Introduzindo o SDLC do Cidadão Desenvolvedor da Tenex, um ciclo de vida de seis estágios que leva o que funcionários não técnicos constroem com IA, de um protótipo pessoal a uma produção confiável para toda a empresa.
Por Alex Lieberman (@businessbarista), Arman Hezarkhani (@ArmanHezarkhani, Suchi Patel e Ashwin Kadaru (@AshwinKadaru
Um framework da Tenex.co.
O Resumo
O SDLC do Cidadão é um ciclo de vida de seis estágios (ideia, porta de entrada, triagem, provisionamento, construção, execução e mudança) que leva o software construído por funcionários não técnicos com IA, de um protótipo pessoal a uma produção governada. Um princípio percorre cada estágio: a IA faz o trabalho, o código determinístico define as diretrizes, e os humanos lidam com as exceções. Ele existe porque a IA reduziu o custo de escrever código a quase zero e moveu o gargalo para downstream, garantindo que o que foi construído seja sólido e mantendo uma frota crescente disso governada uma vez que esteja em produção.
Um dos nossos clientes é uma empresa de investimentos. Um membro da equipe de operações de portfólio, alguém que nunca escreveu uma linha de código, construiu o painel que toda a sua equipe agora usa diariamente. Ele rastreia o trabalho de criação de valor em algumas dezenas de empresas do portfólio. Ela o construiu usando o Claude como assistente, iterando por cerca de dois meses. Cada linha foi escrita por IA.
E é bom. As visualizações estão certas, o fluxo de trabalho se encaixa na forma como a equipe realmente opera, e a adoção foi instantânea. Ela esboçou o produto correto antes que qualquer engenheiro estivesse envolvido.
Isso não é sorte. Por décadas, a pessoa que entendia um problema de negócio quase nunca era a pessoa que conseguia construir o software para resolvê-lo. Fechar essa lacuna era um esforço hercúleo: um gerente de produto para transformar seu problema em uma especificação, engenheiros para traduzir a especificação em código, e um lugar na fila atrás de tudo o mais no roadmap. Meses se passavam entre a ideia e a ferramenta, e o que finalmente era entregue era a interpretação de outra pessoa sobre o que ela queria dizer.
Essa lacuna acabou de colapsar. O poder de construir foi para as pessoas que realmente entendem o processo, sabem o que os dados significam e vivem o fluxo de trabalho todos os dias. Ela construiu a coisa certa na primeira tentativa porque ela era a fonte. Ninguém ficou no meio para traduzi-la, ou para errar um pouco. Essa é a promessa do desenvolvimento cidadão, e ela cumpriu.
Então olhamos por baixo do capô.
A aplicação inteira era um arquivo HTML. 540 KB. Cerca de 5.300 linhas. O conjunto de dados mestre vivia dentro dele como um blob de dados de 80 KB em uma única linha. Quando o arquivo precisava ser atualizado, a IA tinha anexado funções de correção que reescreviam valores toda vez que o aplicativo carregava. Salvar seu trabalho significava que o aplicativo reescrevia seu próprio HTML, baixava-se para o seu laptop, e você o reenviava para uma unidade compartilhada como uma nova versão. Se duas pessoas editassem ao mesmo tempo, a última a salvar vencia, e as edições da outra pessoa desapareciam.
Um dia, uma função de salvamento foi procurar um marcador no arquivo, não o encontrou e, mesmo assim, escreveu de volta o que tinha. Toda a aplicação de 540 KB foi truncada para 7 bytes. Em uma única gravação silenciosa, o painel no qual sua equipe confiava todos os dias deixou de existir, e nada na forma como foi construído foi projetado para detectá-lo, pará-lo ou trazê-lo de volta.
A maioria dos líderes ouve essa história e conclui que o desenvolvimento cidadão é um passivo a ser desativado. Achamos que essa é a lição errada, e as empresas que agirem com base nisso perderão. A lição certa: ela fez seu trabalho brilhantemente. Ninguém tinha construído a estrada para o software ser entregue.
O gargalo mudou
Por décadas, construir software era a parte cara. Era lento, escasso e custoso, e todo o ciclo de vida de desenvolvimento de software cresceu para protegê-lo. Especificações, tickets, sprints, revisão de código: toda cerimônia no SDLC tradicional existe porque escrever o código era o gargalo.
A IA reduziu esse estágio a quase zero, e o gargalo mudou. Quando qualquer um pode construir um aplicativo funcional em uma tarde, o trabalho caro não é mais a construção. É o que vem depois: garantir que o que foi construído seja sólido e seguro, e manter uma frota crescente desses aplicativos governados uma vez que estejam em produção.
GIF
E a construção não está desacelerando, criando dois problemas que precisam ser resolvidos:
Primeiro, qualidade por baixo do capô. Um agente instruído a partir de uma página em branco por um não engenheiro converge para um software improvisado que funciona hoje e é impossível de manter para sempre. O arquivo de 540 KB não é uma exceção; é o resultado padrão de construir sem orientação.
Segundo, proliferação. Cada equipe quer seu próprio aplicativo, e nenhum grupo central de TI pode construir e operar dezenas deles manualmente. Sem diretrizes, cada um é construído na pilha que o construtor ou o modelo escolheu: um banco de dados diferente, um esquema de autenticação diferente, segredos guardados onde quer que caíssem. Bloqueie as solicitações e elas não param, apenas saem do radar. De qualquer forma, você herda não apenas uma frota de aplicativos, mas a bagunça emaranhada da infraestrutura por baixo deles, e nada disso é algo que a TI possa razoavelmente proteger, suportar ou explicar.
Portanto, a verdadeira questão que toda empresa está prestes a enfrentar: como deixar funcionários não técnicos criarem software interno real sem herdar essa frota?
As três respostas padrão falham:
1) Bloquear tudo. As solicitações se acumulam, a paciência acaba e os aplicativos paralelos são construídos de qualquer maneira. Agora você não pode ver nada disso. Você não pode governar o que não pode ver.
2) Deixar rolar. Apontar não engenheiros para ferramentas de IA sem estrutura e celebrar as demonstrações. É assim que você obtém o arquivo de 540 KB. E você não pode revisar seu caminho para fora disso depois do fato. Quando um monólito aparece na revisão de código, já é um monólito. Tem que ser prevenido no ponto de partida.
3) Revisar tudo. Colocar uma aprovação humana em cada mudança. Sua equipe de TI é enxuta, o volume de construção está explodindo, e agora cada implantação espera na agenda de um revisor. As revisões ou matam a adoção ou são carimbadas. Ambos os resultados derrotam o propósito.
Portanto, a resposta não é outro documento de política, mas um ciclo de vida: um SDLC real, projetado para pessoas que nunca se chamarão de desenvolvedores, com diretrizes incorporadas à plataforma em vez de escritas em um memorando. Uma estrada que leva uma construção desde a primeira ideia em linguagem simples até a produção governada, sem nunca pedir ao construtor que se torne um engenheiro. A pessoa fornece a intenção; a plataforma fornece a disciplina.
Um princípio percorre cada estágio disso: a IA faz o trabalho, o código determinístico define as diretrizes, e os humanos lidam com as exceções. A IA rascunha, classifica e escreve. O código decide o que é permitido. As pessoas são usadas apenas onde o julgamento é realmente necessário. Segure essa divisão; é o que faz a coisa toda escalar.
Chamamos isso de SDLC do Cidadão. Seis estágios, cada um governado.
Estágio 1
A ideia
Uma pessoa descreve o aplicativo em linguagem simples, com a ajuda da IA: o que faz, quem usa, quais dados toca, quem é o dono. Leva minutos e parece um memorando. Ele também serve como o briefing no qual tudo downstream se baseia. Este é o primeiro movimento do modelo operacional: a IA faz o trabalho de transformar uma divagação em um artefato estruturado.
Aqui está como isso se parece na prática. Alguém em finanças de fundos digita: "Quero um rastreador para avisos de chamada de capital. Agora é uma planilha que atualizo manualmente e envio por e-mail toda sexta-feira." A IA pergunta o que um analista de entrada perguntaria. Quem mais precisa ver? Doze pessoas em finanças de fundos e RI. Onde os dados vivem hoje? Uma planilha no Box, e acesso somente leitura é suficiente. Quem é o dono quando você está fora? O gerente dela. A divagação se tornou um briefing: propósito, usuários, fonte de dados, nível de acesso, proprietário, até mesmo um primeiro palpite sobre a forma do aplicativo. Um PRD, com efeito, escrito por alguém que nunca ouviu o termo PRD.
GIF
Nada existe ainda. Nenhum código, nenhum acesso, nenhuma infraestrutura. Isso é intencional: a empresa forma uma opinião sobre o aplicativo antes que o aplicativo exista, em vez de seis meses depois de ele estar suportando carga.
Estágio 2
A porta de entrada
Toda solicitação passa por uma porta de entrada estruturada, e o mesmo movimento que a arquiva a coloca diretamente na triagem. O briefing é a solicitação, o ticket que a TI vê, o registro permanente e uma entrada em um catálogo que todos podem pesquisar, tudo ao mesmo tempo. Sem pedidos de corredor, sem favores, sem pipeline paralelo. Você não pode governar o que não pode ver, e não pode compartilhar o que não pode encontrar. A porta de entrada torna ambas as coisas verdadeiras desde o primeiro dia.
Este é o estágio que mata o pipeline paralelo. Uma construção que pula a porta de entrada ainda pode existir como um protótipo em um laptop, mas é aí que fica. Tudo o que transforma um protótipo em software no qual uma equipe pode confiar vive a jusante deste estágio: armazenamento real, login da empresa, um pipeline de implantação, um lugar para realmente executar. Nada disso chega a uma construção que nunca passou pela porta. Você pode contornar a porta de entrada; você só não consegue ir além do protótipo se o fizer.
Estágio 3
A triagem
A IA classifica a solicitação ao longo de dois eixos. Forma: que tipo de aplicativo é? Uma auditoria reversa do que os funcionários realmente constroem quase sempre se reduz a uma lista curta: geradores de artefatos, automações de fluxo de trabalho, aplicativos CRUD e painéis interativos. Nomear a forma diz a arquitetura necessária e entrega ao próximo estágio a estrada pavimentada para carimbar. Raio de explosão: quanto dano essa construção poderia causar se desse errado? Pontuamos isso em quatro dimensões:
- Alcance e capacidade: o que pode tocar, e pode escrever ou apenas ler?
- Reversibilidade e autonomia: há um humano no ciclo, e a ação pode ser desfeita?
- Exposição: quem vê a saída, e até onde ela viaja para fora da empresa?
- Sensibilidade dos dados: quão confidenciais são os dados com os quais interage?
Mas aqui está a regra que torna isso confiável: a IA aconselha. O código decide. O modelo lê o briefing e o classifica; então o código de política que a TI escreveu verifica cada classificação contra as regras. Veja como funciona no rastreador de chamada de capital. Forma: painel interativo. Raio de explosão: dados internos do fundo, doze usuários internos, somente leitura, humano no ciclo, nenhuma sobreposição com aplicativos existentes. Cada dimensão cai dentro dos limites aprovados, então é aprovado, e nenhum humano discutiu sobre isso.
Agora mude um fato. Digamos que o rastreador também precise de dados de compromisso do LP. O briefing pode ser tão persuasivo quanto quiser; essa única mudança eleva a dimensão de sensibilidade dos dados além do limite que a TI definiu, e a solicitação vai para uma pessoa. Nenhum julgamento aconteceu no meio do caminho. Uma regra corresponde ou não.
Três rotas de saída:
- Aprovado. Raio de explosão dentro de todos os limites, briefing completo, alta confiança. Em nosso cliente, cerca de 9 em cada 10 solicitações são resolvidas dessa forma, automaticamente.
- Reutilizar. Sobreposição com um aplicativo que já existe, então o solicitante é direcionado ao proprietário desse aplicativo em vez de construir uma duplicata. Duplicatas são mescladas, não multiplicadas.
- Escalonado. Uma dimensão ultrapassa seu limite, ou a confiança é baixa. Um humano na TI e Segurança recebe a solicitação completa como contexto.
GIF
A décima solicitação, a exceção, ainda cai na mesa de um humano com o briefing completo anexado. As outras nove nunca precisaram disso.
Estágio 4
O provisionamento
Aqui está a jogada que permite que a TI diga sim em volume: provisionamento não é a TI perdendo o controle do que é entregue, mas o controle da TI se movendo para upstream. Em vez de revisar cada aplicativo depois do fato, a TI cria a estrada pavimentada uma vez, e todo aplicativo nasce nela. Uma pessoa aprova, e a plataforma carimba o aplicativo a partir da estrada para sua forma: um repositório, login da empresa, uma identidade de implantação, um ambiente privado e seu próprio banco de dados, tudo definido como infraestrutura como código que a TI possui e versiona. Provisionado em minutos.
Este é o único momento em que poder elevado é executado, e um humano está na frente dele. Todo aplicativo nasce isolado, governado e auditado: seu próprio ambiente murado, sem endereço público, sem segredos de nuvem armazenados, uma trilha de auditoria somente anexação desde o dia zero. O trabalho de segurança aconteceu uma vez, na estrada. Nenhum aplicativo tem que repeti-lo.
Como a estrada é criada por forma, a aprovação humana é uma postura padrão, não um imposto permanente. Formas novas e construções de alto raio de explosão mantêm a barreira humana para sempre. Mas uma vez que a estrada de uma forma se provou ao longo de construções suficientes, solicitações de baixo raio de explosão nessa estrada podem provisionar automaticamente. É a mesma lógica de "reservar o julgamento humano para a cauda" aplicada um estágio antes: no início, você encaminha mais para uma pessoa e, à medida que os padrões se mantêm, a linha se move em direção à automação.
E a estrada carrega mais uma coisa que importa tanto quanto a infraestrutura: o livro de regras da IA. O repositório herdado entrega ao agente de codificação um conjunto de instruções em cada sessão, codificando os antipadrões aprendidos com falhas reais. Não incorpore blobs de dados com mais de 1 KB. Não adicione funções que reescrevam dados quando o aplicativo carrega. É assim que a qualidade por baixo do capô é resolvida sem pedir ao construtor que conheça uma única prática recomendada: a estrada faz o agente segui-las. Cada uma dessas regras é uma cicatriz com uma história por trás (você leu uma delas).
Estágio 5
A construção
O construtor dá instruções ao seu agente de codificação (Claude Code, Codex, etc.) dentro de um workspace de nuvem controlado, nunca em seu próprio laptop. Um agente de terminal em um laptop herda tudo o que está ali: e-mail, unidades sincronizadas, cookies do navegador, credenciais em cache. No workspace, o agente vê o projeto. Nada mais.
Tudo o que um engenheiro normalmente carregaria é carregado pelas diretrizes: em nosso cliente, 35 diretrizes em quatro camadas que o construtor não pode desligar.
A camada de mesclagem inclui verificações de desvio projetadas especificamente para código gerado por IA: orçamentos de tamanho de arquivo, nenhum dado inline superdimensionado, conformidade com o log de auditoria. Verde ou não mescla. Quando uma verificação falha, o construtor pede ao agente para corrigi-la e envia novamente.
Humanos não revisam mudanças de rotina. As verificações são a revisão. Mudanças de rotina se movem na velocidade da CI, não na velocidade da agenda de um revisor. O que chega a um humano é a cauda consequente, detectada mecanicamente: mudanças destrutivas de esquema, novas dependências, mudanças nas próprias restrições do agente, qualquer coisa que toque na infraestrutura. Essas esperam por uma pessoa. Nada mais espera. E quando algo novo escapa de qualquer maneira, a correção é uma nova verificação automatizada, não mais revisão humana. O sistema se torna mais rigoroso codificando lições, não adicionando reuniões.
Lembre-se do painel da abertura. Duas dessas verificações de desvio teriam sido acionadas nele na primeira semana. O blob de 80 KB em linha única teria falhado na CI em seu primeiro commit, meses antes de qualquer um dos modos de falha se solidificar.
Estágio 6
Execução e mudança
Seis meses depois, o rastreador de chamada de capital ainda está em execução, e é aqui que o ciclo de vida mostra seu valor. Alguém no RI questiona o prazo de transferência no aviso de março. A trilha de auditoria responde em trinta segundos: quem mudou o campo, quando e o que dizia antes, registrado na mesma transação que a própria edição. Ninguém reconstrói a verdade a partir de uma corrente de e-mails. Quando o construtor muda de equipe, a propriedade é transferida para um sucessor nomeado, em vez de se dissolver em um encolher de ombros. E se ela deixar a empresa completamente, seu login morre e todas as portas que ele abriu se fecham ao mesmo tempo. O rastreador incluído. A solicitação de recurso do próximo trimestre percorre as mesmas diretrizes que o primeiro commit.
A governança funciona com base em sinais, não em auditorias anuais. As métricas de uso do rastreador mostram que mais duas equipes estão contando com ele, então ele é promovido e recebe investimento. O painel de moeda que ninguém abre desde abril é arquivado, não deixado para apodrecer em um menu. Ninguém lamenta. A propriedade é atribuída no primeiro dia, então nada sobrevive ao seu construtor sem dono. A documentação é regenerada à medida que o aplicativo evolui, então nunca fica desatualizada. Um aplicativo não utilizado é uma falha, não um troféu. O objetivo nunca foi a contagem de aplicativos: é um catálogo vivo no qual suas pessoas realmente confiam, em vez de um cemitério de software esquecido.
À medida que o catálogo cresce de dez aplicativos para duzentos, uma equipe central não consegue mais ficar de olho em tudo, e a supervisão tem que se expandir para as equipes que possuem os aplicativos. Quando e até onde federar isso é um julgamento, e ele muda à medida que o portfólio cresce. A governança aqui é uma postura que você continua ajustando, não um controle que você define uma vez.
A regra que mantém tudo junto
Há um gatilho que ensinamos a todo cliente, porque ele responde a 90% das perguntas do tipo "isso precisa do processo completo?": a regra do segundo consumidor. Funciona porque esse é o momento em que o perfil de risco muda.
Alguém construindo análise para si mesmo, em seu próprio laptop, com acesso a dados limitado? Raio de explosão baixo, governança leve. Gráficos, memorandos e scripts que eles executam para si mesmos não precisam de um pipeline de implantação. Mas no momento em que uma segunda pessoa quer usar a saída diretamente, em vez de pedir ao autor atualizações? O raio de explosão aumenta: mais alcance, dados viajando mais longe, outra pessoa confiando que esteja certo. Agora é software, e é graduado para o ciclo de vida completo, deliberadamente, como um evento explícito. Mesmas fontes de dados, mesma identidade, nova estrada.
Essa única regra é a razão pela qual o processo não afoga as pessoas. A maioria das construções nunca cruza a linha. As que cruzam são exatamente as que valem a cerimônia.
O que somos honestos sobre
Nenhuma plataforma faz construtores iniciantes escreverem código perfeito. Não afirmamos isso. As camadas existem para que um erro seja um inconveniente dentro de um pequeno limite, não um incidente em toda a empresa. Cada camada cobre exatamente o que a acima dela não pode:
E a auditoria não previne nada, mas torna todo incidente curto, explicável e atribuível. Essa é a diferença entre uma tarde ruim e um trimestre ruim.
O desenvolvimento cidadão não pretende substituir a engenharia profissional. Sistemas de registro em processos regulamentados, qualquer coisa voltada para o cliente ou investidor, aplicativos construídos para usuários externos, qualquer coisa onde o tempo de inatividade acarrete uma penalidade financeira: esses ainda pertencem à engenharia, e a porta de entrada os encaminha para lá no primeiro dia. O que ele substitui é o gargalo. Ele democratiza a longa cauda de ferramentas internas que nunca valeram um projeto formal de engenharia e as entrega a uma velocidade que a fila do roadmap nunca poderia oferecer. Um framework sem limites é um slogan; este sabe para que não serve.
O que realmente muda
Na empresa de investimentos, o primeiro aplicativo através da plataforma é aquele que a motivou: o painel da história de abertura, refeito nas diretrizes. Mesmas telas. Mesmo construtor. Agora com armazenamento real, login da empresa e um histórico de cada edição. Nunca mais pode se truncar para 7 bytes, porque a classe de código que causou isso não pode ser mesclada.
Cerca de 9 em cada 10 solicitações já são resolvidas automaticamente, e essa parcela só cresce. A maior parte do que os construtores não técnicos fazem é de baixo raio de explosão por natureza. Ferramentas internas, principalmente de leitura, para pequenas audiências. À medida que a estrada de cada forma se prova, mais dessas construções se tornam seguras para provisionar e implantar sem nenhum humano no ciclo. A atenção humana continua se concentrando na cauda consequente e diminuindo em todos os outros lugares.
Sim leva minutos hoje, e tende ao instantâneo, porque não está embutido.
Toda empresa está prestes a ter centenas de construtores. A maioria das empresas ainda está decidindo se deve ter medo disso ou ficar animada. As que vencerem não serão as que tiverem mais construtores. Elas serão as que tiverem as melhores estradas.
