Nenhuma empresa brasileira pode continuar ignorando a falta de governança de IA.
Os dados do relatório IBM Cost of a Data Breach 2025 são inequívocos — e revelam um paradoxo perigoso que afeta mercados no mundo inteiro: as empresas adotam a Inteligência Artificial com entusiasmo, mas negligenciam completamente o controle sobre ela.
No cenário brasileiro, o impacto financeiro do cibercrime nunca foi tão alto:
- R$ 7,19 milhões é o custo médio de uma violação de dados no Brasil em 2025 (um aumento de 6,5% em relação ao ano anterior).
No entanto, quando olhamos para a maturidade de quem adota a tecnologia, os indicadores globais do relatório acendem um alerta vermelho para as nossas empresas:
- 87% das organizações globalmente operam sem uma política de governança de IA firmada.
- 61% não possuem controles de acesso à IA implementados em seus ambientes.
Quase 90% das empresas estão no escuro regulatório e mais de 60% operam sem barreiras de acesso em seus ambientes de IA. Não estamos diante de um problema técnico, mas sim de um problema de governança — e governança mal exercida tem um custo financeiro global e local muito bem mensurável.
“Já existe uma lacuna preocupante entre a rápida adoção da IA e a falta de governança e segurança adequadas, e agentes mal-intencionados estão explorando esse vácuo.” — Fernando Carbone, Sócio de Serviços de Segurança, IBM Consulting América Latina
O impacto da maturidade nos custos (Cenário Global)
Embora os setores de Saúde, Finanças e Serviços registrem os prejuízos mais expressivos no Brasil, a análise global da IBM comprova que a maturidade em segurança aplicada à IA é o fator que mais dita o tamanho do prejuízo financeiro.
Existe um delta expressivo de R$ 2,30 milhões (proporcional ao indicador global) entre as organizações que ainda não utilizam IA em suas defesas (custo médio equivalente a R$ 8,78M por violação) e aquelas que já possuem uma implementação extensiva de segurança automatizada (onde o custo cai para R$ 6,48M). Governança e automação de IA economizam dinheiro — literalmente.
O relatório aponta que a adoção de tecnologias de governança de IA, está entre as iniciativas mais eficazes para mitigar os danos de um vazamento, reduzindo o impacto financeiro em uma média global equivalente a R$ 629 mil por incidente. Mesmo com esse forte argumento financeiro, apenas 29% das organizações no mundo utilizam esse tipo de solução.
O que a ausência de governança cria na prática
O diagnóstico global do relatório quantifica os riscos reais dessa negligência:
- Shadow IA descontrolada: Uma em cada cinco organizações globais sofreu violações diretamente relacionadas ao uso não rastreado ou não sancionado de ferramentas de IA. Para piorar, apenas 37% possuem políticas ativas para detectar ou gerenciar esse fenômeno. Em ambientes sem inventário, a IA torna-se um vetor invisível de risco.
- Exposição de dados sensíveis via LLMs: Cerca de 13% das violações globais já envolveram diretamente modelos ou aplicações de IA. O dado mais alarmante? Das organizações que sofreram esse tipo específico de comprometimento, 97% não tinham controles de acesso à IA estabelecidos.
- Phishing potencializado por IA: 16% das violações estudadas envolveram o uso de ferramentas de IA por cibercriminosos — majoritariamente para a criação de ataques de phishing altamente customizados e deepfakes. Esses vetores crescem em sofisticação justamente porque a defesa não monitora o uso adversarial.
- Ausência de auditoria: Entre as raras empresas que chegaram a desenhar alguma política interna para o uso de IA, apenas 34% realizam auditorias regulares para detectar o uso não autorizado. Ter uma política estática, sem revisão contínua, é apenas teatro de conformidade — não governança.
A perspectiva da Tecnologia Humana
Na Tecnologia Humana, acompanhamos esse movimento com preocupação técnica e responsabilidade prática. A adoção de IA generativa e sistemas automatizados dentro das organizações brasileiras avançou de forma acelerada nos últimos dois anos — e, em grande parte dos casos, à margem dos frameworks de governança já consolidados, como ISO 27001, LGPD, NIST e COSO.
O resultado dessa desconexão é previsível: a IA passa a ser tratada meramente como uma ferramenta de produtividade cotidiana, quando na verdade ela representa um ativo de dados robusto, um vetor de risco crítico e um agente de tomada de decisão que precisa ser inventariado, controlado e auditado.
Governança de IA não é um módulo futuro para o seu programa de compliance; é uma necessidade crítica do presente. Frameworks globais emergem a todo momento para balizar o mercado — como o AI Act europeu, as diretrizes do NIST AI RMF e as recomendações específicas da ISO/IEC 42001. As organizações brasileiras que se antecipam a essa onda não apenas reduzem drasticamente sua exposição a riscos e incidentes de R$ 7 milhões, mas constroem uma vantagem competitiva reputacional real sobre seus pares.
Controlar o uso de IA não é frear a inovação. É garantir que a inovação sustente — e não destrua — o valor que a organização construiu.
Por onde começar: as cinco lacunas críticas
- Inventário de uso de IA: Mapeie todas as ferramentas e modelos de IA em uso na organização — sancionados e não sancionados (Shadow IA). Você não governa o que não enxerga.
- Política de governança de IA: Formalize as regras de uso aceitável, a responsabilidade sobre os outputs (resultados) e os critérios de conformidade para a adoção de novas soluções. O alinhamento com a LGPD e a ISO 27001 é o ponto de partida natural.
- Controles de acesso específicos para IA: Os controles tradicionais de IAM (Gestão de Identidade e Acesso) não foram desenhados para a dinâmica de modelos de linguagem e LLMs. É preciso revisar escopos, permissões de prompts e segregação de dados sensíveis nesses ambientes.
- Canais de regularização: Implante processos de detecção de uso de ferramentas externas, criando camais de homologação rápidos que não punam a iniciativa de inovação do colaborador, mas a direcionem com segurança.
- Auditoria contínua e gestão de terceiros: Integre o risco de IA ao seu programa de matriz de riscos existente. Avalie fornecedores de tecnologia que embutem IA como parte da sua gestão de terceiros e atualize o Relatório de Impacto à Proteção de Dados (RIPD/AIPD) sempre que novos modelos tratarem dados pessoais.
A Tecnologia Humana atua na estruturação de programas de governança de IA sob medida, perfeitamente integrados aos frameworks de segurança e privacidade que sua organização já utiliza. Do diagnóstico à implementação, nosso foco é traduzir conformidade em resultados mensuráveis e sustentáveis.
Fonte de dados: IBM Cost of a Data Breach Report 2025, divulgado em 30 de julho de 2025. Este artigo representa a visão analítica da Tecnologia Humana sobre os dados publicados. Os dados de custos gerais de violação refletem o recorte do mercado brasileiro; os indicadores de governança, Shadow IA e maturidade refletem a amostragem global do estudo, convertidos proporcionalmente para a realidade nacional.
