Apresentando o SDLC do Desenvolvedor Cidadão da Tenex, um ciclo de vida de seis estágios que transforma o que funcionários não técnicos constroem com IA, de um protótipo pessoal para uma produção governada em que toda a empresa pode confiar.
Por Alex Lieberman (@businessbarista), Arman Hezarkhani (@ArmanHezarkhani), Suchi Patel e Ashwin Kadaru (@AshwinKadaru*)
Um framework da Tenex.co.
O Resumo
O SDLC do Cidadão é um ciclo de vida de seis estágios (ideia, porta de entrada, triagem, provisionamento, construção, execução e mudança) que transforma software construído por funcionários não técnicos com IA, de um protótipo pessoal para uma produção governada. Um princípio percorre cada estágio: a IA faz o trabalho pesado, o código determinístico estabelece as salvaguardas, e os humanos lidam com as exceções. Ele existe porque a IA reduziu o custo de escrever código a quase zero e moveu o gargalo para downstream, garantindo que o que foi construído seja sólido e mantendo uma frota crescente disso governada quando estiver em produção.
Um de nossos clientes é uma empresa de investimentos. Um membro da equipe de operações de portfólio, alguém que nunca escreveu uma linha de código, criou o painel que toda a sua equipe agora usa diariamente. Ele rastreia o trabalho de criação de valor em algumas dezenas de empresas do portfólio. Ela o construiu solicitando ao Claude, iterando por cerca de dois meses. Cada linha foi escrita por IA.
E é bom. As visualizações estão certas, o fluxo de trabalho se encaixa em como a equipe realmente opera, e a adoção foi instantânea. Ela esboçou o produto correto antes que qualquer engenheiro estivesse envolvido.
Isso não é sorte. Por décadas, a pessoa que entendia um problema de negócios quase nunca era a pessoa que podia construir o software para corrigi-lo. Fechar essa lacuna era um esforço hercúleo: um gerente de produto para transformar seu problema em uma especificação, engenheiros para traduzir a especificação em código, e um lugar na fila atrás de tudo o mais no roadmap. Meses se passavam entre a ideia e a ferramenta, e o que finalmente era lançado era a interpretação de outra pessoa do que ela queria dizer.
Essa lacuna acabou de ruir. O poder de construir foi para as pessoas que realmente entendem o processo, sabem o que os dados significam e vivem o fluxo de trabalho todos os dias. Ela construiu a coisa certa na primeira tentativa porque ela era a fonte. Ninguém ficou no meio para traduzi-la, ou para errar um pouco. Essa é a promessa do desenvolvimento cidadão, e ela cumpriu.
Então olhamos debaixo do capô.
O aplicativo inteiro era um arquivo HTML. 540 KB. Cerca de 5.300 linhas. O conjunto de dados principal vivia dentro dele como um blob de dados de 80 KB em uma única linha. Quando o arquivo precisava de atualização, a IA tinha anexado funções de patch que reescreviam valores toda vez que o aplicativo carregava. Salvar seu trabalho significava que o aplicativo reescrevia seu próprio HTML, baixava-se para o seu laptop, e você o reenviava para uma unidade compartilhada como uma nova versão. Se duas pessoas editassem ao mesmo tempo, a última a salvar vencia, e as edições da outra pessoa desapareciam.
Um dia, uma função de salvamento procurou um marcador no arquivo, não o encontrou, e escreveu de volta o que tinha de qualquer maneira. O aplicativo inteiro de 540 KB foi truncado para 7 bytes. Em uma única gravação silenciosa, o painel no qual sua equipe confiava todos os dias deixou de existir, e nada na forma como foi construído foi projetado para detectá-lo, detê-lo ou trazê-lo de volta.
A maioria dos líderes ouve essa história e conclui que o desenvolvimento cidadão é um passivo a ser eliminado. Achamos que essa é a lição errada, e as empresas que agirem com base nisso vão perder. A lição certa: ela fez seu trabalho brilhantemente. Ninguém tinha construído a estrada para o software ser entregue.
O gargalo se moveu
Por décadas, construir software era a parte cara. Era lento, escasso e custoso, e todo o ciclo de vida de desenvolvimento de software cresceu para protegê-lo. Especificações, tickets, sprints, revisão de código: toda cerimônia no SDLC tradicional existe porque escrever o código era o gargalo.
A IA reduziu esse estágio a quase zero, e o gargalo se moveu. Quando qualquer um pode construir um aplicativo funcional em uma tarde, o trabalho caro não é mais a construção. É o que vem depois: garantir que o que foi construído seja sólido e seguro, e manter uma frota crescente desses aplicativos governada quando estiverem em produção.
GIF
E a construção não está desacelerando, criando dois problemas que precisam ser resolvidos:
Primeiro, qualidade sob o capô. Um agente solicitado a partir de uma página em branco por um não-engenheiro converge para software improvisado que funciona hoje e é inmantenível para sempre. O arquivo de 540 KB não é um outlier; é a saída padrão da construção sem trilhos.
Segundo, proliferação. Cada equipe quer seu próprio aplicativo, e nenhum grupo central de TI pode construir e operar dezenas deles manualmente. Sem salvaguardas, cada um é construído na pilha que o construtor ou o modelo buscou: um banco de dados diferente, um esquema de autenticação diferente, segredos escondidos onde quer que caiam. Bloqueie as solicitações e elas não param, apenas saem do radar. De qualquer forma, você herda não apenas uma frota de aplicativos, mas a bagunça emaranhada da infraestrutura por baixo deles, e nada disso é algo que a TI possa razoavelmente proteger, suportar ou explicar.
Então, a verdadeira questão que toda empresa está prestes a enfrentar: como você permite que funcionários não técnicos entreguem software interno real sem herdar essa frota?
As três respostas padrão falham:
1) Tranque tudo. As solicitações se acumulam, a paciência acaba, e os aplicativos clandestinos são construídos de qualquer maneira. Agora você não pode ver nada disso. Você não pode governar o que não pode ver.
2) Deixe rolar. Aponte não-engenheiros para ferramentas de IA sem estrutura e celebre as demonstrações. É assim que você consegue o arquivo de 540 KB. E você não pode revisar seu caminho para fora disso depois do fato. Quando um monólito aparece na revisão de código, já é um monólito. Tem que ser prevenido no ponto de partida.
3) Revise tudo. Coloque uma aprovação humana em cada mudança. Sua equipe de TI é enxuta, o volume de construção está explodindo, e agora cada implantação espera na agenda de um revisor. As revisões ou matam a adoção ou são carimbadas. Ambos os resultados derrotam o propósito.
Então, a resposta não é outro documento de política, mas um ciclo de vida: um SDLC real, projetado para pessoas que nunca se autodenominarão desenvolvedores, com salvaguardas incorporadas à plataforma em vez de escritas em um memorando. Uma estrada que leva uma construção desde a primeira ideia em linguagem simples até a produção governada, sem nunca pedir ao construtor que se torne um engenheiro. A pessoa fornece a intenção; a plataforma fornece a disciplina.
Um princípio percorre cada estágio: a IA faz o trabalho pesado, o código determinístico estabelece as salvaguardas, e os humanos lidam com as exceções. A IA rascunha, classifica e escreve. O código decide o que é permitido. As pessoas são usadas apenas onde o julgamento é realmente necessário. Segure essa divisão; é o que faz tudo escalar.
Chamamos isso de SDLC do Cidadão. Seis estágios, cada um governado.
Estágio 1
A ideia
Uma pessoa descreve o aplicativo em linguagem simples, com a ajuda da IA: o que faz, quem usa, quais dados toca, quem é o dono. Leva minutos e parece um memorando. Ele dobra como o resumo no qual tudo downstream é executado. Este é o primeiro movimento do modelo operacional: a IA faz o trabalho de transformar uma divagação em um artefato estruturado.
Aqui está como isso se parece na prática. Alguém em finanças de fundos digita: "Quero um rastreador para avisos de chamada de capital. Agora é uma planilha que atualizo manualmente e envio por e-mail toda sexta-feira." A IA pergunta o que um analista de admissão perguntaria. Quem mais precisa ver? Doze pessoas em finanças de fundos e RI. Onde os dados vivem hoje? Uma planilha no Box, e acesso somente leitura é suficiente. Quem é o dono quando você estiver fora? O gerente dela. A divagação se tornou um resumo: propósito, usuários, fonte de dados, nível de acesso, proprietário, até mesmo um primeiro palpite sobre a forma do aplicativo. Um PRD, em efeito, escrito por alguém que nunca ouviu o termo PRD.
GIF
Nada existe ainda. Sem código, sem acesso, sem infraestrutura. Isso é intencional: a empresa forma uma opinião sobre o aplicativo antes que ele exista, em vez de seis meses depois de ele estar sustentando cargas.
Estágio 2
A porta de entrada
Cada solicitação passa por uma porta de entrada estruturada, e o mesmo movimento que a arquiva a coloca diretamente na triagem. O resumo é a solicitação, o ticket que a TI vê, o registro permanente e uma entrada em um catálogo que todos podem pesquisar, tudo ao mesmo tempo. Sem pedidos no corredor, sem favores, sem pipeline clandestino. Você não pode governar o que não pode ver, e não pode compartilhar o que não pode encontrar. A porta de entrada torna ambos verdadeiros desde o primeiro dia.
Este é o estágio que mata o pipeline clandestino. Uma construção que pula a porta de entrada ainda pode existir como um protótipo em um laptop, mas é aí que fica. Tudo o que transforma um protótipo em software em que uma equipe pode confiar vive downstream deste estágio: armazenamento real, login da empresa, um pipeline de implantação, algum lugar para realmente executar. Nada disso chega a uma construção que nunca passou pela porta. Você pode contornar a porta de entrada; você só não pode passar do protótipo se o fizer.
Estágio 3
A triagem
A IA classifica a solicitação ao longo de dois eixos. Forma: que tipo de aplicativo é? Uma auditoria reversa do que os funcionários realmente constroem quase sempre se reduz a uma lista curta: geradores de artefatos, automações de fluxo de trabalho, aplicativos CRUD e painéis interativos. Nomear a forma diz a arquitetura de que precisa, e entrega ao próximo estágio a estrada pavimentada para carimbar. Raio de explosão: quanto dano essa construção poderia causar se desse errado? Pontuamos isso em quatro dimensões:
- Alcance e capacidade: o que pode tocar, e pode escrever ou apenas ler?
- Reversibilidade e autonomia: há um humano no circuito, e a ação pode ser desfeita?
- Exposição: quem vê a saída, e até onde ela viaja para fora da empresa?
- Sensibilidade dos dados: quão confidenciais são os dados com os quais interage?
Mas aqui está a regra que torna isso confiável: A IA aconselha. O código decide. O modelo lê o resumo e o classifica; então o código de política que a TI escreveu verifica cada classificação contra as regras. Veja-o funcionar no rastreador de chamada de capital. Forma: painel interativo. Raio de explosão: dados internos do fundo, doze usuários internos, somente leitura, humano no circuito, sem sobreposição com aplicativos existentes. Cada dimensão cai dentro dos limites aprovados, então é aprovado, e nenhum humano discutiu sobre isso.
Agora mude um fato. Digamos que o rastreador também precise de dados de compromisso do LP. O resumo pode ser tão persuasivo quanto quiser; essa única mudança eleva a dimensão de sensibilidade dos dados além do limite que a TI definiu, e a solicitação vai para uma pessoa. Nenhum julgamento aconteceu no meio do caminho. Uma regra ou corresponde ou não.
Três rotas de saída:
- Aprovado. Raio de explosão dentro de cada limite, resumo completo, alta confiança. Em nosso cliente, cerca de 9 em cada 10 solicitações são resolvidas dessa forma, automaticamente.
- Reutilizar. Ele se sobrepõe a um aplicativo que já existe, então o solicitante é direcionado para o proprietário desse aplicativo em vez de construir uma duplicata. Duplicatas são mescladas, não multiplicadas.
- Escalado. Uma dimensão cruza seu limite, ou a confiança é baixa. Um humano de TI e Segurança recebe a solicitação completa como contexto.
GIF
A décima solicitação, a exceção, ainda chega à mesa de um humano com o resumo completo anexado. As outras nove nunca precisaram disso.
Estágio 4
O provisionamento
Aqui está a jogada que permite que a TI diga sim em volume: o provisionamento não é a TI perdendo o controle do que é enviado, mas o controle da TI se movendo para upstream. Em vez de revisar cada aplicativo depois do fato, a TI cria a estrada pavimentada uma vez, e todo aplicativo nasce nela. Uma pessoa aprova, e a plataforma carimba o aplicativo a partir da estrada para sua forma: um repositório, login da empresa, uma identidade de implantação, um ambiente privado e seu próprio banco de dados, tudo definido como infraestrutura como código que a TI possui e versiona. Provisionado em minutos.
Este é o único momento em que poder elevado é executado, e um humano está na frente dele. Todo aplicativo nasce isolado, governado e auditado: seu próprio ambiente murado, sem endereço público, sem segredos de nuvem armazenados, uma trilha de auditoria somente anexação desde o dia zero. O trabalho de segurança aconteceu uma vez, na estrada. Nenhum aplicativo tem que repeti-lo.
Como a estrada é criada por forma, a aprovação humana é uma postura padrão, não um imposto permanente. Formas novas e construções de alto raio de explosão mantêm o portão humano para sempre. Mas uma vez que a estrada de uma forma se provou em construções suficientes, solicitações de baixo raio de explosão nessa estrada podem provisionar automaticamente. É a mesma lógica de "salvar o julgamento humano para a cauda" aplicada um estágio antes: no início, você encaminha mais para uma pessoa, e à medida que os padrões se mantêm, a linha se move em direção à automação.
E a estrada carrega mais uma coisa que importa tanto quanto a infraestrutura: o livro de regras da IA. O repositório herdado entrega ao agente de codificação um conjunto de instruções em cada sessão, codificando os antipadrões aprendidos com falhas reais. Não incorpore blobs de dados com mais de 1 KB. Não adicione funções que reescrevam dados quando o aplicativo carregar. É assim que a qualidade sob o capô é resolvida sem pedir ao construtor que conheça uma única prática recomendada: a estrada faz o agente segui-las. Cada uma dessas regras é uma cicatriz com uma história por trás (você leu uma delas).
Estágio 5
A construção
O construtor solicita seu agente de codificação (Claude Code, Codex, etc.) dentro de um espaço de trabalho em nuvem controlado, nunca em seu próprio laptop. Um agente de terminal em um laptop herda tudo o que está ali: e-mail, unidades sincronizadas, cookies do navegador, credenciais em cache. No espaço de trabalho, o agente vê o projeto. Nada mais.
Tudo o que um engenheiro normalmente carregaria é carregado pelos trilhos: em nosso cliente, 35 salvaguardas em quatro camadas que o construtor não pode desligar.
A camada de mesclagem inclui verificações de desvio criadas especificamente para código gerado por IA: orçamentos de tamanho de arquivo, sem dados embutidos superdimensionados, conformidade com o registro de auditoria. Verde ou não mescla. Quando uma verificação falha, o construtor pede ao agente para corrigi-la e envia novamente.
Humanos não revisam mudanças de rotina. As verificações são a revisão. Mudanças de rotina se movem na velocidade da CI, não na velocidade da agenda de um revisor. O que chega a um humano é a cauda consequente, detectada mecanicamente: mudanças destrutivas de esquema, novas dependências, mudanças nas próprias restrições do agente, qualquer coisa que toque na infraestrutura. Essas esperam por uma pessoa. Nada mais espera. E quando algo novo escapa de qualquer maneira, a correção é uma nova verificação automatizada, não mais revisão humana. O sistema se torna mais rigoroso codificando lições, não adicionando reuniões.
Lembre-se do painel da abertura. Duas dessas verificações de desvio teriam disparado nele na primeira semana. O blob de 80 KB em linha única teria falhado na CI em seu primeiro commit, meses antes de qualquer um dos modos de falha se solidificar.
Estágio 6
Execução e mudança
Seis meses depois, o rastreador de chamada de capital ainda está rodando, e é aqui que o ciclo de vida ganha seu sustento. Alguém no RI questiona o prazo de transferência no aviso de março. A trilha de auditoria responde em trinta segundos: quem mudou o campo, quando, e o que dizia antes, registrado na mesma transação que a própria edição. Ninguém reconstrói a verdade a partir de uma cadeia de e-mails. Quando o construtor muda de equipe, a propriedade é transferida para um sucessor nomeado em vez de se dissolver em um encolher de ombros. E se ela sair da empresa completamente, seu login morre e cada porta que ele abriu fecha ao mesmo tempo. O rastreador incluído. A solicitação de recurso do próximo trimestre percorre os mesmos trilhos que o primeiro commit.
A governança funciona com base em sinais, não em auditorias anuais. As métricas de uso do rastreador mostram mais duas equipes contando com ele, então ele é promovido e recebe investimento. O painel de moeda que ninguém abre desde abril é arquivado, não deixado para apodrecer em um menu. Ninguém o lamenta. A propriedade é atribuída no primeiro dia, então nada sobrevive ao seu construtor sem dono. A documentação se regenera à medida que o aplicativo evolui, então nunca fica desatualizada. Um aplicativo não utilizado é uma falha, não um troféu. O objetivo nunca foi a contagem de aplicativos: é um catálogo vivo em que suas pessoas realmente confiam, em vez de um cemitério de software esquecido.
À medida que o catálogo cresce de dez aplicativos para duzentos, uma equipe central não pode mais ficar de olho em tudo, e a supervisão tem que se expandir para as equipes que possuem os aplicativos. Quando e até onde descentralizar isso é um julgamento, e muda à medida que o portfólio cresce. A governança aqui é uma postura que você continua ajustando, não um controle que você define uma vez.
A regra que mantém tudo unido
Há um gatilho que ensinamos a cada cliente, porque responde a 90% das perguntas "isso precisa do processo completo?": a regra do segundo consumidor. Funciona porque esse é o momento em que o perfil de risco muda.
Alguém construindo uma análise para si, em seu próprio laptop, com acesso a dados limitado? Baixo raio de explosão, governança leve. Gráficos, memorandos e scripts que eles executam para si mesmos não precisam de um pipeline de implantação. Mas no momento em que uma segunda pessoa quer usar a saída diretamente, em vez de pedir ao autor atualizações? O raio de explosão aumenta: mais alcance, dados viajando mais longe, outra pessoa confiando que esteja correto. É software agora, e se gradua para o ciclo de vida completo, deliberadamente, como um evento explícito. Mesmas fontes de dados, mesma identidade, nova estrada.
Essa única regra é a razão pela qual o processo não afoga as pessoas. A maioria das construções nunca cruza a linha. As que cruzam são exatamente as que valem a cerimônia.
O que somos honestos sobre
Nenhuma plataforma faz construtores de primeira viagem escreverem código perfeito. Não afirmamos isso. As camadas existem para que um erro seja um inconveniente dentro de um pequeno limite, não um incidente em toda a empresa. Cada camada cobre exatamente o que a acima dela não pode:
E a auditoria não previne nada, mas torna cada incidente curto, explicável e atribuível. Essa é a diferença entre uma tarde ruim e um trimestre ruim.
O desenvolvimento cidadão não pretende substituir a engenharia profissional. Sistemas de registro em processos regulados, qualquer coisa voltada para o cliente ou investidor, aplicativos construídos para usuários externos, qualquer coisa onde o tempo de inatividade acarrete uma penalidade financeira: esses ainda pertencem à engenharia, e a porta de entrada os encaminha para lá no primeiro dia. O que substitui é o gargalo. Democratiza a longa cauda de ferramentas internas que nunca valeram um projeto formal de engenharia e as entrega a uma velocidade que a fila do roadmap nunca poderia oferecer. Um framework sem limites é um slogan; este sabe para o que não serve.
O que realmente muda
Na empresa de investimentos, o primeiro aplicativo através da plataforma é aquele que a motivou: o painel da história de abertura, refeito nos trilhos. Mesmas telas. Mesma construtora. Agora com armazenamento real, login da empresa e um histórico de cada edição. Nunca mais pode se truncar para 7 bytes, porque a classe de código que causou isso não pode ser mesclada.
Cerca de 9 em cada 10 solicitações já são resolvidas automaticamente, e essa participação só cresce. A maior parte do que os construtores não técnicos fazem é de baixo raio de explosão por natureza. Ferramentas internas, principalmente de leitura, de pequena audiência. À medida que a estrada de cada forma se prova, mais dessas construções se tornam seguras para provisionar e implantar sem nenhum humano no circuito. A atenção humana continua se concentrando na cauda consequente e diminuindo em todos os outros lugares.
Sim leva minutos hoje, e tende a instantâneo, porque não está embutido.
Toda empresa está prestes a ter centenas de construtores. A maioria das empresas ainda está decidindo se deve ter medo disso ou ficar animada com isso. As que vencerem não serão as com mais construtores. Serão as com as melhores estradas.
