Caderno de Plantão — IA QUE VENDE

Parte 1

Checklist de Plantão

Cada item traz o sintoma que ele revela. Se você não consegue responder um item, ele não está OK: "não medi" nunca vira "está funcionando". Essa é a regra que mais me poupou trabalho.

Escopo e dono

Existe um dono humano nomeado para este agente. Sem isso: todo mundo assume que outro está olhando, e ninguém está.
O limite do que ele decide sozinho está escrito em algum lugar. Sem isso: você descobre o limite no dia em que ele é ultrapassado.

Canais

Leitura, comando e envio são canais separados. Sem isso: quem está no canal público consegue dar comando.
Envio externo é bloqueado ou passa por aprovação humana. Sem isso: a primeira mensagem errada vai para o cliente, não para você.

Segurança

Nenhum segredo em repositório, log, markdown ou chat. Esse não tem sintoma. É exatamente por isso que se procura em vez de esperar.
Menor privilégio: o agente tem só o acesso que de fato usa. Sem isso: o estrago de um erro fica maior que o erro.

Observabilidade

Todo agente que roda sozinho tem healthcheck. Sem isso: você descobre que ele caiu quando for olhar, não quando ele cai. Já perdi serviço que ficou dias morto e só apareceu numa varredura.
A versão que está rodando é visível sem abrir o servidor. Sem isso: você conserta um bug que já estava consertado, porque o que está no ar não é o que está no repositório.
Existe auditoria de comando: quem pediu, o quê, quando. Sem isso: alguém pergunta "ele fez isso sozinho?" e não há como responder.

Configuração

A configuração foi editada depois do último restart? Se a data do arquivo de ambiente for mais nova que o início do processo, ele está rodando com a configuração antiga e respondendo com total confiança. É a falha mais traiçoeira desta lista.
Todo token tem data de validade conferida. Confira a data. Não confira se ele respondeu ontem: token expira em hora marcada, não gradualmente.
Arquivos e planilhas são referenciados por ID, nunca por nome. Sem isso: alguém renomeia uma pasta e o agente para, sem que ninguém tenha mexido no agente.

Manutenção

Existe rollback: dá para voltar à versão anterior sem improviso. Sem isso: toda correção vira uma aposta, e a pressa aumenta o risco.
Backup e prazo de retenção estão definidos, inclusive no histórico de execução. Histórico de automação guarda o conteúdo das mensagens por padrão. Isso é dado pessoal sentado em log.
Cada item acima está marcado como medido, divergente ou sem visibilidade. Três estados, nunca dois. "Sem visibilidade" é uma resposta honesta. "Está OK" sem ter medido, não.

Parte 2

Mapa da Falha Silenciosa

Seis formas de um agente parar de funcionar sem gerar erro nenhum. Todas já me pegaram. Em nenhuma delas o problema era o modelo.

1. Configuração editada sem reinício

O que acontece: Você troca uma chave, um endereço ou uma permissão. O processo continua rodando com o valor antigo em memória.
Por que dói: Ele não para. Continua respondendo, com confiança, usando informação que você já trocou. Já vi um agente afirmar que tinha acesso a uma coisa que ele não tinha mais.
Como checar: Compare a data de modificação do arquivo de ambiente com a hora em que o processo subiu. Arquivo mais novo que o processo é divergência.

2. Serviço morto sem alerta

O que acontece: O processo cai e nada avisa, porque o aviso nunca foi instalado.
Por que dói: A descoberta é por varredura, não por alerta. O tempo entre cair e você olhar é o tamanho do prejuízo, e ninguém está medindo esse tempo.
Como checar: Liste o que deveria estar de pé e compare com o que está. Depois olhe a idade da última mensagem que entrou: fila parada há tempo demais é sinal antes de virar reclamação.

3. Token expirado

O que acontece: A credencial vence em data marcada. Do lado do agente, a integração começa a devolver vazio ou erro que ninguém lê.
Por que dói: Costuma cair num fim de semana ou feriado, e o efeito só aparece na segunda, em forma de cliente sem resposta.
Como checar: Anote a data de expiração de cada token numa lista, com um lembrete alguns dias antes. Não confie em "está funcionando".

4. Arquivo ou pasta renomeada

O que acontece: Alguém do time organiza o Drive, renomeia uma planilha, e o agente perde a referência.
Por que dói: Quem quebrou não sabe que quebrou, e quem opera não foi avisado. É o modo de falha mais comum em operação com time.
Como checar: Referencie por ID, não por nome nem por caminho. Se já está por nome, faça a lista do que depende de qual nome.

5. Sessão de canal caída

O que acontece: A conexão de WhatsApp, e-mail ou rede social cai. A fila continua aceitando mensagem.
Por que dói: A fila cheia parece movimento. Você olha e vê atividade, mas nada está saindo do outro lado.
Como checar: Cheque o pareamento da sessão, não o tamanho da fila. São coisas diferentes e só uma delas prova entrega.

6. Campo de API renomeado

O que acontece: Um fornecedor muda o nome de um campo na resposta. O agente lê vazio e segue.
Por que dói: Ele preenche a lacuna com texto plausível. O resumo continua bonito e o dado por trás sumiu. Você acredita no resumo.
Como checar: Leia o retorno bruto de vez em quando, não o resumo que o agente escreveu. Se um número importante vier vazio, isso precisa gritar em vez de virar frase.

Parte 3

Planilha de Custo de Manutenção

Vem em branco, de propósito. Número de exemplo vira expectativa, e a sua operação não é a minha. O que ela traz pronto são as linhas que quase ninguém lança no mês 1, as fórmulas, e a pergunta que revela cada linha.

Linha de custo	A pergunta que revela essa linha
Inferência	Quanto o agente gastou de modelo no mês passado, olhando a fatura e não a estimativa?
Infraestrutura	O que você paga de servidor, banco e fila só por causa dele?
Canal	Você paga por conversa, por mensagem ou por número? Esse valor muda com volume?
Ferramentas de terceiro	Quais assinaturas existem hoje só porque o agente usa?
Plantão humano	Quantas horas por mês alguém gasta olhando, corrigindo e reiniciando? Vezes quanto custa a hora dessa pessoa?
Retrabalho	Quantas horas o time gastou desfazendo coisa que ele fez errado?
Custo de parada	Quantas horas ele ficou fora no mês, e quanto vale uma hora dessa operação parada?

As três contas que a planilha fecha sozinha

Conta	Fórmula	Para que serve
Custo total	`=SOMA(linhas)`	O número que quase sempre é maior do que a pessoa esperava
Custo por conversa	`=total/conversas`	Comparável entre meses, ao contrário do total
Custo por resultado	`=total/resultados`	Resultado é agendamento, venda ou o que a sua operação conta. É a única das três que decide alguma coisa

Baixar a planilha

Abre no Excel, no Numbers e no Google Sheets. As fórmulas já vêm nas células certas e as três contas se fecham sozinhas. Preencha só a coluna destacada em amarelo. Versão .csv, se preferir.

Se depois de preencher isso o número te assustar

É o resultado mais comum, e não quer dizer que você fez errado. Quer dizer que a conta estava sendo paga sem aparecer. A partir daí são três caminhos: cortar, absorver, ou passar a operação para alguém que já faz isso todo dia.

Eu instalo e opero times de agentes de IA para empresas. Se quiser conversar sobre a sua, o pré-diagnóstico é gratuito e serve inclusive para concluir que não é hora.

Quero o pré-diagnóstico da minha operação