Os Três Gargalos que Estão Anulando os Ganhos da Geração de Código

O relatório identifica um padrão claro: as ferramentas de IA aceleram a criação do código, mas essa velocidade gera pontos de pressão em todas as outras etapas. Nove em cada dez equipes relataram problemas com código gerado por IA em algum ponto do fluxo de trabalho . Esses problemas não surgem aleatoriamente. Eles se concentram em três atividades que, juntas, absorvem o tempo economizado no início do ciclo de desenvolvimento:

• Revisão manual de código (52%) — os revisores agora lidam com um volume maior de código gerado por IA do que de código escrito por humanos, e esse volume só cresce .
• Testes de segurança (51%) — o código gerado por IA introduz novas classes de vulnerabilidades que não existiam no código escrito manualmente, especialmente em injeção de dependências, segredos inseridos diretamente no código e recomendações de bibliotecas desatualizadas .
• Retrabalho do código gerado (48%) — quase metade das equipes relata gastar um tempo significativo corrigindo, refatorando ou reescrevendo o resultado da IA antes que ele possa ser publicado .

Esse fenômeno agora tem um nome: deslocamento de esforço operacional. Em vez de eliminar o trabalho, a IA o transfere da fase de criação para as fases de verificação, teste e correção . A análise da Black Duck é direta: "a maioria das organizações está produzindo código gerado por IA mais rápido do que consegue revisá-lo, protegê-lo ou governá-lo" .

Governança: O Verdadeiro Multiplicador de ROI

Se há uma descoberta do relatório que os líderes de engenharia devem priorizar, é esta: a governança é o multiplicador do retorno sobre o investimento (ROI) . A diferença entre as equipes que governam o uso de IA e as que não o fazem não é pequena — é a diferença entre capturar os ganhos de eficiência e vê-los escaparem pelas brechas do processo.

A Black Duck constatou que organizações com estruturas de governança completas relataram ganhos de eficiência significativos em 90% dos casos com as ferramentas de IA. Já as equipes sem supervisão estruturada? O número cai para 44% .

Nesse contexto, governança não significa burocracia. Significa ter políticas definidas sobre quais ferramentas são usadas, como o código gerado por IA é revisado, quais barreiras de segurança devem ser cumpridas e quem se responsabiliza pelo resultado final. É a diferença entre "cada desenvolvedor usa o que quer" e "os desenvolvedores usam ferramentas aprovadas dentro de um fluxo estruturado e auditável".

O Problema da Shadow AI

O que complica ainda mais a governança é o crescimento da chamada Shadow AI — o uso, por parte dos desenvolvedores, de ferramentas de IA que contrariam ou ignoram a política da empresa. A Black Duck descobriu que 18% das organizações relatam a Shadow AI como um risco significativo não gerenciado . Quando ferramentas como Cursor, Windsurf ou Claude Code são adotadas individualmente pelos desenvolvedores, sem passar pelos processos de aquisição ou revisão de segurança, a organização perde a visibilidade sobre sua superfície de ataque .

Riscos na Cadeia de Suprimentos: O Que o Código de IA Herda

As implicações para a cadeia de suprimentos de software são o ponto onde as lacunas de governança se transformam em vulnerabilidades concretas. O trabalho da Black Duck — incluindo seu relatório relacionado, o 2026 OSSRA — destaca três riscos interconectados, específicos dos assistentes de código por IA:

"Lavagem" de licenças. Os assistentes de IA, treinados em repositórios de código aberto, podem gerar trechos de código provenientes de fontes com licenças restritivas (copyleft) sem reter as informações da licença original . O relatório OSSRA de 2026 constatou que dois terços das bases de código auditadas continham conflitos de licenciamento — a maior taxa da história do relatório . As organizações podem estar publicando código que não têm o direito de usar, sem sequer saber disso.

Explosão de dependências. O número de componentes de código aberto por base de código cresceu 30% ano a ano, e a média de vulnerabilidades por base de código disparou 107% . Os assistentes de programação por IA aceleram essa tendência, pois geram soluções mais rapidamente e a partir de corpora de treinamento mais amplos — o que significa que cada função gerada por IA pode incorporar dependências que o desenvolvedor não escolheu explicitamente.

A lacuna de conformidade. Apenas 24% das organizações realizam avaliações abrangentes de propriedade intelectual, licenciamento, segurança e qualidade do código gerado por IA . Isso significa que três quartos das organizações não conseguem responder com segurança à pergunta: "A quais obrigações legais e de segurança nós acabamos de nos comprometer?"

Confiança do Desenvolvedor: Adoção Sobe Enquanto a Confiança Despenca

As descobertas da Black Duck não acontecem no vácuo. Várias pesquisas independentes, publicadas no mesmo período, reforçam e aprofundam o cenário de confiança com dados granulares:

• A Pesquisa State of Code Developer 2026 da Sonar (com mais de 1.100 desenvolvedores) descobriu que 96% dos desenvolvedores não confiam totalmente na precisão funcional do código gerado por IA . Ainda assim, apenas 48% sempre o verificam antes de fazer um commit — ou seja, código do qual os próprios desenvolvedores desconfiam está sendo regularmente enviado para produção .
• A Pesquisa de Desenvolvedores de 2025 do Stack Overflow (com 49.009 entrevistados) mostrou que a confiança na precisão da IA caiu de 40% para 29% em um ano. A desconfiança ativa subiu para 46%, enquanto a percepção favorável caiu de 72% para 60% .
• O relatório State of AI-Driven Software Releases 2026 da Harness (com 500 líderes de engenharia) descobriu que 57% ainda exigem revisão humana no ciclo para cada linha de código gerada por IA, e 29% gastam mais tempo na revisão de código agora do que antes de adotar os assistentes .

O consenso entre essas pesquisas é notavelmente consistente: os desenvolvedores não conseguem mais trabalhar sem as ferramentas de IA, mas também não conseguem confiar totalmente nelas. A lacuna entre a geração e a verificação tornou-se o novo gargalo do desenvolvimento de software.

Diana Kelley, CISO da Noma Security, resumiu a tensão central: "Código mais rápido não é a mesma coisa que código mais seguro" .

Como é a Governança na Prática

A prescrição da Black Duck não é abstrata. O relatório aponta um conjunto de medidas concretas que distinguem os 30% com governança completa do restante do mercado:

1. Estruturas de governança de IA estruturadas — não diretrizes informais, mas políticas documentadas e aplicadas que abrangem a aprovação de ferramentas, a revisão dos resultados e a responsabilização .
2. Barreiras de revisão integradas ao pipeline — deixar de lado os processos manuais de repasse para a fila de testes de segurança, ainda usados por 46% das empresas, e adotar verificações automatizadas de qualidade e segurança executadas a cada commit assistido por IA .
3. Monitoramento contínuo pós-implantação — a Black Duck observa que "uma estratégia de apenas 'shift-left' não é mais suficiente", porque o risco é introduzido, descoberto e deve ser gerenciado ao longo de todo o ciclo de vida do desenvolvimento de software .
4. Racionalização do conjunto de ferramentas de segurança — mais de 71% dos entrevistados relataram a dispersão de ferramentas como uma grande fonte de atrito, e a consolidação em um número menor de ferramentas bem integradas é um pré-requisito para escalar a IA com segurança .

O Resultado Final

O relatório da Black Duck não argumenta contra o uso de assistentes de programação por IA. Ele argumenta que usá-los sem uma governança equivalente é contraproducente, uma espécie de tiro no pé. Quando 97% das equipes geram código em uma velocidade sem precedentes, mas apenas 30% possuem a infraestrutura de supervisão para gerenciá-lo, a indústria está, coletivamente, gastando mais do que pode pagar.

A correlação entre governança e ganhos de eficiência — 90% contra 44% — torna o argumento de negócios inquestionável. As organizações que construírem as barreiras de proteção primeiro capturarão a produtividade que a IA promete. As que não o fizerem descobrirão, repetidamente, que o tempo economizado na digitação do código será gasto na fila de revisão e correção.

Os Três Gargalos que Estão Anulando os Ganhos da Geração de Código

O relatório identifica um padrão claro: as ferramentas de IA aceleram a criação do código, mas essa velocidade gera pontos de pressão em todas as outras etapas. Nove em cada dez equipes relataram problemas com código gerado por IA em algum ponto do fluxo de trabalho . Esses problemas não surgem aleatoriamente. Eles se concentram em três atividades que, juntas, absorvem o tempo economizado no início do ciclo de desenvolvimento:

• Revisão manual de código (52%) — os revisores agora lidam com um volume maior de código gerado por IA do que de código escrito por humanos, e esse volume só cresce .
• Testes de segurança (51%) — o código gerado por IA introduz novas classes de vulnerabilidades que não existiam no código escrito manualmente, especialmente em injeção de dependências, segredos inseridos diretamente no código e recomendações de bibliotecas desatualizadas .
• Retrabalho do código gerado (48%) — quase metade das equipes relata gastar um tempo significativo corrigindo, refatorando ou reescrevendo o resultado da IA antes que ele possa ser publicado .

Esse fenômeno agora tem um nome: deslocamento de esforço operacional. Em vez de eliminar o trabalho, a IA o transfere da fase de criação para as fases de verificação, teste e correção . A análise da Black Duck é direta: "a maioria das organizações está produzindo código gerado por IA mais rápido do que consegue revisá-lo, protegê-lo ou governá-lo" .

Governança: O Verdadeiro Multiplicador de ROI

Se há uma descoberta do relatório que os líderes de engenharia devem priorizar, é esta: a governança é o multiplicador do retorno sobre o investimento (ROI) . A diferença entre as equipes que governam o uso de IA e as que não o fazem não é pequena — é a diferença entre capturar os ganhos de eficiência e vê-los escaparem pelas brechas do processo.

A Black Duck constatou que organizações com estruturas de governança completas relataram ganhos de eficiência significativos em 90% dos casos com as ferramentas de IA. Já as equipes sem supervisão estruturada? O número cai para 44% .

Nesse contexto, governança não significa burocracia. Significa ter políticas definidas sobre quais ferramentas são usadas, como o código gerado por IA é revisado, quais barreiras de segurança devem ser cumpridas e quem se responsabiliza pelo resultado final. É a diferença entre "cada desenvolvedor usa o que quer" e "os desenvolvedores usam ferramentas aprovadas dentro de um fluxo estruturado e auditável".

O Problema da Shadow AI

O que complica ainda mais a governança é o crescimento da chamada Shadow AI — o uso, por parte dos desenvolvedores, de ferramentas de IA que contrariam ou ignoram a política da empresa. A Black Duck descobriu que 18% das organizações relatam a Shadow AI como um risco significativo não gerenciado . Quando ferramentas como Cursor, Windsurf ou Claude Code são adotadas individualmente pelos desenvolvedores, sem passar pelos processos de aquisição ou revisão de segurança, a organização perde a visibilidade sobre sua superfície de ataque .

Riscos na Cadeia de Suprimentos: O Que o Código de IA Herda

As implicações para a cadeia de suprimentos de software são o ponto onde as lacunas de governança se transformam em vulnerabilidades concretas. O trabalho da Black Duck — incluindo seu relatório relacionado, o 2026 OSSRA — destaca três riscos interconectados, específicos dos assistentes de código por IA:

"Lavagem" de licenças. Os assistentes de IA, treinados em repositórios de código aberto, podem gerar trechos de código provenientes de fontes com licenças restritivas (copyleft) sem reter as informações da licença original . O relatório OSSRA de 2026 constatou que dois terços das bases de código auditadas continham conflitos de licenciamento — a maior taxa da história do relatório . As organizações podem estar publicando código que não têm o direito de usar, sem sequer saber disso.

Explosão de dependências. O número de componentes de código aberto por base de código cresceu 30% ano a ano, e a média de vulnerabilidades por base de código disparou 107% . Os assistentes de programação por IA aceleram essa tendência, pois geram soluções mais rapidamente e a partir de corpora de treinamento mais amplos — o que significa que cada função gerada por IA pode incorporar dependências que o desenvolvedor não escolheu explicitamente.

A lacuna de conformidade. Apenas 24% das organizações realizam avaliações abrangentes de propriedade intelectual, licenciamento, segurança e qualidade do código gerado por IA . Isso significa que três quartos das organizações não conseguem responder com segurança à pergunta: "A quais obrigações legais e de segurança nós acabamos de nos comprometer?"

Confiança do Desenvolvedor: Adoção Sobe Enquanto a Confiança Despenca

As descobertas da Black Duck não acontecem no vácuo. Várias pesquisas independentes, publicadas no mesmo período, reforçam e aprofundam o cenário de confiança com dados granulares:

• A Pesquisa State of Code Developer 2026 da Sonar (com mais de 1.100 desenvolvedores) descobriu que 96% dos desenvolvedores não confiam totalmente na precisão funcional do código gerado por IA . Ainda assim, apenas 48% sempre o verificam antes de fazer um commit — ou seja, código do qual os próprios desenvolvedores desconfiam está sendo regularmente enviado para produção .
• A Pesquisa de Desenvolvedores de 2025 do Stack Overflow (com 49.009 entrevistados) mostrou que a confiança na precisão da IA caiu de 40% para 29% em um ano. A desconfiança ativa subiu para 46%, enquanto a percepção favorável caiu de 72% para 60% .
• O relatório State of AI-Driven Software Releases 2026 da Harness (com 500 líderes de engenharia) descobriu que 57% ainda exigem revisão humana no ciclo para cada linha de código gerada por IA, e 29% gastam mais tempo na revisão de código agora do que antes de adotar os assistentes .

O consenso entre essas pesquisas é notavelmente consistente: os desenvolvedores não conseguem mais trabalhar sem as ferramentas de IA, mas também não conseguem confiar totalmente nelas. A lacuna entre a geração e a verificação tornou-se o novo gargalo do desenvolvimento de software.

Diana Kelley, CISO da Noma Security, resumiu a tensão central: "Código mais rápido não é a mesma coisa que código mais seguro" .

Como é a Governança na Prática

A prescrição da Black Duck não é abstrata. O relatório aponta um conjunto de medidas concretas que distinguem os 30% com governança completa do restante do mercado:

1. Estruturas de governança de IA estruturadas — não diretrizes informais, mas políticas documentadas e aplicadas que abrangem a aprovação de ferramentas, a revisão dos resultados e a responsabilização .
2. Barreiras de revisão integradas ao pipeline — deixar de lado os processos manuais de repasse para a fila de testes de segurança, ainda usados por 46% das empresas, e adotar verificações automatizadas de qualidade e segurança executadas a cada commit assistido por IA .
3. Monitoramento contínuo pós-implantação — a Black Duck observa que "uma estratégia de apenas 'shift-left' não é mais suficiente", porque o risco é introduzido, descoberto e deve ser gerenciado ao longo de todo o ciclo de vida do desenvolvimento de software .
4. Racionalização do conjunto de ferramentas de segurança — mais de 71% dos entrevistados relataram a dispersão de ferramentas como uma grande fonte de atrito, e a consolidação em um número menor de ferramentas bem integradas é um pré-requisito para escalar a IA com segurança .

O Resultado Final

O relatório da Black Duck não argumenta contra o uso de assistentes de programação por IA. Ele argumenta que usá-los sem uma governança equivalente é contraproducente, uma espécie de tiro no pé. Quando 97% das equipes geram código em uma velocidade sem precedentes, mas apenas 30% possuem a infraestrutura de supervisão para gerenciá-lo, a indústria está, coletivamente, gastando mais do que pode pagar.

A correlação entre governança e ganhos de eficiência — 90% contra 44% — torna o argumento de negócios inquestionável. As organizações que construírem as barreiras de proteção primeiro capturarão a produtividade que a IA promete. As que não o fizerem descobrirão, repetidamente, que o tempo economizado na digitação do código será gasto na fila de revisão e correção.