Governança de TI e de IA
Vibe coding e Shadow IT: construir software não é tão diferente de construir um prédio
Por Noerci Battistella · · 5 min de leitura
Tenho enfrentado uma situação cada vez mais comum nas empresas que visito com o avanço da IA generativa e do vibe coding. Analistas, engenheiros, físicos e profissionais de diferentes áreas de negócio agora conseguem desenvolver aplicações que, até pouco tempo atrás, dependeriam necessariamente de uma equipe de desenvolvimento. Em pouco tempo constroem uma interface, conectam uma base de dados, criam algumas regras e colocam uma aplicação para funcionar. A partir daí surge uma pergunta bastante legítima: se funciona, por que eu não posso simplesmente colocar isso em produção?
Tenho usado uma analogia para explicar o problema. Nossa família, Battistella, possui há alguns anos uma construtora e incorporadora, e foi daí que veio o insight para explicar esse problema do vibe coding desenfreado em áreas não técnicas. Imagine reunir um grupo de bons profissionais da construção civil, entregar material, ferramentas e autonomia e pedir para construírem um prédio de 30 andares. Eles sabem concretar, levantar paredes, instalar portas, fazer acabamento e provavelmente conseguem fazer o prédio subir. O problema é que construir um prédio não se resume a fazer o prédio subir. Alguém precisa calcular as cargas, dimensionar a fundação, entender como o solo responde àquela estrutura, calcular os esforços de tração, compressão e cisalhamento, dimensionar concreto e aço, projetar instalações e considerar uma série de condições que não são visíveis simplesmente olhando para a obra pronta.
É perfeitamente possível terminar um prédio, entrar nele, acender as luzes, abrir as torneiras, usar o elevador e concluir que está tudo funcionando. Isso não significa que aquele prédio seja seguro. A estrutura pode ter sido dimensionada incorretamente e o problema só aparecer quando determinadas condições acontecerem. É exatamente essa diferença que muitas vezes é difícil explicar quando falamos de software desenvolvido fora das estruturas tradicionais de tecnologia.
Uma aplicação também pode funcionar e não estar pronta para produção. Ela pode entregar exatamente o resultado esperado pelo usuário e ainda ter problemas de segurança, controle de acesso, proteção de dados, arquitetura, escalabilidade, observabilidade, logs, backup, recuperação, continuidade, integração, documentação ou manutenção. Pode utilizar uma biblioteca vulnerável, armazenar uma credencial de forma inadequada ou depender de um serviço que ninguém sabe como suportar. Nada disso necessariamente impede a aplicação de funcionar hoje.
É por isso que existem Arquitetura, Segurança, ITSM, Gestão de Mudanças, DevOps, SRE, Privacidade e Governança. Não são disciplinas criadas simplesmente para adicionar etapas ao desenvolvimento. Elas existem porque sistemas em produção precisam atender a requisitos que vão além da funcionalidade. Assim como cálculo estrutural, normas técnicas e responsabilidade técnica existem porque uma construção precisa atender a requisitos que vão além de simplesmente permanecer em pé no momento em que foi construída.
O que a IA generativa mudou foi principalmente a barreira de entrada. Durante muito tempo, para criar uma aplicação era necessário aprender programação, banco de dados, frameworks e infraestrutura antes de conseguir produzir alguma coisa minimamente funcional. Isso funcionava também como uma barreira natural para o Shadow IT. Com vibe coding, essa barreira praticamente desapareceu para muitos casos. Uma pessoa com conhecimento do negócio e pouca formação em engenharia de software já consegue produzir uma aplicação bastante sofisticada.
O ponto é que democratizamos muito rapidamente a capacidade de construir software, mas não democratizamos na mesma velocidade o conhecimento necessário para operar software em produção. Saber pedir para uma IA construir uma aplicação não significa necessariamente saber avaliar a arquitetura que ela criou, identificar uma vulnerabilidade, definir uma estratégia de recuperação, avaliar dependências, entender os impactos de uma mudança ou determinar se aquela solução continuará funcionando quando tiver centenas ou milhares de usuários.
Isso não significa que a resposta da TI deva ser proibir o vibe coding ou determinar que somente desenvolvedores profissionais podem criar aplicações. Seria ignorar uma oportunidade importante. Quem conhece profundamente um processo de negócio agora tem uma capacidade muito maior de transformar esse conhecimento diretamente em uma solução. Isso pode reduzir drasticamente o tempo entre identificar um problema, testar uma hipótese e entregar alguma coisa útil.
O desafio passa a ser outro: criar um modelo no qual as áreas possam experimentar e desenvolver, mas exista um caminho claro para transformar aquilo que precisa ir para produção em uma solução corporativa. Isso exige ambientes controlados, padrões de arquitetura, componentes homologados, gestão de identidade, esteiras automatizadas, análise de segurança, observabilidade e processos de mudança proporcionais ao risco da aplicação. Nem todo protótipo precisa passar pela mesma governança de um sistema crítico, mas um protótipo também não deveria virar silenciosamente um sistema crítico simplesmente porque começou a ser utilizado por mais pessoas.
E existe uma provocação também para a própria TI. Não adianta uma pessoa construir uma aplicação em dois dias com IA e encontrar um processo interno que leva dois meses para dizer se ela pode ser utilizada. Se a capacidade de desenvolvimento mudou, nossos processos de arquitetura, segurança e governança também precisam mudar. Governança não pode ser simplesmente uma coleção de gates manuais. Precisamos colocar cada vez mais esses controles dentro das próprias plataformas e esteiras, criando guardrails que permitam velocidade sem abrir mão dos requisitos necessários para produção.
Talvez, portanto, a discussão sobre Shadow IT esteja mudando. Durante anos tentamos controlar quem podia desenvolver software. Com IA generativa, provavelmente teremos cada vez mais pessoas capazes de fazer isso. A questão deixa de ser apenas quem pode construir e passa a ser sob quais condições aquilo pode ser colocado em produção.
O vibe coding tornou muito mais fácil levantar o prédio. O que ele não fez foi eliminar cálculo estrutural, projeto, inspeção ou responsabilidade técnica. Com software não deveria ser diferente.
A IA pode ajudar você a fazer muito mais rápido algo que você domina e que conseguiria fazer sozinho, apenas levaria mais tempo. Mas, se a IA faz algo que você não saberia fazer, existe um problema: você também não sabe avaliar se aquilo está certo. É simples assim.
