A LGPD não distingue entre um sistema escrito por um desenvolvedor e um app gerado por prompt: se o app trata dados pessoais, a empresa que o opera é a controladora e responde pela segurança desses dados. Vibe coding — criar software descrevendo o que se quer em linguagem natural e deixando a IA escrever o código — muda quem cria o app e com que revisão, não a obrigação legal. Este artigo mostra onde os dados pessoais realmente vazam em apps vibe coded, quais artigos da lei se aplicam e uma matriz simples para decidir o que pode ser construído por quem, com qual tipo de dado. É para quem precisa liberar vibe coding na empresa sem abrir um passivo de privacidade.
O que a LGPD exige de um app criado com IA
A Lei Geral de Proteção de Dados (Lei 13.709/2018) não tem um capítulo sobre ferramentas de IA nem sobre vibe coding. O que ela tem são obrigações que se aplicam a qualquer tratamento de dados pessoais — e um app feito por um analista de operações com ajuda de um agente de IA trata dados pessoais exatamente como um sistema legado.
Os dispositivos que mais pesam:
- Segurança e prevenção (art. 6º, VII e VIII): a empresa deve adotar medidas para proteger os dados e prevenir danos. "A IA gerou o código" não é excludente.
- Medidas técnicas e administrativas (art. 46): os agentes de tratamento devem proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas. O §2º determina que essas medidas sejam observadas desde a concepção do produto até a sua execução — ou seja, segurança é critério de projeto do app, não ajuste posterior.
- Dados sensíveis (art. 11): saúde, biometria e outros dados da lista têm base legal mais restrita. Um app interno que lê prontuário ou atestados entra aqui.
- Registro das operações (art. 37): controlador e operador mantêm registro do tratamento. App que ninguém cadastrou é tratamento que ninguém registrou.
- Responsabilidade e reparação (art. 42): quem causa dano em razão do tratamento tem o dever de repará-lo.
- Comunicação de incidente (art. 48): incidente que possa acarretar risco ou dano relevante deve ser comunicado à ANPD e ao titular. O prazo é definido em regulamento da ANPD (a Resolução CD/ANPD nº 15/2024 fixa três dias úteis; confirme a versão vigente com o jurídico).
- Sanções (art. 52): multa simples de até 2% do faturamento do grupo no Brasil, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio ou eliminação dos dados.
A implicação prática: a conformidade se decide no processo de criação do app, não no código gerado. Esse é o mesmo princípio da governança de IA na prática e do guia de LGPD e IA generativa — aqui aplicado ao ciclo de vida de um software criado por não desenvolvedores.
Por que vibe coding cria uma exposição de privacidade específica
Três características do vibe coding, somadas, tornam o risco de privacidade diferente do de um projeto de TI tradicional.
1. Quem constrói não é quem entende de segurança. O público de vibe coding corporativo inclui comercial, marketing, operações e RH — gente que conhece o dado, mas não conhece política de acesso, criptografia ou retenção. Foi exatamente por isso que o movimento ganhou força; veja o panorama em vibe coding nas empresas.
2. O código sai funcionando, mas não necessariamente seguro. A pesquisa GenAI Code Security Report 2025, da Veracode, testou mais de 100 modelos em 80 tarefas de programação e encontrou vulnerabilidade de segurança em 45% dos casos; quando havia uma opção segura e outra insegura, os modelos escolheram a insegura em 45% das vezes. É um teste controlado de tarefas de código, não uma medição de apps corporativos reais — mas indica que o requisito de segurança precisa estar explícito e verificado, não presumido.
3. O app nasce visível na internet com facilidade. Plataformas de criação por prompt publicam em minutos. A ESET (WeLiveSecurity) relata o caso de um único app criado na plataforma Lovable com 16 vulnerabilidades, seis delas críticas, que já tinha mais de 100 mil visualizações. Entre as falhas típicas que a publicação lista: segredos expostos no código, falta de validação de entrada e de controle de acesso, configurações públicas por padrão que expõem dados privados de usuários e ausência de limite de requisições.
Para o risco mais amplo, incluindo o não relacionado a dados pessoais, veja a matriz de riscos do vibe coding.
Onde os dados pessoais vazam em um app vibe coded
Mapear o app por momento do tratamento é mais útil do que listar vulnerabilidades. São cinco momentos.
| Momento | O que acontece | Risco LGPD | Controle mínimo |
|---|---|---|---|
| 1. Prompt e contexto | A pessoa cola planilha de clientes ou CPFs no prompt para "o app entender o formato" | Dado pessoal enviado a um fornecedor sem contrato nem base legal definida | Proibir dado real em prompt; usar amostra anonimizada ou sintética |
| 2. Desenvolvimento e teste | O app é testado com cópia da base de produção | Tratamento fora da finalidade e fora do ambiente controlado | Dados sintéticos em desenvolvimento; produção só no ambiente aprovado |
| 3. App em execução | Banco sem controle de acesso, autenticação ausente, segredos no código, logs com dados completos | Acesso não autorizado (art. 46) e incidente (art. 48) | Checklist de segurança antes de publicar; autenticação via SSO; segredos em cofre |
| 4. Integrações | O app conecta a CRM, ERP ou e-mail via API ou MCP com permissões amplas | Acesso além da necessidade (princípio da necessidade, art. 6º, III) | Menor privilégio por integração; revisão de escopos |
| 5. Fim de vida | O app é abandonado, mas continua no ar e guardando dados | Retenção sem finalidade; titular sem como exercer direitos | Inventário com dono e data de revisão; desligamento com eliminação |
Os momentos 1 e 2 são os mais negligenciados porque acontecem antes de haver app. Já o momento 5 é o que transforma um experimento em passivo: sem portfólio de apps com dono e prazo, ninguém sabe que o app de 2025 ainda guarda dados de clientes.
O ponto cego do prompt
O fluxo de vibe coding incentiva a pessoa a dar contexto real à IA: "aqui está o arquivo, faça um painel". Se esse arquivo tem CPF, e-mail e histórico de compras, o dado pessoal acabou de ser compartilhado com o provedor da ferramenta. Se a empresa tem contrato corporativo com cláusulas de não treinamento e residência de dados, isso pode ser aceitável; se a pessoa usou uma conta gratuita pessoal, é transferência para um terceiro sem amparo contratual. A regra mais simples de operar: dado pessoal real não vai em prompt; vai amostra sintética.
A matriz de decisão: quem pode construir o quê, com qual dado
Em vez de proibir ou liberar tudo, classifique o app pelo dado que ele toca e defina o nível de revisão. É o equivalente, para vibe coding, do controle de acesso por perfil e da classificação de dados.
| Classe do app | Dados tratados | Quem pode construir | Revisão antes de publicar |
|---|---|---|---|
| Classe 0 — pessoal e descartável | Nenhum dado pessoal; dados sintéticos | Qualquer colaborador capacitado | Nenhuma além do checklist próprio |
| Classe 1 — interno de equipe | Dados pessoais comuns de colaboradores ou clientes, volume baixo | Colaborador capacitado, em ambiente corporativo aprovado | Checklist de segurança + aprovação do líder da área + registro no inventário |
| Classe 2 — dados em escala ou externo | Dados pessoais em volume, ou app acessível a clientes e parceiros | Time de tecnologia ou colaborador com acompanhamento técnico | Revisão de código, testes, avaliação do encarregado (DPO), relatório de impacto quando aplicável |
| Classe 3 — dados sensíveis ou de alto risco | Saúde, biometria, dados de crianças e adolescentes, decisão automatizada com efeito sobre pessoas | Apenas tecnologia, com jurídico e privacidade no processo | Fluxo completo de desenvolvimento; vibe coding só como acelerador sob revisão |
Dois critérios mais fortes que o tipo de dado: quem acessa o app (só a equipe, toda a empresa, o público) e o que o app decide (apenas exibe um painel ou nega crédito, define escala, filtra currículo). Decisão automatizada que afeta o titular traz o direito de revisão do art. 20 da LGPD e muda a classe do app automaticamente.
Os seis controles que fecham a maior parte do risco
- Ambiente corporativo aprovado. Apps de dados pessoais só nascem e rodam em plataforma com SSO, controle de acesso por papel e log de auditoria — nunca em conta pessoal. Veja o que a plataforma entrega em Replit Enterprise e o que continua sendo responsabilidade da empresa na matriz de responsabilidade compartilhada.
- Regra de dados em prompt. Dado pessoal real fora do prompt; amostras sintéticas ou anonimizadas no lugar.
- Checklist de segurança antes de publicar. Autenticação, autorização por registro, segredos fora do código, validação de entrada, logs sem dado excessivo. O checklist de segurança do vibe coding detalha nove verificações.
- Revisão proporcional. Revisão de código para apps de Classe 2 e 3, usando o processo de code review de código gerado por IA e os testes descritos em testes e QA de apps vibe coded.
- Inventário com dono, finalidade e data de revisão. É o que permite atender o art. 37 e, depois, desligar o app e eliminar os dados.
- Plano de incidente que inclui apps de usuário. O app do analista precisa estar no escopo do plano de resposta a incidentes de IA, com quem aciona o encarregado e em que prazo.
O que a plataforma resolve — e o que não resolve
Uma plataforma corporativa de vibe coding reduz o risco de infraestrutura: isolamento entre tenants, criptografia, SSO, trilha de auditoria. Não resolve três coisas, que são da empresa:
- A base legal e a finalidade do tratamento. Nenhuma ferramenta decide por que a empresa trata aquele dado.
- A qualidade do código gerado. A plataforma hospeda; a lógica de autorização do app continua sendo o que o prompt e a revisão produziram.
- O que entra no app. Se o colaborador carrega a planilha completa de clientes, a plataforma não sabe que ela não deveria estar ali.
Esse é o motivo de a Jetpacks conduzir vibe coding como programa de capacitação com governança, e não como liberação de licenças. Como parceira oficial da Replit no Brasil, a Jetpacks conduz as imersões e os workshops oficiais da Replit dentro de grandes empresas e, no método Flight Plan, o Launchpad mapeia quais áreas vão construir e com que dados, enquanto o Booster capacita as pessoas nas regras acima — para que a classificação de dados seja hábito de quem constrói. Detalhes em Jetpacks, parceira oficial da Replit no Brasil.
Limitações
Este artigo organiza o risco de privacidade em apps vibe coded, mas não é parecer jurídico. A classificação em classes é um modelo de trabalho: setores regulados (saúde, financeiro) têm normas adicionais, e o encarregado e o jurídico da empresa devem validar a base legal de cada tratamento. Os números de Veracode e ESET vêm de estudos e relatos publicados, não de uma amostra dos apps de uma empresa específica — o diagnóstico real exige olhar o portfólio de apps da própria organização.
FAQ
A LGPD se aplica a apps criados com vibe coding?
Sim. A LGPD se aplica a qualquer tratamento de dados pessoais, independentemente de como o software foi criado. A empresa que opera o app é, em regra, a controladora dos dados e responde pelas medidas de segurança do art. 46.
Quem é responsável por um vazamento em um app criado por um colaborador com IA?
A empresa, como controladora, responde perante o titular e a ANPD. Internamente, a política da empresa deve definir o dono do app e as consequências de publicá-lo sem passar pelo processo. A responsabilidade não vai para a ferramenta nem para o modelo de IA.
Posso colar dados de clientes no prompt de uma ferramenta de vibe coding?
Não como regra. Dado pessoal real em prompt é compartilhamento com o fornecedor da ferramenta e exige contrato, base legal e avaliação de residência dos dados. A prática mais segura é usar amostras sintéticas ou anonimizadas.
Apps internos de vibe coding precisam constar no registro de operações de tratamento?
Se tratam dados pessoais, sim — o art. 37 exige o registro das operações. Na prática, o inventário de apps vibe coded deve alimentar o registro mantido pelo encarregado.
Vibe coding pode ser usado com dados sensíveis, como saúde?
Só com cautela: dados sensíveis têm regime mais restrito (art. 11) e, em geral, devem ficar em apps de maior classe, com revisão de tecnologia, jurídico e privacidade. Vibe coding pode acelerar o desenvolvimento, mas não substitui o fluxo completo de revisão.
Preciso de relatório de impacto (RIPD) para apps vibe coded?
Depende do risco. A ANPD pode exigir o relatório de impacto em tratamentos de maior risco, e é boa prática elaborá-lo para apps de Classe 2 e 3. A decisão deve envolver o encarregado.
Como saber se já existem apps com dados pessoais fora do controle da empresa?
Comece por um levantamento: perguntar às áreas o que foi construído, verificar contas de ferramentas de vibe coding em uso e checar integrações com os sistemas da empresa. O inventário contínuo evita que o problema se repita.
Conclusão: velocidade com dado classificado
Vibe coding é uma capacidade valiosa, e a LGPD não a impede — ela exige que a empresa saiba o que construiu, com quais dados e quem responde. O caminho é classificar antes de construir, liberar por classe e manter inventário. Se sua empresa quer liberar vibe coding com esse nível de controle, comece pelo diagnóstico gratuito da Jetpacks, uma conversa de 30 a 45 minutos para mapear onde estão os riscos e as oportunidades.
Leia também: vibe coding para equipes jurídicas e legal ops.
Leia também: apps vibe coded expostos: como auditar antes do vazamento.
Descubra onde a IA gera mais resultado na sua empresa.
Comece com um diagnóstico gratuito: mapa de impacto por área e o desenho de um primeiro piloto medível, sem compromisso.