QA corporativo é a disciplina que garante que o software entregue faça o que foi especificado, de forma consistente e verificável. Duas mudanças recentes tornaram essa definição insuficiente. A primeira é jurídica: uma classe inteira de defeitos que o QA tradicional classifica como cosmética, como um dado pessoal exibido sem mascaramento em uma tela enquanto é mascarado em outra, deixou de ser apenas inconsistência de interface e passou a ser tratamento de dado pessoal, sujeito às obrigações de segurança da LGPD. A segunda é técnica: quando IA generativa acelera a produção de código, ela replica o padrão que encontra, e um padrão defeituoso passa a se propagar na velocidade da ferramenta. O resultado é que rastreabilidade deixou de ser burocracia de processo e virou a evidência que a empresa tem, ou não tem, quando precisa demonstrar diligência.

Os gaps não são independentes: eles formam uma cadeia

O erro mais comum na leitura de um relatório de qualidade é tratar cada achado como um problema isolado, priorizá-los por severidade aparente e resolver os três primeiros. Isso falha porque os defeitos mais caros de uma operação de software raramente são independentes. Eles se encadeiam, e o último elo é sempre o mesmo: retrabalho que ninguém consegue explicar.

A cadeia típica tem esta forma:

sem modelo de dados → campos inconsistentes → sem validação →

dado inválido em produção → bug sem rastreabilidade → retrabalho

Vale percorrer o encadeamento devagar, porque cada elo explica o seguinte.

Quando não existe um modelo de dados acordado, o mesmo atributo é implementado de formas diferentes em telas diferentes: em um lugar é texto livre, em outro é uma lista de seleção. Sem um modelo, ninguém sabe qual está certo, e a divergência não é sequer reconhecida como defeito. Sem definição, não há validação a construir. Sem validação, o dado inválido entra em produção e passa a contaminar consultas, relatórios e integrações. E quando o bug aparece, se ele não carrega módulo, tipo, classificação e referência ao requisito que violou, torna-se impossível identificar que aquele é o mesmo problema aparecendo pela décima vez.

A tese deste guia: QA sem rastreabilidade não é QA barato, é QA que não gera aprendizado. Cada defeito corrigido sem classificação é uma correção que não impede a próxima ocorrência, porque o padrão por trás dela nunca fica visível. E agora há um agravante que muda a conta: parte desses defeitos tem consequência legal, e a mesma ausência de rastreabilidade que impede o aprendizado também impede demonstrar que a empresa agiu com diligência.

A classe de defeito que mudou de régua

Alguns achados de qualidade passaram a ter duas leituras simultâneas. A técnica, que os classifica por impacto funcional, e a de conformidade, que os classifica por exposição de dado pessoal. O problema é que a maioria dos processos de triagem só aplica a primeira, e é assim que um achado com consequência legal recebe prioridade baixa e envelhece no backlog.

O que a LGPD exige, com a ressalva devida

A LGPD (Lei 13.709/2018) determina, em seu artigo 46, que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. Ou seja, a exigência não é de intenção, é de medida aplicada. Um controle que existe em uma tela e falta em outra é, na prática, um controle não aplicado naquele ponto.

Quanto às consequências, o artigo 52 da mesma lei prevê, entre as sanções administrativas aplicáveis, a multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50 milhões por infração. Três ressalvas importam aqui, e omiti-las seria desonesto: sanções são aplicadas pela autoridade competente ao final de processo administrativo, considerando critérios como gravidade, boa-fé do agente e as medidas adotadas para mitigar o dano; a existência de um achado técnico não equivale a uma infração declarada; e este texto trata de engenharia de qualidade, não constitui aconselhamento jurídico, cabendo ao jurídico ou ao encarregado pelo tratamento de dados da empresa a avaliação de cada caso.

O ponto prático que interessa ao gestor de tecnologia independe da graduação da sanção: entre os critérios que a autoridade pondera estão justamente as medidas adotadas para mitigar o dano. E medida adotada, para efeito de prova, é medida registrada. Uma correção feita sem rastro é uma correção que a empresa não consegue demonstrar.

Por que a IA generativa transforma um defeito em um padrão

Até aqui, nada disso é novo. O que mudou é a velocidade com que um defeito se multiplica quando a produção de código é assistida por IA.

Modelos generativos aprendem e reproduzem padrões, inclusive os do próprio repositório em que operam. Se o padrão existente é campo de texto livre sem validação, a próxima tela gerada tende a repetir campo de texto livre sem validação, com a diferença de que agora sai em minutos. A IA não distingue convenção deliberada de defeito acumulado: ela vê consistência estatística e a estende. Sem uma definição explícita do que é aceitável, a aceleração amplia a área de superfície do mesmo problema.

É a mesma lógica que o Gartner descreve ao tratar de custo, e que vale igualmente para qualidade: sem um modelo operacional de engenharia governado, os efeitos escalam mais rápido que os ganhos que a ferramenta deveria entregar. Governado, aqui, significa algo bem concreto: existir um critério verificável contra o qual a entrega é avaliada antes de ser aceita, e não depois de chegar em produção.

A inversão que a IA obriga: quando a produção era lenta, dava para descobrir o defeito depois e corrigir a tempo. Com produção acelerada, o critério de aceite precisa existir antes, porque a janela entre gerar e propagar encolheu. Critério de aceite deixou de ser documentação de processo e virou o mecanismo de controle: é ele que define contra o que a entrega, humana ou gerada, será validada. Sem critério explícito, todo bug vira discussão subjetiva, e discussão subjetiva não escala na velocidade da IA.

Onde a rastreabilidade deixa de ser intenção (consultoria Jira)

Rastreabilidade tem fama de burocracia porque costuma ser implantada como campo obrigatório sem propósito declarado. Vista pelo ângulo certo, ela é a capacidade de responder três perguntas que uma operação madura precisa responder a qualquer momento:

•     Este defeito já aconteceu antes? Só é respondível se os itens carregam módulo, tipo e classificação. Sem isso, cada ocorrência parece inédita e o padrão nunca aparece.

•     Qual requisito este defeito violou? Depende de o item referenciar o critério de aceite correspondente. Sem essa ligação, a discussão sobre estar certo ou errado vira opinião.

•     O que fizemos a respeito, e quando? É a pergunta da auditoria, e a resposta é o histórico de transições do item, com autor e data.

As três dependem menos de ferramenta nova e mais de configuração deliberada do sistema que a empresa já usa. No Jira, isso significa tipos de item e campos que refletem o processo real de qualidade, workflow que impede um item avançar sem a classificação mínima, vinculação entre defeito e requisito, e o histórico de transições que a plataforma registra e disponibiliza para consulta programática. Quando o defeito com implicação de dado pessoal recebe uma marcação própria, ele deixa de competir por atenção na mesma fila do ajuste de espaçamento.

O que uma consultoria de IA acrescenta a um programa de QA

A pergunta é legítima, porque QA e IA parecem disciplinas separadas. Elas deixaram de ser por três razões práticas:

•     Definir o que a IA pode gerar sem revisão humana. É uma decisão de risco por tipo de tarefa, não uma configuração de ferramenta. Alterações que tocam dado pessoal pedem revisão obrigatória; ajustes isolados de apresentação, não.

•     Transformar critérios de aceite em verificações automáticas. Critério escrito em prosa não valida entrega. Critério expresso de forma verificável pode barrar o que não passa, antes do aceite.

•     Registrar o que foi gerado, com qual contexto e o que foi validado. É o mesmo requisito de rastreabilidade aplicado à produção assistida, e é o que permite responder pela origem de um defeito gerado.

Por que isso exige três competências, e não uma: engenharia de qualidade define o que é aceitável e como verificar. Arquitetura de IA define onde a automação entra e com qual nível de autonomia. Gestão do trabalho define onde tudo isso fica registrado e acompanhado. A CSP Tech reúne as três frentes, com consultoria Jira como Atlassian Gold Partner na camada de rastreabilidade e 34 anos construindo software corporativo na camada de engenharia. Programa de QA que não considera como a IA está sendo usada mede o passado; programa que ignora a rastreabilidade não gera evidência.

Quando esse nível de rigor é desproporcional

•     Produto sem dado pessoal e sem exigência regulatória. A camada de conformidade perde peso, e o programa de QA pode se concentrar em impacto funcional. O rigor deve acompanhar a exposição real.

•     Time pequeno com processo já disciplinado. Se todos os defeitos passam por poucas pessoas que conhecem o histórico, formalizar classificação traz menos ganho. O valor cresce quando o conhecimento não cabe mais na memória do time.

•     Antes de existir definição de qualidade acordada. Implantar campos de classificação sem que a empresa tenha acordado o que é defeito produz preenchimento por obrigação. A ordem é definir primeiro, instrumentar depois.

Perguntas frequentes

O que é QA para empresas?

É a disciplina que garante que o software entregue corresponda ao que foi especificado, de forma consistente e verificável, cobrindo definição de critérios de aceite, verificação antes da entrega e rastreabilidade dos defeitos encontrados. Em contexto corporativo, ela deixou de se limitar ao impacto funcional: parte dos defeitos tem leitura de conformidade, e a evidência do que foi identificado e tratado passou a ter valor próprio.

Um bug pode representar risco de LGPD?

Pode, quando o defeito envolve tratamento de dado pessoal. A LGPD determina em seu artigo 46 que os agentes de tratamento adotem medidas de segurança aptas a proteger os dados pessoais de tratamento inadequado, e um controle aplicado em parte do sistema e ausente em outra é, naquele ponto, um controle não aplicado. A caracterização de infração e eventual sanção cabe à autoridade competente ao final de processo administrativo, e a avaliação de cada caso concreto cabe ao jurídico ou ao encarregado pelo tratamento de dados da empresa.

Por que rastreabilidade de defeitos virou tão importante?

Por dois motivos que se somam. Sem classificação e vínculo ao requisito, cada defeito parece inédito, o padrão por trás dele nunca aparece e a correção não impede a próxima ocorrência. E, quando o defeito tem implicação de conformidade, o registro do que foi identificado, quando e o que se fez a respeito é a evidência de diligência que a empresa tem para apresentar. Medida adotada sem rastro é medida que não se consegue demonstrar.

A IA generativa melhora ou piora a qualidade do código?

Depende inteiramente do que existe antes dela. Modelos reproduzem os padrões que encontram, inclusive os defeituosos, e o fazem em velocidade maior. Onde há critério de aceite explícito e verificação antes do aceite, a aceleração amplia a entrega. Onde não há, ela amplia a propagação do que já estava errado. A lógica é a mesma que o Gartner aponta para custo: sem um modelo operacional de engenharia governado, os efeitos escalam mais rápido que os ganhos esperados.

Próximo passo

Se a sua operação convive com defeitos recorrentes que ninguém consegue agrupar, com critérios de aceite que existem apenas na conversa, ou com dúvida sobre quais achados têm implicação de dado pessoal, o diagnóstico vale mais que a próxima rodada de correções. Solicite um diagnóstico de QA e conformidade com a CSP Tech e receba o mapa da cadeia no seu ambiente: onde o dado nasce sem definição, onde a validação não existe, quais achados mudam de régua sob a ótica de conformidade e o que precisa estar registrado para virar evidência.

Autor: Guilherme Matos, estrategista de conteúdo e IA, certificado HubSpot, Google, Anthropic e Semrush. Revisão técnica por especialistas de engenharia e Atlassian da CSP Tech (Atlassian Gold Partner, Microsoft Gold Partner, parceira Databricks, participante do Anthropic Partner Network, 34 anos de mercado).

Fontes (acesso ago/2026): Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), artigo 46, sobre a adoção de medidas de segurança técnicas e administrativas, e artigo 52, sobre as sanções administrativas aplicáveis, incluindo multa simples de até 2% do faturamento no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, aplicadas pela autoridade competente ao final de processo administrativo e mediante ponderação de critérios legais. Gartner, press release sobre consumo de tokens e custos de AI coding (gartner.com/en/newsroom, 24/jun/2026), do qual se usa a formulação sobre a necessidade de um modelo operacional de engenharia governado para que os efeitos não escalem mais rápido que os ganhos. Atlassian, documentação de Jira sobre tipos de item, campos, workflow e histórico de transições (atlassian.com, developer.atlassian.com), verificada em peças anteriores deste cluster. Este conteúdo trata de engenharia de qualidade e governança técnica e não constitui aconselhamento jurídico.