Sistema de automação de processos

São três subsistemas e um único artefato. O extrator transforma prosa em grafo, o avaliador aplica a rubrica e roda a conta, o runtime executa, os três falam a mesma estrutura. O extrator não escreve texto livre: preenche um schema fechado em que cada passo tem ator, sistema de origem, sistema de destino, portas de entrada e saída tipadas, volume, tempo por item e regra de exceção. Campo que o texto não sustenta não recebe valor padrão, fica marcado como ausente e vira pergunta. O grafo é JSON validado por schema, imutável no momento em que é publicado. Diagnóstico e automação não são documentos diferentes: são o mesmo objeto em estados diferentes.

A rubrica pontua passo a passo, nunca o processo em bloco. Quatro eixos por passo: entrada estruturada ou prosa, decisão determinística ou julgamento, sistema de destino com API ou sem, escrita reversível ou definitiva. Passo não elegível é o que depende de julgamento sem caso rotulado que o calibre, ou toca sistema que só aceita gente digitando na tela, e ele continua no grafo, marcado, porque alguém vai executar esse pedaço à mão. O score do processo é a média dos passos ponderada por volume e tempo por item: dois passos inelegíveis que custam cinco minutos por mês pesam menos que um passo elegível que custa quarenta horas. Por isso o percentual da tela não é a fração simples de passos. A conta de horas e payback sai do mesmo módulo determinístico, com fórmula e origem de cada variável abertas.

O runtime é uma máquina de estados durável, e fila, checkpoint, retry e reprocessamento são o mesmo motor do Workflow Engine. Daqui saem duas coisas: a fila é particionada por organização, com concorrência limitada, para que um tenant despejando vinte mil e-mails não afogue os outros; e o passo de aprovação humana é durável, a execução dorme e acorda por evento, sem segurar worker por horas. Chamada a sistema externo não fica dentro de transação de banco: o worker grava a intenção, solta a conexão, chama o ERP e registra o resultado depois. A chave de idempotência, (execução, passo, hash do payload), vai junto na chamada ao ERP; quem recusa a duplicata é o destino. Onde o ERP não aceita chave, o passo faz busca-antes-de-escrever pelo identificador do documento, e o que não dá para deduplicar de nenhum dos dois jeitos fica marcado no grafo como escrita não reexecutável, com reconciliação depois. O isolamento é do banco: RLS por organização em toda tabela, worker conectando em role sem BYPASSRLS e tenant setado por GUC na abertura da conexão, se o código esquecer, a query volta vazia em vez de vazar. A observabilidade é de código: cada passo emite span com latência, tokens e custo. Input e saída do modelo ficam gravados, o replay reexecuta o trecho determinístico contra os mesmos dados e compara com a saída registrada, em vez de fingir que o modelo repete. Cada automação carrega seu conjunto de casos rotulados: mudou prompt, mudou modelo, roda contra o conjunto antes de virar versão; abaixo do limiar de confiança calibrado o item cai para revisão humana, e a correção do revisor volta como caso.

Comecei pelo fim. Antes de qualquer LLM, escrevi oito processos à mão em JSON e mandei o executor rodar. Foi isso que fixou o schema e revelou o que faltava: exceção, timeout, reprocessamento, ponto de aprovação. Só depois o modelo entrou para escrever esse mesmo JSON. Gerar para um alvo que já existe é problema de extração, e problema de extração se mede.

A parte difícil foi a entrevista. Texto real vem com volume vago, sem tempo por item, sem custo-hora, sem taxa de retrabalho. O extrator passou a marcar cada variável como declarada, inferida ou ausente, e a ordenar as perguntas por sensibilidade sobre o resultado, não pela ordem do formulário. Variável inferida aparece marcada na tela, o usuário vê exatamente onde o sistema chutou.

O que joguei fora: a primeira versão tinha um diagrama bonito no diagnóstico e um construtor separado para montar a automação. Duas representações, duas verdades. O usuário aprovava um desenho que não compilava. Reescrevi para que o diagrama fosse a serialização do grafo executável. Ele continua montando e editando o fluxo, só que agora edita o executável, e o que não compila deixou de poder ser desenhado.