Lovable lança pacote corporativo com deploy em AWS e Azure do cliente, inferência na UE e políticas de governança

A Lovable, serviço focado no desenvolvimento de aplicações por meio de conversas com IA, lançou um conjunto de recursos para grandes empresas. O principal destaque é que tanto as aplicações quanto seus dados agora podem rodar na própria conta de nuvem do cliente na AWS ou no Azure. Ambas as opções continuam em preview fechado. A primeira empresa a entrar em produção foi a Deutsche Telekom, que colocou suas aplicações Lovable para rodar na sua conta AWS em outubro. As demais novidades resolvem as preocupações clássicas das equipes de segurança: onde o código é executado, para onde vão as requisições dos modelos e quem tem permissão para publicar conteúdos.

A lógica do lançamento apoia-se no modelo federado adotado pelos clientes da Lovable. A equipe central de TI ou de IA define as regras gerais uma única vez, e os times de negócio desenvolvem suas aplicações dentro desses limites. A empresa classifica a abordagem como um crescimento controlado no lugar da TI invisível (shadow IT).

Dados protegidos no perímetro do cliente

O Deploy on AWS e o Deploy on Azure transferem ambientes de preview, aplicações publicadas, bancos de dados, armazenamento de arquivos e logs para a conta do cliente. Toda a estrutura opera em uma rede dedicada. As aplicações acessam sistemas internos, como data warehouses, via peering de VPC ou VNet, mantendo essas ferramentas isoladas da internet pública. A Lovable gerencia a instalação e as atualizações. De acordo com a empresa, um caso típico é um aplicativo de RH que consulta dados de um sistema de departamento pessoal: o projeto só recebe liberação para produção se estiver rodando dentro da rede corporativa.

Outra novidade é o suporte a Bring your own key. Mesmo com o deploy na própria nuvem corporativa, o histórico de conversas e os projetos permanecem nos servidores da Lovable. Com esse recurso, o administrador conecta uma chave de criptografia proprietária; se a chave for revogada, a Lovable perde completamente o acesso de leitura ao histórico. A funcionalidade está em preview fechado e roda inicialmente com AWS KMS em workspaces configurados com Deploy on AWS. A integração com o Azure Key Vault chegará com o lançamento do Deploy on Azure.

Para atender às empresas europeias, a plataforma adicionou a opção de inferência na UE. Por padrão, as requisições seguem para os endpoints regulares dos provedores de modelos, que podem processá-las nos Estados Unidos. Ao ativar o recurso, os dados trafegam exclusivamente por endpoints europeus, tanto na etapa de desenvolvimento quanto nas chamadas de IA das aplicações publicadas. Se nenhum endpoint europeu estiver disponível para atender a chamada, o sistema retorna um erro em vez de redirecionar a carga para outra região.

Governança: Organizations, políticas e Action center

O novo console Organizations centraliza o gerenciamento de SSO e SCIM para todos os workspaces de forma simultânea. O painel viabiliza o mapeamento de grupos do provedor de identidade para espaços específicos, bloqueia a criação de workspaces não homologados, restringe alterações de configuração e consolida a visualização de logs de auditoria em toda a empresa. Além disso, aplicações internas podem ser publicadas em nível corporativo, restringindo o acesso exclusivamente aos membros dos workspaces da organização.

As políticas de workspace atuam bloqueando ações indesejadas ou exigindo a aprovação de um administrador ou proprietário. As regras iniciais cobrem os fluxos de publicação:

• bloqueio de publicação diante de ocorrências não resolvidas de dados pessoais (substitui a regra Block publishing with PII);
• exigência de aprovação para publicações feitas por colaboradores externos;
• proibição de publicação pública;
• exigência de aprovação para aplicações integradas a conectores;
• bloqueio de publicação a partir de endereços fora dos domínios verificados.

Quando uma aprovação é solicitada, todos os administradores recebem avisos na interface da Lovable e por e-mail. Uma nova aprovação só é requisitada se houver mudanças nos elementos monitorados pela política, como alterações em conectores ou no público-alvo. Enquanto o pedido aguarda resposta, o desenvolvimento e os previews continuam funcionando normalmente. Nas políticas voltadas a conectores e colaboradores externos, o sistema exibe quantas vezes a regra teria sido acionada nos últimos 30 dias.

O Action center consolida as solicitações pendentes e emite alertas operacionais, apontando projetos sem dono, picos no consumo de créditos, aplicações públicas com vulnerabilidades críticas e projetos sem edições há meses. A central está disponível nos planos Business e Enterprise, mas o fluxo de aprovação de publicações é restrito ao Enterprise.

API e exportação de logs

A Lovable API, liberada para os planos Business e Enterprise, permite consultar configurações, membros, grupos, métricas de telemetria e relatórios de segurança, além de viabilizar publicação, despublicação, atualização e exclusão de projetos via código. O plano Enterprise inclui tags de PII e inventário de segurança dos projetos. O suporte a dados de créditos e limites de uso será lançado posteriormente. As chaves de acesso são geradas por proprietários e administradores, havendo também suporte a clientes OAuth.

Os logs de auditoria podem ser exportados a cada 1 ou 3 horas para Splunk, Azure Log Analytics, Amazon S3, Google Cloud Storage ou Azure Blob Storage, enviando apenas os registros mais recentes. A infraestrutura da Lovable retém os logs por 13 semanas, e o recurso de exportação garante que a empresa mantenha sua própria cópia pelo tempo que julgar necessário. O acesso aos buckets e serviços em nuvem é feito por meio de credenciais de curta duração, sem a necessidade de chaves permanentes.

O que vem pela frente

O roadmap inclui configurações globais aplicadas a todos os espaços da organização, paridade total de recursos entre os deploys na AWS/Azure e o ambiente gerenciado da Lovable, além do suporte a Deploy on Google Cloud. As políticas de governança, o Action center, a API e a exportação de logs já estão em operação. Para acessar o Organizations e os recursos em preview fechado, é necessário entrar em contato com o gerente de contas ou enviar uma mensagem para [email protected]. Equipes que enfrentam barreiras de segurança ao colocar protótipos em produção devem avaliar previamente três fatores: a real necessidade de deploy em nuvem própria, exigências regulatórias sobre inferência na Europa e quais políticas de publicação devem ser ativadas imediatamente.