Posso pôr cliente de verdade num app feito com IA?

Pode, se cinco pontos estiverem resolvidos antes: quem acessa o quê, onde os dados ficam, como o login funciona, se existe backup com restore testado e o que a empresa faz se algo vazar. Sem esses cinco, o app funciona na demonstração e fica exposto no primeiro problema real.

O que a LGPD exige de quem vai coletar dados de clientes?

O artigo 46 da LGPD exige medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. O artigo 48 exige comunicar a ANPD e o titular quando houver incidente que possa causar risco ou dano relevante. A lei não dá uma lista de ferramentas: pede que você consiga demonstrar o que fez.

Backup do provedor basta?

Só se você testou a restauração. Um backup que nunca foi restaurado é uma hipótese. Escolha um dia, restaure uma cópia num ambiente separado e confira se os dados abrem. Anote quanto tempo levou.

Preciso de um desenvolvedor antes do lançamento?

Não necessariamente contratado. Você precisa de alguém que revise esse checklist com mandato para dizer não ao lançamento. Pode ser um profissional externo por algumas horas, antes de pôr o primeiro cliente.

Quantos clientes posso colocar no primeiro dia?

Poucos, e escolhidos. Um grupo pequeno de clientes que aceitam ser os primeiros reduz o dano de qualquer falha e dá tempo de corrigir antes de abrir para todos.

E se eu já tenho clientes no app e não fiz nada disso?

Comece pelo backup com restore testado e pela lista de quem acessa os dados. São os dois itens mais baratos e os que mais reduzem o dano. Depois siga o checklist na ordem.

App feito com IA e cliente real: checklist de segurança, backup e LGPD

“O app ficou pronto. Funciona direitinho no meu celular. Agora vou colocar cliente de verdade e não sei o que checar antes.”

Essa frase marca uma mudança de risco. Até aqui, só você usava o app, e um erro custava uma tarde. Com cliente, um erro pode expor dado de terceiros, parar a operação de alguém ou gerar uma obrigação legal. O código não mudou. O que mudou foi o preço de cada falha.

Resposta curta

Antes do primeiro cliente, responda cinco perguntas com evidência, não com “acho que sim”:

Quem consegue entrar em quê, e como eu removo esse acesso?
Onde os dados dos clientes ficam, e quem além de mim consegue lê-los?
O login e as senhas estão protegidos de forma que eu consiga explicar?
Existe backup, e eu já restaurei uma cópia para ver se funciona?
Se algo vazar, quem eu aviso e em quanto tempo?

Se alguma resposta for “não sei”, essa é a tarefa antes do lançamento. O restante do texto detalha cada passo.

Por que o app feito com IA exige esse cuidado

Ferramentas de IA geram telas e fluxos que funcionam. Elas otimizam para o caminho feliz: o usuário digita o dado certo, a rede responde, o servidor está de pé. Aquilo que não aparece na tela costuma ficar por conta de quem lançou: permissões, cópia dos dados, registro do que aconteceu, limite de quem enxerga o quê.

Isso não é defeito do método. É uma lacuna de responsabilidade. Quando uma equipe escreve o sistema, alguém costuma ser dono dessas partes. Quando o fundador gera o app sozinho, ninguém é, a menos que ele nomeie alguém.

Passo 1: mapeie quem acessa o quê

Faça uma lista com três colunas: sistema, quem tem acesso, quem pode revogar.

Inclua o painel do app, o banco de dados, a hospedagem, o domínio, a conta da ferramenta de IA e qualquer serviço de e-mail ou pagamento ligado.
Confira se cada conta tem login individual. Conta compartilhada impede saber quem fez o quê.
Confira se o acesso ao banco de dados está fechado ao público. Banco exposto na internet com senha fraca é uma das falhas mais comuns em produto novo.
Anote quem é o dono de cada conta de administrador. Se a única pessoa é você, registre onde está a recuperação de acesso.

Critério de pronto: você consegue dizer, para cada sistema, quem entra e como tirar essa pessoa em um dia.

Passo 2: saiba onde os dados ficam

Descreva em uma página quais dados você coleta (nome, e-mail, telefone, documento, pagamento), onde cada um é guardado e para onde viaja.

Verifique se há dado pessoal em logs, planilhas de teste ou em prompts enviados a ferramentas de IA. Dado real de cliente não deve ir para ambiente de teste.
Colete só o que o produto precisa. Dado que você não guarda não pode vazar.
Confirme que os dados trafegam por conexão cifrada (HTTPS) e que o banco guarda senhas com hash, nunca em texto aberto.

Critério de pronto: a página existe e outra pessoa consegue lê-la e entender o caminho do dado.

Ative verificação em dois fatores nas contas de administrador, da hospedagem ao e-mail principal.
Teste com dois usuários de teste: o usuário A consegue ver os dados do usuário B? Se sim, o app tem falha de permissão e não deve ir ao ar.
Troque qualquer chave de acesso (API key) que tenha ficado no código ou colada numa conversa com a IA. Trate chave exposta como chave vazada.

Critério de pronto: o teste dos dois usuários passa e nenhuma chave está em texto aberto no código.

Passo 4: backup com restore testado

Backup existe de verdade quando você já restaurou a partir dele.

Confirme que o provedor ou o banco faz cópia automática e por quanto tempo guarda.
Restaure uma cópia num ambiente separado.
Abra o app contra essa cópia e confira se os dados estão lá.
Anote quanto tempo levou e quem fez.

Se levou mais tempo do que o seu cliente toleraria ficar sem o serviço, esse número é a informação mais importante do checklist. Ele diz quanto tempo de parada você prometeria sem saber.

Critério de pronto: um restore feito, com data e tempo registrados.

Passo 5: LGPD no tamanho do seu app

A LGPD (Lei 13.709/2018) vale para qualquer empresa que trata dado pessoal, inclusive uma startup de uma pessoa. Dois artigos pesam no lançamento:

Artigo 46: exige medidas de segurança, técnicas e administrativas, para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. Os passos 1 a 4 acima são a evidência dessas medidas.
Artigo 48: exige comunicar a ANPD e o titular quando ocorrer incidente de segurança que possa acarretar risco ou dano relevante. Isso pede um plano simples: quem decide, quem avisa e como.

Na prática, escreva:

uma política de privacidade que diga quais dados você coleta e para quê;
a base legal de cada coleta (consentimento, execução de contrato, etc.);
um canal para o titular pedir acesso ou exclusão dos dados;
um plano de incidente de meia página, com nomes e telefones.

Não é preciso um departamento jurídico para isso. É preciso que os documentos existam antes do primeiro cliente, e não depois do primeiro problema.

Passo 6: lance para poucos

Escolha de cinco a dez clientes que aceitam ser os primeiros e avise que o produto está em fase inicial. Acompanhe de perto por duas semanas: erros, lentidão, dúvidas. Só abra para todos depois de resolver o que aparecer.

Esse grupo pequeno funciona como seguro. Se algo falhar, o dano fica contido e você ainda tem a confiança de quem aceitou participar.

Sinais de que você precisa de ajuda externa

Você não consegue responder a pergunta 1 ou 2 do início sem abrir o código.
O teste dos dois usuários falhou e você não sabe corrigir.
O restore nunca foi feito e ninguém sabe como fazer.
O app vai guardar dado sensível: saúde, financeiro, documento, dado de criança.
Um cliente grande pediu prova de segurança ou cláusula de LGPD no contrato.
Cada correção quebra outra coisa (ver o artigo sobre app feito com IA que quebra a cada mudança).

Qualquer um desses itens justifica algumas horas de revisão de um profissional antes do lançamento. Custa menos do que corrigir depois de um incidente com clientes dentro.

Onde isso encontra a direção de tecnologia

Este checklist é simples de ler e difícil de manter sozinho. Alguém precisa ter mandato para dizer “ainda não” ao lançamento, cobrar o restore, revisar permissões a cada mudança e decidir o que fazer se algo sair do trilho.

Em empresa pequena, essa função costuma ficar sem dono. A direção de tecnologia, seja interna, seja contratada por etapas como um Head de TI terceirizado, assume essa responsabilidade: aponta os riscos, define a ordem das prioridades e liga cada decisão ao que o negócio precisa. A execução pode ser de quem você já tem.

Comece hoje pelo passo 4: restaure uma cópia e anote o tempo. Se essa tarefa falhar ou ninguém souber fazer, você já sabe onde está o primeiro risco do seu lançamento.