode mais rodar (recuse-a e peça uma nova ação); a proposta não está mais pendente e não há registro do motivo, então ela pode ter sido aprovada em outra aba (confira o histórico da conversa antes de pedir uma nova ação); a tentativa foi usada sem efeito (ela não será repetida; peça uma nova ação); ou o resultado não foi confirmado (confira a conversa antes de qualquer nova ação e não aprove de novo).

Durante a atualização ou execução, os botões ficam indisponíveis. Uma falha ao carregar a fila oferece Tentar novamente, sem aprovar nada. Se a entrega precisar de conferência, verifique o resultado antes de propor outra ação; não repita uma transferência apenas porque a confirmação demorou.

Veja também

• O que é o Maestro IA e o Cérebro da Conta
• Copiloto generativo: propor, confirmar e executar
• Departamentos, análise de risco e insights
• Ferramentas do Maestro por módulo
• IA com aprovação humana (human-in-the-loop) nos Follow-ups