Fintech, saúde e jurídico vivem a mesma tentação: o copilot escreve testes em minutos e alguém sugere ligá-lo em todo o pipeline. Em setor regulado, uma violação custa multas na casa dos milhões e sanções operacionais que travam produto por meses. Definir quando IA não deve tocar o código protege mais valor do que qualquer ganho de velocidade.
Setores regulados em primeiro lugar
Fintech responde ao Banco Central e às regras de segurança cibernética da Resolução BCB 4.893. Saúde manipula dado sensível sob a LGPD e acumula exigências da ANVISA. Advocacia carrega sigilo profissional com força de lei; consulte o jurídico cedo, porque regra de setor muda por jurisdição. Um ganho de produtividade de 30% evapora diante da primeira multa ou intervenção.
Por onde o dado vaza
Dois caminhos dominam. Prompts levam dados reais de clientes para APIs de terceiros. E o treinamento ou fine-tuning sobre o repositório segue em curso quando o contrato com o provedor permite. Classifique o prompt como dado: ele viaja para fora da empresa igual payload de API. Os dois casos nascem de hábito, de má intenção nenhuma.
Modelos self-hosted na própria GPU
Llama, Mistral e Qwen rodando em GPUs próprias trocam capacidade bruta por controle. Para gerar testes unitários, refatorar módulos isolados e documentar código interno, os modelos abertos de 2026 dão conta do recado. Hardware dedicado custa menos que multa de LGPD; faça a conta com seu volume de inferência. Para raciocínio arquitetural complexo, o gap existe e a política precisa reconhecê-lo.
Leia o contrato até o fim
Planos enterprise anunciam zero retention. Confirme o que o termo cobre de verdade: prompts, completions, telemetria, relatórios de abuso. Alguns provedores retêm dados para investigar abuso mesmo em plano pago, e essa exceção derruba a garantia em contexto regulado. Peça a política de retenção por escrito anexada ao contrato, longe do material de marketing.
Fixtures sintéticas no dia a dia
Domínios que exigem isolamento pedem desenvolvimento com dados falsos moldados como os de produção: mesmos formatos, mesmos volumes, mesmas bordas. Bibliotecas como Faker e geradores de synthetic data montam esse material em minutos.
Política em três zonas
Feche o documento com um modelo que caiba numa tabela:
- Zona verde: ferramentas externas liberadas para código e dados públicos.
- Zona amarela: ferramentas aprovadas, dados mascarados ou anonimizados.
- Zona vermelha: nenhum modelo externo, infraestrutura própria apenas.
Atribua uma zona a cada repositório no primeiro mês. Política que cabe numa tabela cabe na cabeça do time.
