A culpa de ninguém

Há uma frase que se tornou extraordinariamente comum justamente porque traduz um dos problemas mais difíceis do Direito contemporâneo: “foi uma falha do sistema”. Ela aparece quando o aplicativo bancário transfere dinheiro para quem não deveria; quando uma plataforma mantém durante horas ou dias conteúdos cuja circulação poderia ter sido tecnicamente mitigada; quando o hospital administra medicamento errado apesar de nenhum profissional, isoladamente considerado, parecer ter cometido erro grosseiro; quando o processo eletrônico impede a prática de um ato no último minuto do prazo; quando um concurso público rejeita documento que o candidato efetivamente tentou anexar; quando um algoritmo discrimina sem que qualquer programador tenha escrito uma instrução expressamente discriminatória; quando uma companhia aérea perde uma mala porque cinco pequenos procedimentos, todos aparentemente razoáveis, falharam sucessivamente; quando uma criança acessa conteúdo que cada setor da plataforma supunha estar sendo filtrado por outro; quando um banco permite uma fraude porque autenticação, análise comportamental, limites transacionais e mecanismos de alerta eram individualmente defensáveis, mas coletivamente insuficientes. A expressão parece oferecer uma explicação, mas frequentemente funciona como uma sofisticada forma de não explicar nada: se foi “o sistema”, quem responde? O operador que executou o último comando? O programador que escreveu determinada linha de código? O gestor que aprovou o orçamento? A empresa que escolheu determinada arquitetura? O usuário que não compreendeu a interface? O Estado que tolerou o risco? Ninguém? Ou precisamente porque não existe um agente singular cuja culpa absorva o acontecimento, deve-se reconhecer que o objeto da imputação mudou? O Direito contemporâneo começa a incorporar, de forma cada vez mais clara, a categoria da falha sistêmica, especialmente em ambientes digitais, organizacionais e altamente complexos. A importância filosófica dessa transformação é muito maior que qualquer caso concreto. O que está em formação não é apenas uma nova jurisprudência da tecnologia, dos bancos, dos hospitais ou das plataformas. É uma gramática jurídica capaz de responder a sociedades em que os danos mais relevantes são cada vez menos produzidos por um único gesto perfeitamente identificável e cada vez mais emergem da interação de centenas de decisões, protocolos, algoritmos, incentivos, omissões, automatismos e dependências recíprocas. O Direito, construído durante séculos para perguntar “quem fez?”, começa a ser obrigado a formular uma questão mais perturbadora: quem organizou as condições nas quais aquilo se tornou provável?

A tradição jurídica ocidental sente-se particularmente confortável diante do autor. Há algo de intelectualmente tranquilizador na sequência elementar sujeito–ação–resultado–imputação. Aristóteles, quando diferencia o voluntário do involuntário, oferece uma gramática na qual responsabilidade pressupõe alguma vinculação entre agente, conhecimento e movimento; Tomás de Aquino aprofunda a centralidade da vontade e da racionalidade prática; Kant reconduz a dignidade moral da pessoa à autonomia e à possibilidade de atribuir-lhe uma máxima; Hegel encontra na ação uma exteriorização da vontade na realidade; e mesmo sistemas positivistas que se afastam da metafísica do livre-arbítrio preservam a necessidade de um ponto de imputação. Kelsen pode substituir a causalidade natural pela imputação normativa, mas ainda pergunta a qual pressuposto juridicamente relevante uma consequência deve ser atribuída; Hart demonstra que responsabilidade não é conceito unívoco, distinguindo papel, capacidade, causalidade e sujeição a sanção; Bobbio recorda que o ordenamento opera mediante conexões normativamente construídas entre condutas e consequências. O Direito Civil clássico recebe essa estrutura quase intuitivamente: alguém age culposamente, alguém sofre dano, estabelece-se nexo causal, surge o dever de reparar. Mesmo quando a responsabilidade objetiva elimina a necessidade de demonstrar culpa, preserva-se geralmente a imagem de uma atividade, de um agente e de um risco que pode ser reconduzido a determinada esfera. Existe, portanto, uma espécie de individualismo metodológico profundamente incrustado no imaginário jurídico: para cada lesão, procura-se uma ação; para cada ação, um agente; para cada agente, uma vontade; para cada vontade, uma possibilidade de censura. O problema é que a sociedade tecnológica se tornou infinitamente mais complexa do que o modelo antropológico sobre o qual essa estrutura foi edificada.

O acidente contemporâneo frequentemente não possui um autor; possui uma história. Mais precisamente, possui uma arquitetura causal. Charles Perrow, ao estudar aquilo que chamou de acidentes normais, demonstrou que determinados sistemas se tornam tão complexos e tão intensamente interdependentes que certas falhas deixam de ser aberrações externas ao funcionamento normal e passam a constituir possibilidades internas da própria organização. Quanto maior a complexidade das interações e quanto mais estreito o acoplamento entre componentes, maior a possibilidade de pequenos desvios produzirem efeitos não antecipados. James Reason avançou por caminho semelhante ao formular o conhecido modelo das barreiras sucessivas, frequentemente representado pelas camadas de queijo suíço: cada mecanismo de proteção contém fragilidades; um acidente grave ocorre quando, circunstancialmente, as falhas de várias barreiras se alinham. A importância jurídica dessa ideia é extraordinária porque ela desloca a pergunta. Se cinco pequenas falhas independentes são necessárias para que o dano aconteça, pode ser irracional procurar uma única pessoa cuja culpa explique tudo. O operador que executou um comando talvez tenha seguido corretamente o protocolo; o supervisor talvez tenha recebido informações incompletas; o sistema talvez tenha sinalizado o risco de forma ambígua; a organização talvez tenha economizado em redundância; o treinamento talvez tenha sido formalmente suficiente e materialmente inadequado. Cada fragmento, tomado isoladamente, parece pequeno. O resultado, entretanto, é catastrófico. A causalidade jurídica deixa então de parecer uma linha e passa a assemelhar-se a uma rede.

Niklas Luhmann ajuda a compreender a profundidade dessa transformação. Sistemas sociais complexos não são simples somas das intenções individuais de seus participantes; produzem operações, expectativas, comunicações e padrões próprios. Uma organização pode produzir um resultado que nenhum de seus integrantes desejou e que, não obstante, decorre perfeitamente de sua estrutura. Max Weber já percebera algo semelhante ao estudar a burocracia: a racionalização administrativa aumenta previsibilidade, especialização e controle, mas produz também fragmentação funcional e diluição da responsabilidade pessoal. Cada indivíduo executa uma parcela da tarefa; justamente por isso, ninguém parece controlar o todo. Hannah Arendt, em outra chave, mostrou como estruturas burocráticas podem produzir uma forma perturbadora de irresponsabilidade: não necessariamente porque ninguém pratique atos, mas porque cada participante percebe sua própria atuação como pequena, técnica, procedimental, quase neutra. A modernidade descobriu uma forma paradoxal de poder: quanto maior a organização, mais difícil pode se tornar localizar alguém que diga “eu decidi”. Günther Anders identificou algo semelhante no descompasso entre capacidade de produzir efeitos gigantescos e capacidade humana de representá-los moralmente. Hoje, porém, esse problema recebe uma camada adicional: não apenas organizações, mas algoritmos, modelos preditivos, interfaces, sistemas automatizados e cadeias de fornecedores repartem a decisão em milhares de microdeterminações. A consequência é uma sociedade na qual se multiplicam decisões sem decisores facilmente identificáveis e danos sem autores únicos.

O Direito encontra aí uma dificuldade que não pode ser resolvida simplesmente ampliando a noção tradicional de culpa. Culpa sistêmica não é culpa individual multiplicada por cem. Tampouco corresponde necessariamente à soma das negligências de todos os integrantes de uma organização. A categoria exige outra ontologia da responsabilidade. A falha sistêmica pode existir precisamente quando cada indivíduo, isoladamente considerado, agiu de modo defensável. Imagine-se um hospital no qual médico, enfermeiro, farmacêutico e administrador tenham seguido protocolos tecnicamente aceitáveis, mas esses protocolos, quando combinados, criem uma zona de risco previsível. Ou uma instituição financeira em que cada mecanismo antifraude, tomado isoladamente, esteja dentro de padrões de mercado, mas a combinação de limites elevados, autenticação deficiente e alertas pouco responsivos produza ambiente estruturalmente vulnerável. Ou ainda uma plataforma digital que mantenha milhares de moderadores, políticas de segurança, canais de denúncia e mecanismos automatizados, mas cuja lógica de recomendação amplifique justamente os conteúdos mais propensos a gerar engajamento destrutivo. Em todos esses casos, a pergunta “quem foi negligente?” pode ser insuficiente. O juízo juridicamente relevante passa a ser: a estrutura como um todo foi razoavelmente desenhada para enfrentar riscos previsíveis?

Esse deslocamento altera profundamente a ideia de diligência. No modelo clássico, diligência é atributo da conduta: perguntou-se se determinada pessoa agiu como deveria agir. No modelo sistêmico, diligência passa a ser também propriedade da arquitetura. Um sistema pode ser diligente ou negligente em sua própria configuração. Pode possuir redundâncias, canais de correção, mecanismos de auditoria, registros confiáveis, interfaces compreensíveis, protocolos de escalonamento e meios de revisão; ou pode ser desenhado para funcionar bem apenas quando tudo ocorre perfeitamente. A diferença é decisiva. Sistemas robustos são aqueles que antecipam o erro humano; sistemas frágeis são aqueles que pressupõem sua inexistência. A engenharia de segurança aprendeu há décadas que usuários erram, operadores se distraem, componentes falham, informações chegam incompletas e eventos extraordinários acontecem. Um projeto tecnicamente responsável não pergunta apenas “como evitar o erro?”, mas também “o que acontece quando o erro inevitavelmente ocorrer?”. O Direito começa a assimilar a mesma lógica. Não basta exigir comportamento correto do indivíduo; pode ser necessário exigir que organizações construam ambientes capazes de impedir que um erro previsível se converta imediatamente em dano irreversível.

É aqui que a noção de previsibilidade adquire uma nova dimensão. Na responsabilidade tradicional, previsibilidade costuma ser examinada a partir da perspectiva do agente: poderia ele prever aquele resultado? Na responsabilidade sistêmica, a questão se desloca para a previsibilidade agregada. Talvez nenhum funcionário soubesse que determinado evento ocorreria naquele dia, daquela forma e com aquela vítima; a organização, porém, dispunha de informação estatística suficiente para saber que eventos daquele gênero ocorreriam em algum momento. A diferença entre previsibilidade individual e previsibilidade organizacional é decisiva. Uma plataforma que processa bilhões de interações não pode alegar surpresa diante de fenômenos que suas próprias bases de dados demonstram ocorrer reiteradamente. Um banco que executa milhões de transferências conhece padrões de fraude que um cliente individual jamais poderia conhecer. Um hospital que realiza milhares de procedimentos dispõe de informações epidemiológicas e operacionais que nenhum paciente possui. Uma companhia aérea conhece estatisticamente falhas de bagagem, atrasos, erros de despacho e problemas de conexão. A assimetria informacional transforma-se, portanto, em assimetria de capacidade preventiva. Quanto maior o conhecimento agregado do sistema, maior pode ser sua responsabilidade por não utilizar esse conhecimento para reduzir riscos conhecidos.

Ulrich Beck chamou a sociedade contemporânea de sociedade de risco porque a própria modernização passa a produzir perigos que suas instituições precisam administrar. Anthony Giddens observou que vivemos cercados por sistemas peritos nos quais depositamos confiança sem compreender efetivamente seu funcionamento. Entramos em aviões sem conhecer aerodinâmica, realizamos transferências bancárias sem compreender criptografia, submetemo-nos a cirurgias sem dominar farmacologia, utilizamos plataformas sem conhecer seus modelos de recomendação, protocolamos peças judiciais em sistemas cujo código nunca veremos. A vida contemporânea depende, portanto, de confiança institucionalizada. Essa confiança não é sentimental; é estrutural. O usuário não confia necessariamente nas pessoas que operam o sistema, muitas das quais jamais conhecerá. Confia na expectativa de que a organização tenha sido construída para funcionar adequadamente, corrigir erros, registrar operações e oferecer reparação quando algo falhar. A responsabilidade sistêmica nasce também dessa confiança. Se uma instituição convida milhões de pessoas a depender de sua infraestrutura, não pode depois tratar as falhas dessa infraestrutura como acontecimentos externos à sua esfera de responsabilidade.

Ronald Coase ajuda a perceber outra dimensão do problema. Organizações existem, entre outras razões, para internalizar custos de coordenação que seriam excessivos se todas as relações fossem negociadas individualmente. Mas se a organização internaliza as vantagens da escala, da informação, da automação e da eficiência, é difícil sustentar que possa externalizar integralmente os riscos produzidos pela mesma arquitetura que lhe proporciona essas vantagens. Guido Calabresi, ao estudar os custos dos acidentes, mostra que a responsabilidade não deve ser analisada apenas moralmente, como procura de um culpado, mas institucionalmente, como distribuição eficiente e justa dos custos sociais dos riscos. Quem está em melhor posição para prevenir? Quem consegue distribuir o custo? Quem possui informação superior? Quem controla a atividade? Quem obtém os benefícios econômicos? Essas perguntas deslocam o debate da culpa psicológica para a organização social do risco. O sistema jurídico deixa de perguntar exclusivamente quem merece censura e começa a perguntar quem deve suportar as consequências de uma atividade cuja estrutura produz benefícios e perigos.

Há aqui uma transformação silenciosa da própria noção de nexo causal. David Hume mostrou há muito que causalidade não é algo simplesmente observado como propriedade metafísica entre acontecimentos; observamos sucessões e construímos relações. No Direito, essa construção é ainda mais evidente. Hart e Honoré demonstraram que a causalidade jurídica não coincide inteiramente com a causalidade física. Entre milhares de condições necessárias para um evento, selecionamos algumas como juridicamente relevantes e ignoramos outras. Robert Alexy, em outra esfera, lembra que decisões jurídicas dependem de justificações racionalmente controláveis, não de mera descrição naturalística. A chamada falha sistêmica torna explícito aquilo que sempre esteve oculto: identificar a causa juridicamente relevante é um ato normativo. Em estruturas complexas, o resultado pode depender de dezenas de condições necessárias. Não existe razão metafísica para escolher automaticamente a última ação humana antes do dano. O “último toque” pode ser causalmente próximo e normativamente irrelevante; uma decisão organizacional tomada três anos antes pode ser temporalmente distante e juridicamente decisiva.

Imagine-se um algoritmo de concessão de crédito que reproduza sistematicamente desigualdades existentes nos dados utilizados em seu treinamento. Nenhum programador escreve “discrimine este grupo”. Nenhum gestor ordena tratamento desigual. O sistema apenas encontra correlações estatísticas e as converte em decisões. Se o Direito procurar intenção discriminatória individual, talvez não encontre nada. Se procurar efeito estrutural, arquitetura decisória, qualidade dos dados, critérios de auditoria e possibilidade de contestação, encontrará um problema jurídico perfeitamente identificável. Michel Foucault ajuda a perceber como o poder moderno não opera apenas por comandos explícitos; ele se instala em dispositivos, classificações, saberes, procedimentos e formas de normalização. Gilles Deleuze, ao falar das sociedades de controle, antecipa uma ordem em que modulações contínuas substituem parte das instituições disciplinares clássicas. A decisão algorítmica radicaliza essa lógica: não é necessário que alguém diga “não” a determinada pessoa; basta que um modelo atribua score insuficiente. A violência jurídica potencialmente relevante pode residir menos no ato explícito e mais na arquitetura classificatória que o torna possível.

Daí emerge uma distinção fundamental entre erro operacional e erro estrutural. O erro operacional ocorre quando alguém viola ou executa incorretamente uma estrutura razoavelmente adequada. O erro estrutural ocorre quando a própria estrutura induz, facilita, repete ou não consegue corrigir comportamentos previsivelmente danosos. É possível ainda uma terceira categoria: o erro emergente, quando nenhum componente isolado está defeituoso, mas a interação entre componentes gera comportamento inesperado. Esses três modelos não devem ser confundidos porque produzem consequências normativas distintas. No primeiro, treinamento, supervisão e responsabilização individual podem ser adequados; no segundo, punir o operador sem modificar o sistema equivale a trocar a lâmpada quando o problema está na instalação elétrica; no terceiro, sequer a identificação de uma peça defeituosa resolve o problema, porque é a relação entre peças que produz a falha. A teoria jurídica precisará aprender a distinguir essas situações com muito mais precisão.

Esquema I — Três níveis do erro contemporâneo

Erro individual: agente → conduta inadequada → resultado → imputação pessoal.

Erro estrutural: arquitetura inadequada → repetição previsível de falhas → resultado → imputação organizacional.

Erro emergente: componentes individualmente adequados → interação não controlada → propriedade sistêmica inesperada → dano → dever de correção estrutural.

Essa distinção tem consequências imediatas para o modo como se pensa prova. O paradigma da culpa individual busca documento, testemunho, ordem, mensagem, comando ou conduta específica capaz de demonstrar que alguém agiu inadequadamente. O paradigma sistêmico exige outra espécie de evidência: logs, taxas de falha, histórico de incidentes, auditorias, desenho da interface, métricas internas, relatórios de risco, testes de segurança, tempos de resposta, políticas de escalonamento, mecanismos de revisão, reclamações anteriores, distribuição interna de competências e padrões estatísticos. O evento isolado deixa de ser suficiente para compreender o sistema, mas a repetição de eventos revela características que nenhum caso individual mostraria. Há uma mudança epistemológica importante: o Direito deixa de observar apenas episódios e começa a observar séries. A estatística, a análise de risco e a auditoria tornam-se instrumentos de reconstrução da responsabilidade. Não se trata de substituir o raciocínio jurídico pelo cálculo, mas de reconhecer que sistemas complexos deixam rastros próprios e que esses rastros podem revelar defeitos estruturais.

Karl Popper insistia que boas teorias devem ser vulneráveis à refutação. Algo semelhante deveria valer para sistemas que interferem em direitos: eles precisam ser auditáveis, contestáveis e suscetíveis de revisão. Um sistema cuja decisão não pode ser reconstruída é juridicamente perigoso porque transforma a opacidade técnica em obstáculo à imputação. A célebre discussão contemporânea sobre caixas-pretas algorítmicas revela precisamente esse problema. Se nem mesmo o operador consegue explicar por que determinada decisão foi tomada, a opacidade não pode funcionar como salvo-conduto jurídico. Caso contrário, quanto mais complexo o sistema, menor seria a responsabilidade de quem o utiliza — exatamente o inverso do que a racionalidade normativa deveria produzir. Complexidade não pode ser convertida em privilégio de irresponsabilidade. Se uma organização decide utilizar uma tecnologia cuja operação não consegue explicar, essa escolha deve integrar sua própria esfera de risco.

Esquema II — O paradoxo da complexidade

Quanto mais simples o sistema, → mais fácil localizar o erro.

Quanto mais complexo o sistema, → mais difícil localizar o agente.

Se a dificuldade de localização reduzisse a responsabilidade, então: mais complexidade = menos responsabilidade.

Mas quem escolhe e controla a complexidade normalmente obtém seus benefícios. Logo, uma regra racional tende ao movimento inverso:

mais complexidade controlada = maior dever de governança, rastreabilidade e prevenção.

É nesse ponto que a velha máxima segundo a qual ninguém pode beneficiar-se da própria torpeza poderia receber atualização conceitual: ninguém deveria beneficiar-se juridicamente da própria opacidade. A instituição que constrói processos fragmentados, terceiriza etapas, automatiza decisões, distribui competências e torna quase impossível reconstruir o caminho causal não pode utilizar posteriormente essa mesma fragmentação para sustentar que nenhum de seus agentes foi individualmente culpado. Seria uma espécie de lavagem organizacional da responsabilidade. Empresas poderiam converter decisões humanas em procedimentos para enfraquecer a imputação; governos poderiam diluir escolhas políticas em fluxos administrativos; plataformas poderiam repartir operações entre algoritmos e prestadores; bancos poderiam terceirizar segurança; hospitais poderiam repartir decisões entre equipes até que nenhum profissional parecesse responder pelo todo. A responsabilidade sistêmica surge precisamente para impedir que a complexidade institucional funcione como máquina de fabricação de ninguém.

Hannah Arendt retorna aqui com particular força. A banalidade do mal não descreve simplesmente pessoas moralmente medíocres; revela uma situação na qual estruturas podem permitir que indivíduos participem de consequências gigantescas enquanto percebem sua própria atuação como estritamente funcional. A comparação deve ser feita com cautela, mas a estrutura lógica é útil: a fragmentação pode reduzir a percepção subjetiva de responsabilidade sem reduzir os efeitos objetivos da atividade coletiva. Zygmunt Bauman, ao analisar a modernidade burocrática, mostrou como distância física, moral e administrativa pode facilitar a produção de consequências que nenhum participante individual assumiria integralmente como suas. Em ambientes digitais, essa distância torna-se quase absoluta. O programador escreve código para uma função; outro setor seleciona dados; outro define objetivos; outro compra infraestrutura; outro monitora métricas; outro estabelece políticas comerciais; milhões de usuários interagem; o algoritmo aprende padrões; finalmente, emerge uma consequência que ninguém “ordenou”. Se o Direito continuar procurando uma ordem explícita, encontrará cada vez menos responsabilidade justamente onde existe mais poder.

A empresa moderna, por sua vez, sempre representou um desafio filosófico para teorias individualistas da responsabilidade. Uma sociedade empresária não possui consciência no sentido humano, mas pode celebrar contratos, causar danos, adquirir patrimônio, responder judicialmente, adotar políticas e exercer enorme poder social. Otto von Gierke já enfrentava o problema das entidades coletivas; Savigny preferia compreendê-las pela ficção; teorias posteriores reconheceram que organizações possuem realidade jurídica própria precisamente porque o Direito precisa operar com unidades superiores ao indivíduo. A responsabilidade sistêmica é, em certo sentido, consequência tardia dessa descoberta. Se admitimos que organizações podem possuir direitos, estratégias, interesses e patrimônio próprios, não há razão para reduzir todos os seus deveres à soma das culpas psicológicas de seus empregados. A organização pode falhar como organização.

Essa conclusão, entretanto, não autoriza uma responsabilidade ilimitada. A teoria sistêmica corre o risco oposto ao individualismo clássico: transformar todo dano ocorrido dentro de determinado ambiente em prova de defeito estrutural. Isso seria igualmente inadequado. Sistemas perfeitos não existem. Acidentes podem ocorrer mesmo em estruturas cuidadosamente planejadas. Da mesma maneira que responsabilidade individual não se confunde com mera causalidade, responsabilidade sistêmica não pode confundir-se com simples ocorrência do dano. É necessário desenvolver critérios que distingam risco inevitável de risco mal administrado. Entre esses critérios poderiam estar a previsibilidade estatística do evento, a magnitude potencial do dano, o custo razoável de prevenção, a disponibilidade tecnológica de medidas protetivas, o histórico de incidentes, a adequação de mecanismos de monitoramento, a transparência dos procedimentos, a existência de vias efetivas de correção e a proporcionalidade entre benefícios econômicos obtidos e riscos externalizados. A responsabilidade pelo sistema não deve ser uma presunção metafísica de culpa organizacional; deve constituir um juízo racional sobre governança do risco.

Esquema III — Teste da falha sistêmica

Uma falha tende a ser propriamente sistêmica quando coexistem, em grau relevante:

1. Recorrência potencial — o problema não é absolutamente idiossincrático; poderia atingir outras pessoas submetidas à mesma estrutura.

2. Previsibilidade agregada — a organização tinha ou deveria ter capacidade superior de conhecer a classe de risco.

3. Controle estrutural — o agente coletivo controlava elementos relevantes da arquitetura que produziu ou amplificou o dano.

4. Capacidade preventiva — existiam medidas razoáveis, técnicas ou organizacionais, capazes de reduzir o risco.

5. Deficiência de contenção — o sistema não detectou, não interrompeu ou não corrigiu adequadamente a falha.

6. Assimetria informacional — a vítima não possuía meios equivalentes de compreender ou evitar o risco.

7. Repetibilidade — mantida a arquitetura, o evento ou eventos equivalentes podem voltar a ocorrer.

Quando esses elementos convergem, a pergunta “qual funcionário errou?” perde centralidade diante de outra: por que o sistema permitiu que o erro chegasse tão longe?

Isso conduz à distinção entre causa do evento e causa da vulnerabilidade. Um operador pode ser causa imediata do evento; a arquitetura organizacional pode ser causa da vulnerabilidade que tornou o evento danoso. Essa diferença é essencial porque permite responsabilidade concorrente sem apagar a autonomia individual. O reconhecimento de falha sistêmica não precisa absolver quem agiu culposamente; apenas impede que a responsabilização termine nele. Em muitos acidentes institucionais existe aquilo que poderíamos chamar de “bode expiatório causal”: identifica-se o último indivíduo da cadeia, pune-se esse indivíduo e declara-se encerrado o problema. A organização preserva sua estrutura intacta. O Direito deveria desconfiar dessa solução porque ela pode produzir aparência de accountability enquanto mantém precisamente as condições que tornarão o próximo acidente possível.

René Girard seria um interlocutor inesperadamente útil nesse ponto. O mecanismo sacrificial concentra a violência coletiva em uma vítima cuja eliminação restaura simbolicamente a ordem. No universo organizacional, algo semelhante pode ocorrer quando a instituição converte um fracasso sistêmico em erro pessoal de um empregado facilmente substituível. O operador é demitido, o técnico é advertido, o funcionário é processado, o gerente é removido; a organização anuncia providências e continua funcionando segundo a mesma lógica. A figura do bode expiatório corporativo é juridicamente atraente porque oferece nome, rosto e narrativa causal simples. A complexidade desaparece. Mas simplicidade narrativa não é necessariamente verdade causal.

Michel Crozier, ao estudar burocracias, mostrou como organizações desenvolvem zonas de incerteza, estratégias defensivas e comportamentos adaptativos que frequentemente produzem efeitos irracionais apesar da racionalidade dos participantes. Herbert Simon, ao formular a racionalidade limitada, demonstrou que agentes reais não dispõem de informação perfeita nem capacidade infinita de cálculo. James March e Johan Olsen, por sua vez, ajudam a compreender que organizações operam não apenas segundo lógica de consequências, mas também segundo regras, rotinas e identidades institucionais. Esses autores convergem para uma conclusão importante: exigir que cada indivíduo compense sozinho defeitos estruturais é cognitivamente irrealista. Se o sistema disponibiliza informação incompleta, distribui mal os incentivos, premia velocidade em detrimento de segurança ou cria interfaces confusas, não é razoável esperar que atos heroicos individuais corrijam continuamente aquilo que a arquitetura induz.

A economia comportamental reforça a mesma conclusão. Daniel Kahneman e Amos Tversky demonstraram que decisões humanas sofrem vieses sistemáticos; Richard Thaler e Cass Sunstein mostraram como a arquitetura de escolha influencia comportamento sem eliminar formalmente a liberdade. Se instituições conhecem essas limitações previsíveis, torna-se cada vez menos convincente desenhar sistemas perigosos e depois culpar exclusivamente o usuário por comportar-se como seres humanos normalmente se comportam. Um aplicativo que esconde determinada informação relevante em telas sucessivas, um contrato digital cuja recusa exige dezenas de etapas, um sistema processual com comandos ambíguos ou uma interface bancária que não distingue adequadamente operações de risco não podem ser avaliados apenas pela pergunta formal “o usuário clicou?”. O clique é um ato; a interface é uma arquitetura de vontade.

Essa é talvez uma das consequências mais profundas da responsabilidade sistêmica: ela transforma o próprio conceito de autonomia. O liberalismo jurídico clássico imagina indivíduos relativamente autônomos relacionando-se mediante escolhas. Mas uma parcela crescente das escolhas contemporâneas ocorre em ambientes desenhados por terceiros. Lawrence Lessig sintetizou isso ao dizer que “code is law”: a arquitetura tecnológica regula comportamento tanto quanto normas jurídicas. Não se trata de metáfora exagerada. Um sistema pode permitir ou impedir ação, definir opções padrão, ordenar informações, criar fricções, registrar condutas, bloquear recursos e estabelecer sequências possíveis. A interface não é apenas meio neutro entre pessoa e vontade; frequentemente participa da própria formação da decisão. Logo, quando o Direito avalia responsabilidade em ambientes digitais, precisa considerar não apenas aquilo que o usuário escolheu, mas aquilo que a arquitetura tornou visível, fácil, difícil, provável ou praticamente impossível.

Esquema IV — Da culpa comportamental à responsabilidade arquitetural

Modelo clássico:

norma → sujeito → escolha → conduta → dano → responsabilidade.

Modelo contemporâneo:

arquitetura → distribuição de informação → incentivos → escolhas possíveis → comportamento agregado → dano → responsabilidade.

No primeiro modelo, o foco é a liberdade do agente. No segundo, acrescenta-se a pergunta: quem desenhou o campo dentro do qual essa liberdade operou?

Foucault talvez dissesse que a modernidade não governa apenas por proibições, mas pela configuração dos espaços dentro dos quais as condutas se tornam possíveis. A tecnologia leva esse fenômeno a grau extraordinário. Plataformas não precisam ordenar que determinado conteúdo viralize; basta desenhar mecanismos de recomendação que privilegiem métricas capazes de favorecer conteúdos de alto engajamento. Bancos não precisam desejar fraudes; basta estabelecer sistemas de autenticação incompatíveis com os riscos previsíveis. Administradores não precisam pretender excluir candidatos; basta utilizar uma plataforma de inscrição incapaz de registrar adequadamente documentos enviados ou de fornecer recibos verificáveis. Em todos esses casos, a intenção subjetiva pode ser irrelevante para compreender o fenômeno. O sistema não “quer”, mas produz.

A teoria de sistemas complexos acrescenta ainda outro elemento: propriedades emergentes. Aristóteles já afirmava, em formulação muito anterior à ciência contemporânea dos sistemas, que o todo não se reduz simplesmente à soma das partes. Ludwig von Bertalanffy transformou essa intuição em programa científico ao formular a teoria geral dos sistemas. Edgar Morin insistiu que complexidade significa precisamente reconhecer interações, retroações e efeitos que não podem ser explicados pela decomposição infinita dos elementos. Aplicada ao Direito, essa perspectiva implica reconhecer que organizações podem possuir propriedades normativamente relevantes que não pertencem a nenhum indivíduo isolado. Cultura de segurança, tolerância ao risco, opacidade informacional, incentivo à produtividade, resistência a denúncias, prioridade comercial, fragmentação decisória: tudo isso pode caracterizar um sistema sem corresponder à intenção consciente de nenhuma pessoa específica.

Pierre Bourdieu também ajuda a compreender como estruturas orientam práticas. O habitus não determina mecanicamente cada ação, mas cria disposições, expectativas e regularidades. Algo semelhante ocorre dentro das organizações. Uma empresa pode jamais escrever em manual “ignore reclamações”, mas desenvolver cultura na qual metas tornam reclamações incômodas; um hospital pode declarar segurança como valor central e simultaneamente remunerar produtividade de forma incompatível com tempos adequados de revisão; uma Administração Pública pode proclamar acessibilidade enquanto mantém sistemas eletrônicos cuja utilização exige conhecimentos técnicos que parte da população não possui. O Direito sistêmico precisa aprender a distinguir normas declaradas de incentivos reais.

Isso se conecta diretamente à teoria do compliance. O compliance rudimentar pergunta se existe política escrita; o compliance sofisticado pergunta se a organização efetivamente produz comportamento conforme essa política. Um código de ética esquecido numa intranet tem pequeno valor preventivo. Da mesma maneira, disponibilizar botão de denúncia não significa possuir sistema de resposta; publicar política de segurança não significa administrar risco; oferecer canal de recurso não significa assegurar revisão efetiva. A responsabilidade sistêmica é incompatível com formalismo performático. Ela exige olhar para funcionamento real, não apenas para documentos produzidos para demonstrar conformidade.

Chris Argyris e Donald Schön distinguem teorias professadas de teorias em uso. Organizações afirmam operar segundo certos princípios, mas suas práticas revelam outros. Essa distinção é extraordinariamente jurídica. Uma instituição pode possuir política oficial de máxima segurança e, na prática, premiar funcionários que ignoram etapas de controle para atingir metas. Pode declarar prioridade ao usuário e medir desempenho exclusivamente pelo tempo de atendimento. Pode afirmar que denúncias são valorizadas e promover gestores que reprimem quem denuncia. A responsabilidade sistêmica surge precisamente da diferença entre norma formal e funcionamento material.

Há ainda uma dimensão temporal. A culpa tradicional tende a concentrar-se no momento do evento; a falha sistêmica frequentemente começa muito antes. A decisão de reduzir investimentos, substituir determinado software, eliminar uma etapa de auditoria, terceirizar serviço, alterar métrica de desempenho ou acelerar processamento pode parecer neutra quando tomada. Meses depois, múltiplas decisões se combinam e produzem dano. A causalidade organizacional é, portanto, histórica. Michel Foucault utilizaria a genealogia para reconstruir condições de possibilidade; o Direito pode aprender algo com esse método. Em vez de perguntar apenas “o que aconteceu naquele minuto?”, deve perguntar “como o sistema chegou a poder falhar daquela maneira?”.

Esquema V — A genealogia jurídica da falha

Um dano sistêmico raramente começa no instante em que aparece.

Ele pode seguir a sequência:

decisão estratégica → desenho institucional → escolha tecnológica → distribuição de competências → incentivos operacionais → rotinas → pequenas anomalias → normalização dos desvios → evento crítico.

A responsabilidade adequada exige percorrer a cadeia no sentido inverso:

evento crítico → anomalias anteriores → rotinas → incentivos → arquitetura → decisões estruturais.

Diane Vaughan cunhou expressão particularmente importante ao estudar o desastre do ônibus espacial Challenger: normalização do desvio. Pequenas anomalias que não produzem consequências imediatas podem ser gradualmente reinterpretadas como aceitáveis. O sistema aprende a tolerar aquilo que inicialmente considerava perigoso. Essa lógica possui enorme importância jurídica. Uma instituição pode receber reclamações sucessivas sobre uma falha sem que nenhuma produza dano grave; com o tempo, a ausência de catástrofe transforma o alerta em ruído. Quando finalmente o dano ocorre, talvez se diga que foi imprevisível. Mas a história institucional pode revelar o contrário: o sistema recebeu sinais e aprendeu a ignorá-los.

O filósofo Nassim Nicholas Taleb acrescentaria a distinção entre robustez e fragilidade. Sistemas frágeis funcionam enquanto o ambiente permanece dentro de parâmetros esperados; pequenas perturbações podem produzir efeitos desproporcionais. A responsabilidade contemporânea precisa levar fragilidade a sério. Não é suficiente que uma infraestrutura funcione em condições normais se sua utilização massiva torna previsíveis circunstâncias anormais. Quanto mais essencial o serviço, menor deveria ser a tolerância jurídica a pontos únicos de falha. Sistemas financeiros, judiciais, hospitalares, energéticos e comunicacionais não podem ser avaliados apenas pela média de funcionamento. Uma confiabilidade de 99,9% pode parecer extraordinária até que 0,1% represente milhares ou milhões de pessoas.

A estatística, portanto, produz paradoxos. Uma empresa pode afirmar que “apenas 0,01% dos usuários” foram prejudicados. Para dez milhões de usuários, isso representa mil pessoas. A porcentagem minimiza; o número absoluto revela. O Direito precisa escolher qual medida é normativamente relevante. Além disso, danos raros podem ser intoleráveis quando possuem magnitude extrema. A análise sistêmica exige combinar frequência, severidade e capacidade de prevenção. Probabilidade pequena multiplicada por consequência catastrófica pode justificar deveres elevados de precaução.

Ulrich Beck retorna aqui: riscos contemporâneos frequentemente possuem baixa visibilidade imediata e alta capacidade de difusão. Eles atravessam fronteiras, cadeias produtivas, sistemas financeiros e redes digitais. O Direito tradicional, organizado territorialmente e orientado por eventos individualizados, reage com dificuldade a riscos distribuídos. A falha sistêmica é uma tentativa de adaptar a imputação a esse novo cenário. Em vez de aguardar que cada vítima demonstre isoladamente um ato específico, pode-se investigar se a estrutura produz risco coletivo injustificável.

Essa mudança possui consequências distributivas. John Rawls pergunta como instituições básicas distribuem vantagens e encargos; Amartya Sen desloca o foco para capacidades reais; Martha Nussbaum aprofunda essa preocupação com as condições efetivas de exercício da autonomia. Uma arquitetura defeituosa raramente afeta todos igualmente. Pessoas com maior conhecimento técnico conseguem contornar problemas; pessoas com mais recursos contratam assistência; pessoas com redes sociais influentes conseguem atendimento prioritário; pessoas vulneráveis permanecem submetidas ao fluxo padrão. A falha sistêmica frequentemente revela desigualdades que o modelo individualista invisibiliza. O sistema pode ser formalmente igual e materialmente excludente.

Um processo administrativo exclusivamente digital pode parecer neutro porque todos utilizam a mesma plataforma. Mas igualdade formal de interface não significa igualdade material de acesso. Idosos, pessoas com deficiência, indivíduos com baixa alfabetização digital ou conexão precária enfrentam obstáculos diferentes. Iris Marion Young demonstrou que injustiças estruturais podem existir sem agente individual intencionalmente opressor. Essa ideia é central para a responsabilidade sistêmica. Nem toda injustiça exige um vilão. Algumas resultam de regras, hábitos e instituições que, combinados, produzem resultados persistentemente desiguais.

Esquema VI — A injustiça sem autor

Não há necessariamente:

ordem discriminatória + intenção discriminatória + agente discriminador.

Pode haver:

regra aparentemente neutra + arquitetura inflexível + desigualdade prévia + ausência de adaptação = efeito sistematicamente desigual.

A ausência de intenção não elimina o problema; apenas altera a natureza da imputação.

Isso não significa abandonar completamente a subjetividade. O Direito deve conservar espaços para culpa, dolo, intenção e responsabilidade pessoal. A responsabilidade sistêmica não substitui todas as outras formas de imputação; acrescenta um nível. Uma mesma ocorrência pode conter responsabilidade individual, responsabilidade organizacional e falha regulatória. O desafio consiste em evitar duas reduções opostas: personalizar tudo ou despersonalizar tudo. O primeiro modelo transforma estruturas em somas de pessoas; o segundo dissolve pessoas em estruturas. A análise correta precisa reconhecer ambos os níveis.

A teoria de Coleman sobre responsabilidade e correção, assim como discussões contemporâneas de Ernest Weinrib sobre justiça corretiva, lembra que responsabilidade civil não é mera política distributiva; há relação entre autor e vítima que precisa ser juridicamente explicada. A falha sistêmica não deve destruir essa bilateralidade, mas pode redefinir quem ocupa a posição do autor. A organização não responde porque é abstratamente rica ou capaz de pagar, mas porque seu domínio estrutural sobre o risco cria vínculo normativo com a vítima. Controle, benefício e capacidade preventiva tornam-se elementos centrais.

A ideia de domínio, tão relevante em diversas áreas do Direito, merece aqui expansão. Claus Roxin desenvolveu, no âmbito penal, categorias relacionadas ao domínio do fato para enfrentar situações em que a execução material não esgota a autoria. Sem transportar mecanicamente uma teoria penal para outros campos, existe uma intuição aproveitável: poder de organização pode ser juridicamente mais relevante que contato físico com o evento. Quem desenha o sistema, determina incentivos, seleciona tecnologias e possui capacidade de correção exerce um tipo de domínio estrutural. O operador final pode possuir domínio sobre o ato imediato; a organização possui domínio sobre as condições de possibilidade.

No campo administrativo, esse raciocínio é ainda mais importante. O Estado contemporâneo transfere para sistemas informatizados parcela crescente de sua relação com o cidadão. Inscrições, benefícios, recursos, concursos, processos, tributos, licenças e serviços passam por plataformas digitais. A velha concepção de ato administrativo, centrada em manifestações identificáveis de vontade, começa a conviver com decisões produzidas por fluxos automatizados. Quando um direito não é exercido porque a plataforma não aceita determinado arquivo, quem praticou o ato impeditivo? Talvez ninguém tenha decidido indeferir. O impedimento emerge de código, interface e regra automatizada. Ainda assim, há efeito jurídico concreto.

Essa situação demonstra que a tecnologia pode exercer poder estatal sem possuir vontade. Montesquieu preocupava-se com divisão do poder entre órgãos; hoje precisamos também perguntar como o poder se distribui entre pessoas e infraestrutura. Um software pode condicionar exercício de direito tão efetivamente quanto uma ordem escrita. A legalidade administrativa, portanto, não pode limitar-se à norma declarada; deve alcançar a materialidade tecnológica por meio da qual a norma se torna praticável ou impraticável. Se a lei concede prazo, mas a plataforma impede protocolo; se a norma admite documento, mas o sistema rejeita formato legítimo; se existe recurso, mas o botão não funciona, a arquitetura pode contradizer a própria ordem jurídica.

É possível formular, então, uma máxima: nenhuma Administração pode converter deficiência de sua infraestrutura em inadimplemento jurídico do administrado. Essa máxima é particularmente importante porque recoloca o risco tecnológico no lugar correto. O cidadão não escolhe o sistema oficial. Não participa de sua contratação, programação, manutenção ou auditoria. É compulsoriamente inserido naquela infraestrutura. Transferir-lhe o risco integral da falha equivaleria a impor responsabilidade por algo sobre o qual não possui domínio.

Jürgen Habermas, ao discutir legitimidade e racionalidade comunicativa, enfatiza condições que tornam a participação efetiva possível. A digitalização administrativa pode ampliar acesso, mas também criar novas barreiras silenciosas. Um procedimento não é legítimo apenas porque existe formalmente; ele precisa ser utilizável. Acesso à Justiça, contraditório e ampla defesa não são propriedades abstratas de textos normativos. Dependem de condições materiais de exercício. O botão, nesse sentido, participa do devido processo.

Mas a responsabilidade sistêmica vai além da Administração. Na medicina, a transição da cultura de culpa para cultura de segurança já demonstrou resultados importantes. Punir profissionais por cada erro pode incentivar ocultação, enquanto investigar causas estruturais permite prevenção. Sidney Dekker sustenta que o chamado “erro humano” frequentemente não é a explicação final do acidente, mas o ponto inicial da investigação. Perguntar “por que a pessoa errou?” exige compreender contexto, carga de trabalho, qualidade da informação, desenho do equipamento e pressões organizacionais. O Direito poderia assimilar essa intuição sem abandonar a accountability: buscar sistemas mais seguros não significa absolver condutas gravemente culposas; significa não encerrar investigação ao encontrar o primeiro ser humano na cadeia.

Esquema VII — Duas culturas de responsabilização

Cultura da culpa: erro → pessoa → punição → encerramento.

Cultura da segurança: erro → pessoa → contexto → arquitetura → causas latentes → correção → prevenção.

A primeira produz culpados. A segunda procura impedir repetição.

O Direito maduro precisa saber quando utilizar uma, outra ou ambas.

Há também um problema de linguagem. Dizer “falha sistêmica” pode produzir impressão de inevitabilidade. O sistema aparece quase como força natural, semelhante a tempestade ou terremoto. Essa linguagem deve ser combatida. Sistemas sociais não caem do céu; são projetados, financiados, mantidos e governados. Algoritmos possuem objetivos escolhidos; interfaces possuem designers; protocolos possuem autores; limites de segurança possuem gestores; redundâncias custam dinheiro; prazos de resposta refletem prioridades. O sistema pode não ter vontade, mas alguém possui responsabilidade por sua organização.

Bruno Latour, ao questionar separações rígidas entre humanos e objetos, mostra como ação é distribuída em redes de atores humanos e não humanos. Uma lombada reduz velocidade; uma porta automática permite ou impede passagem; um software determina possibilidades de comportamento. A teoria ator-rede não oferece uma teoria jurídica pronta, mas fornece uma provocação indispensável: objetos tecnológicos participam causalmente da vida social. O Direito não pode tratá-los como meros cenários passivos. Ao mesmo tempo, máquinas não podem ser convertidas em bodes expiatórios. Se o algoritmo “decidiu”, alguém escolheu utilizar algoritmo naquele contexto e deve responder pela governança de sua atuação.

A tentação de atribuir personalidade jurídica plena à inteligência artificial, nesse cenário, precisa ser examinada com extremo cuidado. Criar um novo sujeito pode parecer solução elegante para o problema da responsabilidade; pode ser exatamente o contrário. Se uma IA possuir patrimônio mínimo e responder pelos próprios atos, empresas poderiam externalizar riscos para entidades artificiais subcapitalizadas. Seria uma espécie de blindagem algorítmica. Antes de perguntar se máquinas devem responder, convém perguntar quem decidiu colocá-las em posição de produzir efeitos sobre direitos alheios.

Hans Jonas oferece aqui princípio poderoso. Em sociedades tecnologicamente avançadas, a capacidade humana de produzir consequências ampliou-se de tal modo que a ética precisa incorporar responsabilidade pelo futuro e pelos efeitos de tecnologias que superam a escala da ação individual. Sua ética da responsabilidade contrasta com modelos orientados apenas para intenção imediata. O agente contemporâneo não pode dizer simplesmente “não pretendia aquele resultado” quando controla mecanismos capazes de produzir efeitos gigantescos e previsíveis. A responsabilidade sistêmica é, em alguma medida, tradução jurídica dessa ética.

A questão também toca o princípio da precaução. Quando riscos são graves e conhecimento incompleto, esperar prova absoluta de causalidade pode significar aguardar a catástrofe. Contudo, precaução sem limites pode sufocar inovação. O problema jurídico não é escolher entre tecnologia e segurança, mas construir critérios proporcionais. Quanto maior a magnitude potencial do dano, maior pode ser o dever de teste, monitoramento e reversibilidade. Tecnologias experimentais utilizadas em contextos triviais exigem cautela menor que aquelas utilizadas em saúde, crédito, justiça ou segurança pública.

O conceito de reversibilidade merece especial atenção. Um sistema responsável não é apenas aquele que reduz erros; é aquele que permite corrigir rapidamente os erros inevitáveis. Karl Deutsch descrevia capacidade de aprendizagem e feedback como elementos de sistemas políticos eficazes. Norbert Wiener, na cibernética, mostrou a importância de circuitos de retroalimentação para correção de comportamento. Aplicado juridicamente, feedback significa que sistemas devem registrar falhas, receber contestação, revisar decisões e aprender com incidentes. Uma estrutura incapaz de corrigir seus próprios erros é mais perigosa que uma estrutura que simplesmente erra com frequência semelhante.

Esquema VIII — Responsabilidade sistêmica completa

Não basta:

prevenir.

É preciso:

prever → prevenir → detectar → conter → registrar → explicar → corrigir → reparar → aprender.

Um sistema que falha em qualquer dessas etapas pode transformar um erro pequeno em dano grande. A qualidade jurídica da arquitetura deve ser avaliada pelo ciclo completo, não apenas pelo momento inicial.

A transparência também precisa ser compreendida em sentido funcional. Publicar milhares de páginas técnicas não torna necessariamente um sistema transparente. Transparência útil é capacidade de compreender critérios, reconstruir decisões e contestar resultados. Byung-Chul Han fala de uma sociedade de transparência sob chave crítica, na qual excesso de exposição não produz necessariamente compreensão. No campo tecnológico, informação bruta pode coexistir com opacidade prática. O Direito deve exigir explicabilidade adequada ao destinatário e ao risco.

Essa discussão conduz à ideia de accountability algorítmica. Não basta saber que existe um algoritmo; é preciso saber quem responde por seus objetivos, dados, testes, atualizações e efeitos. O termo accountability não possui tradução perfeita em português porque combina prestação de contas, responsabilização e obrigação de justificar. Talvez justamente por isso seja útil: responsabilidade sistêmica exige algo além de reparar depois; exige capacidade permanente de justificar como o sistema funciona e por que determinados riscos foram aceitos.

A prestação de contas possui, aliás, dimensão quase constitucional. O poder que não pode ser explicado aproxima-se do arbítrio, mesmo quando exercido por máquina. Lon Fuller defendia que o Direito depende de requisitos internos como generalidade, publicidade, inteligibilidade e congruência entre regra declarada e aplicação. Algoritmos que produzem efeitos jurídicos sem critérios inteligíveis tensionam essa moralidade interna. Um cidadão que recebe decisão inexplicável encontra dificuldade não apenas probatória, mas propriamente jurídica: não sabe contra o que argumentar.

Jeremy Waldron insiste na dignidade do procedimento. Ser ouvido e receber razões não são obstáculos burocráticos à eficiência; são manifestações do status do indivíduo como sujeito de direitos. Automatizar decisões pode aumentar eficiência, mas não pode reduzir pessoas a objetos de processamento. A falha sistêmica pode ocorrer, portanto, mesmo quando o resultado estatístico é eficiente, se a estrutura elimina possibilidades básicas de contestação.

Aqui surge um ponto crucial: sistemas podem ser eficientes e injustos. Frederick Taylor ensinou a administração científica a decompor tarefas e otimizar produção; a modernidade organizacional transformou eficiência em valor quase universal. Mas eficiência é sempre eficiência em relação a um objetivo. Se o objetivo escolhido é inadequado, o sistema pode tornar-se extraordinariamente eficiente em produzir resultados errados. Goodhart formulou princípio conhecido: quando uma medida se torna alvo, deixa de ser boa medida. Organizações que perseguem métricas simplificadas podem distorcer comportamentos de maneiras previsíveis. Atendimento rápido pode reduzir qualidade; produtividade médica pode reduzir atenção; moderação automatizada pode eliminar conteúdos legítimos; redução de fraude pode bloquear usuários honestos.

A responsabilidade sistêmica precisa, portanto, investigar também objetivos. Não apenas “o sistema funcionou como projetado?”, mas “o projeto era juridicamente aceitável?”. Essa distinção é vital. Um algoritmo discriminatório pode funcionar perfeitamente conforme especificado. Uma plataforma pode maximizar engajamento com excelência técnica e produzir ambiente social nocivo. Um sistema administrativo pode eliminar erros formais e simultaneamente dificultar acesso. Nem toda eficiência técnica corresponde a legitimidade jurídica.

Esquema IX — Duas espécies de falha

Falha de execução: o sistema não faz aquilo que deveria fazer.

Falha de finalidade: o sistema faz exatamente aquilo para o qual foi projetado, mas o objetivo ou os incentivos do projeto são juridicamente inadequados.

A segunda é mais difícil porque pode apresentar excelentes indicadores de desempenho.

Essa questão aproxima a responsabilidade sistêmica da teoria constitucional. Direitos fundamentais funcionam não apenas como limites negativos ao Estado, mas como parâmetros para estruturas institucionais. A doutrina da dimensão objetiva dos direitos fundamentais já reconhece que direitos irradiam deveres de proteção e organização. Se isso é verdadeiro, então arquitetura tecnológica utilizada por Estado ou agentes privados de grande poder social pode ser avaliada à luz desses deveres. Liberdade, igualdade, privacidade, segurança e devido processo precisam ser incorporados ao design.

Essa ideia é conhecida em áreas específicas como privacy by design, security by design ou accessibility by design. O raciocínio pode ser generalizado: rights by design. Direitos não deveriam aparecer apenas como mecanismos reparatórios acionados depois que o sistema causa dano; deveriam integrar requisitos de engenharia e governança desde o início. A juridicidade deixa então de ser uma camada externa aplicada posteriormente e passa a participar da própria arquitetura.

Esquema X — Do Direito posterior ao Direito incorporado

Modelo reativo:

tecnologia → dano → processo → reparação.

Modelo preventivo:

direitos → requisitos de projeto → tecnologia → monitoramento → correção.

O primeiro pergunta: “quem paga depois?” O segundo acrescenta: “como construir para que isso aconteça menos?”

Há uma mudança de temporalidade jurídica. Tradicionalmente, tribunais operam retrospectivamente: reconstruem fatos passados e atribuem consequências. Sistemas complexos exigem também perspectiva prospectiva. Governança, auditoria, prevenção e correção são categorias orientadas ao futuro. O Direito deixa de ser apenas memória institucional do dano e passa a atuar como engenharia normativa de risco.

Friedrich Hayek provavelmente alertaria para os limites desse projeto. Conhecimento está disperso na sociedade; reguladores não conseguem prever todas as consequências de sistemas complexos. Esse alerta é válido. A responsabilidade sistêmica não pode pressupor planejamento perfeito. Mas a crítica hayekiana não elimina deveres de governança; apenas recomenda humildade epistemológica. Sistemas devem ser projetados para aprender e corrigir, não para pressupor conhecimento total. A obrigação jurídica não deve ser “preveja tudo”, mas “crie mecanismos adequados para detectar e responder ao que não foi previsto”.

Popper chamaria isso de engenharia social gradual: instituições corrigíveis são preferíveis a projetos totalizantes. A noção de reversibilidade retorna. Quanto mais incerto o conhecimento, mais importante que decisões possam ser revistas. Um algoritmo que bloqueia automaticamente benefício essencial sem recurso humano é juridicamente mais perigoso que um sistema igualmente imperfeito, mas rapidamente revisável.

A inteligência artificial intensifica todos esses problemas. Modelos de aprendizado de máquina não seguem necessariamente regras explícitas compreensíveis para humanos. Eles identificam padrões estatísticos em grandes conjuntos de dados e podem produzir saídas inesperadas. Isso desafia a velha estrutura jurídica baseada em comando. Não há necessariamente uma ordem correspondente a cada resultado. A responsabilidade precisa deslocar-se para seleção de dados, definição de objetivos, testes, limites de uso, monitoramento e mecanismos de supervisão. Em outras palavras, da autoria da saída para governança do modelo.

Frank Pasquale descreveu a sociedade da caixa-preta; Cathy O’Neil mostrou como modelos matemáticos podem ampliar desigualdades quando operam em grande escala, de forma opaca e com baixa capacidade de contestação. Virginia Eubanks revelou como sistemas automatizados aplicados a políticas sociais podem reproduzir vulnerabilidades. Safiya Umoja Noble demonstrou que algoritmos de busca podem refletir e reforçar preconceitos sociais. Todos esses trabalhos convergem para uma percepção: neutralidade tecnológica é frequentemente ficção. Sistemas incorporam escolhas, dados, prioridades e relações de poder.

Mas é importante evitar o erro oposto de demonizar tecnologia. Algoritmos podem reduzir arbitrariedades humanas, detectar padrões de fraude, aumentar segurança e ampliar acesso. A pergunta juridicamente séria não é “máquinas ou pessoas?”, mas “qual combinação de automação, supervisão, transparência e recurso produz estrutura mais justificável?”. A responsabilidade sistêmica não é ideologia antitecnológica; é teoria de governança.

Nesse contexto, surge o princípio do humano no circuito, frequentemente apresentado como solução universal. Mas manter um ser humano na cadeia não resolve automaticamente o problema. Pesquisas sobre viés de automação mostram que operadores podem confiar excessivamente em recomendações algorítmicas. O humano pode tornar-se carimbo simbólico de decisão já produzida. Supervisão real exige tempo, informação, autoridade e capacidade de divergir. Um funcionário obrigado a analisar milhares de casos por hora não constitui controle substantivo. Novamente, a arquitetura importa mais que o rótulo.

Esquema XI — Supervisão humana real

Não basta:

algoritmo → humano → decisão.

É necessário:

algoritmo → informação compreensível → tempo suficiente → autoridade para divergir → registro da divergência → recurso efetivo.

Sem esses elementos, o “humano no circuito” pode ser apenas decoração institucional.

A responsabilidade sistêmica também redefine o papel dos tribunais. Juízes foram treinados para resolver controvérsias individuais. Sistemas complexos, porém, podem exigir remédios estruturais. Owen Fiss e Abram Chayes analisaram a transformação do processo em litígios de reforma estrutural, nos quais a solução não se limita à condenação pecuniária, mas envolve reorganização institucional. No Brasil, processos estruturais ganham importância em políticas públicas, sistema prisional, saúde, meio ambiente e outras áreas. A lógica da falha sistêmica encontra aí instrumento processual adequado: se o defeito está na arquitetura, a resposta não pode limitar-se a indenizar uma vítima e preservar a arquitetura intacta.

Isso não significa que Judiciário deva administrar empresas ou substituir gestores públicos. Significa reconhecer que determinadas violações não são episódicas. Uma ordem judicial pode exigir auditoria, plano de correção, transparência, canais de recurso, prazos e monitoramento sem determinar cada detalhe técnico. A intervenção deve buscar condições de conformidade, não microgestão.

A ideia de remedies matter, tão presente no constitucionalismo norte-americano, torna-se central. Direito sem remédio adequado pode tornar-se direito nominal. Se uma falha sistêmica atinge milhares de pessoas, indenizações individuais posteriores podem ser economicamente absorvidas pela organização e não alterar incentivos. Em certos casos, corrigir estrutura é mais importante que reparar isoladamente cada consequência.

Esquema XII — Correspondência entre defeito e remédio

Falha individual → correção individual.

Falha repetitiva → correção processual.

Falha sistêmica → correção estrutural.

O remédio jurídico deve ter a mesma escala do problema.

A responsabilidade sistêmica também exige revisão da linguagem de caso fortuito e força maior. Quando determinado evento é estatisticamente previsível dentro de atividade massiva, talvez não possa ser tratado simplesmente como externo. Um incidente raro para uma pessoa pode ser comum para uma empresa que realiza milhões de operações. A perspectiva muda tudo. Para o cliente, determinada fraude pode ser evento único na vida; para o banco, faz parte de uma classe conhecida de risco. Para o candidato, a falha da plataforma é excepcional; para a banca, centenas de registros podem revelar padrão. A previsibilidade deve ser avaliada segundo a escala de quem controla o sistema.

Essa assimetria sugere princípio adicional: quem possui visão agregada não pode defender-se exclusivamente pela ignorância individualizada. Uma organização conhece aquilo que nenhum usuário isolado conhece: frequência de incidentes, padrões de reclamação, falhas recorrentes, pontos frágeis. Esse conhecimento cria dever.

Michel Polanyi ensinou que há conhecimento tácito que excede formulações explícitas. Organizações também acumulam conhecimento tácito sobre seus próprios riscos. Técnicos sabem quais etapas falham; atendentes reconhecem reclamações recorrentes; gestores conhecem gambiarras operacionais; usuários desenvolvem maneiras informais de contornar problemas. Uma auditoria jurídica séria deveria buscar esse conhecimento subterrâneo. Frequentemente o sistema formal parece seguro enquanto a prática cotidiana revela dependência de improvisações.

James Scott, ao criticar projetos de alta modernidade, mostra perigos de esquemas que simplificam realidades locais. A mesma advertência vale para sistemas digitais. Ao traduzir comportamentos humanos em categorias rígidas, plataformas podem excluir exceções legítimas. Um bom sistema jurídico precisa preservar espaço para casos que não cabem no formulário. A burocracia digital pode ser mais rígida que a burocracia de papel porque software não improvisa compaixão.

Weber via na burocracia uma “jaula de ferro” da racionalidade formal. O século XXI pode estar construindo sua versão algorítmica. A regra deixa de ser apenas texto e torna-se código executável. Isso aumenta consistência, mas reduz margem interpretativa. O funcionário humano que percebe injustiça pode adaptar procedimento; o sistema pode simplesmente bloquear. O paradoxo é evidente: quanto mais perfeita a execução automática da regra, maior pode ser o dano causado por uma regra mal formulada.

A responsabilidade sistêmica, portanto, não é apenas responsabilidade por falhar; pode ser responsabilidade por funcionar rigidamente demais. Um sistema pode produzir injustiça justamente porque não erra tecnicamente. Essa talvez seja a forma mais sofisticada de falha: a injustiça perfeitamente executada.

Kafka antecipou literariamente esse problema. Josef K. enfrenta uma máquina institucional cuja racionalidade é inacessível. Não há necessariamente um tirano identificável; existe procedimento. O horror kafkiano não nasce apenas da crueldade de indivíduos, mas da impossibilidade de encontrar o centro da decisão. A tecnologia contemporânea corre o risco de transformar essa metáfora em infraestrutura. O cidadão pode enfrentar indeferimento automático, chatbots, formulários e respostas padronizadas sem jamais alcançar alguém capaz de compreender seu caso.

Franz Kafka dialoga, nesse sentido, com Luhmann e Foucault: o poder pode tornar-se impessoal sem tornar-se menos eficaz. A ausência de rosto não significa ausência de poder. Ao contrário, pode torná-lo mais difícil de contestar. O Direito da responsabilidade sistêmica precisa devolver endereço jurídico ao poder sem rosto.

Esquema XIII — O poder sem rosto

Pessoa individual: “eu decidi” → decisão contestável → responsável identificável.

Sistema automatizado: dados → regra → modelo → interface → resultado.

Risco: ninguém assume autoria integral.

Resposta jurídica: atribuir responsabilidade à esfera que controla o conjunto e pode modificá-lo.

Essa atribuição não é ficção. Organizações já controlam orçamentos, políticas, tecnologia, contratos e governança. O que falta muitas vezes é apenas reconhecer juridicamente que esse poder possui correspondente dever de responder.

Em última análise, a falha sistêmica desafia uma intuição moral profunda: tendemos a acreditar que responsabilidade exige culpa e culpa exige alguém que poderia ter escolhido diferente. Mas o Direito sempre foi mais amplo que essa intuição. Pais respondem em certas circunstâncias por filhos; empregadores por empregados; fornecedores por riscos da atividade; Estado por atos de seus agentes; pessoas jurídicas por condutas organizacionais. A evolução histórica da responsabilidade é, em grande parte, história do reconhecimento de que justiça não pode depender sempre da descoberta de uma mente culpada.

Georg Jellinek observava que direitos públicos subjetivos dependem de estruturas institucionais capazes de garanti-los. Léon Duguit deslocou foco da soberania para funções sociais; Maurice Hauriou destacou instituição como realidade jurídica; Santi Romano concebeu ordenamentos como estruturas organizadas. Esses autores permitem perceber que o Direito nunca foi apenas relação entre indivíduos. Ele regula instituições. A responsabilidade sistêmica simplesmente leva essa percepção às consequências exigidas pela sociedade tecnológica.

A RFA pode oferecer, nesse ponto, uma chave especialmente fértil: reconstruir o fenômeno antes de imputá-lo. Se o jurista parte imediatamente da pergunta “quem é culpado?”, corre o risco de forçar o acontecimento dentro de categorias inadequadas. É preciso reconstruir manifestação, antecedentes, estrutura, premissas, decisão, imputação e consequência. Em falhas complexas, a manifestação final é apenas superfície. O erro visível pode ser último elo de cadeia muito mais longa. Reconstruir fenomenologicamente significa recusar a tentação de confundir aquilo que apareceu com aquilo que produziu sua possibilidade.

Esquema XIV — Reconstrução fenomenológica da falha

Manifestação: o dano aparece.

Antecedentes: quais eventos anteriores prepararam o cenário?

Estrutura: quais regras, sistemas, incentivos e tecnologias organizavam a ação?

Premissas: quais pressupostos foram incorporados ao funcionamento?

Decisão: houve decisão humana, automatizada ou distribuída?

Imputação: quem possuía domínio, informação e capacidade preventiva?

Consequência: qual reparação individual e qual correção estrutural são necessárias?

Essa sequência impede que o Direito permaneça prisioneiro do último acontecimento observável.

Há, portanto, uma diferença essencial entre procurar culpados e procurar responsabilidade. Culpa é uma das linguagens da responsabilidade, não sua totalidade. Em sociedades simples, talvez as duas frequentemente coincidissem. Em sistemas altamente tecnológicos, distribuídos e automatizados, elas se afastam. Pode haver culpa sem falha sistêmica; pode haver falha sistêmica sem culpa individual grave; pode haver ambas. O trabalho jurídico consiste em distinguir.

A frase “foi uma falha do sistema” precisa, por isso, ser invertida. Ela não deveria encerrar a discussão; deveria iniciá-la. Se o problema é sistêmico, a investigação precisa tornar-se mais profunda, não mais superficial. É necessário descobrir quem desenhou, quem escolheu, quem supervisionou, quem possuía informação, quem ignorou alertas, quais incentivos existiam, quais mecanismos de correção faltavam e por que o sistema permaneceu vulnerável. O sistema não é um fantasma metafísico. É uma organização material de decisões humanas, máquinas, normas e recursos.

A sociedade tecnológica criou a possibilidade de enorme poder sem correspondente sensação de autoria. Uma única linha de código pode afetar milhões de pessoas; uma métrica pode reorganizar comportamento de milhares de empregados; um parâmetro pode alterar concessão de crédito; uma interface pode impedir exercício de direito; um modelo estatístico pode classificar cidadãos sem que ninguém se perceba decidindo cada caso. O Direito não sobreviverá intelectualmente se insistir em procurar apenas a mão que apertou o botão.

Talvez a grande transformação da responsabilidade no século XXI possa ser resumida em uma passagem: da moral do ato para a política da arquitetura. O ato continua importante, mas não é mais suficiente. Perguntaremos cada vez menos apenas quem causou o dano e cada vez mais quem construiu o ambiente no qual determinados danos se tornaram estatisticamente previsíveis, operacionalmente possíveis e economicamente toleráveis.

O indivíduo continua responsável por suas escolhas, mas organizações tornam-se responsáveis pelas escolhas que tornam prováveis. A culpa permanece ligada à ação; a falha sistêmica liga-se à configuração do campo de ação. Uma diz respeito a quem atravessou o sinal vermelho; a outra pergunta por que o sistema possuía sinais contraditórios, sensores defeituosos e nenhuma barreira de segurança. Uma olha para o gesto; a outra, para a máquina que organizou milhares de gestos.

É justamente nesse ponto que a expressão “culpa de ninguém” revela seu paradoxo. Quando todos os elementos de uma organização foram distribuídos de maneira tão complexa que nenhum indivíduo isolado parece responsável, o resultado não deveria necessariamente ser ausência de responsabilidade. Pode ser exatamente o contrário: a fragmentação demonstra que a unidade relevante de imputação deixou de ser a pessoa isolada e passou a ser a estrutura que reuniu aquelas partes em um sistema funcional.

O Direito precisará aprender, portanto, uma nova pergunta. Durante muito tempo, diante do dano, perguntou: quem fez isso? Depois aprendeu a perguntar: quem assumiu o risco disso? Agora precisa acrescentar uma terceira: quem construiu um sistema no qual isso podia acontecer dessa maneira?

Essa terceira pergunta provavelmente ocupará parte importante da dogmática jurídica das próximas décadas. Plataformas digitais são apenas o laboratório mais visível. Bancos, hospitais, seguradoras, empresas, universidades, concursos públicos, tribunais, órgãos administrativos, sistemas de segurança, redes de transporte e inteligências artificiais enfrentarão progressivamente o mesmo problema. Quanto mais a vida humana depender de arquiteturas que ninguém individualmente compreende por inteiro, mais a responsabilidade jurídica precisará migrar da procura obsessiva por um culpado singular para a investigação das estruturas que organizam o risco.

Não se trata de abolir o indivíduo. Trata-se de abandonar uma ingenuidade. Sistemas não possuem consciência, mas possuem desenho. Não possuem intenção, mas possuem objetivos. Não possuem culpa psicológica, mas possuem vulnerabilidades previsíveis. Não sentem remorso, mas podem ser corrigidos. E justamente porque não podem sentir culpa, alguém precisa responder pela maneira como foram construídos.

A responsabilidade sistêmica começa onde termina a desculpa “ninguém fez nada de errado”. Talvez ninguém tenha feito, isoladamente, algo suficientemente errado. Talvez essa seja justamente a informação mais importante. Porque, quando pessoas razoavelmente diligentes produzem repetidamente resultados inaceitáveis, o Direito deveria parar de perguntar apenas o que há de errado com as pessoas e começar a examinar o sistema que as colocou naquela posição.

No final, “foi o sistema” não é resposta. É a formulação do problema. E a pergunta jurídica decisiva permanece aberta: se ninguém individualmente é culpado, mas a arquitetura inteira tornou o dano previsível, evitável e repetível, será realmente correto dizer que a responsabilidade não pertence a ninguém — ou estaremos apenas procurando a responsabilidade no lugar errado?