BMTV: da intenção à execução.

Cursei Ciência da Computação na PUC de São Paulo, mas sempre preferi pensar em soluções de problemas e no raciocínio lógico a codificar. Nunca tive uma linguagem de programação preferida, mas sempre gostei de escrever pseudocódigos e fluxogramas no papel desde a época em que cursei Técnico em Informática na ETEC de Araraquara.

Bem, nesse contexto, as ferramentas de IA não seriam uma ameaça, mas sim o fator decisivo para colocar em prática o projeto: com elas, eu poderia delegar as atividades de escrita de código e execução das tarefas, ao passo em que eu atuaria principalmente nos níveis estratégico e tático, com a determinação da direção do projeto. Desenvolver o BMTV com o apoio de agentes de IA também significa assumir a responsabilidade por orientar e avaliar sua atuação. É essa relação entre capacidade de execução e responsabilidade humana que busco explorar ao longo do projeto.

Minha intenção é colocar práticas de segurança, gestão de riscos e qualidade em contato com as dificuldades do trabalho cotidiano, observando o que precisa ser ajustado conforme o projeto evolui. Neste espaço, compartilho esse percurso: as escolhas, as dificuldades e os aprendizados de transformar uma intenção em entregas que possam ser avaliadas.

Para orientar e avaliar o desenvolvimento apresentado nesse contexto, estou construindo o Sistema de Gestão Integrado (SGI) do BMTV. A proposta é reunir segurança da informação, gestão de riscos e qualidade em um conjunto articulado de políticas, responsabilidades, processos e critérios de avaliação. Essa integração permite considerar diferentes efeitos de uma mesma escolha: uma mudança no produto pode atender a uma necessidade de uso e, ao mesmo tempo, exigir cuidados com informações, avaliação de riscos e verificação de resultados.

A Política Integrada do SGI estabelece os compromissos que dão direção a esse sistema. Eles incluem proteger as informações, orientar a qualidade do produto, tratar riscos de forma estruturada, considerar os requisitos aplicáveis e preservar decisões e evidências com controle e rastreabilidade. Esses compromissos se desdobram em orientações específicas conforme as necessidades do projeto. O SGI abrange tanto a forma como o produto é desenvolvido e avaliado quanto a revisão dos próprios métodos de governança.

Para fundamentar esse trabalho, o projeto utiliza como referências a ISO/IEC 27001, para a gestão da segurança da informação; a ISO/IEC 27002, para os controles de segurança; a ISO 31000, para a gestão de riscos; e a ISO 9001, para a gestão da qualidade. A ISO/IEC 27007 também orienta o tratamento das auditorias, enquanto a ISO 9241-210 contribui para o projeto centrado no ser humano. A aplicação dessas referências depende do contexto, do escopo e dos critérios pertinentes ao trabalho. A certificação formal não faz parte do escopo atual.

Essas referências ganham sentido quando são traduzidas em critérios para o trabalho e confrontadas com os resultados de sua aplicação. O SGI é desenvolvido para que objetivos e orientações fundamentem a execução, para que as decisões e os resultados possam ser examinados e para que esse exame permita revisar tanto as soluções quanto os próprios métodos de gestão. É nesse movimento de planejar, fazer, checar e agir que pretendo conectar a direção do projeto ao aprendizado produzido durante seu desenvolvimento. Para sustentar essa relação, é necessário preservar e conseguir recuperar quais orientações foram utilizadas, o que foi decidido e quais evidências justificam manter ou modificar uma prática.

Para isso, foi criado o Portal de Governança, que reúne ferramentas para consultar os documentos e registros operacionais, compreender suas relações e recuperar decisões e evidências. O SGI se constitui pelas políticas, responsabilidades, processos e práticas de gestão; o portal oferece recursos tecnológicos para organizar e tornar acessíveis as informações necessárias à sua aplicação e revisão. Isso ajuda a consultar quais orientações estão vigentes, recuperar os fundamentos de uma decisão e examinar o trabalho registrado, inclusive quando o que precisa evoluir são os próprios métodos de governança. Enquanto o Produto BMTV atende às atividades do varejo, o Portal de Governança apoia o trabalho de gestão.

As orientações da governança se desdobram em métodos e procedimentos para compreender necessidades, conduzir atividades e verificar seus resultados. O principal instrumento dessa aplicação por meio do Portal de Governança é o Registro Operacional, que acompanha o tratamento de uma demanda, ocorrência ou iniciativa. Ele reúne o contexto de entrada, o objetivo, as referências aplicáveis e as condições para conduzir o trabalho, preservando a ligação entre o que motivou a atividade e o que foi realizado.

Um Registro Operacional funciona no BMTV como um prontuário médico: uma necessidade inicia um acompanhamento, que vai sendo enriquecido com informações, avaliações, decisões e resultados. Na governança, o Registro Operacional relaciona os artefatos envolvidos no tratamento e permite acompanhar as mudanças que dele resultam, preservando seus fundamentos e seu histórico.

Esse registro é enriquecido conforme o tratamento avança. Uma necessidade de revisar um documento, por exemplo, pode exigir a consulta à política que o orienta, a identificação de riscos, a preparação de uma nova versão e uma decisão sobre sua adoção. Uma vulnerabilidade identificada pode levar à avaliação dos ativos e controles afetados, à correlação com os riscos organizacionais e à definição de medidas de tratamento. O Registro Operacional relaciona esses elementos e acompanha as análises, decisões e evidências produzidas, mantendo os vínculos com os documentos e artefatos próprios de cada assunto.

Essas relações permitem acompanhar também as modificações do contexto organizacional. Ao longo de uma atividade, podem ser reconhecidas dependências antes desconhecidas, identificadas limitações de um controle ou propostas mudanças em responsabilidades, documentos e métodos. O registro preserva as condições inicialmente consideradas e os fundamentos das alterações, distinguindo o que foi identificado, proposto, autorizado, executado e verificado. Quando uma mudança precisa ser incorporada à documentação da governança, sua atualização segue os critérios e as decisões aplicáveis, mantendo recuperável a relação com o trabalho que a motivou.

Uma iniciativa pode ainda revelar trabalhos que precisem de condução própria. Nesses casos, o registro de origem mantém a visão conjunta, enquanto os registros derivados detalham seus respectivos objetos, condições e resultados. Assim, é possível coordenar trabalhos relacionados e acompanhar seus efeitos sobre a organização, preservando a responsabilidade, os limites e as evidências de cada parte.

Essa organização estabelece as condições para a execução das tarefas operacionais pela IA, que utiliza esse contexto para interpretar e decompor a intenção humana, encaminhar as atividades e, com orientação e revisão humana, organizar as informações necessárias à criação e atualização dos registros operacionais e dos demais artefatos vinculados. Os métodos orientam a consulta às fontes, a condução das atividades e as situações que exigem decisão humana. Os registros permitem acompanhar como essas orientações foram aplicadas e quais resultados foram produzidos.

No contexto do varejo, as diferentes formas de apoio com IA respondem a necessidades concretas de quem vende e de quem compra. Um exemplo é o autoatendimento pelo WhatsApp: parte relevante dos clientes da loja é composta por pessoas idosas, que utilizam bastante mensagens de áudio. Incorporar a transcrição ao atendimento permite receber solicitações na forma como esses clientes costumam se comunicar, ampliando as possibilidades de acesso às informações e aos serviços disponibilizados.

Nesse autoatendimento, diferentes componentes trabalham em conjunto. Um serviço de IA transcreve o áudio, e o texto segue para o agente de atendimento, que interpreta a solicitação e pode acionar ferramentas específicas para consultar produtos, crédito em loja, saldo devedor ou histórico de compras. As ferramentas realizam as consultas nos registros do sistema, conforme o acesso permitido. A transcrição prepara a mensagem; o agente participa da escolha das ações; e as ferramentas executam as operações previstas.

O assistente do operador no portal do produto e no PDV também combina interpretação de pedidos com ferramentas de consulta e apoio ao trabalho. Já a composição de imagens de ambientes com produtos da loja utiliza um serviço de geração de imagens, com referências e orientações para preservar as características dos itens apresentados. Esse recurso pode ajudar a inspirar clientes e criar oportunidades de venda, sem que o serviço de geração precise ser, por si só, um agente. Uma mesma solução pode reunir agentes, serviços de IA e funções executadas por regras programadas.

Essa combinação exige limites próprios para cada uso. No WhatsApp, a verificação do número do cliente na loja condiciona o acesso às suas informações pessoais e financeiras; no portal do produto e no PDV, as ferramentas utilizam o contexto da sessão autenticada e as permissões do operador. As instruções orientam o comportamento do agente, enquanto o código verifica as condições de acesso e execução. Interpretar um pedido ou escolher uma ferramenta não concede, por si só, autorização para realizar uma operação.

O autoatendimento também oferece sinais para investigar como esses recursos podem melhorar. Há mecanismos para acompanhar dificuldades nas conversas e avaliar associações entre os pedidos dos clientes e as categorias do catálogo, considerando os resultados observados, a diversidade das interações e sua consistência ao longo do tempo. Essas avaliações podem fundamentar ajustes, cuja incorporação ao catálogo depende de decisão humana. Trata-se de uma abordagem delimitada de aprendizado a partir do uso, que não implica retreinamento automático dos modelos nem evolução autônoma de todo o sistema. Como parte do experimento, interessa verificar também se os sinais escolhidos representam melhorias reais no atendimento.

Também é necessário avaliar a qualidade do que essas soluções produzem. As imagens precisam representar os produtos com fidelidade; a transcrição precisa preservar o conteúdo da fala; e as respostas devem se apoiar nos dados efetivamente consultados. Quando agentes de IA ajudam a desenvolver esses recursos, a avaliação abrange tanto seu funcionamento quanto as escolhas feitas durante a implementação. Essa relação entre o uso da ferramenta e o processo que a produz orienta os critérios de desenvolvimento e verificação apresentados a seguir.

No Portal de Governança, as diferentes formas de apoio com IA se voltam aos processos do SGI: recuperar orientações, relacionar registros, examinar evidências e reunir elementos para fundamentar decisões. O propósito é tornar essas informações úteis ao acompanhamento do trabalho, apoiando minha atuação nos níveis estratégico e tático e ajudando a reconhecer situações que exigem análise ou intervenção.

Uma dessas formas de apoio é o assistente, que pode interpretar solicitações e acionar ferramentas para pesquisar documentos e registros, recuperar trechos e consultar suas relações, conforme o acesso permitido. Por exemplo, uma pergunta sobre os fundamentos de uma decisão pode orientar a recuperação das fontes necessárias para compreendê-la e conferir a resposta. O agente participa da interpretação e da escolha das consultas; as ferramentas executam as operações autorizadas. A consulta direta pela interface continua disponível, sem depender dessa mediação.

Essa participação da IA se apoia também em ferramentas de segurança desenvolvidas com seu auxílio e na avaliação de recursos que possam contribuir para o SGI. Esse aproveitamento pode envolver código existente, documentos, frameworks e referências externas, cuja adoção é examinada segundo os critérios e os processos de governança já estabelecidos. O procedimento de avaliação de fontes externas orienta a identificação da origem e da versão do material, a definição da necessidade e do escopo de uso e a análise de sua adequação, dos riscos e dos efeitos esperados. A avaliação pode levar à adoção de critérios, à revisão de documentos, à criação de ferramentas ou à decisão de adiar ou rejeitar o aproveitamento. Os fundamentos e as decisões precisam permanecer recuperáveis.

O primeiro ciclo do BMTV dá uma aplicação concreta a essa forma de incorporar recursos. Ele articula a organização de um ambiente mínimo de governança, a disponibilização das ferramentas necessárias no portal e a incorporação do Produto BMTV ao alcance do SGI. A proposta é reunir condições para conduzir um ciclo de gestão que possa ser acompanhado e avaliado: estabelecer orientações, executar atividades, preservar evidências, examinar resultados e decidir ajustes.

As normas utilizadas no projeto ajudam a tornar esse processo concreto. A ISO 31000 fundamenta aspectos do procedimento de identificação, avaliação, tratamento e monitoramento de riscos. A ISO/IEC 27001 contribui para critérios de segurança da informação, responsabilidades, evidências e revisão. A ISO/IEC 27002 oferece referências para controles selecionados, como proteção de registros, monitoramento e cuidados durante testes. A ISO 9001 participa da fundamentação dos procedimentos de auditoria interna e análise crítica pela Direção, incluindo avaliação de desempenho, recursos, decisões de melhoria e acompanhamento das ações. Esses princípios são traduzidos em métodos internos, cuja aplicação precisa ser demonstrada nos registros e nas evidências do trabalho.

O OWASP SAMM também passou por uma avaliação específica de aplicabilidade, seguida da análise da necessidade de uma Política de Desenvolvimento Seguro. Suas funções de governança, design, implementação, verificação e operações orientam os assuntos considerados nessa política, com aplicação seletiva e proporcional ao contexto e aos riscos. Esse percurso exemplifica como uma referência externa pode contribuir para estabelecer orientações próprias. Avaliar o framework e incorporá-lo como referência não demonstra um nível de maturidade automaticamente, mas exige estabelecer critérios, avaliar e evidenciar os processos de desenvolvimento seguro direcionados pela política.

A mesma lógica orienta o aproveitamento de capacidades técnicas desenvolvidas com apoio de IA em um projeto paralelo de segurança. Entre os recursos identificados estão mecanismos de custódia e integridade de artefatos, registros de leitura, acesso temporário a documentos, segregação de permissões e verificação da autenticidade de mensagens entre componentes. Nesses casos, a IA pode contribuir para construir ou adaptar a solução, enquanto seu funcionamento depende de regras programadas e verificações criptográficas. O levantamento dessas capacidades permite examinar o que pode atender às necessidades do BMTV, quais adaptações são necessárias e quais limitações precisam ser tratadas antes de sua incorporação.

A incorporação do Produto BMTV amplia esse trabalho: envolve avaliar seus documentos, registros, controles e pendências, definir responsabilidades e demonstrar a cobertura do escopo incorporado. O primeiro ciclo deve permitir acompanhar uma situação real em que a governança oriente o trabalho no produto, os resultados sejam avaliados e as evidências fundamentem uma melhoria, um encaminhamento ou a decisão de manter o que já atende à necessidade. As ferramentas do portal apoiam a recuperação das informações e a condução dessas atividades, abrindo espaço para experimentar também o uso de IA nas próprias análises de gestão.

Outra frente de experimentação envolve justamente utilizar IA durante a análise de informações de segurança. Uma prova de conceito trabalha com a interpretação de políticas para extrair critérios e apoiar a priorização da correção de vulnerabilidades, considerando os achados e o contexto disponível. Os critérios extraídos ficam associados ao conteúdo da política utilizada, permitindo recuperar essa referência e reconhecer quando ela muda. Isso oferece uma base para investigar como diferentes orientações afetam as prioridades propostas e se as justificativas apresentadas são coerentes com os critérios escolhidos. Essa experiência constitui uma capacidade a avaliar para o BMTV, sem pressupor que já esteja incorporada ao portal.

A experiência também ajuda a delimitar onde a interpretação por IA é necessária e onde convém aplicar regras estruturadas. O fluxo experimentado utiliza IA tanto na extração dos critérios quanto na sugestão de prioridades, em etapas programadas. Uma direção de evolução é validar e organizar esses critérios para que sua aplicação possa ser realizada pelo sistema de forma reproduzível, recorrendo à IA para apoiar revisão e explicação quando necessário. A prioridade sugerida para corrigir uma vulnerabilidade não substitui sua severidade técnica, a avaliação de risco ou uma decisão humana de aceitar esse risco.

Essas aplicações ampliam o experimento para além da capacidade de produzir software. Interessa verificar se as ferramentas ajudam a recuperar os fundamentos corretos, interpretar orientações de forma consistente e produzir análises úteis, preservando a diferença entre informação registrada, inferência e decisão. Isso exige examinar tanto os resultados de seu uso quanto as escolhas feitas pelos agentes de IA durante sua construção. É essa ligação entre orientação, execução e evidência que procuro estabelecer nos critérios de desenvolvimento e verificação apresentados a seguir.

No BMTV, o agente de IA atua em apoio a uma pessoa, dentro das responsabilidades e autorizações relacionadas ao trabalho que ela conduz. Hoje, sou o único humano nesse contexto organizacional e concentro a responsabilidade pelas decisões, ainda que transite entre diferentes papéis de gestão. Se outras pessoas passarem a participar, as demandas, os alertas e as propostas produzidos pelos agentes deverão ser relacionados às pessoas responsáveis por avaliá-los e decidir sobre seu encaminhamento, conforme a autoridade de cada uma. O trabalho compartilhado exige, portanto, clareza sobre quem solicita, quem pode autorizar, quem executa e quem responde pelos resultados. Essa relação também orienta os acessos: a atuação de um agente em nome de uma pessoa deve respeitar as permissões dela e os limites autorizados para aquela atividade, sem ampliar sua autoridade nem tornar disponíveis informações de outros participantes apenas porque utilizam o mesmo ambiente. Ter acesso a uma ferramenta, por sua vez, não significa estar autorizado a realizar qualquer ação por meio dela. No projeto BMTV busco tratar a IA como inteligência assistiva, considerando que ela amplia a capacidade de compreender situações, propor encaminhamentos e executar atividades, enquanto as pessoas preservam a autoridade e a responsabilidade pelas decisões que lhes competem.

Para traduzir essa relação de assistência e responsabilidade em critérios de trabalho no desenvolvimento seguro do BMTV, busco transformar as diretrizes do projeto em orientações que possam ser consultadas antes da execução e usadas para avaliar as entregas. Isso envolve definir quais documentos devem orientar cada atividade, o que o agente está autorizado a fazer e quais resultados precisam ser verificados. Políticas, procedimentos e referências de segurança, riscos e qualidade dão sustentação a esse trabalho.

Na governança, a Política de Desenvolvimento Seguro ratificada estabelece uma direção comum, enquanto os documentos técnicos de cada produto tratam de sua implementação. As normas ajudam a fundamentar os critérios, mas cada decisão tomada precisa ser coerente com os fatos persistidos nos registros ou na decisão humana (que, por sua vez, busca ser justificada principalmente pela análise do contexto externo). A própria decisão de utilizar normas e referências externas para fundamentar a evolução da governança precisa ser interpretada no contexto e formalizada pelas decisões competentes.

O OWASP SAMM, por exemplo, foi avaliado como referência para examinar práticas de desenvolvimento seguro. Sua aplicabilidade ao projeto foi analisada segundo as regras de governança já estabelecidas. Ele ajuda a organizar essas análises, sem transformar a adoção de uma referência em comprovação de maturidade. Da mesma forma, ter uma política escrita não demonstra, por si só, que ela foi seguida. O que procuro construir no projeto é uma ligação verificável entre a orientação documentada, o trabalho realizado com apoio da IA e a evidência que permite avaliá-lo e, se necessário, revertê-lo ao estado anterior.

Esse processo também orienta a evolução do BMTV. Conforme surgem novas necessidades, ferramentas, tecnologias e referências, elas são avaliadas à luz do contexto e dos critérios já definidos. Sua incorporação depende da contribuição esperada, dos riscos envolvidos e das decisões necessárias. O projeto amplia, assim, suas capacidades e seu escopo, preservando o registro do que foi incorporado, por qual motivo e sob quais condições.

As orientações e os protocolos não impedem todos os erros, mas oferecem uma base para reconhecer quando o trabalho se afasta do que foi definido. Por isso, a própria estrutura de roteamento da intenção é construída e melhorada continuamente para equilibrar a autonomia e a responsabilidade dos agentes.

Na governança e no produto BMTV, as iniciativas são sempre decisões humanas e a participação humana volta a ser acionada durante o desenvolvimento conforme o objeto da decisão e os limites de atuação dos agentes que atuam no desenvolvimento do contexto demonstrativo e de seu sistema de gestão integrado.

Na governança, o tratamento pode ser organizado em uma janela de autorização e outra de decisão final, preservando a distinção entre aprovar uma proposta e ratificar sua publicação. As verificações objetivas previstas no trabalho não exigem uma nova manifestação humana a cada etapa: quando já existe autorização válida para o mesmo objeto e condições, ela deve ser recuperada e aplicada. Um novo gate humano torna-se necessário quando surge uma mudança material, um conflito relevante, uma exceção ou outra condição que ultrapasse a cobertura existente. Cabe a mim avaliar o contexto, os fundamentos, os riscos e o efeito da decisão solicitada.

No produto, os pontos de decisão humana combinam a confirmação da intenção interpretada com os critérios de autorização das ações de engenharia. Ações locais, reversíveis e de baixo risco podem ser executadas diretamente dentro do escopo; ações de nível intermediário exigem a apresentação prévia do critério aplicado; e ações de alto risco dependem de decisão humana explícita. Isso inclui, por exemplo, alterações em contratos externos, segredos, dados materiais ou ambientes compartilhados. Os protocolos específicos também estabelecem gates de validação das entregas. Nos dois contextos, minha participação deve se concentrar nas decisões que exigem responsabilidade humana, enquanto os agentes executam e verificam o trabalho dentro dos limites definidos, apresentando evidências para que eu possa decidir como prosseguir.

No BMTV, aprender com essas situações depende de preservar o contexto necessário para analisá-las: o que foi solicitado, quais critérios deveriam ter sido observados, o que o agente executou e quais evidências permitiram identificar o problema.

O registro de incidentes, desvios e lacunas reúne essas ocorrências. Essa distinção ajuda a compreender se houve uma falha na execução, se uma orientação existente deixou de ser seguida ou se faltava uma definição para conduzir o trabalho. As ocorrências são relacionadas às iniciativas e aos riscos pertinentes, preservando o tratamento adotado e as pendências. Assim, é possível reconhecer problemas recorrentes e avaliar se a dificuldade está no resultado produzido, na interpretação do pedido ou no próprio método de trabalho.

Aprender com esses resultados envolve voltar à intenção, examinar a evidência e decidir o tratamento adequado. O problema pode pedir uma correção no produto, uma melhoria na documentação, uma revisão do método de trabalho ou apenas uma investigação adicional.

Um exemplo aparece nos registros do atendimento pelo WhatsApp: verificações locais precisaram ser complementadas por avaliações do caminho completo da interação, e falhas observadas motivaram correções e novos cenários de teste. Os registros também distinguem uma reprodução textual de uma fala de um novo teste com áudio real. Essa diferença importa porque cada verificação demonstra uma parte do comportamento, e seu alcance precisa permanecer claro.

Essas informações também servem de insumo para revisar os recursos que orientam os agentes. Uma ocorrência pode indicar a necessidade de melhorar a decomposição da intenção, refinar o roteamento de leitura, esclarecer um limite de atuação ou acrescentar uma verificação antes de prosseguir. O ajuste precisa alcançar o ponto do processo em que fará diferença: registrar uma orientação não garante que ela será encontrada, compreendida e aplicada na próxima execução. A recorrência de situações pode indicar com mais clareza a necessidade de avaliação para mudanças. Por isso, no contexto demonstrativo, procuro relacionar o aprendizado aos documentos e às etapas pertinentes, preservando um caminho de consulta que seja útil para os trabalhos seguintes.

Minha responsabilidade é avaliar essas informações e decidir quando corrigir, interromper ou prosseguir, inclusive quando o problema envolve uma orientação ou decisão minha. Isso também inclui compreender a cadeia de decisões (minhas e dos agentes) que levou a um cenário de desequilíbrio e fuga da intenção.

A priorização da avaliação dessas informações é uma decisão minha que é diretamente influenciada pelos dados disponíveis, mas eu mesmo tenho autonomia para determinar uma “iniciativa” com o propósito de análise de contexto para modificação das regras de governança a partir da minha percepção de uso das ferramentas e do próprio comportamento do sistema de gestão em desenvolvimento.

A correção do resultado observado e a melhoria do processo precisam sempre ser verificadas: resolver uma ocorrência não demonstra, por si só, que suas causas foram tratadas. Nesse contexto demonstrativo, busco usar os registros e os sinais das próximas execuções para avaliar os ajustes, reconhecer o que permanece incerto e orientar a evolução do trabalho com IA. Compartilhar dificuldades e correções faz parte dessa proposta tanto quanto apresentar as entregas.