O avanço dos agentes de inteligência artificial no desenvolvimento de software trouxe um novo desafio para o setor financeiro: como acelerar entregas sem atropelar os rigorosos pilares de segurança e conformidade regulatória. Para resolver esse dilema, o C6 Bank adotou a estratégia de Governance by Design, uma integração automatizada de travas de governança e segurança desde a fase de concepção do produto digital, e não como um gargalo no final da esteira.

A abordagem foi levada por José Luiz Santana, CISO do C6 Bank, durante participação no AWS Summit São Paulo 2026. Segundo o executivo, o advento da IA transformou a escrita de código em uma commodity, escancarando que a maior perda de tempo das empresas está nas etapas que antecedem e sucedem a codificação. E no banco, eles não queriam escolher entre governança e velocidade para poder aproveitar os benefícios da tecnologia.

Ao orquestrar todo o ciclo de vida dos produtos digitais com o apoio do Kiro e de outras soluções da AWS, o banco alcançou 88% de eficiência fim a fim, registrando reduções nos ciclos de desenvolvimento. Entre os exemplos citados por Santana estão: arquitetura de dados (projetos que demandavam 3 meses e uma equipe inteira passaram a ser concluídos em 8 dias com apenas 2 arquitetos); Testes e Validação Regulatória (análises de segurança e conformidade caíram de 2 meses para 8 dias); e Entregas de Produtos Financeiros (módulos com estimativa de 8 a 10 sprints foram entregues em 1 sprint única, com equipes enxutas).

IA é persistente e exige Guardrails

Santana ressaltou que a autonomia dos agentes de IA exige uma redefinição clara dos limites operacionais (guardrails). Como os modelos não são determinísticos e tentam cumprir a instrução a qualquer custo, incidentes e desvios de comportamento ocorrem por falhas de configuração humana ou falta de isolamento entre ambientes de homologação e produção.

Para manter o controle sobre a tecnologia sem perder agilidade, o banco adota três diretrizes fundamentais:

1. Visão Fim a Fim: A eficiência deve ser medida na construção global do produto, e não pela contagem de linhas de código geradas.
2. Supervisão Humana (Human-on-the-loop): O agente executa com persistência, mas a validação e a responsabilidade pelo prompt permanecem 100% sob controle humano.
3. Cultura e Pessoas: em vez de reduzir o quadro de funcionários, a eficiência liberou os desenvolvedores de tarefas repetitivas para atuarem como copilotos e gerentes de produto, multiplicando a quantidade de squads e projetos simultâneos.

No caso específico de pessoas, a eficiência demonstrada com economia de tempo e recursos tende a assustar a equipe. No C6, como afirmou Santana, não foi diferente. Ele conta que parte do convencimento para dissipação dessa insegurança ocorreu por meio de diálogos. “Isso aqui não existe para acabar com o trabalho de vocês; isso existe para fazer vocês produzirem 10 vezes mais”, exemplificou. “E aí o pessoal começou a gostar, porque eles têm mais tempo para fazer outras coisas que já queriam fazer e não faziam, por exemplo: opinar no desenho do produto. O desenvolvedor virou gerente de produto. O cara que é bom nisso se realiza. Para ele estava pouco só fazer código. Ele chega lá: ‘eu co-criei isso desta forma’.”

Governança by design

O CISO do C6 avalia que, dentro da filosofia de um banco, seria contraproducente internalizar ferramenta que garante mais eficiência e reduzir o time, já que seria como manter o nível, porém, com menos gente. “A gente quer que o negócio cresça. Então, se eu ganhei mais eficiência com a mesma quantidade de pessoas, eu vou produzir muito mais! Esse é o ponto. A gente quer produzir mais, não ficar no mesmo patamar de produção com custo menor.”

O relato trazido por Santana mostra ser possível buscar formas de aplicar governança sem que ela seja um freio de mão da inovação. No caso do by design, não foi algo que eles buscaram no mercado ou adotaram um framework pronto. A experiência do security by design aplicada na área, acabou inspirando a abordagem também para governança. “Fazendo segurança, descobri que ela deveria ser expandida para governança. E as coisas se misturam. Governança e segurança estão misturadas. Então, eu me percebi em certo momento fazendo governança. Era Security by Design, mas percebi que estava fazendo funções de governança também”, relembrou Santana. “Então a coisa aconteceu sozinha. De repente, a gente viu que ‘bom, mas isso não é segurança da forma tradicional que a gente está vendo, mas isso é governança, isso é totalmente necessário. Então vamos continuar fazendo e precisava de um nome para isso: Governance by Design‘.”