Comprovadamente Certo, Não Provavelmente Certo
Comprovadamente certo significa que uma decisão de IA clínica pode ser reconstruída sob demanda: a regra exata invocada, os valores exatos conferidos, a operação determinística que retornou aprovação ou reprovação, e um humano nomeado que a atestou. Provavelmente certo significa que o sistema estava confiante. Sob inspeção, apenas um dos dois sobrevive.
Isto é uma distinção de categoria, não uma frase de marketing. Ela divide a IA clínica em duas arquiteturas que parecem idênticas numa demonstração e se comportam de forma completamente diferente no momento em que um regulador, um comitê de ética ou um tribunal faz a única pergunta que importa: mostre-me exatamente como esta decisão foi tomada.
Uma arquitetura responde com uma probabilidade. A outra responde com uma prova.
A pergunta que nenhuma probabilidade responde
Uma inspetora entra num centro clínico. Escolhe ao acaso um paciente incluído e diz: explique-me passo a passo como você determinou que este paciente era elegível.
Se a decisão não puder ser reconstruída diante dela, os dados-fonte, a conferência de inclusão e exclusão, a lógica que os conectou, isso é um achado de conformidade com o protocolo. A conformidade com o protocolo está há anos entre as categorias de deficiência mais citadas nas inspeções de GCP do FDA e da EMA. É a falha mais antiga e mais bem compreendida do campo.
Um score de confiança não explica coisa alguma a ninguém.
Toda estrutura regulatória que governa a IA clínica repousa sobre o mesmo requisito: uma decisão regulada deve ser reconstruível, dos dados-fonte, passando pela lógica da decisão, até a regra que a produziu, no momento em que um inspetor a solicita. O requisito aparece na 21 CFR Parte 11, no ALCOA+, no ICH E6(R3), nos Artigos 11, 12, 13 e 14 do EU AI Act, na Resolução CFM 2.454/2026 do Brasil e nas New Drugs and Clinical Trials Rules, 2019, da Índia. A formulação varia por jurisdição. O requisito arquitetural não.
Um score de confiança é, por construção, a saída de uma distribuição de probabilidade. Não é a saída de uma regra aplicada a dados-fonte. Você pode anexar um rótulo regulatório a ele depois do fato. Você não pode derivá-lo de um.
Essa é a distinção inteira, enunciada no nível da evidência:
🔹 Provavelmente certo otimiza para com que frequência o sistema está correto.
🔹 Comprovadamente certo otimiza para se conseguimos provar que o sistema respeitou cada restrição sobre esta decisão específica.
Ambas as perguntas importam. Os paradigmas de validação existentes respondem à primeira. A segunda foi deixada para que os assuntos regulatórios a traduzissem por conta própria, e ela não pode ser traduzida. Um score de confiança não é um artefato de conformidade. É um sinal de marketing em roupagem regulatória.
Simular versus provar
Há uma versão mais sutil de "provavelmente certo" que merece ser nomeada, porque é onde os sistemas mais sofisticados falham.
Alguma IA clínica simula o regulador. Ela prediz o que um inspetor, um comitê de ética ou um revisor de agência diria sobre uma dada saída. Um modelo bem treinado pode fazer isso impressionantemente bem. Mas a predição do juízo de um regulador é, por definição, provavelmente certa. É um palpite muito bom sobre um veredito humano que nunca foi de fato proferido.
Comprovadamente certo não simula o regulador.
Ele prova um conjunto delimitado de propriedades estruturais de forma determinística, sem meio-termo probabilístico, e encaminha todo juízo fora desse limite a um atestador humano nomeado. A máquina prova o que pode ser provado. O humano decide o que exige juízo. Nada é adivinhado e depois vestido como veredito.
Essa é a frase que separa as duas categorias:
Um sistema que prediz o que um regulador diria é provavelmente certo.
Um sistema que prova propriedades delimitadas e encaminha o resto a um humano responsável é comprovadamente certo.
O que um certificado de prova realmente é
Um certificado de prova não é uma metáfora e não é um painel. É um artefato concreto e estruturado, produzido pelo sistema no momento da decisão, contendo um conjunto definido de propriedades. Em seu núcleo:
🔹 A regra invocada. A regra específica aplicada, por fonte, citação e versão. Não "orientação do FDA". Seção 4.2.1 do Protocolo, Critério de Inclusão 7, verificado conforme os requisitos de dados-fonte do ICH E6(R3).
🔹 Os valores verificados. Os valores exatos de paciente, protocolo, centro e operacionais conferidos. Listados, não resumidos. Atribuíveis à fonte.
🔹 A operação de verificação. O procedimento determinístico que retornou aprovação ou reprovação sobre esta decisão específica. Inspecionável. Reproduzível. Reexecutável diante do inspetor.
🔹 A declaração de limite. O que a operação não conferiu, e os fatores de juízo humano deliberadamente reservados ao humano responsável.
A especificação completa estende isto a oito propriedades, acrescentando a classe de risco congelada da decisão, a identidade do humano que atestou, o registro de override e escalonamento, e uma declaração explícita de que a operação é evidência apresentada a um revisor, não uma substituição do juízo do revisor. O esquema completo está exposto em A Estrutura de Validação Regulatória.
Sem probabilidades. Sem confiança de modelo. Sem score de explicabilidade anexado depois do fato.
Isto é o que a 21 CFR Parte 11 exige desde 1997. É o que o ALCOA+ exige todos os dias em cada centro sob inspeção. É o que o EU AI Act agora exige explicitamente. E é próximo do que a Resolução CFM 2.454/2026 espera da IA na prática médica brasileira: explicabilidade, rastreabilidade da decisão e uma decisão final humana, com a ênfase na rastreabilidade da decisão em vez da interpretabilidade do modelo. A resolução governa a prática médica e entra em vigor em agosto de 2026; o princípio que ela torna explícito, a rastreabilidade em nível de decisão, é o que um certificado de prova produz.
O padrão regulatório já está aqui. Boa parte da pilha de fornecedores ainda não acompanhou.
O teste de três segundos
Há um teste que qualquer profissional de assuntos regulatórios pode aplicar a qualquer sistema de IA clínica hoje.
Peça: mostre-me o artefato de prova desta decisão, regra invocada, valores-fonte, operação de verificação, declaração de limite, num único documento. Depois cronometre a resposta.
🔹 Se a resposta navega para um painel, isso é um score de confiança embrulhado numa interface.
🔹 Se a resposta oferece exportar um log de auditoria, isso é um banco de dados de carimbos de tempo.
🔹 Se o sistema produz, em segundos, um artefato estruturado carregando essas propriedades, isso é um certificado de prova.
A maior parte da IA clínica implantada hoje falha neste teste. Não porque os fornecedores sejam desonestos, mas porque a arquitetura trata a conformidade como uma camada acrescentada no fim. Nesse ponto, a primitiva regulatória, o rastro verificável de regra a decisão a dados-fonte, já foi substituída por uma probabilidade. Não se pode retroajustar um certificado de prova sobre um score de confiança. O sistema tem de ser construído em torno do certificado desde a primeira linha de código.
Por que a evidência precisa ser não correlacionada
Há mais uma propriedade que separa a prova do desempenho, e é a mais frequentemente esquecida.
Um score de confiança é o modelo avaliando o próprio trabalho. Ele é gerado pelo mesmo sistema cuja saída pontua, então herda os pontos cegos dessa saída. Quando está errado, tende a errar exatamente nas formas em que a saída está errada. Isso é evidência correlacionada vestindo o rótulo de uma conferência. Boa parte do que se apresenta na IA clínica como controle de qualidade, um agente conferindo outro agente treinado nos mesmos dados, tem o mesmo defeito.
Comprovadamente certo exige evidência que falhe de forma diferente.
Uma conferência determinística de regras, uma prova estrutural formal e um atesto humano são três substratos diferentes. É improvável que compartilhem uma causa comum de falha. Uma conferência de regras pode errar de formas que uma prova estrutural pegaria. Uma prova estrutural pode passar em uma determinação que um humano rejeitaria. Um humano pode captar o que nenhuma operação de máquina foi escopada para ver. Evidência extraída de substratos que falham de formas diferentes é defensável de um modo que um único número autorrelatado nunca é.
Evidência correlacionada é confiança. Evidência não correlacionada é prova.
A categoria que isto define
"Comprovadamente certo, não provavelmente certo" é o princípio de projeto sob uma categoria específica de infraestrutura: IA de verificação em primeiro lugar para decisões clínicas reguladas. A distinção é arquitetural antes de ser qualquer outra coisa.
🔹 Um modelo probabilístico pode participar do fluxo de decisão, mas apenas porque é condicionado por uma conferência determinística que não pode contornar. O modelo propõe. A prova dispõe.
🔹 Tudo o que um inspetor, um comitê de ética ou um tribunal vê é produzido pela camada de verificação determinística, não pelo substrato probabilístico que a alimentou.
🔹 A camada de verificação, não o modelo, produz o artefato regulado.
Por isso a categoria é definida pelo que ela consegue reconstruir, não por quão acurada ela alega ser. Acurácia é uma propriedade de um modelo. Admissibilidade é uma propriedade de uma arquitetura.
As estruturas regulatórias estão convergindo para isto de todas as direções: trajetórias de inspeção contínua, em tempo real, nos Estados Unidos, avaliação de conformidade de alto risco na UE, explicabilidade em nível de decisão no Brasil. Quando a inspeção se torna contínua, a verificação tem de ser determinística e instantânea. A verificação procedimental, que documenta conformidade depois do fato, não consegue operar nessa cadência. A verificação arquitetural consegue.
O campo terá de escolher qual artefato conta. Uma probabilidade, ou uma prova.
Comprovadamente certo, não provavelmente certo. Esse é o padrão. O certificado é a prova.
Perguntas frequentes
O que significa "comprovadamente certo, não provavelmente certo" na IA clínica?
Significa que uma decisão de IA clínica pode ser reconstruída e defendida de forma determinística, a regra, os valores, a operação de verificação e o atesto humano exatos, em vez de meramente acompanhada por um score de confiança indicando quão certo o modelo estava. A probabilidade descreve o estado interno do modelo. A prova descreve o que foi de fato verificado.
Por que um score de confiança não é um artefato de conformidade?
Um score de confiança é a saída de uma distribuição de probabilidade, não a saída de uma regra aplicada a dados-fonte. Regulações como a 21 CFR Parte 11, o ICH E6(R3) e os Artigos 11, 12, 13 e 14 do EU AI Act exigem que uma decisão regulada seja reconstruível sob demanda. Um score de confiança não pode ser reconstruído na regra e nos valores que produziram a decisão, então não pode satisfazer esse requisito.
O que é um certificado de prova?
Um certificado de prova é um artefato estruturado produzido no momento em que uma decisão assistida por IA é tomada. Ele registra a regra invocada, os valores verificados, a operação de verificação determinística, uma declaração explícita de limite sobre o que não foi conferido, a classe de risco congelada, a identidade do humano que atestou, o registro de override e escalonamento, e uma declaração de que a operação é evidência, não uma substituição do juízo humano.
Como um certificado de prova difere de um log de auditoria?
Um log de auditoria é tipicamente um banco de dados de carimbos de tempo que registra que algo aconteceu. Um certificado de prova registra exatamente o que foi verificado, contra qual regra e versão, com quais valores-fonte, e o que foi deliberadamente deixado ao juízo humano, num único artefato reproduzível que pode ser reexecutado diante de um inspetor.
A arquitetura de verificação em primeiro lugar substitui os revisores humanos?
Não. A arquitetura é explicitamente evidência, não substituição. A operação de verificação é evidência a montante que um humano nomeado consome antes de atestar a decisão. A responsabilização permanece com o humano.
A NexTrial.ai constrói infraestrutura de verificação em primeiro lugar para a ativação de estudos clínicos assistida por IA. As capacidades aqui descritas refletem a intenção de projeto da estrutura. Para a arquitetura completa, ver A Estrutura de Validação Regulatória.