How low-code development platforms may mitigate shadow IT issues

Abstract

The growing adoption of unauthorized IT solutions, known as Shadow IT, poses significant challenges for large organizations, compromising security, regulatory compliance, and information systems governance. This thesis investigates how Low-Code Development Platforms (LCDPs) can mitigate Shadow IT risks by enabling rapid, governed enterprise application development involving both professional developers and citizen developers. The research adopts a three-phase Design Science Research methodology: (1) a PRISMA-compliant systematic literature review identifying key Shadow IT challenges and LCDP capabilities; (2) development of a structured 62-item evaluation framework organized across ten thematic clusters; and (3) framework application through multi-LLM triangulation, employing four large language models (ChatGPT, Claude, Gemini, and Grok) as independent evaluators, complemented by human expert validation. The evaluation encompassed four market-leading platforms: Mendix, OutSystems, Appian, and Microsoft Power Apps. Results demonstrate that OutSystems achieved the highest overall score, followed by Appian, Power Apps, and Mendix. The triangulation methodology achieved 86.3% inter-rater agreement, with human validation applied to the 13.7% of items exhibiting significant disagreement. Critical capability gaps were identified in DevSecOps integration for both Mendix and Power Apps. This study contributes a theoretically-grounded evaluation framework and a novel methodological approach to AI-assisted assessment, providing practical guidance for organizations seeking to select LCDPs for Shadow IT mitigation.

O uso crescente de soluções de TI não autorizadas, conhecido como Shadow IT, representa um desafio significativo para grandes organizações, comprometendo a segurança, a conformidade regulatória e a governança dos sistemas de informação. Esta dissertação investiga como as plataformas de desenvolvimento low-code (LCDPs) podem mitigar os riscos associados ao Shadow IT, permitindo o desenvolvimento rápido e governado de aplicações empresariais com participação tanto de desenvolvedores profissionais quanto de desenvolvedores cidadãos. A investigação adota uma metodologia de Design Science Research em três fases: (1) uma revisão sistemática da literatura seguindo o protocolo PRISMA, que identificou os principais desafios do Shadow IT e as capacidades das LCDPs; (2) o desenvolvimento de um framework de avaliação estruturado com 62 itens organizados em dez clusters temáticos; e (3) a aplicação do framework através de triangulação multi- LLM, utilizando quatro modelos de linguagem de grande escala (ChatGPT, Claude, Gemini e Grok) como avaliadores independentes, complementada por validação de especialistas humanos. A avaliação abrangeu quatro plataformas líderes de mercado: Mendix, OutSystems, Appian e Microsoft Power Apps. Os resultados demonstram que o OutSystems obteve a pontuação mais elevada, seguido pelo Appian, Power Apps e Mendix. A metodologia de triangulação alcançou 86,3% de concordância entre avaliadores, com validação humana aplicada aos 13,7% de itens com divergência significativa. Lacunas críticas foram identificadas nas capacidades de DevSecOps do Mendix e do Power Apps. Este estudo contribui com um framework de avaliação teoricamente fundamentado e uma abordagem inovadora para avaliação assistida por IA, oferecendo orientações práticas para organizações na seleção de LCDPs.