A IA acelerou a escrita de código. O gargalo virou a verificação.

Escrever ficou barato, verificar continua caro

Durante décadas, o custo dominante do software esteve na escrita. Revisão, teste e homologação tinham o tamanho proporcional ao que um time humano conseguia produzir. A IA quebrou essa proporção: o volume gerado cresce em uma escala que a revisão humana não acompanha.

A Sonar chama o fenômeno de gargalo de verificação. Na pesquisa, 38% dos desenvolvedores dizem que revisar código gerado por IA exige mais esforço do que revisar código escrito por um colega. Apenas 27% dizem que exige menos.

A Uber descreveu o mesmo problema ao apresentar o uReview, sua plataforma interna de revisão assistida por IA, em agosto de 2025. Segundo a empresa, os revisores estão sobrecarregados pelo volume crescente de código vindo do desenvolvimento assistido por IA e têm tempo limitado para identificar bugs sutis e problemas de segurança.

Tariq Shaukat, CEO da Sonar, resume a mudança: o valor deixa de ser definido pela velocidade de escrever código e passa a ser definido pela confiança para colocá-lo em produção.

O código parece certo, e esse é o problema

O erro de um desenvolvedor iniciante costuma ser visível. O erro do código gerado por IA costuma ser plausível. Na pesquisa da Sonar, 61% dos desenvolvedores concordam que a IA frequentemente produz código que parece correto, mas não é confiável.

O relatório GenAI Code Security da Veracode, de 2025, testou mais de 100 modelos de linguagem em tarefas de programação em Java, JavaScript, Python e C#. Em 45% dos testes, o código gerado introduziu falhas de segurança relevantes.

O achado mais incômodo do estudo é outro: modelos maiores e mais novos não melhoraram o desempenho em segurança. A capacidade de gerar código funcional evolui a cada geração. A capacidade de gerar código seguro, não na mesma medida.

Para a arquitetura, isso significa que trocar de modelo não resolve o problema. A garantia precisa estar fora do gerador, em controles que a empresa possui e mede. É o mesmo princípio que defendemos em prompt injection é o novo perímetro de segurança da IA: o controle não pode depender da boa conduta do modelo.

A dívida fica no repositório

Um estudo publicado em março de 2026 por Yue Liu, David Lo e coautores analisou 302,6 mil commits de autoria verificada de assistentes de IA, em 6.299 repositórios do GitHub. Os autores identificaram 484.366 problemas distintos introduzidos por esses commits.

Em todos os assistentes avaliados, mais de 15% dos commits introduziram ao menos um problema. Do total rastreado, 22,7% dos problemas continuam presentes na versão mais recente do repositório.

A permanência varia por tipo. Problemas de segurança são os que mais sobrevivem: 41,1% seguem no código atual, contra 30,3% dos bugs de execução. Ou seja, o tipo de falha mais caro é justamente o que a revisão menos captura.

Na pesquisa da Sonar, 53% dos desenvolvedores atribuem à IA um impacto negativo na dívida técnica por gerar código que parecia correto e não era confiável, e 40% citam código desnecessário ou duplicado.

A IA amplifica o sistema que já existe

O relatório DORA 2025 do Google, com quase 5 mil profissionais de tecnologia, registra que 90% deles já usam IA no trabalho. A adoção agora aparece associada a maior vazão de entrega de software, mas garantir qualidade antes da entrega continua sendo um desafio.

A conclusão central do DORA é que a IA funciona como espelho e multiplicador. Em times bem estruturados, acelera. Em organizações fragmentadas, expõe as fraquezas existentes. A ferramenta não cria disciplina de engenharia onde ela não existe.

A confiança acompanha esse desenho. No DORA, 30% dos profissionais confiam pouco ou nada no resultado da IA. Na Sonar, 35% acessam ferramentas de código por contas pessoais, fora do controle da empresa, o mesmo padrão descrito em a IA que você não governa vira passivo no balanço.

Como desenhar a arquitetura de verificação

Se a geração escala por máquina, a verificação também precisa escalar por máquina, com o julgamento humano concentrado onde o risco está. Os componentes abaixo formam o mínimo para um time que gera código com IA em volume.

• Proveniência: saber quais trechos foram gerados por IA, com qual ferramenta, para calibrar o rigor da revisão.
• Portões automatizados obrigatórios: análise estática, testes e varredura de dependências rodando em todo pull request, sem exceção por pressa.
• Testes como especificação: o critério de aceite vira teste executável antes da geração, e o código gerado precisa passar nele.
• Revisão proporcional ao risco: autorização, dados pessoais, pagamentos e criptografia exigem revisor com competência específica; mudança cosmética não.
• Revisão assistida por IA: um segundo modelo revisa o código antes do humano, filtrando o óbvio e liberando o revisor para o que exige contexto.
• Métricas de verificação: tempo de revisão, taxa de retrabalho e defeitos escapados medidos separadamente para código gerado por IA.

A Uber mostra que o quarto item funciona em escala. O uReview analisa mais de 90% dos cerca de 65 mil diffs semanais da empresa, com mediana de 4 minutos por revisão, e 75% dos comentários são marcados como úteis pelos engenheiros.

A lógica é a mesma da avaliação contínua que detalhamos em seu agente passou no eval e falhou com o cliente: o que não é medido de forma independente vira confiança sem lastro. E a revisão humana só funciona quando é proporcional, como discutimos em supervisão humana que revisa tudo não supervisiona nada.

A NN apoia times de engenharia exatamente nesse desenho: mapear onde o código gerado entra, definir os portões automatizados e montar a medição que mostra se a velocidade ganha na escrita chega à produção.

A métrica que separa velocidade de pressa

Medir produtividade de engenharia por linhas de código ou por pull requests abertos sempre foi frágil. Com IA, ficou enganoso. O volume de código cresce por construção, e o indicador sobe sem que a entrega de valor acompanhe.

A métrica que importa é o tempo entre a ideia e o código em produção com qualidade comprovada, somado à taxa de defeitos que escapam. Se o tempo de escrita cai e o tempo de revisão, correção e incidente sobe, a empresa trocou velocidade por pressa.

A IA acelerou a escrita de código. O gargalo virou a verificação. O time que trata a verificação como arquitetura, com portões, proveniência e métricas próprias, transforma geração em entrega. O time que mantém a revisão do tamanho de antes acumula, em velocidade de máquina, uma dívida que ninguém revisou.