É comum em diversas empresas brasileiras de médio e grande porte, colaboradores de áreas que nunca tiveram contato com desenvolvimento de software estão construindo suas próprias ferramentas com apoio de inteligência artificial.

O time financeiro consolida sozinho os dados de recebimento do banco numa dashboard interativa. Outro time cria uma aplicação que sobe arquivos de planilha todos os dias para alimentar uma base de dados.

Em alguns casos, já existe um agente de IA que baixa arquivos, atualiza o sistema sozinho e só pede confirmação por e-mail. Isso é vibe coding: qualquer pessoa, sem formação técnica, descrevendo o que precisa e vendo a IA construir o resto. E está avançando mais rápido do que qualquer área de tecnologia ou segurança consegue acompanhar.

Até pouco tempo, gerar um código funcional ou montar uma dashboard interativa exigia um desenvolvedor. Hoje exige só um problema e uma boa conversa com a ferramenta certa. O ganho de produtividade é real, e nenhuma empresa quer abrir mão dele, o que também significa que bloquear esse uso, hoje, já não é mais uma opção realista.

Só que essa mesma aplicação criada num fim de semana costuma rodar em algum serviço externo, muitas vezes numa conta gratuita, sem revisão de infraestrutura, sem inventário, sem ninguém fora daquele time sabendo que ela existe.

Essa aplicação, por mais simples que pareça, processa dados reais da empresa na maioria dos casos: informação financeira, dados de cliente, conteúdo de e-mail. Ninguém no comando sabe dizer quantas delas já existem, o que acessam, onde rodam ou quem, além de quem criou, consegue mexer nelas. O que começou como conveniência técnica virou uma lacuna de gestão, e poucas empresas perceberam a troca.

Essa exposição costuma aparecer primeiro numa pergunta de contrato, bem antes de virar incidente de segurança. Due diligences, questionários de fornecedor e cláusulas de parceria já incorporam perguntas específicas sobre uso e controle de IA dentro da operação. A empresa que não sabe responder com precisão quantas aplicações construídas com IA estão rodando, que dado elas tocam e quem revisa isso, começa a perder negócio por causa disso. Basta não ter uma resposta pronta quando alguém pergunta.

Diante desse cenário, a resposta mais fácil seria proibir. Não funciona, e nunca funcionou com nenhuma ferramenta que realmente resolvesse o dia a dia de alguém: a pessoa continua usando, só que escondido, e a empresa perde justamente a visibilidade que precisava ter.

Quem sai na frente constrói mecanismo de monitoramento, controle e um ambiente seguro no mesmo ritmo em que a produtividade avança, deixando times sem nenhuma noção de infraestrutura ou versionamento de código continuarem criando, sem que isso vire um risco que ninguém está olhando.

A pergunta que importa hoje não é mais se a empresa deve permitir esse tipo de uso, isso já foi decidido. O que resta, e que já é pauta de negócio antes de ser pauta de tecnologia, é simples de enunciar e difícil de responder: a liderança sabe, com dado na mão, quantas dessas aplicações já existem dentro da empresa, o que elas acessam e quem responde por isso? Quem responder bem essa pergunta nos próximos meses vai competir em outra condição.