Criar SaaS com IA: o que falta para cobrar cliente

Criar SaaS com IA funciona muito bem para validar uma ideia: em poucos dias, uma ferramenta de prompt entrega login, banco de dados e telas que funcionam. O que ela não garante é quem enxerga o dado de quem. Antes do primeiro cliente pagante, falta conferir autorização no banco, chaves expostas, backup e o dever legal quando algo vaza.

Os guias em português que ensinam a montar um SaaS sem programar param na publicação: o mais completo, atualizado em junho de 2026, resume segurança em meia frase, e outro, de março, chega ao primeiro cliente pagante sem tocar no assunto. Este artigo cobre o trecho entre o protótipo e o caminho de um SaaS depois da validação.

A Wama criou o ManyFeed, SaaS próprio de prova social construído com IA no processo, então não há aqui sermão contra a ferramenta. O ponto é outro: o código gerado passa no teste de funcionar muito antes de passar no teste de proteger.

Criar SaaS com IA funciona até onde?

Funciona até o momento em que o produto passa a guardar dado de outra pessoa. Para testar fluxo, preço e interesse, um protótipo gerado por prompt é um jeito barato e rápido de colocar algo clicável na frente de quem compraria.

O limite aparece em outro lugar. Ferramentas de IA são otimizadas para entregar código que roda, e rodar não é o mesmo que restringir acesso. Por isso a revisão humana sobre código escrito por IA não é formalidade: na Wama, todo resultado que sai do Claude Code passa por leitura humana antes de chegar ao cliente.

O protótipo responde se alguém quer o produto. Ele não responde se o produto aguenta clientes que não se conhecem usando a mesma base, e é nesse ponto que aparece o degrau entre mostrar e operar.

O que as pesquisas de 2026 encontraram em apps feitos com IA

No relatório da Veracode sobre segurança de código gerado por IA, publicado em julho de 2026, os modelos escrevem código sintaticamente correto quase sempre, mas passam nos testes de segurança em 56% das tarefas. No primeiro relatório o índice era 55%: os modelos ficaram melhores em programar, não em proteger.

A Symbiotic Security, empresa que vende ferramenta de segurança para código gerado por IA, analisou 1.072 apps feitos em plataformas de vibe coding com banco no Supabase e publicou em junho de 2026 que 98% tinham ao menos uma falha. Em 16% havia falha crítica, e em 172 deles qualquer pessoa conseguia apagar registros do banco sem fazer login.

A Escape, outra empresa de testes de segurança, examinou mais de 5.600 aplicações públicas criadas com essas ferramentas e encontrou mais de 2.000 vulnerabilidades e 175 casos de dado pessoal exposto, incluindo prontuário médico, em pesquisa publicada em outubro de 2025 e atualizada em junho de 2026. E pesquisadores da Georgia Tech contaram 35 vulnerabilidades públicas atribuídas a código de ferramentas de IA só em março de 2026, contra 6 em janeiro, segundo nota de pesquisa da Cloud Security Alliance.

Quais falhas se repetem num SaaS feito com IA?

Três falhas se repetem nos levantamentos e no que as próprias plataformas documentam. A primeira é a autorização no banco. Em projetos com Supabase, a regra que decide quem lê cada linha se chama RLS (Row Level Security), e a documentação do Supabase sobre RLS avisa que tabela exposta sem essa regra pode ser lida e alterada por qualquer papel com permissão sobre ela.

O detalhe que pega o fundador desprevenido: em projetos existentes, a tabela nova já nasce com permissão de ler, inserir, alterar e apagar para visitantes sem login e para usuários logados, e criar uma política não remove essas permissões. A tela funciona perfeitamente enquanto o banco está aberto.

A segunda falha é chave secreta dentro do código que vai para o navegador, como a de pagamento ou a de uma API de IA. Uma das plataformas mais usadas do gênero informou, em junho de 2025, que passou a bloquear cerca de 1.200 chaves privadas por dia coladas direto no código pelos usuários. A terceira é login sem regra de dono: a pessoa entra, troca o número do registro no endereço e abre o dado de outro cliente. Nenhuma das três aparece num teste de clique, e todas estão entre o que costuma quebrar primeiro quando um SaaS cresce.

Um teste de uma tarde antes do primeiro cliente pagante

Dá para descobrir boa parte do problema sem saber programar, desde que o teste seja feito no seu próprio app e com contas de teste. Nenhum item substitui revisão técnica; eles mostram se ela é urgente.

1. Duas contas, um cliente espiando o outro. Crie duas contas, cadastre dados na primeira, entre com a segunda e tente abrir as mesmas telas trocando o identificador no endereço. Se o dado aparecer, a proteção está só na interface.

2. RLS ligado em toda tabela. No painel do Supabase, confira tabela por tabela e rode o verificador de segurança (Security Advisor). Tabela com dado de cliente e RLS desligado é o item mais grave da lista.

3. Chaves fora do navegador. Abra o código-fonte da página publicada e procure palavras como secret e service_role. A chave pública do Supabase aparece ali de propósito e só é segura com RLS ligado; chave secreta de pagamento, de API de IA ou de administração nunca deveria.

4. Cadastro com e-mail confirmado. Verifique se a conta só ativa depois da confirmação do e-mail. A varredura de junho de 2026 encontrou confirmação desligada em 69 apps.

5. Backup que volta. Restaure uma cópia do banco num projeto de teste. Backup que nunca foi restaurado é hipótese.

Repita com a segunda conta o trajeto da primeira sessão do produto: cadastro, primeira ação e tela inicial. É o caminho que todo cliente novo vai percorrer, então é o primeiro que precisa estar fechado.

O que a LGPD cobra quando o dado vaza?

Cobra comunicação rápida, e a obrigação é de quem controla os dados, em geral a empresa dona do produto, não a plataforma onde ele foi montado. Pelo artigo 48 da LGPD, o incidente que possa causar risco ou dano relevante precisa ser comunicado à ANPD e aos titulares. A Resolução CD/ANPD nº 15, de abril de 2024, fixou o prazo em três dias úteis, conforme a página de comunicação de incidentes da ANPD, atualizada em agosto de 2026.

A comunicação pode ser complementada, de forma fundamentada, em até 20 dias úteis, mas avisar só a ANPD não cumpre a obrigação quando há risco relevante: as pessoas afetadas precisam saber. A autoridade pode aplicar as sanções do artigo 52 a quem não comunica ou não adota medidas de segurança compatíveis com o risco.

A comunicação pede, entre outras informações, as medidas de segurança adotadas e os riscos aos titulares. Num app sem registro de acesso, responder isso em três dias úteis vira adivinhação.

Continuar no construtor, reforçar ou reconstruir

A decisão depende menos da ferramenta e mais do que o produto guarda e de quantos clientes dividem a mesma base. A tabela resume quatro cenários.

Quando o cliente precisa ser dono do código, a Wama leva o projeto para desenvolvimento sob medida, e área logada, portal ou curso viram projeto de produto digital, com escopo próprio. Reconstruir não significa jogar o protótipo fora: as telas que os usuários aprovaram viram especificação para o design da interface que retém o cliente.

Quanto custa sair do protótipo para o produto?

Depende do caminho escolhido na tabela. Reforçar um app pequeno é trabalho de revisão e configuração; reconstruir é projeto de produto, com design, arquitetura e testes. Na Wama, um MVP de SaaS fica entre R$ 20 mil e R$ 100 mil e pode chegar perto de R$ 200 mil conforme a complexidade, faixa observada numa base de 50 a 100 orçamentos.

O protótipo ajuda num ponto específico: as decisões de produto chegam testadas por usuários reais. Ele não encurta a engenharia, e a experiência da Wama com IA mostra o mesmo: a ferramenta acelerou a construção, não a decisão, e o prazo total dos projetos não mudou. Para comparar propostas, tenha à mão as faixas de investimento de um MVP no Brasil.

Perguntas frequentes sobre criar SaaS com IA

Dá para criar um SaaS com IA sem saber programar?

Dá para criar um protótipo funcional, com login, banco de dados e telas, e validar a ideia com usuários reais. Cobrar clientes em cima desse protótipo é outra etapa: exige conferir autorização no banco, chaves, cadastro e backup, o que pede alguém capaz de ler o código ou pelo menos a configuração.

A plataforma de IA já não cuida da segurança do app?

Em parte. Uma das plataformas mais usadas do gênero passou a rodar verificação antes de publicar, mas afirma, no próprio texto sobre segurança, que não pode garantir que o app saia 100% seguro. A configuração do banco e das permissões continua sendo responsabilidade de quem publica e opera o produto.

O que é RLS no Supabase?

RLS, ou Row Level Security, é a regra do banco Postgres que decide quais linhas de uma tabela cada usuário pode ler ou alterar. No Supabase, tabela exposta sem RLS fica acessível a qualquer papel com permissão sobre ela, e por isso a documentação orienta ligar RLS em todas as tabelas expostas.

Preciso avisar a ANPD se o app vazar dados?

Se o incidente puder causar risco ou dano relevante às pessoas afetadas, sim. Pela Resolução CD/ANPD nº 15/2024, a comunicação vai à ANPD e aos titulares em três dias úteis e pode ser complementada depois. A obrigação é de quem controla os dados, em geral a empresa dona do produto.

O site do produto também pode ser feito com IA?

Pode, com cuidado menor, mas não nulo: formulário de contato também grava dado pessoal, e a varredura de junho de 2026 achou tabelas de leads abertas em 10 apps. A régua de estrutura e conversão é outra, e está no guia de como estruturar o site que apresenta o produto.

Se o seu produto já tem gente usando e você quer decidir entre reforçar e reconstruir com quem desenha e desenvolve SaaS do briefing ao deploy, converse com a Wama sobre o seu SaaS.