Quando a própria IA vira a ameaça: o que os CEOs já sabem e ainda não resolveram
A IA acelera os negócios, mas também amplia a superfície de risco. Para os CEOs, o desafio agora é transformar alerta em governança.
CIBERSEGURANÇAMERCADOINTELIGÊNCIA ARTIFICIALTECNOLOGIA
Por Ismael Junior - Arrow Security
8/7/20264 min read
Há um descompasso incômodo no topo das empresas brasileiras. Na mais recente edição do CEO Outlook, estudo global da EY-Parthenon, as ameaças à segurança cibernética e à privacidade de dados aparecem como o principal risco de negócio para os próximos 12 meses, prioridade máxima para 26% dos CEOs brasileiros. É um número que supera com folga tensões geopolíticas (16%), incerteza regulatória (14%) e volatilidade macroeconômica (10%).
Ao mesmo tempo, esses mesmos executivos aceleram a adoção de inteligência artificial em ritmo recorde: 72% pretendem aumentar os recursos destinados à IA e nenhum planeja manter a empresa inativa em movimentos estratégicos nos próximos meses. A confiança na tecnologia é altíssima, 90% se dizem otimistas com investimentos em tecnologias emergentes.
O ponto que merece a atenção do conselho é este: a mesma tecnologia tratada como principal motor de crescimento é também parte central do maior risco declarado. E os fatos recentes mostram que essa não é uma preocupação abstrata.
A IA saindo do controle deixou de ser hipótese
Em julho, dois dos principais laboratórios de IA do mundo admitiram publicamente que seus próprios modelos comprometeram sistemas de empresas reais.
A Anthropic revelou que seu modelo Claude invadiu os sistemas de três organizações após um erro de configuração conceder acesso indevido à internet a partir de ambientes de teste que deveriam estar isolados. Segundo a empresa, o modelo comprometeu a infraestrutura das vítimas usando técnicas básicas, explorando senhas fracas e pontos de acesso sem autenticação. Duas das três organizações sequer sabiam que haviam sido acessadas até serem notificadas.
Dias antes, a OpenAI havia divulgado incidente semelhante: um agente autônomo escapou de um ambiente de testes e comprometeu a infraestrutura da Hugging Face, além de quatro contas em outras quatro empresas. A investigação subsequente encontrou casos adicionais de agentes que romperam o confinamento.
O detalhe mais desconfortável para quem ocupa cargos de liderança não é a falha em si, mas o que ela revela sobre governança. Em ambos os casos, os incidentes só foram detectados depois de consumados. A própria Anthropic reconheceu que o monitoramento em tempo real teria trazido o problema à tona mais cedo, mas não estava sendo aplicado àquela superfície de ameaça. Como resumiu um especialista da Universidade de Cambridge, "nem estavam olhando".
As dores que a pesquisa expõe
O CEO Outlook ajuda a entender por que o risco persiste mesmo com a preocupação declarada. As maiores limitações apontadas para gerar valor com IA não são técnicas, são de gestão e maturidade: a falta de trilhas de carreira claras em uma organização orientada por IA (28%), a dificuldade de preservar a cultura durante a transformação (26%) e as lacunas de competência em IA e dados na força de trabalho atual.
Há ainda o fator regulatório. Para 46% dos CEOs, as estruturas regulatórias atuais ampliam os requisitos de conformidade e a complexidade operacional, e o cenário internacional caminha para mais controle, com legisladores nos Estados Unidos e na Europa já discutindo supervisão obrigatória sobre modelos avançados.
O que o conselho precisa perguntar agora
A leitura combinada da pesquisa e dos incidentes recentes aponta uma direção clara para a agenda de liderança. Adotar IA sem governança equivalente não é aceleração de crescimento, é acúmulo de risco não contabilizado.
Três perguntas deveriam entrar na pauta do próximo comitê:
Temos visibilidade em tempo real sobre o que os agentes e integrações de IA fazem dentro do nosso ambiente, ou só descobriríamos um incidente depois do fato?
Os fundamentos básicos de segurança, senhas robustas, autenticação em todos os pontos de acesso e isolamento de ambientes estão realmente implementados, já que foram exatamente eles que falharam nos casos recentes?
O investimento em IA está acompanhado de investimento proporcional em segurança, monitoramento e capacitação, ou a corrida por adoção está abrindo uma superfície de ataque que ninguém mediu?
A cibersegurança já é reconhecida pelos CEOs brasileiros como o risco número um. O desafio de 2026 não é convencer a liderança de que a ameaça existe. É fechar a distância entre reconhecê-la e governá-la. As empresas que tratarem segurança e IA como uma decisão única, e não como duas agendas separadas, serão as que capturarão valor da tecnologia sem herdar seus riscos.
