ADR-0002 — IA governada pelo Supremo

Decisão

A IA do navegador chama exclusivamente POST /v1/ai/chat no Supremo. O Worker autentica usuário e dispositivo, valida entitlement, cota, rate limit e kill switch, encaminha ao Workers AI por AI Gateway e registra uso no D1.

O modelo lógico inicial é @cf/openai/gpt-oss-120b. A escolha pode evoluir atrás do mesmo contrato público.

Portões

1. autenticação válida;
2. dispositivo aprovado;
3. entitlement beta ativo;
4. cota disponível;
5. kill switch habilitado;
6. request ID e ledger persistidos.

Controles visuais sem backend real permanecem ocultos por feature flag.