A IA está redefinindo os riscos cibernéticos. Os conselhos de administração precisam gerenciar essa ameaça.

Este artigo foi elaborado pela Harvard Business School Working Knowledge e apresenta as reflexões do professor Hise O. Gibson. Atualmente, uma violação de dados envolvendo IA custa, em média, US$ 4,88 milhões às organizações; um valor que não leva em conta os danos à reputação, as penalidades regulatórias ou as falhas operacionais em cadeia que se seguem. No entanto, a violação em si não é mais o maior risco. O maior risco são os líderes que não previram sua ocorrência. Imagine o seguinte: um vídeo viral se espalha rapidamente pelas redes sociais, mostrando um ex-presidente declarando uma emergência nacional. A voz é perfeita. O cenário parece autêntico. A mensagem é urgente. Mas tudo não passa de uma mentira. Quando alguém percebe que se trata de um deepfake, os mercados já entraram em colapso, as alianças globais se alteraram e a confiança do público nos próprios alicerces do governo foi abalada. Essa não é uma ameaça distante; ela já está aqui. Em 2022, um vídeo convincente gerado por inteligência artificial, no qual o presidente ucraniano Volodymyr Zelensky supostamente ordenava que suas tropas se rendessem, circulou amplamente na internet, apesar de autoridades ucranianas terem imediatamente denunciado a fraude. Inscreva-se no boletim informativo da Working Knowledge para receber semanalmente em sua caixa de entrada as últimas notícias sobre pesquisa. A tecnologia necessária para criar esses vídeos antes exigia orçamentos de Hollywood, mas agora funciona em laptops comuns, o que significa que as ameaças não só estão surgindo mais rapidamente, como também têm mais chances de enganar um grande número de espectadores. A IA não está simplesmente acelerando os ataques; ela está tornando o mundo radicalmente menos previsível, mais difícil de compreender e exponencialmente mais perigoso. As consequências para as organizações são devastadoras, e a maioria dos líderes empresariais não está preparada. Aumentam os ataques cibernéticos baseados em IA Os ataques cibernéticos a softwares e aplicativos de sistema voltados para o público aumentaram 44% em apenas um ano, e muitos desses ataques foram impulsionados por vulnerabilidades habilitadas por IA, segundo um estudo da IBM de 2026. Esses ataques aprendem, se adaptam e evoluem em tempo real. Eles testam as defesas, encontram falhas e alteram suas estratégias, tudo isso sem qualquer intervenção humana. Entretanto, de acordo com o relatório “State of Cybersecurity Resilience 2025” da Accenture, 77% das organizações carecem das práticas básicas de segurança de dados e IA necessárias para proteger a infraestrutura tecnológica crítica. Essa lacuna entre a rapidez com que as ameaças podem surgir e o grau de preparação das organizações para gerenciá-las é uma das maiores fraquezas estratégicas da nossa época. A questão não é se a sua empresa será atacada por IA. A verdadeira questão é se os líderes estão preparados para agir quando isso acontecer. Por que é necessária uma nova estrutura. Há muito tempo que os líderes utilizam o modelo VUCA (volátil, incerto, complexo e ambíguo) para abordar situações empresariais difíceis, mas esse modelo já não descreve o que enfrentamos no mundo da IA e da segurança cibernética. Estamos agora em um ambiente BANI (frágil, ansioso, não linear e incompreensível), o que exige um tipo de resposta de liderança muito diferente. O VUCA dizia aos líderes para se prepararem. O BANI lhes diz que a preparação em si pode não ser suficiente, porque as ameaças não seguem mais padrões previsíveis, se intensificam na velocidade humana ou se anunciam com antecedência. Veja a seguir uma análise mais detalhada do panorama: Fragilidade: Nossos sistemas parecem robustos, mas podem falhar gravemente quando submetidos a forte pressão. Um único ponto de falha pode causar problemas para toda uma organização em apenas alguns minutos. Em junho de 2017, o malware NotPetya, por exemplo, espalhou-se rapidamente pela rede da TNT Express, derrubando 40.000 computadores e 10.000 servidores em menos de 40 minutos e paralisando as operações globais da empresa. Ansiedade: Os líderes frequentemente têm dificuldade em tomar decisões porque têm muitas opções, informações insuficientes e resultados difíceis de prever. A necessidade de agir rapidamente e a necessidade de agir com sabedoria estão em conflito. Muitos executivos ficam paralisados ou, pior ainda, delegam a outras pessoas as decisões que deveriam tomar. Não linear: Os modelos tradicionais de risco pressupõem que grandes problemas apresentam grandes sinais de alerta, um princípio conhecido como proporcionalidade. Mas, com ataques habilitados por IA, pequenos problemas podem ter grandes efeitos; uma única senha roubada ou um pequeno erro de configuração pode causar danos em toda a empresa. Incompreensível: A lógica de tomada de decisão dos sistemas de IA que utilizamos é difícil de explicar, e estamos tentando nos defender contra ataques de IA usando métodos que são difíceis de entender. A natureza de “caixa preta” da IA moderna torna difícil para as estruturas tradicionais de governança lidar com os riscos que ela representa. Lidando com os desafios da IA Os líderes estão enfrentando uma série de problemas relacionados à IA que são difíceis de gerenciar: queremos que a IA seja rápida, mas não descuidada. Queremos que seja forte, mas não fraca. Precisamos expandi-la por toda a empresa, mas de forma segura e ética. Cada função que a IA possibilita também pode levar a um ataque. Cada ganho em eficiência também torna a empresa dependente dessa tecnologia. Cada decisão tomada por uma máquina também levanta a questão de quem é o responsável. Os líderes que lidam bem com isso não conseguem eliminar completamente essas tensões; isso é impossível. Mas serão eles que criarão organizações capazes de funcionar bem apesar dos desafios. Um guia para líderes. Para sobreviver em um mundo frágil, ansioso, não linear e difícil de compreender, precisamos de mais do que apenas uma tecnologia melhor. Precisamos de uma nova abordagem à liderança. Criei uma estrutura chamada ACTS porque agir é o primeiro passo para prosperar. Os líderes devem: Partir do princípio de que uma violação é inevitável. Quando se trata de segurança cibernética, a pior coisa que você pode fazer é baixar a guarda e acreditar que suas defesas estão funcionando. Toda empresa deve se preparar para o fato de que sempre haverá algum nível de comprometimento. Isso significa usar arquiteturas de confiança zero, dividir redes para limitar os danos, manter backups manuais para tarefas críticas e praticar cenários de crise regularmente. A FedEx conseguiu lidar com o ataque do NotPetya e sofreu perdas menores do que outras empresas porque a organização havia se preparado exatamente para essa possibilidade. Seus líderes, muitos dos quais com formação militar, mantiveram a calma e tomaram decisões acertadas mesmo quando a situação se tornou difícil. Eles estavam preparados com soluções alternativas manuais. Por outro lado, em setembro de 2023, a MGM Resorts International sofreu um ataque de ransomware que paralisou as áreas de jogo, as reservas de hotel e as chaves digitais dos quartos em várias propriedades. O ataque teve início com uma ligação telefônica de 10 minutos feita por alguém que se fazia passar por um funcionário da MGM. Em poucos dias, a MGM havia perdido cerca de US$ 100 milhões em receita e enfrentou semanas de disrupção operacional, não porque sua tecnologia falhou, mas porque seus líderes não haviam se preparado para o momento em que a tecnologia ficaria indisponível. Cultive a fluência em IA em todos os níveis de liderança. O domínio da IA não pode mais ficar restrito apenas ao departamento de TI. Todos os líderes da empresa precisam saber como funcionam os sistemas de IA, onde eles agregam valor e onde representam riscos. Os líderes não devem apenas aprender a usar a IA, mas também devem desenvolver programas de mentoria reversa nos quais os funcionários juniores, que muitas vezes possuem mais habilidades em IA, ensinem os líderes seniores. Além disso, devem contratar pessoas que sejam adaptáveis e estejam dispostas a aprender, e não apenas aquelas com as competências certas. Vincule todo investimento em IA às operações essenciais. Muitas empresas executam projetos-piloto de IA que não são escaláveis, ou criam ótimas demonstrações que não têm impacto a longo prazo. Isso precisa acabar. Todo projeto de IA deve ter estruturas claras de ROI, atender às necessidades reais do negócio e estar vinculado a resultados mensuráveis. Reforçar a governança. As empresas precisam criar diretrizes éticas e formar conselhos de governança de IA que incluam representantes de vários departamentos da organização, não apenas da área de TI. Esses grupos precisam avaliar regularmente a imparcialidade e a ausência de preconceitos. E os tomadores de decisão devem ser transparentes quanto a quem é responsável por problemas relacionados à IA quando algo dá errado, antes da violação, e não depois. Quatro perguntas para sua próxima reunião do conselho. Utilize estas quatro perguntas como um diagnóstico de preparação antes da sua próxima reunião do conselho de administração. Sua empresa conseguiria funcionar por 48 horas sem sistemas digitais? Vocêsdispõem de processos manuais para continuar atendendo aos clientes e realizando tarefas essenciais caso um ataque grave derrube sua infraestrutura? Os seus principais líderes já concluíram o treinamento necessário em segurança e ética de IA? Isso não deve ser apenas um webinar que eles assistiram rapidamente, mas sim aulas reais sobre como esses sistemas funcionam e onde podem falhar. O seu plano de implantação de IA baseia-se na resiliência da empresa, em vez de apenas no crescimento? Os sistemas que você está construindotornam a empresa mais forte ou mais fraca quando as coisas ficam difíceis? Seus colaboradores ainda conseguem tomar boas decisões quando os dados não estão disponíveis? Se os painéis de controle deixarem de funcionar repentinamente e os modelos não estiverem disponíveis, sua liderança possui as habilidades e os processos necessários para tomar decisões com base na experiência? Se não puder responder afirmativamente a todas essas perguntas, agora é a hora de AGIR. Os líderes que tratam a segurança da IA como uma obrigação fiduciária, e não como um item de linha da TI, serão os que permanecerão de pé quando o próximo ataque ocorrer. E ele ocorrerá. A única questão é se você está pronto para AGIR.

A IA está redefinindo os riscos cibernéticos. Os conselhos de administração precisam gerenciar essa ameaça.

Resumo.

Partner Center