Governança de portfólio de vibe coding nas empresas

Governança de portfólio de vibe coding é o processo de manter um registro único e vivo — com dono, propósito, dado processado e nível de risco — de todo aplicativo que uma área de negócio construiu usando IA generativa, do protótipo de fim de semana ao sistema que hoje roda a operação inteira de um time. Não é a mesma coisa que classificar o risco de um app isolado, e não é o mesmo artefato que um inventário geral de sistemas de IA: é a visão de conjunto — quantos apps existem, quem é dono de cada um, em que estágio do ciclo de vida estão — sem a qual nenhuma política de vibe coding sai do papel. E a urgência é mensurável: o percentual de departamentos de TI com política formal de governança para desenvolvimento cidadão saltou de 42% em 2024 para 78% em 2026, e 61% dos líderes de TI já apontam o shadow IT como a principal preocupação ligada a ferramentas de baixo código e IA generativa sem controle, segundo pesquisa do Gartner citada pela Skyone. Este guia mostra o que catalogar, onde procurar os aplicativos que ninguém registrou e como manter esse portfólio vivo — não como levantamento único, mas como processo contínuo.

O que é governança de portfólio de vibe coding (e o que ela não é)

Governar o portfólio de vibe coding significa responder, a qualquer momento, três perguntas sobre o conjunto de aplicações que as áreas de negócio construíram: quantas existem, quem é dono de cada uma e qual o estágio de vida de cada uma. É o desdobramento operacional de um dos quatro pilares descritos no guia vibe coding nas empresas: velocidade com governança — e um artefato diferente de dois outros já publicados neste hub e no hub de governança, e a diferença importa para não duplicar esforço:

• Não é a matriz de risco por caso de uso. O guia riscos do vibe coding nas empresas já detalha o framework de quatro critérios — dados, criticidade, público, autonomia do agente — que classifica um aplicativo específico em baixo, médio, alto ou crítico. A governança de portfólio usa esse framework linha a linha, mas o objeto dela é o conjunto: sem saber que um app existe, não há o que classificar com aquele framework em primeiro lugar.
• Não é o AI-BOM de sistemas de IA em geral. O guia inventário de sistemas de IA (AI-BOM) cataloga todo sistema de inteligência artificial em uso — modelo comprado, IA embutida num SaaS, agente autônomo, sistema construído internamente. O portfólio de vibe coding é um recorte mais estreito: especificamente as aplicações que uma área de negócio construiu descrevendo o que queria em linguagem natural, sem escrever código linha a linha. Os dois se alimentam: o portfólio de vibe coding é uma das fontes que compõem o AI-BOM completo da empresa.

A diferença entre isso e shadow IT tradicional é, principalmente, de velocidade e volume: como descreve a distinção consolidada pela OutSystems, citizen development deixa de ser shadow IT quando a área de negócio constrói com ferramentas, padrões e visibilidade aprovados por TI — a diferença não está em quem constrói, está em quem sabe o que foi construído. O portfólio é o mecanismo que faz essa transição acontecer.

Por que esse portfólio cresce mais rápido do que a TI consegue mapear

Três anos atrás, "shadow IT" significava sobretudo planilha não autorizada e SaaS contratado sem aviso à TI. Hoje, qualquer pessoa de qualquer área descreve um app em português para uma plataforma como Replit, Lovable, Bolt ou v0 e tem uma aplicação funcional publicada em minutos — sem passar por procurement, sem abrir chamado, sem que ninguém em TI saiba que aquele app existe. O guia de riscos do vibe coding nas empresas já citou um levantamento que encontrou dezenas de milhares de aplicações vibe-coded expostas publicamente sem os controles padrão de quem as criou — a maior parte delas fora de qualquer inventário formal.

O mercado está reagindo, mas ainda atrás da curva de adoção: o mesmo salto de 42% em 2024 para 78% em 2026 citado na abertura deste guia aparece tanto na reportagem da Skyone sobre vibe coding corporativo quanto na análise da Informat sobre o movimento de citizen developers em 2026, as duas atribuindo o dado ao Gartner. A leitura prática é direta: a maioria das empresas já reconhece o risco e já tem alguma política no papel — o que falta, na prática operacional, é o inventário que torna essa política executável em vez de declaratória.

Os campos de um portfólio de vibe coding completo

Um portfólio útil vai além de uma lista de nomes de app. A tabela abaixo lista os campos mínimos que sustentam qualquer decisão de governança sobre o conjunto:

Campo	O que registrar
Nome e plataforma	Nome do app; plataforma usada para construí-lo (Replit, Lovable, Bolt, v0, Cursor, entre outras)
Área e dono	Quem construiu, qual área é dona, quem responde por ele hoje
Propósito / caso de uso	Que problema o app resolve, para quem, com que frequência é usado
Dado processado	Classe de dado que ele lê, grava ou expõe — a mesma escala usada em governança de dados para IA
Integrações	Com quais sistemas oficiais ele troca dado (CRM, ERP, planilha de RH, banco de dados de produção)
Nível de risco	Classificação segundo o framework de risco do vibe coding — baixo, médio, alto ou crítico
Estágio do ciclo de vida	Protótipo, ativo, promovido a sistema oficial, ou descontinuado (mais na seção seguinte)
Data da última revisão	Quando o registro foi confirmado como ainda correto

O campo de integrações merece atenção redobrada, porque é onde o portfólio de vibe coding difere de um inventário de software tradicional: uma aplicação vibe-coded muitas vezes nasce como protótipo isolado e, meses depois, alguém a conecta a um sistema de produção via API sem que essa mudança passe por nenhuma aprovação — o app que era baixo risco vira alto risco da noite para o dia, e só o portfólio atualizado capta essa mudança de estado.

Onde procurar os aplicativos que ainda não estão no portfólio

Levantar o portfólio pela primeira vez quase sempre revela mais aplicações do que a empresa imaginava. Três fontes, cruzadas, capturam a maior parte do que está fora do radar:

1. Financeiro — assinaturas e cartões corporativos. Toda cobrança recorrente de uma plataforma de vibe coding (Replit, Lovable, Bolt e afins) contratada por cartão corporativo ou reembolso, sem passar por TI, é sinal de um portfólio paralelo. Cruzar o extrato de assinaturas com o inventário existente é o jeito mais rápido de achar o que ninguém declarou.
2. TI e segurança — integrações e tráfego. Chaves de API emitidas para sistemas desconhecidos, permissões de OAuth concedidas a domínios não catalogados e tráfego de rede para plataformas de vibe coding não provisionadas são pistas diretas — o mesmo tipo de descoberta usado para localizar shadow AI de um jeito geral, aplicado aqui especificamente a apps construídos com IA generativa.
3. Pesquisa direta com as áreas. Uma pergunta simples e não punitiva — "que aplicativo vocês construíram para o dia a dia, mesmo sem aprovação formal?" — revela mais do que qualquer varredura técnica isolada, porque nesta fase o objetivo é mapear, não punir. Área que teme retaliação esconde o que construiu; área que confia no processo declara de bom grado.

Nenhuma das três fontes sozinha dá o quadro completo. O portfólio confiável nasce do cruzamento das três, revisado em ciclo contínuo — não de uma varredura única que promete resolver o problema de uma vez.

Do inventário caseiro à governança de portfólio como processo contínuo

Como em qualquer disciplina de governança nova, o caminho realista tem estágios, e nenhuma empresa começa no estágio final:

Estágio 1 — planilha viva. Uma tabela com os campos da seção anterior, dono claro por linha, revisada a cada poucas semanas. Suficiente para a maioria das empresas que ainda está construindo a primeira versão do portfólio.

Estágio 2 — registro como etapa obrigatória de publicação. Em vez de o portfólio depender de alguém lembrar de atualizá-lo depois, o próprio processo de classificação de risco — a autoclassificação descrita no framework de risco do vibe coding — já alimenta o registro automaticamente: quem publica um app responde as quatro perguntas de risco e, no mesmo formulário, entra no portfólio. É quando o inventário deixa de ser levantamento avulso e vira subproduto natural do processo de publicação.

Estágio 3 — descoberta contínua e automatizada. Empresas com maturidade de segurança mais alta complementam o registro declarado com ferramentas de descoberta — varredura de permissões de OAuth concedidas a plataformas de IA e monitoramento de tráfego de rede para domínios de vibe coding conhecidos. É o mesmo caminho de maturidade que o inventário de sistemas de IA (AI-BOM) detalha para o universo mais amplo de sistemas de IA — vibe coding é o caso onde a descoberta automatizada mais compensa, porque o volume de aplicações criadas por hora supera qualquer outra categoria de shadow IT.

O ciclo de vida de um aplicativo vibe-coded dentro do portfólio

Um portfólio estático mente sobre o presente: um app registrado como "protótipo de baixo risco" seis meses atrás pode hoje processar dado de cliente e integrar com produção. Tratar o portfólio como um fluxo de estágios, não como uma lista fixa, é o que mantém o registro honesto:

Estágio	O que caracteriza	Gatilho de mudança de estágio
Protótipo	Uso pessoal ou de teste, sem dado real, vida útil incerta	Vira uso recorrente de um grupo → passa a Ativo
Ativo	Ferramenta de apoio recorrente de uma área, dono designado	Ganha integração com sistema oficial ou público externo → passa a Promovido
Promovido	Integrado a sistemas de produção, ou usado por múltiplas áreas/clientes	Passa a exigir revisão técnica formal de TI/segurança, como detalhado em segurança do vibe coding: checklist antes de publicar
Descontinuado	Ninguém mais usa, ou foi substituído por sistema oficial	Sai de uso ativo, mas permanece no registro histórico por período definido, para trilha de auditoria

A transição de Ativo para Promovido é a mais frequentemente perdida, porque nada obriga quem construiu o app a avisar quando adiciona uma integração nova — um painel isolado de vendas que passa a escrever de volta no CRM oficial muda de categoria de risco sem que ninguém reclassifique, e é essa mudança silenciosa que o portfólio revisado em ciclo curto existe para capturar antes que vire incidente. O app descontinuado não deve desaparecer do registro: manter o histórico de que existiu, quem era dono e por que saiu de uso sustenta qualquer resposta a incidente relacionado a um sistema antigo.

Quem é dono da governança de portfólio de vibe coding

Um portfólio sem dono claro tem vida útil curta — novos apps nascem mais rápido do que a maioria das empresas revisa a própria lista. A divisão de responsabilidade que funciona na prática:

Papel	Responsabilidade
Dono do programa (TI ou função de governança)	Mantém o portfólio atualizado, define a cadência de revisão, cobra as áreas por apps não registrados
Financeiro	Sinaliza nova assinatura de plataforma de vibe coding no ciclo de aprovação de despesa
Líder de cada área de negócio	Declara os apps construídos pelo time, inclusive os que nasceram informalmente, e mantém o campo de propósito atualizado
TI e segurança	Fornece visibilidade técnica — integrações, permissões de OAuth, tráfego — e executa a revisão técnica dos apps promovidos, como descrito em o novo papel de TI no vibe coding
Comitê de governança de vibe coding	Decide os casos-limite de reclassificação e aprova a promoção de um app a sistema oficial

O papel de TI aqui é deliberadamente diferente do modelo antigo de aprovar cada aplicativo antes de ele existir — como detalhado em o novo papel de TI no vibe coding, a função passa a ser prover a plataforma de guardrails e manter a visibilidade central. O portfólio é a ferramenta que torna esse papel executável: sem ele, TI só descobre um app quando algo dá errado.

Como a Jetpacks apoia o mapeamento do portfólio de vibe coding

Dentro do método Flight Plan, mapear o portfólio de vibe coding já existente é parte do Launchpad — o estágio de diagnóstico, com cerca de duas semanas por área, que produz o mapa de impacto real da empresa antes de qualquer decisão de investimento. O Flight Plan usa esse mapa para desenhar a trilha de governança por área; o programa Builders capacita quem constrói — incluindo quem nunca escreveu uma linha de código — a registrar o próprio app como parte natural do fluxo de publicação, não como tarefa extra de compliance; e o Mission Control acompanha a cobertura do portfólio como uma das métricas centrais de adoção com governança. Como parceira oficial da Replit no Brasil, a Jetpacks já conduziu esse tipo de mapeamento em empresas como Hypera Pharma, Volvo, BMR Medical e C12 Brasil — sempre com o mesmo princípio: nenhuma classificação de risco, nenhum checklist de segurança e nenhuma auditoria funcionam sobre um app que ninguém sabe que existe.

FAQ

O que é governança de portfólio de vibe coding?

É o processo de manter um registro vivo, com dono, propósito, dado processado e nível de risco, de todo aplicativo que uma área de negócio construiu usando IA generativa. Diferente de classificar o risco de um app isolado, o foco é a visão de conjunto: quantos apps existem, quem é dono de cada um e em que estágio de vida cada um está.

Qual a diferença entre o portfólio de vibe coding e o AI-BOM (inventário de sistemas de IA)?

O AI-BOM cataloga todo sistema de inteligência artificial da empresa — modelo comprado, IA embutida em SaaS, agente autônomo, sistema construído internamente. O portfólio de vibe coding é um recorte mais estreito: as aplicações de software que áreas de negócio construíram descrevendo o que queriam em linguagem natural. Um alimenta o outro, mas não são o mesmo artefato — veja o guia de inventário de sistemas de IA (AI-BOM) para o recorte mais amplo.

Como descobrir aplicativos vibe-coded que a TI não sabe que existem?

Cruzando três fontes: extrato de assinaturas e cartões corporativos (plataformas de vibe coding contratadas sem passar por TI), sinais técnicos de TI e segurança (chaves de API, permissões de OAuth, tráfego de rede para plataformas conhecidas) e pesquisa direta e não punitiva com as áreas de negócio. Nenhuma fonte isolada captura o quadro completo.

Quem deve ser o dono de um aplicativo vibe-coded dentro do portfólio?

O líder da área que construiu ou que usa o app no dia a dia — não TI por padrão. TI entra como dono da plataforma de guardrails e da revisão técnica quando o app é promovido a sistema oficial, mas o dono operacional do app continua sendo quem responde pelo processo de negócio que ele sustenta.

Um aplicativo vibe-coded descontinuado precisa continuar no portfólio?

Sim, com status atualizado para "descontinuado". Removê-lo do registro apaga a trilha de auditoria — a capacidade de responder, meses depois, "esse sistema existiu, quem era dono e por que saiu de uso" caso um incidente relacionado a ele apareça posteriormente.

Com que frequência o portfólio de vibe coding deve ser revisado?

No início, revisão mensal costuma revelar o volume real de apps ainda não mapeados. Depois de estabilizado, ciclo trimestral costuma bastar — com atualização imediata sempre que um app muda de estágio, como ganhar uma integração nova com um sistema de produção.

Toda empresa que usa vibe coding precisa de um portfólio formal?

Sim, na proporção do volume de uso. Mesmo uma empresa com poucos apps vibe-coded se beneficia de um registro simples desde o início — é muito mais barato nomear dono e classificar risco de dez apps do que descobrir, dois anos depois, que existem duzentos sem dono nem registro.

Conclusão: governar o portfólio é a condição para governar cada app

Toda a disciplina de vibe coding com governança — a matriz de risco por caso de uso, o checklist técnico antes de publicar, a revisão proporcional ao risco — parte de uma premissa que muitas empresas ainda não garantem: saber que o app existe. A governança de portfólio de vibe coding é essa camada anterior, e é ela que transforma uma política de vibe coding de intenção declarada em processo que de fato roda, com 78% dos departamentos de TI já reconhecendo essa necessidade em política formal — o desafio agora é fazer o inventário acompanhar a velocidade da criação.

É esse mapeamento — quantos aplicativos de vibe coding já existem na sua empresa, quem é dono de cada um e qual o risco real do conjunto — que a Jetpacks conduz dentro do método Flight Plan, como parceira oficial da Replit no Brasil. Para começar pelo diagnóstico do seu portfólio atual, agende o diagnóstico gratuito, uma conversa de 30–45 minutos sem custo.