A TI não desaparece: ela vira plataforma para democratizar IA

Quando uma área de negócio consegue produzir um agente, uma automação ou uma interface em horas, o primeiro gargalo parece ter desaparecido. A primeira versão ficou barata. O trabalho difícil apenas mudou de lugar: identidade, dados, integração, observabilidade, suporte, custo e retirada continuam existindo.

Este Evidence Brief descreve uma arquitetura mínima para transformar experimentos distribuídos em uma capacidade organizacional. O objetivo não é recentralizar toda criação. É tornar o caminho governado mais rápido do que o desvio.

Resumo técnico

Democratização sustentável exige duas camadas simultâneas:

1. uma experiência de criação acessível às áreas, com modelos, componentes e ambientes aprovados;
2. uma plataforma de controle que imponha identidade, autorização, dados, evidência e operação fora do prompt e fora da ferramenta que gerou o software.

O DORA 2025 descreve IA como amplificadora das forças e fragilidades do sistema de entrega. A AWS documenta um portal empresarial de GenAI usado para padronizar acesso, segurança e reutilização. O Itaú relata uma plataforma interna para modelos e componentes compartilhados enquanto iniciativas avançavam por diferentes áreas. Esses casos não provam um desenho universal, mas convergem em um padrão: escala depende de plataforma, não apenas de licenças.

O novo fluxo de entrada

A empresa precisa aceitar quatro estados distintos:

O erro comum é tratar todos como produção ou todos como laboratório. A plataforma precisa permitir progressão explícita. Cada mudança de estado aumenta evidências, autoridades e responsabilidades.

Control plane mínimo

Uma via rápida corporativa pode começar com poucos blocos:

• catálogo de modelos e ferramentas com finalidade, restrições e custo;
• identidade federada para pessoas, serviços e agentes;
• conectores aprovados que limitam escopo, dados e ações;
• sandbox com dados sintéticos e expiração automática;
• templates para APIs, interfaces, agentes, evals e telemetria;
• registro de ativos que liga solução, owner, finalidade, repositório e ambiente;
• gates de promoção proporcionais ao risco;
• kill switch e retirada para interromper ou expirar o que deixou de ser válido.

Permissões reais devem ser impostas por mecanismos externos ao modelo e testadas no ambiente em que o software opera. [HARNESS31-C2]

Identidade e autorização não são detalhes de acabamento

Login comprova quem iniciou uma sessão. Ele não prova que essa pessoa pode ler uma linha, disparar uma ação ou usar uma credencial. Cada conector precisa aplicar autorização no servidor e preservar o contexto de quem pediu a ação.

O conjunto mínimo de testes negativos inclui:

• pessoa anônima não acessa o ativo;
• usuário A não lê nem altera dados do usuário B;
• agente não amplia o escopo recebido;
• mudança negada não altera estado;
• segredo administrativo não chega ao cliente;
• logs registram decisão e resultado sem copiar conteúdo sensível.

Autonomia segura combina isolamento, mudanças revisáveis e verificação externa à geração. Um worktree ou uma segunda sessão ajuda a separar execução, mas não é fronteira de segurança nem independência por si só. [R1-C2]

O contrato entre área e TI

A área de negócio continua dona do problema, do processo e do resultado esperado. A plataforma de tecnologia oferece caminhos reutilizáveis e assume, junto com a área, a passagem para operação. O contrato precisa identificar:

• owner de negócio e owner técnico;
• dados permitidos e finalidade;
• usuários e ações autorizadas;
• baseline e sinal de sucesso;
• validade do experimento;
• condição de promoção, interrupção e retirada.

Papéis de implementação, verificação e aceite podem usar IA, desde que autoridade, contexto e evidência não colapsem no mesmo circuito. [R1-C3]

Evidence gate proporcional ao risco

Não há razão para submeter um protótipo com dados sintéticos ao mesmo processo de um sistema que movimenta dinheiro. O gate pode crescer por nível:

Nível 1 — reversível

• hipótese, owner e prazo;
• ambiente isolado;
• dados sintéticos;
• descarte automático.

Nível 2 — interno recorrente

• SSO e autorização;
• classificação e minimização de dados;
• testes funcionais e negativos;
• logs, custo e suporte;
• dependências e artefato identificados.

Nível 3 — crítico ou externo

• threat model;
• evals e critérios de aceitação;
• revisão de segurança e privacidade;
• SLO, alertas, backup e restauração;
• receipt de release, rollback e autoridade de aceite.

O objetivo do gate é reduzir o tempo até uma decisão confiável. Checklist sem ligação com risco, verificador e autoridade volta a criar a fila que a plataforma deveria eliminar.

Métricas que evitam a ilusão da velocidade

Conte linhas de código ou protótipos apenas como sinais de atividade. Para avaliar capacidade organizacional, acompanhe:

• tempo da ideia ao primeiro teste com usuário;
• tempo do protótipo ao resultado confiável;
• percentual de ativos com owner e validade;
• reutilização de componentes e conectores;
• retrabalho, falhas de autorização e incidentes;
• custo por fluxo e por resultado;
• tempo de retirada de um ativo inseguro ou sem uso.

Uma organização pode gerar mais software e entregar menos valor. O ganho aparece quando a plataforma reduz espera, repetição e risco ao mesmo tempo.

O que este brief prova — e o que não prova

As fontes mostram estratégias públicas de acesso padronizado, componentes compartilhados e governança para ampliar o uso empresarial de IA. Elas não demonstram que toda organização deva copiar uma plataforma específica nem que vibe coding produza ganho líquido em qualquer contexto.

O desenho apresentado combina essas fontes com mecanismos do FORGE. É um modelo técnico para decisão e adaptação. Não é evidência de que uma implementação específica já opera ou satisfaz os gates.

Fontes diretas

• DORA — State of AI-assisted Software Development 2025
• AWS — Democratizing GenAI through a Global Enterprise Portal
• Itaú Unibanco — Relatório Anual Integrado 2025
• NIST — AI Risk Management Framework
• NIST — Secure Software Development Framework

Conclusão

Vibe coding reduz a distância entre intenção e protótipo. A plataforma reduz a distância entre protótipo e responsabilidade.

Quando identidade, conectores, ambientes, evidências e retirada são reutilizáveis, TI deixa de ser uma fila para cada pedido. Ela se torna a infraestrutura que permite a mais pessoas construir com velocidade e responder pelo que colocam em operação.