Um fornecedor uma vez me disse que a IA de picking visual dele era "99.9% precisa". Perguntei: em qual armazém, com quais SKUs, sob qual iluminação? Silêncio. Depois veio o pitch deck, cheio de números de laboratório. Estou há 20 anos no setor de armazenagem nos EUA, e aprendi a traduzir a matemática dos fornecedores na hora: precisão de laboratório não significa nada até o modelo ter sobrevivido ao seu prédio, aos seus SKUs e à sua alta temporada.
Então esta é minha regra para qualquer IA entrando em produção num armazém: nada de virada big-bang. A IA acompanha como sombra por 30 dias primeiro. Observa, registra, não toca em nada. Depois — e só depois — falamos de go-live.
Modo sombra, roubado da Tesla
Não fui eu que inventei. Em abril de 2019, no Autonomy Day da Tesla, a empresa descreveu como valida seu novo software de direção autônoma: executa em "modo sombra" nos carros dos clientes — operando silenciosamente em segundo plano, sem tocar em nenhum controle do veículo, apenas registrando "foi isso que eu teria feito" e comparando com o que o motorista humano fez de fato. A Tesla depois colocou isso por escrito para o DMV da Califórnia: recursos em modo sombra operam silenciosamente sem acionar nenhum controle do veículo, de modo que o novo comportamento é comprovado em condições reais antes de chegar à frota.
A versão do armazém tem exatamente o mesmo formato. A IA opera; os humanos operam a operação; a saída da IA é registrada e nunca executada. Digamos que você esteja avaliando sugestões de reposição por IA: no modo sombra, a IA gera sua lista de sugestões todo dia, mas a lista nunca sai. Os separadores trabalham com o processo original. No fim do turno, o sistema compara as sugestões da IA com o que os operadores veteranos realmente fizeram, linha por linha: concordância, divergência ou "a IA perdeu a cabeça".
Essa última categoria importa, e é por isso que o modo sombra não é um "piloto". Um piloto coloca negócio real em risco real em pequena escala — quando erra, você paga. O modo sombra cobre toda a operação com risco zero — quando erra, é só uma linha no log, e a expedição continua na manhã seguinte. Esses 30 dias compram evidência, não confiança. Quando um fornecedor citar 99.9%, peça o log de diferenças de 30 dias. Se não conseguir produzir, não há nada a discutir.
Trinta dias, três números
Quando os 30 dias terminarem, você deve ter três números em mãos. Minha checklist olha só para esses três e nada mais — todo o resto é ruído.
Primeiro: taxa de concordância. Com que frequência a decisão da IA coincide com o que o operador humano acabou fazendo. Meu padrão: 99% ou melhor por duas semanas consecutivas. Repare no fraseado — duas semanas consecutivas, não uma média de 30 dias. Médias escondem pecados. Duas semanas a 95% seguidas de duas semanas a 100% dão uma média respeitável de 97.5%, mas para onde foram os problemas das duas primeiras semanas? Semanas limpas em sequência provam que o modelo é estável e não teve sorte. E acompanhe a concordância por cenário: SKUs padrão, itens de formato irregular e produtos de cadeia do frio são pontuados separadamente. Misture-os e o ponto fraco some dentro da média.
Segundo: latência. O tempo entre a IA receber os dados e produzir uma saída. Meu padrão: latência P95 não pior que um terço do tempo que um humano leva para a mesma decisão. Uma IA mais lenta que sua equipe não tem lugar na produção — o chão não pode esperar. Isso só pode ser medido honestamente durante o modo sombra, com volumes de dados de produção, porque depois do go-live a latência vira tempo de espera na linha, e descobri-la então é tarde demais. Não deixe ninguém medi-la num banco de dados de teste com alguns milhares de linhas.
Terceiro: taxa de absurdos. A parcela das saídas da IA que são totalmente absurdas — sugerir que produtos de cadeia do frio vão para armazenagem ambiente, recomprar um SKU descontinuado, dividir um pedido em três ondas. Erros que um veterano jamais cometeria. Meu padrão: zero em 30 dias. A taxa de concordância é negociável; o absurdo não. Uma única saída absurda significa que o modelo não tem conceito dos limites do seu negócio, e essa IA vai te machucar hoje ou amanhã.
A reunião de go/no-go
Dados em mãos, faça uma reunião. Quatro partes, lugares fixos: o líder de operações do armazém, TI, o fornecedor de IA e uma voz independente de sua confiança — um consultor externo ou o veterano interno que realmente conhece a operação. A reunião tem exatamente um trabalho: comparar os três números com os padrões e votar go ou no-go.
Go significa que os três padrões foram atingidos, estáveis nas duas últimas semanas, e a lista de exceções zerada. No-go significa que um único padrão falhou, ou uma única saída absurda registrada. Não há opção do meio, nem "vamos continuar observando". Observar mais uma semana é só o dia 31 do modo sombra — os dados decidem. Ou estende a execução em paralelo ou mata o rollout. "Entrar em produção com problemas conhecidos" não está no cardápio.
Uma coisa mais que a maioria das equipes perde: a virada em si tem de ser gradual. Uma linha, um turno, uma semana limpa antes do rollout total. Leia o desastre da Knight Capital ao contrário e a lição é óbvia: em 1º de agosto de 2012, a firma de trading lançou novo código de roteamento de ordens direto em produção, uma rotina dormente acordou num servidor esquecido, e cerca de 440 milhões de dólares evaporaram em cerca de 45 minutos porque ninguém conseguiu pará-la a tempo. Se tivessem rodado o código novo primeiro num servidor, o desastre nunca teria acontecido. O mesmo no armazém: deixe a IA "entrar em produção" num turno com veteranos observando por uma semana. Isso vale mais que dez reuniões de revisão. Durante a semana gradual, a reunião matinal acompanha exatamente um número: quantos pedidos a IA tocou ontem e quantos deram errado.
Escreva o plano de rollback antes de precisar dele
Um plano de rollback escrito depois do incidente é uma autópsia, não um plano. O meu tem três itens, e os três são escritos e ensaiados antes da virada.
Um: um interruptor de emergência. O módulo de IA no seu WMS tem de ser uma chave de configuração, não um deploy de código. Desligue-a e a operação volta a ser totalmente manual em cinco minutos — ensaiado de verdade, não documentado com esperança. A Knight Capital precisou de 45 minutos para ir de "algo está errado" a desligar o sistema manualmente. Num armazém, 45 minutos bastam para enviar errado um turno inteiro para a zona errada e deixar as transportadoras de amanhã enfileiradas no dock.
Dois: quarentena de dados. Tudo que a IA tocou durante o período em produção é etiquetado — recomendações de slot ajustadas pela IA, ondas mescladas pela IA, pontos de reordenação alterados pela IA — para que o rollback possa removê-las de uma vez sem contaminar o histórico do processo manual. Caso contrário, você passa meses reconciliando resíduos de IA. Defina as regras de etiquetagem durante o modo sombra, não depois da virada.
Três: um responsável nomeado. Quem ordena o rollback? Minha regra: o líder de operações de chão tem poder de veto e autoridade sobre o interruptor, sem escalonamento para TI, sem esperar o fornecedor aparecer. Quando as coisas dão errado, cada minuto é dinheiro, e quando a cadeia de aprovação termina, a carga já saiu. Coloque essa autoridade na carta do projeto no dia um, não no dia em que explodir.
A Amazon fez assim com o Sparrow, seu braço de picking visual por IA revelado em novembro de 2022. Em vez de um rollout para toda a frota, a Amazon fez um piloto no centro de distribuição de San Marcos, Texas, reduziu sua taxa de defeitos em 65% durante o piloto, e só então expandiu a implantação. Se a Amazon — com essa escala e esse time de engenharia — pilota antes de escalar, ninguém mais tem desculpa para uma virada big-bang.
Se você está negociando um projeto de IA agora, adicione uma cláusula ao contrato: os marcos de pagamento estão vinculados à aceitação do modo sombra. Sem aprovação, sem pagamento final. Um fornecedor que assina acredita no próprio modelo. Um fornecedor que não assina acabou de economizar sua mensalidade. Trinta dias de modo sombra são o preço de dormir bem à noite.
Traduzido do inglês. Em caso de divergência, prevalece a versão em inglês.
