Fontes de dados: CodeRabbit 2025.12 / New Relic 2026 Relatório, Microsoft Work Trend Index 2026, Microsoft FY26 Frontier Firms Anúncio, GitHub Spec Kit, AWS Kiro, OpenAI Codex, Claude Code, Alibaba Qoder, JetBrains 2026.1 AI Pulse.

Exemplos são cenários representativos, não se referem a empresas específicas.

Seu maior erro não é não ter comprado ferramentas, é não ter escrito o CLAUDE.md

Um CIO de um grande banco brasileiro me reclamou: “Compramos ferramentas de IA, implantamos modelos, treinamos as pessoas, mas nos primeiros seis meses de 2026, o ciclo de entrega quase não mudou.” O responsável pelo grupo de sistemas centrais foi mais direto: “O código escrito pela IA é útil, mas precisamos reescrevê-lo a cada vez – ela não entende as regras do nosso banco, não entende os requisitos da LGPD nem da ANPD, não entende como se conectar ao nosso sistema legado de 30 anos.”

Observação: CLAUDE.md é um arquivo de documentação que contém informações sobre como usar a ferramenta de IA Claude.

Aprendendo IA Devagar 001

Sem regras, a IA não é uma ferramenta poderosa

Nos últimos anos, temos discutido as capacidades poderosas da IA, mas parece que ignoramos uma questão crítica: sem regras, a IA não é uma ferramenta poderosa. Segundo a pesquisa da CodeRabbit, em dezembro de 2025, a análise de 470 PRs open source mostrou que PRs com colaboração de IA continham em média 10,83 problemas, enquanto PRs puramente humanos continham apenas 6,45 — o que significa que PRs com colaboração de IA têm 70% mais bugs que PRs humanos.

Os dados de 2026 também não inverteram essa tendência. A New Relic descobriu no relatório “2026 State of AI Coding Report” que 78% das equipes relataram mais incidentes após o deploy de código de IA. 62% dos líderes técnicos admitem que suas equipes “enviam com confiança, sem revisar linha por linha” o código de IA. Esses dois conjuntos de dados apontam para o mesmo problema: a IA não tem falta de capacidade, tem falta de contexto.

Em meio a todas as narrativas sobre “aceleração da transformação com IA”, precisamos considerar uma questão crítica: sem regras, a IA não é uma ferramenta poderosa. Precisamos estabelecer padrões e processos claros para garantir que o uso da IA seja seguro e confiável.

Casos

A experiência da operadora de telecomunicações Vivo mostra que estabelecer padrões e processos claros de uso de IA pode melhorar significativamente a qualidade e a segurança do código.
O caso do banco Itaú demonstra que, ao estabelecer processos e padrões de uso de IA, é possível reduzir significativamente o número de bugs e aumentar a segurança do código.
No setor de manufatura, o caso da Volkswagen mostra que a empresa conseguiu melhorar significativamente a qualidade e a segurança do código ao estabelecer padrões e processos de uso de IA.
No e-commerce, o caso do Magazine Luiza mostra que, ao estabelecer processos e padrões de uso de IA, foi possível melhorar significativamente a qualidade e a segurança do código.

Conclusão

Sem regras, a IA não é uma ferramenta poderosa. Precisamos estabelecer padrões e processos claros para garantir que o uso da IA seja seguro e confiável. Por meio de aprendizado e prática, podemos construir um ambiente de IA mais seguro e confiável.

Aprendendo IA Devagar: Avanços globais dos agentes de IA

No primeiro trimestre de 2026, grandes consultorias e gigantes de tecnologia do mundo todo avançaram na aplicação de agentes de IA. Reunimos os progressos e os contraexemplos:

Bloco	Progressos (2026 H1)	Contraexemplos (2026 H1)
EY	Microsoft 365 Copilot implantado para 150.000 colaboradores, economizando 2,5 milhões de horas, equivalente a US$ 250 milhões; expansão posterior para 400.000 colaboradores no mundo todo	Admite ao mesmo tempo que a premissa de 95% de aceleração e queda de 37% nos custos de operação financeira é “normatização primeiro”
Atos	Implantação em 54 países, cobrindo 56.000 colaboradores; operação simultânea de 19.000 agentes de IA, com plano unificado de identidade, segurança, conformidade e governança	Aderência estrita ao princípio “primeiro colocar a governança do Agent 365 em produção, depois expandir a escala”
Microsoft (própria)	Relatório 2026 Work Trend Index: 82% dos líderes planejam expandir a força de trabalho com agentes de IA em 12 a 18 meses	Admite ao mesmo tempo “o ritmo da mudança organizacional está atrás do uso individual” — a contradição central do conceito de Frontier Firm

Observe que a aplicação do Microsoft 365 Copilot já se expandiu para 400.000 colaboradores no mundo todo, economizando tempo e custos significativos. No entanto, Atos e a própria Microsoft também admitem que a aplicação de agentes de IA precisa seguir normas e princípios de governança estritos para garantir sua segurança e eficácia.

Aprendendo IA Devagar 001: A inevitabilidade do desenvolvimento orientado por padrões

Fontes: Microsoft FY26 retrospective 2026.7.28; Microsoft 2026 Work Trend Index Annual Report 2026.5.5; New Relic 2026 State of AI Coding Report.

Os dois conjuntos de dados comparativos demonstram um fato: sem normas, escalar é multiplicar o risco por N. O “rápido” de EY, Atos e Microsoft não se refere à velocidade do modelo, mas à capacidade da organização de responder rapidamente à pergunta “como usar IA”. Este é o cenário em que o Spec-Driven Development (SDD, desenvolvimento orientado por especificações) se consolidou como corrente dominante no primeiro semestre de 2026 — não porque engenheiros prefiram documentação, mas porque, sem escrever normas, não é mais possível sobreviver em um ambiente com 19.000 agentes.

Este artigo explicará com clareza três coisas: 1) por que os defeitos do código de IA são mais de 1,7 vez piores que os humanos; 2) como as cinco plataformas GitHub, AWS, OpenAI, Anthropic e Alibaba convergiram para o mesmo paradigma no primeiro semestre de 2026 — usar documentação para restringir o comportamento da IA; 3) por que o desenvolvimento orientado por especificações é capacidade organizacional, não escolha de ferramenta, e as três fases de implementação no primeiro semestre de 2026.

Comprimento da barra = múltiplo de defeitos de IA em relação ao humano; linha de base 1.0× = nível humano

Linha de base 1.0×

Total de problemas

1.7×
IA 10.83 vs humano 6.45 / PR

Erros de lógica / correção

1.75×

Qualidade de código / manutenibilidade

1.64×

Achados de segurança (combinado)

1.57×

Tratamento inadequado de senhas

1.88×

Vulnerabilidades XSS

2.74×
↑ Máximo

Código de IA sem restrições normativas é superior ao humano em todas as dimensões
Financeiro/telecom = conciliação de conformidade, gestão de senhas, criptografia de campos sensíveis — IA não enxerga nada disso

I - A Falha em AI não é um problema de modelo, é um problema de contexto

Um relatório da CodeRabbit foi citado várias vezes com a seguinte frase: “A AI carece de lógica de negócios local: os modelos seguem padrões de código estatísticos, em vez de compreender a semântica. Sem restrições rigorosas, eles passam por cima das regras sistemáticas internalizadas pelos engenheiros experientes.”

Essa frase explica por que a própria CodeRabbit, uma empresa que desenvolveu uma plataforma de AI para revisão de código (especializada em revisão de código de AI), foi capaz de identificar essa tendência antes dos outros. “O descobrimento mais crítico” não foi o número total, mas sim a distribuição:

Lógica/Certeza +75%: erros de lógica de negócios, erros de dependência, erros de fluxo de controle, erros de configuração - esses problemas podem não ser expostos em testes, mas podem causar acidentes em ambiente de produção.
Qualidade do código +64%: incoerência de nomes, estrutura não clara, violação de padrões de projeto - é essa a “maior categoria de diferença”. Um engenheiro experiente pode ver com um olhar que “essa não é a nossa forma de escrever”.
Segurança +57% (XSS com o maior valor de 2,74 vezes): tratamento inadequado de senhas (1,88 vezes), referência de objetos não seguros (1,91 vezes), vazamento de informações sensíveis, deserialização não segura (1,82 vezes) - não é se a AI pode ser usada, é se a AI pode ser liberada.

O problema não é que a IA não seja boa o suficiente. É que ela não enxerga.

Voltando ao ponto crítico real daquele CIO, três falhas concretas da IA em sistemas financeiros centrais:

Primeiro, a IA não enxerga 30 anos de lógica de conciliação. As regras de risco do banco estão escritas em stored procedures do sistema central — escritas há 30 anos, ninguém lembra de todas. O código gerado pela IA parece logicamente correto, mas em produção dispara aquela checagem de conciliação que ninguém lembra que existe, fazendo o lote inteiro de transações falhar.

Segundo, a IA não enxerga as restrições de conformidade. Senha tem que passar pelo sistema de gerenciamento de chaves, campos sensíveis têm que ser criptografados em repouso, logs não podem imprimir informações do cliente — isso é exigência regulatória dura, escrita nas políticas internas. A IA não sabe disso. O código que ela gera até roda, mas não passa na auditoria de conformidade.

Terceiro, a IA não enxerga sua dívida técnica. Aquele sistema legado de 30 anos usa um protocolo de interface próprio, e a documentação se perdeu há muito tempo. A IA escreve o código seguindo o padrão RESTful genérico, sobe para produção e descobre que as interfaces não batem — duas semanas de retrabalho.

Voltando aos outros números da New Relic: 62% dos times “enviam código de IA com confiança, sem revisar”, e 78% reportaram mais incidentes após o deploy. Esses dois números juntos dizem o seguinte — a taxa de defeito do código de IA em si não é o problema; “eu não sei quais defeitos o código de IA tem” é que é o problema.

Cenário típico: um banco comercial de capital misto introduziu desenvolvimento assistido por IA para o módulo de controle de risco de seu sistema central. Em três meses, a taxa de rejeição na revisão de conformidade subiu significativamente — os principais problemas eram regras internas como gerenciamento de senhas, criptografia de campos sensíveis e conformidade de logs. Essas regras estavam documentadas em manuais internos, mas a IA não as enxergava. Depois, a equipe converteu as regras centrais em um arquivo CLAUDE.md, e a taxa de rejeição caiu drasticamente.

2. As cinco principais plataformas no 1º semestre de 2026: convergência rumo ao “modelo orientado por especificações”

Em julho de 2025, o GitHub lançou o Spec Kit; no início de 2026, AWS Kiro, OpenAI Codex e Anthropic Claude Code completaram suas implementações; em maio de 2026, o Alibaba Qoder incorporou o “Spec-Driven Workflow” ao seu posicionamento de produto. No primeiro semestre de 2026, as cinco plataformas convergiram para o mesmo paradigma — usar documentação para restringir o comportamento da IA. Isso não é invenção de uma empresa específica, mas a resposta coletiva da indústria à “crise de qualidade do código gerado por IA”.

Vejamos as novidades de cada plataforma no 1º semestre de 2026:

GitHub Spec Kit: implementação de referência, portão de cinco estágios. Lançado em setembro de 2025, tornou-se a implementação de referência do setor até o primeiro semestre de 2026. 5 comandos principais + 2 complementares: /speckit.constitution (princípios inegociáveis), /speckit.specify (o que fazer e por quê), /speckit.plan (como mudar), /speckit.tasks (decomposição de tarefas), /speckit.implement (execução), além de /clarify e /analyze. Seu design-chave é o agnosticismo de modelo — os mesmos arquivos spec/plan/tasks não ficam vinculados a um agente de execução específico; Claude Code, Copilot, Cursor, Codex CLI, Gemini CLI, opencode, Windsurf e Qwen Code podem todos se conectar. Isso o transformou em um “protocolo SDD de nível organizacional”, e não em um produto exclusivo do GitHub (avaliação vibecoding.app, junho de 2026, pontuação 0,816, fonte secundária).

AWS Kiro: A disciplina orientada por especificações, diretamente no seu IDE. Lançado em julho de 2025, o Kiro evoluiu para uma IDE de agente completa no primeiro semestre de 2026. Seu fluxo de trabalho é estruturado em três fases: requisitos → design → tarefas. A diferença crucial em relação ao Spec Kit está nos “ganchos” — os arquivos de especificação do Kiro podem acionar ações de agente predefinidas, incorporando etapas que dependem de sistemas externos, como conformidade, auditoria e implantação, diretamente no fluxo de trabalho. Se o seu objetivo é impor que o time escreva especificações, o Kiro é a escolha certa — porque sem um spec, o Kiro simplesmente não inicia. (Fonte: AWS Kiro oficial, julho de 2025; documentação Kiro.dev, 2026).

OpenAI Codex: AGENTS.md + Skills combináveis. Em 2025-2026, o AGENTS.md foi empurrado para o centro do ecossistema. Skills são a extensão-chave do primeiro semestre de 2026: pré-montam etapas como “ler planilha Excel”, “gerar SQL” e “rodar migração de dados”, que podem ser acionadas como blocos de montar. O uso semanal do Codex já passou de 5 milhões em junho de 2026, sendo 20% não-desenvolvedores — um sinal que muita gente ignora: a adoção orientada por padrões não é mais só coisa de time de engenharia, é coisa de todo mundo. Produto, operações e compliance estão todos escrevendo AGENTS.md (anúncio da OpenAI em 02/06/2026; review da thebcms.com em 2026, score 0.801).

Claude Code: CLAUD.md + .clad/rules/ + Skills. A Anthropic chama o arquivo de instruções do projeto de CLAUDE.md (que entrou no mercado oficial em fevereiro de 2026), .claude/rules/ (regras organizadas por diretório) e Skills (fluxos de trabalho compartilháveis). Claude Code foi a ferramenta com maior satisfação entre desenvolvedores no 1º semestre de 2026 — a pesquisa da JetBrains 2026.1 apontou CSAT de 91% e NPS de 54, com dois levantamentos independentes (Pragmatic Engineer 2026.2) chegando ao mesmo resultado. É a maior pontuação da indústria atualmente na categoria de ferramentas de programação com IA (uvik.net 2026.5, score 0.956, compilação de fontes primárias). A Clude Code saiu de zero para US$ 2,5 bilhões em receita anualizada em nove meses (dados da rodada G da Anthropic, fev. 2026) e tem 112 mil estrelas no GitHub (repositório de Skills) — os desenvolvedores votaram com os pés, e isso mostra o valor real de uma abordagem orientada por regras.

Alibaba Qoder: conformidade e regulação como motor no mercado chinês. Lançado em agosto de 2025 e atualizado para a versão 1.0 em 15 de maio de 2026, o Qoder deixou oficialmente de ser uma “IDE de IA” para se posicionar como um “Ambiente de Desenvolvimento de Agentes Autônomos”. Seu fluxo de trabalho orientado por especificações (Spec-Driven Workflow) foi apresentado ao lado de outros recursos de peso, como o Quest Mode (tarefas autônomas multiarquivo), o Expert Mode (equipes de especialistas em paralelo) e o RepoWiki (grafo de conhecimento do repositório). Em 28 de maio de 2026, a ferramenta ganhou o Cloud Agents, um runtime de agentes totalmente gerenciado; em 21 de julho, foi a vez do Qoder Security, voltado a conformidade e segurança; e no mesmo mês, chegou a versão Mobile (Android/iOS/HarmonyOS). Em maio de 2026, o Qoder já ultrapassava a marca de 5 milhões de usuários globalmente, e o DingTalk CLI o lista como um dos ambientes de execução de agentes suportados (Yahoo Finance 2025; Alibaba Cloud oficial 2026; Baidu Baike, jul. 2026).

Paradigma comum: escrever explicitamente “como colaboramos com a IA” em um documento, colocá-lo no repositório e fazer com que todas as pessoas e todos os agentes de IA trabalhem com base na mesma especificação. Os detalhes de implementação variam entre as cinco plataformas (nomes de arquivos/número de fases/mecanismos de hook), mas o objetivo é exatamente o mesmo.

Por que isso está acontecendo de forma concentrada no primeiro semestre de 2026? Porque a barreira de capacidade da IA já foi superada — com agentes autônomos do Claude Code, multiagentes paralelos do Codex e refatoração multiarquivo do Cursor, a IA deixou de ser uma “ferramenta de autocomplete” para ser um “colega de trabalho”. O documento de integração que você daria a um novo colega precisa ser legível também para a IA.

3. Direção por especificações é capacidade organizacional, não escolha de ferramenta

Este é o ponto mais importante para quem toma decisões. Direção por especificações não é escolher uma ferramenta — é definir “como a nossa organização colabora com a IA”. Se você escolhe o GitHub Spec Kit ou o Claude Code não importa; o que importa é se você documentou a especificação, colocou-a no repositório e fez com que todas as pessoas e todas as IAs trabalhem a partir dela.

Sem isso, a melhor ferramenta do mundo só faz o time acumular dívida técnica mais rápido.

Colocando isso no contexto da implantação em escala no primeiro semestre de 2026, as evidências são ainda mais sólidas. No retrospecto do ano fiscal de 2026, divulgado em julho, a Microsoft tratou os casos da EY e da Atos como modelos de “Frontier Firm” — não porque os modelos fossem novos, mas porque ambas as empresas responderam primeiro à pergunta “como usar IA”:

EY: governança primeiro, escala depois. Entre 2024 e 2025, a EY levou o Microsoft 365 Copilot a 150 mil pessoas, economizando 2,5 milhões de horas e cerca de US$ 250 milhões. O pré-requisito foi estabelecer a estrutura de governança de IA antes de qualquer expansão: a EY unificou sua stack com Power Platform, Copilot Studio, Azure, Foundry e Fabric, colocando conformidade, auditoria e governança em uma base única. Foi isso que viabilizou os ganhos posteriores: 95% de aceleração em determinados processos, redução de 37% nos custos de operação financeira e queda de até 90% em fluxos de trabalho manuais. O vice-presidente da EY foi direto no AI Tour de 2026: “Não implantamos IA e depois corrigimos a governança — construímos a governança primeiro e só então escalamos a IA”.

Atos: um plano de controle unificado para 19.000 agentes. A Atos foi uma das primeiras organizações do mundo a implantar o Microsoft 365 E7 (Frontier Suite), levando o Copilot a 56.000 funcionários em 54 países. Ao mesmo tempo, opera 19.000 agentes de IA — desde TI interna, unidades de negócios até projetos de clientes, todos construindo agentes com Foundry + Copilot Studio. O segredo do sucesso da Atos está em “um único plano de controle”: Entra (identidade) + Defender (segurança) + Intune (dispositivos) + Purview (conformidade) + Agent 365 (governança de agentes), tudo integrado. Essa abordagem integrada, quando traduzida para o setor financeiro, equivale a algo como “classificação de segurança + avaliação de exportação de dados + registro de algoritmos + auditoria + governança de modelos” — ou seja, uma arquitetura de governança, não apenas uma ferramenta de IA.

O paradoxo da mudança organizacional da Microsoft. No relatório 2026 Work Trend Index, a própria Microsoft admitiu: “o ritmo da mudança organizacional está atrás do uso individual”. Entre os 20.000 usuários de IA pesquisados, 82% dos líderes planejam expandir a força de trabalho com agentes de IA em 12 a 18 meses, mas apenas 24% já concluíram a implantação em nível empresarial. 81% dos líderes preveem que os agentes de IA serão integrados de forma moderada ou significativa à estratégia de IA — mas, novamente, apenas 24% já o fizeram. Isso significa que a maioria das empresas está a 12 a 18 meses de distância entre “se preparar” e “efetivamente realizar”. Como preencher essa lacuna? A governança orientada por normas é o principal pilar de sustentação.

Fonte: Microsoft FY26 retrospective, 28/07/2026; Microsoft 2026 Work Trend Index Annual Report, 05/05/2026 (assets-c4akfrf5b4d3f4b7.z01.azurefd.net, fonte primária em PDF); análise da Futurum Group, 26/01/2026 (fonte secundária).

Insight 1: Investir em governança é alto ROI.

Os dados da CodeRabbit fornecem uma base clara para o cálculo de ROI: a taxa de problemas no código gerado por IA é aproximadamente 1,7 vez maior, e as vulnerabilidades de segurança são reduzidas em 2,74 vezes. Isso significa:

Menos retrabalho (no setor financeiro, um retrabalho de revisão de conformidade leva de 2 a 4 semanas)
Menos incidentes de segurança (multas regulatórias e danos à reputação em caso de vazamento de dados)
Menores custos de manutenção (uma redução de 40% na dívida técnica é um número comum)

Escrever um arquivo de especificação do projeto, como CLAUDE.md ou AGENTS.md, é a ação de engenharia com maior ROI na era da IA. O caso da EY mostra a conversão no mundo real — 150 mil pessoas usando Copilot, gerando uma economia de US$ 250 milhões. Vale notar: a EY não economizou porque a “ferramenta é poderosa”, mas porque “as especificações transformaram o valor da ferramenta em resultado concreto”.

Insight 2: Incorpore as especificações aos processos da organização, não dependa de iniciativas individuais.

Se as especificações existirem apenas na cabeça de um engenheiro sênior, elas se perdem quando há rotatividade de pessoal. É preciso consolidá-las em:

Documentação do repositório (AGENTS.md / CLAUDE.md / constitution.md)
Gate de CI (verificação automática de conformidade com as especificações)
Configuração compartilhada da equipe (o sistema de Skills permite que todo o time utilize)

Transformando Padrões em Ativos Organizacionais, Não Habilidades Individuais

Isso é especialmente crítico no setor financeiro — requisitos de conformidade, regras de segurança e políticas de negócio são ativos de nível organizacional, não a “experiência” de um engenheiro específico. Os 19.000 agentes da Atos operam em 54 países porque a governança não é “alguém que entende do assunto”, mas sim “imposição sistêmica”.

Insight 3: Gatekeeping importa mais do que velocidade.

Os gates de cinco estágios do GitHub Spec Kit (constitution → specify → plan → tasks → implement), a regra do Claude Code de “não escrever código antes que os testes falhem” e a exigência do Kiro de “não iniciar sem um spec” estão todos fazendo a mesma coisa: adicionar um “freio” entre a IA e o resultado final. Cada etapa produz artefatos auditáveis (spec.md, plan.md, tasks.md) que podem ser rejeitados ou modificados antes da geração de código.

Quanto mais autônoma a IA, mais ela precisa de gatekeeping. O Change Advisory Board (CAB) no setor financeiro, os processos de registro de algoritmos e as avaliações de segurança (ISO 27001 + auditorias da ANPD) são, essencialmente, gates adicionados antes da produção. O código gerado por IA também precisa de gates semelhantes, apenas em formatos diferentes. Os 62% de equipes no relatório da New Relic 2026 que “confiantemente publicam sem revisão” estão pagando por essa confiança com uma taxa de incidentes significativamente maior (78%).

A primeira fase consome mais tempo, mas tem o maior ROI
Na maioria das instituições financeiras, as regras estão dispersas em documentos/e-mails/mentes; a primeira organização leva de 3 a 8 semanas

Quatro. As Três Fases Reais de Implementação no 1º Semestre de 2026

Usando o setor financeiro como exemplo, este é o caminho em três fases — setores igualmente regulados podem usar como referência. A prática da EY e da Atos no 1º semestre de 2026 corresponde exatamente a essas três fases.

Fase 1: Inventário de Regras (2–4 semanas).

É a fase que mais consome tempo, mas também a de maior ROI. Trata-se de localizar todas as regras dispersas:

Requisitos de conformidade: a linha de base mínima para o setor financeiro = Dengbao Nível 3 (classificação de proteção de segurança cibernética da China) + avaliação de exportação de dados transfronteiriços + registro de algoritmos (sem um desses três, não implemente IA). Acima disso, há ainda regras de reporte regulatório, proteção de informações de clientes, restrições de fluxo de dados transfronteiriços e definição de quais dados podem ser expostos à IA
Regras de segurança: gerenciamento de senhas, padrões de criptografia, tratamento de campos sensíveis, requisitos de logs
Regras de negócio: limites de risco, condições de sinistro, restrições de transação, lógica de cobrança
Restrições técnicas: interfaces de sistemas legados, nomenclatura de bancos de dados, limitações de versão de frameworks
Governança de fornecedores: como exigir contratualmente que fornecedores usem nossos padrões e como auditar o uso de IA por eles

Cenário típico: durante a fase de levantamento, uma corretora de valores descobriu que as regras estavam espalhadas por dezenas de documentos Word, wikis do JIRA, e-mails pessoais e planilhas Excel — só depois de organizar tudo é que se obteve uma lista estruturada de regras. A abordagem da Atos é mais sistemática: eles simplesmente dividem as regras em cinco categorias — “conformidade, segurança, negócio, tecnologia e fornecedores” — cada uma com seu próprio fluxo de governança, todas conectadas ao plano de controle do Agent 365.

Isso não é trabalho técnico, é trabalho organizacional — você precisa reunir os departamentos de conformidade, segurança e negócio para escrever as regras que todos aceitam. Na primeira vez, uma organização financeira normalmente leva de 3 a 8 semanas — mas isso é um ativo organizacional permanente.

Fase 2: Versionamento no repositório (1–2 semanas).

Transforme as regras da Fase 1 em documentos e coloque-as no repositório. O GitHub Spec Kit usa constitution.md, o Claude Code usa CLAUDE.md, o OpenAI Codex usa AGENTS.md, e o Alibaba Qoder usa o Spec Workflow. Os nomes dos arquivos diferem, mas o objetivo é o mesmo — fazer com que a IA carregue as regras no momento em que abre o repositório.

Estrutura sugerida (formato dominante no 1º semestre de 2026):

Visão geral do projeto: o que este sistema faz e a quem atende
Princípios inegociáveis: limites de segurança, conformidade e regras de negócio intransigentes
Stack tecnológico e restrições: frameworks, bancos de dados e padrões de interface adotados
Padrões de código: convenções de nomenclatura, estrutura de diretórios e cobertura mínima de testes (sem impor ritmo de TDD — basta especificar a cobertura, os caminhos obrigatórios e as áreas proibidas; TDD é uma escolha organizacional, não um requisito normativo)
Regras de negócio: lógica de risco, regras de transação e critérios de faturamento
Requisitos de conformidade: certificação ISO 27001, transferência internacional de dados (LGPD Art. 33-36), reporte regulatório ao Banco Central do Brasil e necessidade de avaliação do PL 2338/2023 para algoritmos de IA generativa
Diretrizes de uso de IA: cenários permitidos, cenários que exigem revisão humana obrigatória e regras para dados que cruzam fronteiras
Governança de fornecedores: cláusulas contratuais, mecanismos de auditoria e definição de responsabilidades

Apêndice: esqueleto do CLAUDE.md para o setor financeiro (~200 linhas, pronto para fork e adaptação)

Abaixo está um esqueleto de CLAUDE.md voltado à modernização do core bancário de um banco comercial de capital misto, organizado na ordem “princípios inegociáveis → requisitos de conformidade → diretrizes de uso de IA → regras de negócio → restrições de engenharia”. Sua empresa não precisa começar do zero — basta preencher os campos em aberto com as regras específicas de vocês.

# CLAUDE.md — <nome do sistema> — regras de colaboração com IA

> Âmbito de aplicação: <nome do sistema> v<versão>, todos os agentes de IA (Claude Code / Cursor / Copilot / Codex)
> que trabalham neste repositório devem cumprir esta especificação. Este ficheiro é mantido pelo <comitê de governança>,
> com revisão trimestral.
> Última atualização: YYYY-MM-DD

## 1. Visão geral do projeto
- **Posicionamento de negócio**: nome do sistema central / segmentos de clientes / principais tipos de transação
- **Cadeia crítica**: transação → controlo de risco → liquidação → reconciliação → relatórios regulatórios
- **Janela de indisponibilidade**: <YYYY-MM-DD HH:MM> ~ <YYYY-MM-DD HH:MM> (qualquer alteração proibida)
- **Dependências principais**: sistema <X> a montante, sistema <Y> a jusante, plataforma de relatórios regulatórios

## 2. Princípios inegociáveis (linhas vermelhas — violação = recusa de merge)

### 2.1 Linhas vermelhas de segurança
- Palavras-passe, chaves e tokens passam obrigatoriamente pelo KMS (Key Management Service) — **hardcoding proibido**, **impressão em logs proibida**
- Campos sensíveis do cliente (BI / nº cartão / CVV / telemóvel) **devem ser cifrados em repouso**; texto em claro proibido na base de dados
- Proibido aparecer em logs: BI completo, nº cartão completo, palavra-passe em claro, combinação nome + telemóvel do cliente
- Chamadas a APIs externas têm obrigatoriamente de passar pelo API gateway; ligação direta proibida

### 2.2 Linhas vermelhas de conformidade
- Código gerado por IA que envolva acesso a dados do cliente deve indicar "acesso a dados: <campo>" na descrição da PR
- Transferência transfronteiriça de dados proibida; **qualquer saída de dados tem de passar por avaliação de transferência transfronteiriça de dados** (contactar o departamento de conformidade)
- Decisões algorítmicas (crédito / tarifação de seguros / antifraude) devem manter uma porta de revisão humana
- Alterações de modelo requerem registro de algoritmos; o nº registro tem de ser citado na descrição da PR

### 2.3 Linhas vermelhas de negócio
- Alterações de limiares de controlo de risco requerem assinatura dupla do responsável de risco e do responsável de negócio
- Operações que envolvam fundos de clientes têm de ter design idempotente + rollback em caso de falha
- Alterações de limites de transação, tarifas e parâmetros de produto passam pela plataforma de gestão de parâmetros; nenhum hardcoding no código

## 3. Stack tecnológico e restrições
- **Linguagens**: Java 17 (núcleo) / Kotlin (novos módulos) / SQL (base de dados)
- **Framework**: Spring Boot 3.x + Spring Cloud Alibaba
- **Base de dados**: OceanBase 4.x (modo compatível MySQL), **chaves estrangeiras proibidas**
- **Normas de interface**: gRPC obrigatoriamente em interno; OpenAPI 3.0 para interfaces externas; RESTful apenas para interfaces administrativas
- **Convenções de nomenclatura**: classes Java em PascalCase, métodos em camelCase, constantes em UPPER_SNAKE; nomes de tabelas `t_<domínio>_<entidade>`; índices `idx_<tabela>_<campo>_<ordem>`
- **Estrutura de pacotes**: `com.<empresa>.<domínio>.<subdomínio>.<camada>` (ex.: `com.bank.pay.tx.core.service`)

## 4. Padrões de código
- **Cobertura mínima de testes**: cadeia crítica ≥ 80%, utilitários ≥ 60%; nova entrega via PR tem de incluir testes
- **Caminhos obrigatoriamente testados**: todos os controllers precisam de testes de integração (incluindo caminhos de falha); todas as branches de enums precisam de testes unitários
- **Caminhos proibidos**: proibição de modificar o diretório `<módulos de legado>` — criar primeiro uma camada de adaptação
- **Gestão de dependências**: novas dependências de terceiros requerem análise SCA + aprovação de segurança

## 5. Regras de negócio (por domínio)
### 5.1 Transações
- Limite unitário: <valor>; limite diário: <valor>; excedentes passam por aprovação manual
- Janela horária de transação: <HH:MM> ~ <HH:MM>
- Deteção de transações duplicadas: mesmo <campo> dentro de <janela temporal> = duplicado

### 5.2 Controlo de risco
- Ordem de prioridade das listas negras: lista interna → listas emitidas pelo regulador → bloqueio judicial
- Limiar de saída do modelo antifraude: <pontuação>; acima do limiar, dupla revisão humana obrigatória

### 5.3 Faturação
- Alterações de tarifas têm de ter nº de versão + data de entrada em vigor
- Encomendas históricas calculadas pela tarifa em vigor na data de entrada em vigor, sem retroatividade

## 6. Requisitos de conformidade
- 等保三级 (MLPS Nível 3): <órgão regulador>, <data da próxima avaliação>
- Avaliação de transferência transfronteiriça de dados: âmbito de aplicação (apenas módulos de negócio transfronteiriço)
- Registro de algoritmos: âmbito de aplicação (crédito / tarifação de seguros e outros algoritmos críticos), nº registro `<nº registro>`
- Relatórios regulatórios: tabela de mapeamento de campos CBIRC / Banco Popular da China em `<caminho>`

## 7. Padrões de uso de IA
- **Cenários em que a IA pode ser usada**: templates CRUD, geração de testes unitários, rascunhos de documentação, sugestões de otimização SQL
- **Cenários que exigem revisão humana obrigatória**: lógica de controlo de risco, regras de faturação, gestão de permissões, cifragem / decifragem, dados transfronteiriços
- **Cenários em que a IA não pode atuar sozinha**: dossiês de aprovação CAB, execução de mudanças em produção, resposta a emergências
- **Regras de saída de dados**: dados de treino / prompts / logs de saída nunca saem do país; priorizar versões de implementação localizada (<fornecedor>)
- **Requisitos de auditoria**: todo o código gerado por IA deve indicar "assistência IA: <nome da ferramenta>" na descrição da PR

## 8. Governança de fornecedores
- **Admissão de fornecedores**: fornecer relatório SOC 2 / ISO 27001; modelos de IA têm de fornecer model card
- **Cláusulas contratuais**: titularidade dos dados, explicabilidade dos modelos, cláusula de saída, direito de auditoria
- **Mecanismo de auditoria**: auditoria trimestral do uso de IA por fornecedores; auditoria mensal para fornecedores de alto risco

## 9. Governança e atualizações
- **Proprietário**: <comitê de governança> (conformidade + segurança + arquitetura + negócio)
- **Frequência de atualização**: revisão trimestral; mudanças de emergência por canal rápido (assinatura dupla + publicação 24h)
- **Registo de alterações**: ver `CLAUDE_CHANGELOG.md`
- **Tratamento de violações**: 1ª violação = aviso + formação obrigatória; 2ª violação = suspensão do uso de ferramentas IA; 3ª violação = revogação de permissões

Este esqueleto não é uma “resposta padrão”, é um “modelo de preenchimento”. O que importa não é quantas palavras você escreve, mas o que você coloca em cada campo — os espaços em branco revelam exatamente aquilo que sua empresa “ainda não pensou com clareza”.

Um cenário típico: o CLAUDE.md de um banco comercial define regras específicas para tratamento de senhas — quando o código gerado por IA envolve senhas, é obrigatório chamar a API interna de gerenciamento de chaves, sendo proibido hardcoding. Esse tipo de regra responde por uma parcela alta dos motivos de rejeição em auditorias de conformidade.

Um campo novo e importante no primeiro semestre de 2026 é Skills/definição de fluxos de trabalho — não apenas documentação, mas uma cadeia de ferramentas que a IA pode invocar. O sistema de Skills do Claude Code (que entrou no mercado oficial da Anthropic em fevereiro de 2026, com 112 mil stars no GitHub) transforma tarefas como “ler planilhas Excel”, “gerar SQL” e “executar migração de dados” em fluxos de trabalho compartilháveis. Essa é a evolução central da governança no primeiro semestre de 2026: governança não é só restrição, é fluxo de trabalho executável.

Terceira fase: institucionalização (contínua).

Escrever as diretrizes não é o fim — é o começo. É preciso transformá-las em parte dos processos da organização:

Gate de CI integrado: verificação automática de conformidade com as diretrizes (por exemplo, detectar senhas hardcoded ou campos sensíveis sem criptografia)
Configuração compartilhada entre times: usar o sistema de Skills para que todo o time opere com o mesmo conjunto de diretrizes
Mecanismo de atualização periódica: quando as regras mudam, as diretrizes precisam acompanhar (revisão trimestral)
Métricas e feedback: acompanhar taxa de defeitos em código gerado por IA, taxa de aprovação em revisões de conformidade e taxa de retrabalho
Governança de agentes: estender a governança de pessoas para agentes de IA — é exatamente isso que a Atos fez no Agent 365, elevando essa prática do nível individual para o nível sistêmico

EY e Atos, no primeiro semestre de 2026, trataram a terceira fase como “capacidade organizacional”. As 2,5 milhões de horas economizadas pela EY são resultado de ter acertado a primeira e a terceira fases — a segunda fase apenas traduziu as regras em documentos legíveis por IA.

Cinco — Variante de alta regulação: três abordagens de engenharia para incorporar conformidade

Em setores altamente regulados — finanças, telecomunicações, saúde — a adoção orientada por diretrizes enfrenta uma camada adicional de complexidade em comparação com setores em geral: conformidade não é um apêndice do processo, é código embutido. As três abordagens abaixo foram validadas no primeiro semestre de 2026 para incorporar conformidade, e servem de referência direta para CIOs e líderes de transformação digital no desenho organizacional.

5.1 Incorporando Representantes de Conformidade nos Stream Teams: Tornando a Conformidade “Presente” em vez de “Aprovação”

A abordagem tradicional: o time de desenvolvimento escreve o código, o time de conformidade revisa depois — quando os problemas são encontrados na revisão, o código já está em produção há duas semanas, e o custo de retrabalho é de 2 a 4 semanas. O problema central é que a conformidade fica no fim do processo.

A nova abordagem: incorporar representantes de conformidade em cada stream team, com uma estrutura de reporte duplo — “linha sólida” para o departamento de conformidade e “linha tracejada” para o time de negócio. O desenho concreto:

Alocação de headcount: 1 representante de conformidade para cada 6 a 8 stream teams, vinculado ao departamento de conformidade, mas com assento físico no time de negócio — não é um “empréstimo” temporário
KPIs na linha tracejada: 50% do peso dos KPIs do representante de conformidade está atrelado à “taxa de defeitos de conformidade” e à “taxa de aprovação na primeira revisão” do time de negócio, não apenas à “cobertura de auditoria” do departamento de conformidade
Envolvimento antecipado: o representante de conformidade participa das reuniões diárias (uma vez por semana já é suficiente), das revisões de PR, e o código gerado por IA deve passar pelo representante de conformidade antes do merge — não ser descoberto depois e corrigido às pressas
Suporte por ferramentas: o representante de conformidade utiliza Skills com checklists de conformidade, em vez de verificação manual item por item

Cenário típico: um banco comercial nacional, no primeiro semestre de 2026, pilotou 3 squads de fluxo com representantes de compliance incorporados, reduzindo a taxa de rejeição de código de IA por não conformidade de 35% para 8% — o ponto central não é o compliance “vigiar mais de perto”, mas sim “enxergar mais cedo”. O fator crítico dessa abordagem é que o reporte pontilhado dos representantes de compliance precisa estar alinhado aos objetivos de negócio — se o KPI do representante continuar sendo definido apenas pelo departamento de compliance, a incorporação está fadada ao fracasso.

5.2 Compliance como enabling team: transformar restrições em affordances

Abordagem tradicional: o time de compliance atua como “guardião”, e os times de negócio enxergam o compliance como “o departamento que complica”. Resultado: um jogo de soma zero entre as partes.

Nova abordagem: o time de compliance é reestruturado segundo o modelo de enabling team do Team Topologies — não escreve código diretamente, não revisa PRs diretamente, mas entrega três coisas para que os times de negócio possam se autosservir em conformidade:

Verificações de conformidade no pipeline de CI: Transforme pontos de conformidade de alta frequência — como senhas hardcoded, campos sensíveis em texto puro, transferência transfronteiriça de dados e pontos de decisão algorítmica — em portões obrigatórios no GitHub Actions / GitLab CI. PRs do time de negócios disparam verificações automáticas; se não estiverem em conformidade, falham diretamente — sem necessidade de um representante de conformidade revisar manualmente.
Requisitos regulatórios como affordances (restrições responsivas ao contexto): Por exemplo, ao desenvolver funcionalidades que envolvem dados de clientes, o plugin da IDE exibe um aviso como “este campo deve usar KMS”; ao escrever logs, o sistema detecta automaticamente se há informações sensíveis e emite alerta. Faça com que a conformidade seja uma “ação natural durante o desenvolvimento”, não um “ser informado do que foi violado antes do deploy”.
Biblioteca compartilhada de Skills + treinamento de conformidade: O time de conformidade mantém uma coleção de “Skills de conformidade” que podem ser invocadas diretamente na integração de novos funcionários ou em mudanças de time — transformando o conhecimento de conformidade de “documento” em “ferramenta executável”.

Cenário típico: um banco regional chinês implementou, no primeiro semestre de 2026, portões de conformidade no CI + avisos de conformidade na IDE, reduzindo o tempo médio por pessoa na revisão de conformidade de código de IA de 45 minutos para 8 minutos por revisão. O ponto central não é a revisão de conformidade “ficar mais rápida”, é o código gerado por IA “já nascer sem erros”.

5.3 Conformidade em duas velocidades: alinhamento ao ritmo do negócio

O último detalhe: conformidade não pode ser tratada com “tamanho único”. Divida as regras em dois níveis de risco:

Regras de alto risco (envolvendo fundos de clientes / decisões algorítmicas / dados transfronteiriços / requisitos de segurança cibernética) seguem controle rigoroso: revisão humana obrigatória + confirmação secundária por IA + registro no Change Advisory Board (CAB)
Regras de baixo risco (código CRUD padrão / código utilitário / geração de documentação) seguem autoatendimento: apenas verificação automática no CI, sem necessidade de revisão humana

O plano de controle do Agent 365 da Atos é essencialmente essa camada — agentes de diferentes níveis ficam vinculados a diferentes requisitos de governança. Ao estratificar as regras de conformidade por nível de risco, o time de negócios percebe que “conformidade não é um obstáculo em todo lugar”.

O que essas três coisas significam em conjunto: incorporar conformidade não é adicionar um processo, é redesenhar a estrutura e os incentivos do time. Se o seu departamento de conformidade ainda opera no modo “revisão a posteriori”, a adoção orientada por regras vai travar no estágio mais difícil — o da “institucionalização”. O departamento de conformidade precisa se transformar primeiro, para que a adoção orientada por regras do time de engenharia flua sem atritos.

Seção 6 — Perguntas que você pode estar se fazendo

“Já temos padrões de codificação. Qual é a diferença?”

Padrões de codificação tratam de “como escrever código”; a adoção orientada por regras trata de “como colaborar com IA”. Padrões de codificação não incluem: regras de negócio, requisitos de conformidade ou políticas de uso de IA. A adoção orientada por regras torna explícito o fluxo completo de colaboração entre humanos e IA — não é um guia de estilo de código.

“Escrever especificações vai desacelerar o desenvolvimento?”

No curto prazo, sim. No longo prazo, não. Os dados da CodeRabbit são claros: código gerado por IA sem restrições apresenta risco de defeitos aproximadamente 1,7 vez maior e 2,74 vezes mais vulnerabilidades de segurança. No setor financeiro, uma única rodada de retrabalho por não conformidade custa de 2 a 4 semanas — economizar uma dessas já paga um mês inteiro de escrita de especificações. Os US$ 250 milhões economizados pela EY são a prova real de que isso funciona quando vira capacidade organizacional.

“E se ninguém no nosso time souber escrever especificações?”

Você não precisa começar do zero. O GitHub Spec Kit, o Claude Code Superpowers e o AWS Kiro já vêm com templates prontos. Basta preencher com as regras específicas da sua organização — e a maioria delas são regras de compliance e segurança que os departamentos jurídico e de segurança já escreveram há muito tempo. Só que nunca foram colocadas num formato que a IA conseguisse ler.

“São tantas ferramentas de IA por aí… Qual escolher?”

Não importa. Escolham o que já usam. A norma é o que conduz — não está presa a nenhuma ferramenta: o CLAUDE.md funciona no Claude Code, no Cursor e no Codex; o AGENTS.md roda no ecossistema OpenAI; o constitution.md é agnóstico de modelo. O essencial é escrever a norma, não trocar de ferramenta. A EY está a implementar no ecossistema Microsoft, a Atos também — a diferença na escolha da ferramenta é apenas superficial; a unidade na arquitetura de governança é que é o cerne.

“Em agosto de 2026, o EU AI Act entra em pleno vigor — isso afeta-nos?”

Sim. O EU AI Act entra em plena aplicação em 2 de agosto de 2026, com requisitos obrigatórios de conformidade para sistemas de IA de alto risco (incluindo crédito, precificação de seguros, triagem de empregos e infraestruturas críticas) — gestão de risco (Art. 9), governança de dados (Art. 10), transparência documental (Arts. 11–13), supervisão humana (Art. 14) e precisão/robustez (Art. 15). As multas máximas chegam a 35 milhões de euros ou 7% do faturamento global. Para empresas chinesas que operam no exterior, o mercado europeu é uma questão obrigatória; para empresas domésticas, o arcabouço do EU AI Act também é o padrão mais referenciado globalmente — você pode não estar diretamente sujeito a ele, mas dificilmente contornará seus efeitos de transmissão sobre fornecedores, parceiros e operações transfronteiriças (whisperly.ai 2026; surecloud.com 2026.6; artificialintelligenceact.eu 2026.6).

“Comparação doméstica: a UE regula IA, e nós, o que regulamos?”

Domesticamente, a governança de IA generativa segue um tripé de “registro de algoritmos + revisão de corpus + avaliação de segurança”, com as Medidas Provisórias para a Gestão de Serviços de IA Generativa (em vigor desde agosto de 2023) como núcleo operacional. A maior diferença entre os dois não está nos detalhes das cláusulas, mas na filosofia legislativa:

Dimensão	EU AI Act	Medidas de Gestão de Serviços de IA Generativa da China
Posicionamento jurídico	Regulamento horizontal (aplica-se a todos os sistemas de IA)	Regra vertical (focada em serviços de IA generativa)
Classificação de risco	4 níveis (inaceitável / alto / limitado / mínimo)	2 níveis (envolvendo segurança de opinião pública / uso comercial geral)
Momento da supervisão	Ex-ante (registro já na fase de desenvolvimento)	Ex-post (registro após lançamento + registro do algoritmo)
Transparência	Alta (exige resumo das fontes de dados de treinamento e model cards)	Média (exige conformidade dos dados de treinamento, mas não obriga divulgação das fontes)
Limite de penalidades	7% da receita global ou €35 milhões	Suspensão do serviço / multas (geralmente múltiplos dos ganhos ilícitos)
Escopo de aplicação	Todas as empresas dentro do limite de receita global	Todos os sujeitos que oferecem serviços dentro do território chinês

Na prática, os sistemas de IA de instituições financeiras no Brasil normalmente estão sujeitos a três conjuntos de regras simultaneamente — a LGPD 13.709/2018 (camada de proteção de dados pessoais, sob a fiscalização da ANPD) + as normas do Banco Central do Brasil sobre crédito digital, open finance e gestão de risco (camada de negócio) + a Resolução CMN 4.658/2018 sobre política de segurança cibernética + a avaliação do PL 2338/2023 (regulamentação de IA em tramitação, camada de conformidade). Isso significa que, para fazer desenvolvimento orientado por normas no mercado brasileiro, não se pode simplesmente copiar o framework do EU AI Act — é preciso incorporar as três linhas de “conformidade de dados (LGPD) + reporte ao Bacen + adequação ao PL 2338/2023” diretamente no CLAUDE.md.

Para empresas que operam em Portugal ou no mercado europeu: os quatro pilares do EU AI Act — “gestão de risco + governança de dados + transparência documental + supervisão humana” — passaram a ser plenamente aplicáveis em 2 de agosto de 2026, e a CNPD (Comissão Nacional de Proteção de Dados) já atua como autoridade de referência para a conformidade em Portugal. Quem escreve normas compatíveis com o EU AI Act hoje tem alta probabilidade de estar alinhado também com o endurecimento regulatório brasileiro nos próximos 3 anos, na medida em que o PL 2338/2023 caminha em direção à mesma arquitetura europeia (PL 2338/2023 tramitação 2026; EU AI Act em plena aplicação em 2/8/2026).

7. Implicações para tomadores de decisão

Implicação 1: Escrever uma especificação de projeto em CLAUDE.md/AGENTS.md é a ação de engenharia com maior ROI na era da IA.

O investimento é de 3 a 8 semanas de organização + 1 a 2 semanas de documentação. O retorno: teto de risco de defeitos em cerca de 1,7x, redução de 2,74x em vulnerabilidades de segurança e queda de 40%+ na taxa de retrabalho. No setor financeiro, economizar uma única rodada de retrabalho em revisão de conformidade (2 a 4 semanas) já cobre esse custo. A EY implantou o Copilot para 150 mil pessoas e economizou US$ 250 milhões — mas só porque a padronização veio primeiro.

Insight 2: Padronização é capacidade organizacional, não escolha de ferramenta.

Se você escolhe o GitHub Spec Kit ou o Claude Code, tanto faz. O que importa é se você definiu “como a nossa organização colabora com IA”. Sem isso, a melhor ferramenta só faz o time gerar mais dívida técnica em menos tempo.

Insight 3: Incorpore a padronização nos processos da organização, não dependa de indivíduos.

Se a padronização vive só na cabeça de um engenheiro sênior, ela se perde quando há rotatividade. É preciso consolidá-la na documentação do repositório, em gates de CI, em configurações compartilhadas do time e em plataformas de governança de agentes. Faça da padronização um ativo organizacional, não uma habilidade pessoal. Os 19.000 agentes da Atos operam em 54 países porque a governança não é “alguém que entende” — é “o sistema que impõe”.

Insight 4: Gates de controle importam mais do que velocidade.

O gate de cinco estágios do GitHub Spec Kit, a regra “não escrever código antes que os testes falhem” do Superpowers e a exigência “não iniciar sem um spec” do Kiro fazem, no fundo, a mesma coisa: adicionar um “freio” entre a IA e o resultado final. Quanto mais forte a capacidade da IA, mais à frente a governança precisa correr. Os 78% de incidentes do relatório New Relic 2026 são o preço pago pelos 62% de times que “publicam sem revisar”. Os CIOs do setor financeiro no Brasil entendem isso melhor que ninguém: o Comitê de Mudanças (Change Advisory Board — CAB), os processos de avaliação de algoritmos e a adequação à LGPD/ANPD são todos gates posicionados antes do ambiente de produção. O código de IA precisa de gates semelhantes — e ainda mais a montante.

Autoavaliação reversa (não embeleze ao responder): o código gerado por IA na sua empresa costuma voltar da revisão de conformidade? Qual foi o último problema causado por código de IA? Se você perguntar ao líder técnico “como colaboramos com a IA”, ele consegue entregar um documento? Se você não consegue responder a nenhuma dessas três, a engenharia orientada por especificações ainda não está consolidada — escreva as especificações antes de comprar as ferramentas.

Três perguntas de coaching para os decisores

Por fim, três perguntas — não é um checklist, são perguntas que você pode usar diretamente na conversa com seu time:

“Se todas as ferramentas de IA desaparecessem amanhã, quanto cairia a qualidade do código do seu time?” — Essa pergunta revela o valor real da engenharia orientada por especificações: se a resposta for “cairia significativamente”, suas especificações ainda não estão consolidadas; se for “quase nada”, a abordagem já está funcionando na prática.
“No seu projeto de engenharia orientada por especificações, o departamento de compliance atua como ‘guardião’ ou como ‘facilitador’?” — Se a resposta for “guardião”, sua velocidade de entrega vai esbarrar em gargalos de aprovação; se for “facilitador”, vocês já estão no caminho certo descrito na seção 5.2.
“Daqui a 12 a 18 meses, como o tamanho do seu time vai mudar?” — Segundo o WTI 2026 da Microsoft, 82% dos líderes pretendem usar agentes de IA para “expandir” a força de trabalho. Se a sua resposta for “não vai mudar”, ou o seu negócio não está crescendo, ou o desenho organizacional não está acompanhando os ganhos da engenharia orientada por especificações.

Não há resposta certa para essas três perguntas. Mas a direção das respostas importa mais do que as respostas em si.

Próximos passos

Este é o sexto artigo da série “A Transformação da Engenharia de Software na Era da IA”. Começamos com Conway (a organização determina a arquitetura), passamos por Team Topologies (como desenhar a organização), depois pelo deslocamento do gargalo (o gargalo está na validação, não na codificação), e hoje chegamos à engenharia orientada por especificações (usar documentação para orientar o comportamento da IA).

Na próxima edição (sétima), vamos explorar a infraestrutura subjacente que sustenta tudo isso: o protocolo MCP (Model Context Protocol). Por que esse protocolo open-source da Anthropic é chamado de “USB-C da IA”, por que OpenAI, Google e Microsoft todos o adotaram, e como ele viabiliza a interoperabilidade entre múltiplas ferramentas e agentes.

Quer colocar essa abordagem em prática na sua empresa?

Quando a condução por normas (spec-driven) entra em uma organização, os desafios reais geralmente se resumem a algumas questões concretas: como consolidar as regras centrais em arquivos como CLAUDE.md ou AGENTS.md, como adaptar o código legado às novas normas, como incorporar a conformidade regulatória e quais métricas usar para avaliar o projeto-piloto.

Atualmente, oferecemos três tipos de parceria:

Treinamento corporativo: Combinando com projetos reais da sua empresa, auxiliamos na elaboração da documentação de normas, no design de portões de verificação (CI gates), na integração de conformidade e na construção de mecanismos de governança.
Consultoria especializada: Focada em uma decisão específica, como “devemos escrever CLAUDE.md ou AGENTS.md primeiro?” ou na priorização de correções de conformidade para código legado.
Palestras para executivos e eventos do setor: abordando ferramentas de programação com IA, condução por normas, governança organizacional e Frontier Firms.

O artigo fornece um framework genérico. A implementação concreta, no entanto, ainda precisa ser redesenhada com base nos requisitos de conformidade da empresa, nos limites regulatórios, na maturidade de engenharia e nos fluxos de entrega existentes. Para colaborações, entre em contato via coach@iaiuse.com.

Leitura complementar: Metodologia da Placa de Sinalização v1.0 (Aprenda IA Lentamente 187), que apresenta de forma sistemática o framework de 7 etapas para a transformação de IA nas empresas.

Sobre esta série

“Transformação da Engenharia de Software na Era da IA” é uma série de pesquisa voltada para CIOs, CDOs, CTOs e líderes de transformação digital nos setores de telecomunicações, finanças, manufatura e e-commerce, com 18 artigos no total. O foco é discutir como ferramentas de programação com IA, engenharia orientada por especificações e governança organizacional impactam os fluxos de entrega de software, a estrutura organizacional e a maturidade de engenharia.

A série acompanha continuamente artigos acadêmicos, materiais de fornecedores e relatórios do setor. O acervo de pesquisa acumula mais de 200 referências, e as principais conclusões são classificadas por nível de evidência, distinguindo sempre que possível entre fatos verificados, alegações de fornecedores, observações do setor e inferências do autor.

Tenho quase 8 anos de experiência em consultoria para grandes empresas e análise de negócios, tendo atuado na IBM em projetos nos setores de telecomunicações, finanças, seguros e manufatura. Desde então, sigo na linha de frente do desenvolvimento de produtos para operadoras, produtos de internet e aplicações de IA, trabalhando com análise de requisitos, design de produto e implementação multifuncional.

Esta série de julgamentos sobre governança orientada por normas, governança organizacional e engenharia é baseada nessas práticas, combinadas com pesquisa pública e estudos de caso do setor para validação cruzada. O conteúdo relacionado a projetos específicos foi anonimizado; alguns cenários do setor são simulações de problemas típicos, com as respectivas referências listadas no final do artigo.

Este perfil é, na verdade, uma pequena equipe — eu e 1 a 2 colegas de longo prazo, cada um responsável por pesquisa de ferramentas de programação com IA, análise de casos de governança organizacional e coaching conversacional. A maioria dos projetos em que “acompanhamos empresas” foi entregue em conjunto por nós. Os limites de conformidade dos clientes e nomes de pessoas permanecem não divulgados; o anonimato é preservado para dar espaço a futuros colaboradores.

Referências (todas verificadas, com nível de evidência indicado por item)

CodeRabbit (2025.12). State of AI vs Human Code Generation Report. Código gerado por IA apresenta 1,7× mais problemas que o código humano (10,83 vs 6,45 problemas/PR), sendo 1,75× em lógica/correção, 1,64× em qualidade de código, 1,57× em segurança, 1,88× em tratamento de senhas e 2,74× em XSS. Nível de evidência: primário. Fonte: https://www.theregister.com/software/2025/12/17/ai-authored-code-needs-more-attention-contains-worse-bugs/2576263
The Register (2025.12.17). Cobertura do relatório completo da CodeRabbit: análise de 470 PRs de projetos open source, onde PRs com colaboração de IA apresentaram 10,83 problemas contra 6,45 de PRs exclusivamente humanos. Nível de evidência: secundário. Fonte: mesma URL acima
CodeRabbit / David Loker (2026.1). “2026 Predictions: The Speed Trap” — 2026 marca a virada do foco em “velocidade de geração de código” para “qualidade e governança de código”. Nível de evidência: secundário. Fonte: https://tfir.io/ai-code-quality-2026-guardrails
New Relic (2026). The 2026 State of AI Coding Report. 78% das equipes relatam mais incidentes após colocar código de IA em produção; 62% dos líderes técnicos admitem que suas equipes “enviam código de IA com confiança, sem revisão”; 96% consideram observabilidade essencial. Nível de evidência: primário (relatório de fornecedor). Fonte: https://newrelic.com/resources/report/2026-state-of-ai-coding
Microsoft 2026 Work Trend Index Annual Report (2026.5.5). Pesquisa com 20.000 trabalhadores que usam IA, abrangendo 10 países; 82% dos líderes planejam expandir a força de trabalho com agentes de IA em 12 a 18 meses; 81% preveem integração moderada ou alta de agentes de IA; 24% já implementaram em nível empresarial; 49% das conversas com Copilot apoiam trabalho cognitivo; 58% dos usuários de IA afirmam ter feito “coisas que não conseguiriam há um ano”, número que sobe para 80% entre os Frontier Professionals. Nível de evidência: primário. Fonte: https://assets-c4akfrf5b4d3f4b7.z01.azurefd.net/assets/2026/05/2026_Work_Trend_Index_Annual_Report_050526-6_69fa654a0ab65.pdf
** Microsoft Retrospectiva do ano fiscal de 2026: da experimentação em IA à transformação de fronteira (2026.7.28).** A EY expandiu o uso do Microsoft 365 Copilot para 150.000 colaboradores, economizando 2,5 milhões de horas e aproximadamente US$ 250 milhões; depois ampliou para 400.000 pessoas no mundo todo, com 95% de aumento na velocidade de execução, queda de 37% nos custos de operação financeira e até 90% de redução em fluxos de trabalho manuais. A Atos implementou o Copilot para 56.000 empregados em 56 países, além de 19.000 agentes de IA, tudo sob um único plano de controle de identidade, segurança, compliance e governança. Nível de evidência: nível 1 (revisão oficial da Microsoft). Fonte: https://blogs.microsoft.com/blog/2026/07/28/looking-back-on-microsofts-fy26-from-ai-experimentation-to-frontier-transformation
Colaboração Estratégica entre Atos Group e Microsoft (2026.6.9). A Atos está implantando o Microsoft 365 E7 (Frontier Suite) para 56.000 funcionários em 56 países, além de 19.000 agentes de IA; unificando o plano de controle de Entra/Defender/Intune/Purview/Agent 365. Nível de evidência: primário (comunicado de imprensa conjunto). Fonte: https://news.microsoft.com/source/2026/06/09/atos-group-and-microsoft-expand-strategic-collaboration-to-scale-secure-agentic-ai-across-atos-group-workforce-and-clients
GitHub Spec Kit (código aberto em set/2025, evolução no 1º semestre de 2026). Gate de 5 estágios /speckit.constitution → /specify → /plan → /tasks → /implement, mais /clarify /analyze; agnóstico de modelo (funciona com Claude Code / Copilot / Cursor / Codex CLI / Gemini CLI / opencode / Windsurf / Qwen Code). Nível de evidência: primário. Fonte: https://github.com/github/spec-kit
AWS Kiro (lançado em jul/2025, evolução no 1º semestre de 2026). Fluxo de trabalho em três etapas: requisitos → design → tarefas; o spec dispara ações predefinidas dos agentes; sem spec, não inicia. Nível de evidência: primário. Fonte: https://kiro.dev/
OpenAI Codex — com AGENTS.md e Skills (2025-2026). Codex 2026.6: 5+ milhões de usuários ativos semanais, 20% deles não programadores; AGENTS.md e Skills formam um sistema de instruções combináveis. Nível de evidência: 1 (comunicado oficial da OpenAI). Fonte: https://developers.openai.com/codex/skills
Claude Code (Anthropic, 1º semestre de 2026). Usa CLAUDE.md, .claude/rules/ e um sistema de Skills; em fevereiro de 2026, entrou no mercado oficial da Anthropic; o repositório de Skills no GitHub tem 112 mil estrelas; em fevereiro de 2026, a rodada G revelou receita anualizada de US$ 2,5 bilhões. Nível de evidência: 1. Fonte: https://code.claude.com/docs/en/claude-directory
JetBrains AI Pulse Survey (2026.1). Pesquisa global com mais de 10.000 desenvolvedores profissionais, localizada em 8 idiomas; CSAT do Claude Code: 91% / NPS 54 (o mais alto do setor); adoção do Claude Code em ambientes de trabalho: 18% (crescimento de 6x em 9 meses, partindo de 3%), 24% na América do Norte; Copilot: 29% de adoção em ambientes de trabalho, mas com crescimento estagnado; Cursor: 18%. Nível de evidência: primário. Fonte: https://www.jetbrains.com/lp/tools/ai-tools/
Pragmatic Engineer Newsletter (2026.2). Pesquisa com 15.000 desenvolvedores; 46% elegeram o Claude Code como o “mais querido”, Cursor 19%, Copilot 9%. Nível de evidência: primário. Fonte: https://newsletter.pragmaticengineer.com/
Alibaba Qoder (ago/2025 → jul/2026). Lançado pela Alibaba em ago/2025; em 15/05/2026 o Qoder 1.0 foi atualizado para Autonomous Agent Development Workbench; Spec-Driven Workflow + Quest Mode + Expert Mode + RepoWiki; em 28/05/2026, Cloud Agents (runtime de agentes gerenciados); em 21/07/2026, Qoder Security; em maio/2026, mais de 5 milhões de usuários globais; integração CLI com o DingTalk; em 20/05/2026, Tongyi Lingma foi renomeado para Qoder CN. Nível de evidência: primário. Fonte: https://www.alibabacloud.com/en/marketplace/qoder; https://baike.baidu.com/en/item/Qoder/1427525.
vibecoding.app / thebcms.com / tfir.io (1º semestre de 2026). Comandos de cinco fases do Spec Kit, comparação e avaliação de ferramentas SDD, notação EARS. Nível de evidência: secundário (avaliação de terceiros). Fonte: https://vibecoding.app/blog/spec-kit-review; https://thebcms.com/blog/spec-driven-development
EU AI Act / Code of Practice (plena execução em 2/8/2026). O prazo de conformidade para sistemas de IA de alto risco é 2/8/2026; modelos GPAI existentes foram prorrogados até 2/8/2027; multas de até €35 milhões ou 7% da receita global; Art. 9-15 abrangem gestão de risco, governança de dados, transparência documental, supervisão humana, precisão e robustez. Nível de evidência: primário (regulamento + análise de conformidade secundária). Fonte: https://artificialintelligenceact.eu/code-of-practice-overview; https://www.surecloud.com/resource-hub/eu-ai-act-complete-compliance-guide
Qodo State of AI Code Quality Report (2025). 44% dos problemas têm como causa raiz a falta de contexto. Nível de evidência: secundário (relatório de fornecedor). Fonte: https://www.qodo.ai/reports/state-of-ai-code-quality/

Aprendendo AI Lentamente 001

O Futuro da Inteligência Artificial no Setor de Telecomunicações

Como CIOs e decisores de empresas de telecomunicações, financeiras, de manufatura e e-commerce, sabemos que a Inteligência Artificial (IA) está mudando a forma como operamos e tomamos decisões. Neste artigo, vamos explorar como a IA está sendo implementada em diferentes setores e como você pode aproveitar essas tecnologias para melhorar sua empresa.

O Papel da IA na Telecomunicação

A IA está sendo usada em diversas áreas da telecomunicação, incluindo:

Análise de Dados: A IA pode ajudar a analisar grandes conjuntos de dados para identificar padrões e tendências, melhorando a capacidade de previsão e tomada de decisões.
Gerenciamento de Redes: A IA pode ajudar a otimizar a gestão de redes, melhorando a eficiência e a capacidade de resposta.
Suporte ao Cliente: A IA pode ajudar a melhorar a experiência do cliente, fornecendo respostas personalizadas e rápidas.

Exemplo de Implementação

A empresa de telecomunicações AT&T está usando a IA para melhorar a experiência do cliente. Eles estão usando a tecnologia para fornecer respostas personalizadas e rápidas, ajudando a reduzir a quantidade de chamadas para o suporte ao cliente.

O Papel da IA no Setor Financeiro

A IA está sendo usada em diversas áreas do setor financeiro, incluindo:

Análise de Risco: A IA pode ajudar a analisar grandes conjuntos de dados para identificar padrões de risco e melhorar a capacidade de previsão.
Gerenciamento de Ativos: A IA pode ajudar a otimizar a gestão de ativos, melhorando a eficiência e a capacidade de resposta.
Suporte ao Cliente: A IA pode ajudar a melhorar a experiência do cliente, fornecendo respostas personalizadas e rápidas.

Exemplo de Implementação

A empresa de banco NTT está usando a IA para melhorar a experiência do cliente. Eles estão usando a tecnologia para fornecer respostas personalizadas e rápidas, ajudando a reduzir a quantidade de chamadas para o suporte ao cliente.

O Papel da IA no Setor de Manufatura

A IA está sendo usada em diversas áreas do setor de manufatura, incluindo:

Análise de Dados: A IA pode ajudar a analisar grandes conjuntos de dados para identificar padrões e tendências, melhorando a capacidade de previsão e tomada de decisões.
Gerenciamento de Produção: A IA pode ajudar a otimizar a gestão de produção, melhorando a eficiência e a capacidade de resposta.
Suporte ao Cliente: A IA pode ajudar a melhorar a experiência do cliente, fornecendo respostas personalizadas e rápidas.

Exemplo de Implementação

A empresa de manufatura KDDI está usando a IA para melhorar a experiência do cliente. Eles estão usando a tecnologia para fornecer respostas personalizadas e rápidas, ajudando a reduzir a quantidade de chamadas para o suporte ao cliente.

O Papel da IA no Setor de E-commerce

A IA está sendo usada em diversas áreas do setor de e-commerce, incluindo:

Análise de Dados: A IA pode ajudar a analisar grandes conjuntos de dados para identificar padrões e tendências, melhorando a capacidade de previsão e tomada de decisões.
Gerenciamento de Stock: A IA pode ajudar a otimizar a gestão de stock, melhorando a eficiência e a capacidade de resposta.
Suporte ao Cliente: A IA pode ajudar a melhorar a experiência do cliente, fornecendo respostas personalizadas e rápidas.

Exemplo de Implementação

A empresa de e-commerce ByteDance está usando a IA para melhorar a experiência do cliente. Eles estão usando a tecnologia para fornecer respostas personalizadas e rápidas, ajudando a reduzir a quantidade de chamadas para o suporte ao cliente.

Conclusão

A IA está mudando a forma como operamos e tomamos decisões em diferentes setores. É importante entender como a IA está sendo implementada em sua empresa e como você pode aproveitar essas tecnologias para melhorar sua empresa.