Neste artigo
- O que é vibe coding, pela definição da SDAIA?
- A regra principal: o que a IA produz é rascunho
- 4 riscos apontados pelo guia e como eles aparecem no seu projeto
- 6 coisas que a IA não garante
- 5 controles humanos antes que o código chegue aos seus clientes
- Perguntas para o seu desenvolvedor ou fornecedor esta semana
- A visão da Origami
- Fontes
Se o seu app, site ou sistema interno foi construído com ferramentas de IA, ou se o seu desenvolvedor as usa, o guia «Vibe Coding» publicado pela Autoridade Saudita de Dados e Inteligência Artificial (SDAIA) em abril de 2026 estabelece uma regra clara: tudo o que a IA gera é um rascunho não aprovado até que uma pessoa o revise, verifique e aprove formalmente. O guia tem 57 páginas, é voltado às equipes técnicas do governo e do setor privado, aponta 4 riscos principais e 6 limitações essenciais, e define 5 pontos em que uma pessoa precisa intervir antes que o código chegue aos seus clientes. Neste artigo, transformamos o guia em perguntas práticas para fazer à sua equipe ou ao seu fornecedor ainda esta semana.
O que é vibe coding, pela definição da SDAIA?
O guia define vibe coding (em árabe «al-barmaja al-tawlidiya», programação generativa) como uma abordagem em que o usuário descreve o que quer em linguagem comum e as ferramentas de IA escrevem o código. Ele vai além da escrita, chegando ao que chama de IA agêntica: ferramentas que constroem código, rodam testes e gerenciam a implantação sozinhas, enquanto uma pessoa conduz as decisões principais.
O guia divide o uso em 3 frentes: design e experiência do usuário (ideias e protótipos), programação (escrever e melhorar código) e testes (planos de teste, dados de teste e análise de falhas). Ele cita a Microsoft, segundo a qual essas ferramentas geram cerca de 30% do código que ela produz internamente, e o Google, segundo o qual cerca de 25% do seu código novo é gerado por IA e depois revisado por pessoas antes do merge. A mensagem é clara: as maiores empresas usam essas ferramentas todos os dias, mas dentro de um sistema de revisão.
A regra principal: o que a IA produz é rascunho
A primeira definição do guia é o «rascunho gerado por IA»: qualquer resultado gerado pelo sistema continua sendo um primeiro rascunho não aprovado até passar por revisão humana, verificação e aprovação. Ele descreve o princípio «Human-in-the-loop» (a pessoa no circuito) como um princípio de governança obrigatório dentro da sua metodologia. E acrescenta que a intervenção humana se torna obrigatória quando ferramentas de IA recebem permissões de execução que podem ter impacto operacional, jurídico ou comercial significativo.
Na linguagem do dono do negócio: se uma ferramenta de IA pode publicar uma atualização do seu app ou alterar sua base de clientes sem que ninguém aprove, é exatamente disso que o guia alerta. Para deixar claro, o guia é orientativo, não uma norma com penalidades, mas é a referência oficial saudita mais clara até agora sobre o que conta como «uso responsável» dessas ferramentas, e complementa o Marco Nacional de Gestão de Riscos de IA.
4 riscos apontados pelo guia e como eles aparecem no seu projeto
- Alucinação: código que parece certo, mas chama APIs que não existem, ou recomenda pacotes e bibliotecas fictícios ou sem suporte. O resultado são erros de integração com seus outros sistemas e, possivelmente, uma brecha de segurança se alguém instalar pelo nome um pacote sugerido sem conferir.
- Excesso de confiança: aceitar código gerado sem revisão de segurança ou funcional, ou levá-lo direto para o ambiente em produção que seus clientes usam.
- Cobertura superficial: uma análise de segurança genérica que deixa vulnerabilidades passarem, e testes incompletos, que dão a falsa sensação de que está tudo bem.
- Resultados não determinísticos: o mesmo comando produz código diferente a cada vez, o que torna os resultados difíceis de reproduzir e auditar.
6 coisas que a IA não garante
O guia lista 6 limitações essenciais: a IA só entende a intenção do seu negócio na medida em que você a escreveu; não consegue avaliar os riscos ou as prioridades específicos da sua organização; não substitui o pensamento de arquitetura nem as decisões de design; não garante que o código esteja correto ou adequado ao uso real; nem sempre produz resultados idênticos; e o que ela gera não é evidência formal de teste nem substitui testes reais. O guia diz com todas as letras: a responsabilidade por verificar, testar e aprovar é «inteiramente humana».
5 controles humanos antes que o código chegue aos seus clientes
- Revisar cada mudança de código antes do merge na branch principal.
- Avaliar se cada versão está pronta antes de implantá-la.
- Supervisionar a decisão de implantar ou de fazer rollback.
- Explicar qualquer comportamento inesperado em produção.
- Aprovar os planos de desenvolvimento e o roadmap técnico de longo prazo.
Perguntas para o seu desenvolvedor ou fornecedor esta semana
- Quem revisa o código escrito por IA antes do merge, e existe uma revisão registrada para cada mudança?
- Os testes são realmente executados no sistema, ou a ferramenta simplesmente «disse» que o código funciona?
- Que permissões as ferramentas de IA têm? Elas podem implantar ou acessar o banco de dados real? (Veja o que aconteceu com os agentes de programação que executaram o comando de um atacante.)
- Os dados de teste são sintéticos? O guia pede dados de teste que sigam as regras de privacidade e impeçam o uso de qualquer dado real ou sensível, o que importa para os dados pessoais dos seus clientes.
- Quem aprova uma versão antes de ela ir ao ar, e quem decide o rollback se algo quebrar?
Se você não obtiver resposta clara para três dessas cinco perguntas, o problema não é a ferramenta de IA, e sim a forma de trabalhar. Se estiver escolhendo um novo parceiro de desenvolvimento, inclua essas perguntas nos seus critérios para escolher uma empresa de software.
A visão da Origami
Usamos ferramentas de IA em design, programação e testes porque elas economizam tempo real para nossos clientes. Mas tratamos o que elas escrevem exatamente como o guia da SDAIA descreve: como rascunho. Cada mudança passa pela revisão de um desenvolvedor, os testes são realmente executados, dados reais de clientes nunca entram no ambiente de teste e uma pessoa toma a decisão de implantar. Velocidade sem revisão se paga depois, em quedas e brechas de segurança. Se você criou um protótipo com IA e quer transformá-lo em um sistema em que seus clientes possam confiar, fale com a gente.
Fontes
Perguntas frequentes
O guia de vibe coding da SDAIA é obrigatório para a minha empresa?
O guia é orientativo, não uma norma com penalidades, e é voltado às equipes técnicas do governo e do setor privado. Ainda assim, é a referência oficial saudita mais clara sobre o uso responsável de ferramentas de programação com IA, e descreve a revisão humana como um princípio de governança obrigatório dentro da sua metodologia.
Posso criar um app completo com IA e sem desenvolvedor?
Você pode criar um protótipo rápido para testar uma ideia. Para um sistema do qual seus clientes dependem, o guia diz que a IA não garante que o código esteja correto nem adequado ao uso, e que a responsabilidade por verificar, testar e aprovar é inteiramente humana, então você precisa de um desenvolvedor que revise antes do lançamento.
Qual é o maior risco do código escrito por IA?
O guia aponta 4 riscos: a alucinação, como sugerir bibliotecas ou APIs que não existem; o excesso de confiança, ao levar código para produção sem revisão de segurança; a cobertura superficial em análises e testes; e resultados que mudam a cada vez.
Como garanto que meu desenvolvedor revisa o código gerado por IA?
Pergunte sobre os 5 pontos de controle do guia: revisar cada mudança antes do merge, avaliar se a versão está pronta, aprovar a implantação ou o rollback, explicar comportamentos inesperados e aprovar o plano de desenvolvimento. Peça que revisões e testes fiquem registrados, e não apenas prometidos.
