O que uma multa contestada de câmera de semáforo revela sobre governança de IA, fornecedores privados, dados públicos e responsabilização institucional
Novara Consulting Group | Governança de IA × Governo Local | Agosto de 2026
Um morador abre um envelope enviado por sua cidade e encontra dentro uma acusação: uma fotografia de um cruzamento, um registro de data e hora, uma imagem ampliada de uma placa de veículo e uma cobrança de pagamento. O veículo está registrado em seu nome. Ele afirma que estava a quilômetros de distância quando a fotografia foi tirada. A pergunta instintiva, e aquela em torno da qual a maioria das disputas desse tipo se desenrola, é se a câmera funcionou corretamente. A placa foi lida corretamente, o sinal estava realmente vermelho, o equipamento estava calibrado e certificado. Essas perguntas importam, e são também as menores perguntas disponíveis. Suponha, para dar à instituição o melhor dos cenários, que a resposta a todas elas seja sim. Suponha que a câmera tenha funcionado exatamente como projetada e que o processo tenha operado exatamente como escrito. O problema de governança permanece intacto, porque a câmera nunca observou aquilo que a multa afirma. Ela observou um veículo. A multa acusa uma pessoa.
Um programa de fiscalização automatizada não é uma câmera. É uma cadeia de inferências. Um sensor observa um evento. Um software associa o evento a um registro. Um processo administrativo converte a associação em uma alegação. A alegação inicia a fiscalização contra um indivíduo identificado. Cada elo dessa cadeia é uma decisão que o governo tomou, independentemente de alguém dentro da instituição vivenciá-la como tal, e um governo local não se exime da responsabilidade por essas decisões ao inserir um sistema automatizado e um contratado privado entre si e o público. Quando a tecnologia observa um evento, o associa a um registro, gera uma alegação e inicia a fiscalização, cada inferência dessa cadeia deve ser governada. A questão não é simplesmente se a câmera leu corretamente a placa do veículo. É se o governo consegue justificar como evidências sobre um veículo se transformaram em uma acusação contra uma pessoa.
Uma multa de trânsito contestada é um caso pequeno, de consequências pequenas, o que é precisamente o que o torna útil. Nessa escala, cada componente do sistema pode ser examinado, e o padrão de falha que o caso expõe não é específico de câmeras de trânsito. É o padrão de falha padrão dos sistemas de decisão automatizada implantados por instituições públicas. Cinco falhas merecem atenção, e nenhuma delas diz respeito à câmera.
A observação se transformou em atribuição
O sistema teria constatado que um veículo entrou no cruzamento contra o sinal. Se isso for exato, trata-se de uma conquista probatória genuína: um registro fotográfico com data e hora de um evento, produzido sem a presença de um agente. Mas o evento que o sistema registrou não é a conduta que a multa alega. O sistema estabeleceu o que um veículo fez. Não estabeleceu nada sobre quem estava dirigindo. O processo de fiscalização tratou a propriedade registrada como suficiente para iniciar uma acusação e, ao fazê-lo, converteu um fato sobre um objeto em uma alegação sobre uma pessoa sem jamais obter a evidência que essa conversão exige.
Essa conversão não é uma etapa técnica. É uma etapa jurídica e institucional, e na maioria dos regimes de fiscalização por fotografia ela é realizada por força de lei, e não por prova. As regras de responsabilidade do proprietário existem porque identificar motoristas é difícil e multar proprietários é administrativamente fácil, e legislaturas em muitos estados fizeram essa escolha deliberadamente, geralmente definindo a infração como civil e vinculando a responsabilidade ao registro do veículo. Um governo pode ter o direito de fazer essa escolha. Não tem o direito de fazê-la de forma invisível. Quando uma multa chega formulada como uma constatação sobre a conduta do destinatário, enquanto o registro subjacente sustenta apenas uma constatação sobre a propriedade do destinatário, a instituição superestimou sua própria evidência. Essa é uma falha recorrente em toda a governança automatizada em geral: os sistemas produzem fatos sobre objetos, registros e indicadores indiretos, e as instituições silenciosamente promovem esses fatos a alegações sobre pessoas.
A revisão humana pode ter sido mais limitada do que se anunciava
Programas desse tipo são rotineiramente defendidos com uma frase que soa como governança: um agente revisa cada multa antes de ser emitida. A frase merece uma pergunta de acompanhamento que raramente recebe, que é o que, exatamente, o agente revisa. Se a revisão consistiu em confirmar que a placa na fotografia corresponde ao veículo no banco de dados de registro, então o ser humano validou o único elo da cadeia que a máquina trata melhor e deixou intocado o único elo que a máquina não pode abordar de forma alguma, a saber, a identidade do motorista. A inferência material, a inferência da qual a responsabilidade realmente depende, passou pelo processo sem ser examinada por ninguém.
“Humano no circuito” é uma afirmação de governança, não uma descrição de quadro de pessoal. Ela tem peso apenas quando o humano está posicionado, autorizado e equipado para avaliar a inferência que importa, e detém discricionariedade genuína para interromper o processo quando a evidência não a sustenta. Um revisor cuja função se limita a confirmar o que a máquina já estabeleceu não está exercendo supervisão; o revisor está exercendo ratificação. As instituições que anunciam revisão humana devem ao público um relato preciso do que o humano examina, do que o humano está habilitado a recusar e com que frequência o revisor de fato recusa. Onde esse relato não pode ser produzido, a expressão está fazendo o trabalho de tranquilização que o processo em si não está fazendo.
O ônus foi transferido para o morador
A terceira falha decorre das duas primeiras. Como o sistema não conseguia estabelecer quem estava dirigindo, e a revisão não tentou fazê-lo, o programa resolveu a questão da identidade transferindo-a. Em vez de o governo estabelecer quem cometeu a infração antes de fazer uma acusação, exigiu-se que o proprietário registrado entrasse em um processo administrativo, fornecesse informações e redirecionasse a responsabilidade, em alguns regimes identificando o motorista real e em outros documentando sua própria ausência. A contestabilidade existia, mas existia apenas depois que o sistema já havia agido, e a consequência padrão de não fazer nada era a responsabilização. A sequência importa. Uma acusação que precisa ser ativamente afastada é um exercício de poder diferente de uma acusação que precisa primeiro ser provada.
Tribunais já reconheceram essa estrutura antes. Em State v. Kuhlman (Minn. 2007), a Suprema Corte de Minnesota invalidou a lei municipal de fiscalização por fotografia de Minneapolis, decidindo que ela conflitava com as leis de trânsito uniformes do estado e argumentando que sua presunção de que o proprietário registrado era o motorista eliminava a presunção de inocência e transferia o ônus da prova para o acusado. A lição dessa decisão não é que a fiscalização automatizada seja inerentemente ilegal. É que a alocação do ônus é uma decisão de governança de primeira ordem. Decidir quem deve provar o quê, a que custo, em que prazo e com que consequência pelo silêncio é uma decisão sobre a relação entre o Estado e as pessoas que ele governa. Ela não pode ser herdada por padrão do fluxo de trabalho de um fornecedor, e os moradores não deveriam descobrir como ela foi tomada apenas quando o envelope chega.
A fiscalização pública foi canalizada por infraestrutura privada
Cada elemento da acusação reside em algum lugar, e em um programa operado por fornecedor terceirizado, grande parte dele pode residir fora do governo. Imagens, leituras de placas, registros de data e hora, consultas de registro, registros de infrações, dados de pagamento e o conteúdo das contestações dos moradores podem passar por, ou ser armazenados em, sistemas que o contratado constrói e controla. O público tem direito a respostas precisas para perguntas pouco glamorosas: quem pode acessar as informações e sob qual autorização; onde são armazenadas e sob a lei de qual jurisdição; por quanto tempo são retidas, e se a retenção acompanha o desfecho da multa ou a conveniência do fornecedor; se podem ser reutilizadas, agregadas, analisadas ou vendidas sob qualquer forma; e o que acontece com elas quando o contrato termina, quando o fornecedor é adquirido ou quando o fornecedor falha. Um morador não pode optar por não ser fotografado por um programa de fiscalização em um cruzamento público. Dados gerados sob esse tipo de exposição compulsória são um artefato da autoridade pública, e sua governança não pode ficar por padrão sujeita aos termos de um acordo comercial que o público nunca viu.
Essas não são ansiedades hipotéticas nesse mercado específico. A fiscalização por fotografia tem um histórico documentado de incentivos desalinhados, incluindo estruturas de remuneração que pagavam aos contratados por multa emitida, e de corrupção em licitações, mais notoriamente o esquema de suborno em torno do programa de semáforos de Chicago, que resultou em condenações federais. O Texas respondeu a anos de controvérsia proibindo câmeras de semáforo em todo o estado em 2019. Nada disso estabelece que os fornecedores sejam maus agentes. Estabelece que os fornecedores são fornecedores: empresas privadas com incentivos comerciais, operando dentro de uma função que deveria responder a incentivos inteiramente diferentes. Essa é uma condição a ser governada, e não uma acusação a ser litigada, e só pode ser governada no contrato.
A responsabilização se tornou suficientemente distribuída a ponto de desaparecer
Pergunte quem é responsável pela acusação e o programa responde em fragmentos. A câmera detectou o evento. O fornecedor operou o sistema. Um agente verificou a placa. A cidade autorizou o programa. A lei estadual estruturou a multa. Cada participante pode relatar com veracidade que sua própria função limitada operou conforme projetado, e cada um está correto dentro de seus próprios limites. No entanto, os resultados dessas funções se combinaram em uma acusação governamental contra uma pessoa específica que diz estar a quilômetros de distância, e nenhum participante isolado é dono do ato composto.
Esse é o mecanismo silencioso pelo qual a automação dissolve a responsabilização, não por meio de má-fé ou mau funcionamento, mas por meio da decomposição. A responsabilidade é dividida em componentes até que não exista em lugar nenhum em particular. A governança existe precisamente para evitar esse resultado. Em algum lugar da instituição deve haver um cargo, ocupado por uma pessoa com nome, que seja responsável pelas alegações que o sistema faz sobre membros do público, habilitada a responder por essas alegações e obrigada a corrigi-las. Se ninguém dentro do programa puder dizer que a acusação era sua, o governo construiu uma máquina para produzir acusações que ninguém está disposto a assumir.
Onde a detecção se torna poder
O sistema pode ter identificado com precisão um veículo, enquanto a instituição atribuiu de forma imprecisa uma conduta a uma pessoa. Essa não é apenas uma distinção técnica. É o ponto em que a detecção automatizada se transforma em poder governamental. Quase tudo que os processos de licitação atualmente avaliam está do lado da detecção dessa linha: precisão do equipamento, certificações do fornecedor, cronogramas de calibração, compromissos de tempo de atividade, preço unitário. Quase tudo que importa institucionalmente está do lado da atribuição: o que a evidência pode sustentar, quais inferências o governo se permite tirar da saída da máquina, quem arca com o ônus quando uma inferência é contestada e quem responde quando ela está errada. Uma licitação que escrutina a câmera e presume a acusação avaliou o produto e ignorou o poder.
Nada disso depende de os componentes envolvidos se qualificarem como inteligência artificial. O reconhecimento de placas é visão computacional; grande parte do restante pode ser software comum e fluxo de trabalho administrativo. A obrigação de governança se vincula à cadeia de inferência, não à sofisticação do código, razão pela qual o padrão se generaliza. A mesma cadeia, observação para associação para alegação para fiscalização, está presente na detecção de disparos de armas de fogo, na detecção de fraude em benefícios, na suspensão automática de licenças e em todo sistema comparável que um governo local compra. O sistema automatizado de seguro-desemprego de Michigan, que acusou falsamente dezenas de milhares de moradores de fraude antes que auditorias e litígios alcançassem o problema, era essa mesma arquitetura operando em escala catastrófica. A câmera de semáforo é simplesmente a versão pequena o bastante para ser vista por inteiro.
O que a licitação deve governar
Governos locais não estão simplesmente comprando câmeras, algoritmos ou plataformas administrativas. Estão comprando sistemas que participam da autoridade pública, e é na licitação que essa participação é definida. É também o último momento em que o governo detém pleno poder de barganha. Antes da assinatura, todos os termos estão disponíveis. Depois da implantação, a governança se transforma em reparação.
A licitação deve, portanto, governar mais do que desempenho e preço. Deve governar a evidência, exigindo que o contrato e a própria multa declarem com precisão o que o sistema pode e não pode estabelecer. Deve governar a inferência, especificando quais conversões da saída da máquina para a alegação legal são permitidas e quem autoriza cada uma. Deve governar os dados, estabelecendo custódia, acesso, retenção, reutilização, segurança e saída antes que a primeira imagem seja captada. Deve governar a revisão humana, definindo o que o revisor deve determinar de forma independente e conferindo ao revisor autoridade real para impedir a emissão. Deve governar a contestabilidade, prestando contas com honestidade sobre o ônus que o programa impõe aos moradores e defendendo publicamente essa alocação. Deve governar os incentivos do fornecedor, desvinculando a remuneração do volume de fiscalização. E deve governar a responsabilidade, nomeando o cargo que responde pelo que o sistema faz às pessoas que ele atinge.
Nada disso é utópico, porque parte disso já é lei. Quando Minnesota retomou a fiscalização automatizada em 2024, quase duas décadas após o caso Kuhlman, fê-lo por meio de legislação estadual que autorizava um projeto-piloto de quatro anos estritamente condicionado, e não por meio de lei municipal. O estatuto exige um aviso para a primeira infração, determina sinalização prévia e locais de câmeras publicados, exige avaliação independente e relatórios à legislatura, proíbe pagar contratados privados com base no número de infrações ou multas emitidas, e exige que o governo responsável audite as práticas de dados de seu fornecedor. Seja qual for a conclusão sobre a sabedoria do programa, o instrumento é instrutivo. A diferença entre a lei que a Suprema Corte de Minnesota invalidou e o projeto-piloto que a legislatura autorizou não é a câmera. É a governança construída em torno da câmera, antes da implantação, em termos exequíveis. Essa é a disciplina que a Novara Consulting Group pratica como Operational AI Governance™: converter princípios de governança em instrumentos que um departamento de licitações possa efetivamente executar enquanto o governo ainda segura a caneta.
Um governo pode terceirizar a tecnologia. Não pode terceirizar seu dever de justificar ao público o que essa tecnologia faz.