IA na direção das empresas: os números, os riscos e a pauta que chegou à mesa do CEO
Nos últimos meses, quase toda conversa que tenho com empresários, clientes e amigos termina na mesma pergunta, feita de formas diferentes: "quanto da minha operação a IA já deveria estar fazendo?". Alguns perguntam com entusiasmo, mostrando o agente que acabaram de contratar. Outros perguntam com medo, depois de ler mais uma notícia dizendo que metade dos empregos vai desaparecer. E quase todos perguntam olhando para o lado errado: para a ferramenta.
Vou ser direto: a inteligência artificial nas empresas é um caminho sem volta, exatamente como foram a nuvem e o mobile. Não é modismo, não é bolha que se espera passar, não é assunto que dá para adiar até o próximo planejamento estratégico. Mas a pergunta certa não é "quanto da minha operação a IA pode assumir?". A pergunta certa é: quem, na sua empresa, responde pela IA que já entrou nela?
Porque ela já entrou. Pelo estagiário que cola dados de clientes no chatbot gratuito, pelo software de gestão que ganhou "recursos de IA" na última atualização, pelo diretor comercial que assinou uma ferramenta por conta própria. A IA não espera aprovação do conselho para começar a operar no seu negócio.
Este é o primeiro de dois artigos sobre o tema, e é escrito para quem dirige a empresa. Aqui você vai encontrar: o que a IA representa de fato dentro de um negócio, os números dos principais institutos de pesquisa, por que o risco que antes era humano agora é também tecnológico, os 5 erros que estão multiplicando a exposição das empresas e, no final, um checklist para você, CEO, medir o quanto essa pauta já está de fato na sua mesa. No segundo artigo, mostro a função que tem papel fundamental nessa jornada, o CISO, quem responde pela segurança e pela governança enquanto você conduz o negócio, e entrego o checklist de governança de IA para a diretoria.
O que é a inteligência artificial dentro de um negócio
Antes dos números, um alinhamento de conceito, porque muita diretoria ainda discute IA como se fosse um único produto que se compra.
Dentro de uma empresa, a IA hoje aparece em três camadas. A primeira é a IA assistiva: ferramentas como ChatGPT, Copilot e Gemini, usadas por pessoas para escrever, resumir, analisar e programar mais rápido. A segunda é a IA embarcada: os recursos de inteligência artificial que os softwares que você já usa (ERP, CRM, RH, atendimento) foram adicionando por conta própria, muitas vezes sem que ninguém na empresa tenha avaliado o que esses recursos fazem com os dados. A terceira, e mais recente, é a IA agêntica: agentes autônomos que não apenas respondem, mas executam sequências inteiras de tarefas, acessam sistemas, disparam e-mails, movimentam registros e tomam microdecisões sem um humano em cada passo.
Cada camada dessas entrega benefício real. E cada uma delas cria uma superfície de risco nova. O erro clássico é a empresa enxergar apenas a primeira camada, enquanto a segunda e a terceira operam sem inventário, sem dono e sem regra.
O benefício não é promessa de vendedor, é número medido, e aparece em três escalas.
Na escala da economia, a McKinsey e o Fórum Econômico Mundial estimam que digitalização, automação e IA podem adicionar entre 1,9% e 2,3% ao ano à produtividade da América Latina, o que representa mais de US$ 1,1 trilhão em valor econômico anual.
Na escala da operação, os casos industriais que a própria McKinsey analisou mostram o tamanho do prêmio quando o processo é redesenhado de ponta a ponta: em uma operação, a IA aplicada aos fluxos de suprimentos e manufatura elevou a produtividade em 45% e reduziu os estoques em 81%; em outra, agentes de IA dedicados à logística garantiram economia recorrente de 15% no frete.
E na escala do dia a dia, o efeito já é visível no Brasil: na pesquisa da LG lugar de gente com a FIA Business School, feita com 1.130 profissionais de RH, a IA poupa em média 5,4 horas por semana por profissional, cerca de 12% da jornada.
O ganho existe, é mensurável e é relevante. O problema nunca foi o benefício. O problema é o modo como ele está sendo perseguido.
Os números que a diretoria precisa conhecer
Como prometido, instituto por instituto. Guarde esses números para a próxima reunião de diretoria.
Sobre o potencial de automação do trabalho
O McKinsey Global Institute, em estudo publicado em julho de 2026 sobre a América Latina, calcula que 56% das horas trabalhadas no Brasil têm potencial técnico de ser automatizadas com tecnologias que já existem (a média latino-americana é de 57%). Importante: potencial técnico não significa que 56% dos empregos vão sumir, significa que mais da metade das horas de trabalho do país pode, tecnicamente, ser executada por agentes de IA e robôs. A mesma McKinsey estima que a automação pode destravar cerca de US$ 450 bilhões por ano em valor econômico na América Latina até 2030.
O MIT FutureTech, com base em mais de 17 mil avaliações de profissionais sobre 3 mil tarefas reais, projeta que a IA poderá executar até 95% do trabalho baseado em texto em nível minimamente satisfatório até 2029, com a complexidade das tarefas que a IA consegue realizar dobrando a cada 3,8 meses. O Goldman Sachs estima que 300 milhões de empregos no mundo estão expostos à automação.
Sobre quanto da operação já acontece com IA
A SAP LeanIX, em pesquisa de março de 2026 com 228 arquitetos corporativos de empresas internacionais, encontrou 75% das empresas já usando IA, mais de um terço com abordagem declarada de "AI first", ou seja, "IA em primeiro lugar", 44% já operando agentes de IA e 98% usando, testando ou planejando agentes. No Brasil, a pesquisa da LG lugar de gente com a FIA mostra 94% dos profissionais de RH já usando IA no dia a dia. E o EY-Parthenon CEO Outlook, com 50 CEOs de grandes empresas brasileiras, aponta que 72% dos CEOs brasileiros pretendem aumentar os investimentos em IA nos próximos meses.
Sobre o retorno desses investimentos
Aqui a conversa muda de tom. O Boston Consulting Group (BCG), no seu AI Radar 2026, mostra que 82% dos CEOs estão mais otimistas com o ROI de IA do que há um ano, mas apenas 6% das empresas capturam valor significativo em redução de custo e aumento de receita. O MIT, no relatório "The GenAI Divide: State of AI in Business 2025" (iniciativa NANDA), chegou a um número que correu o mundo: cerca de 95% dos pilotos de IA generativa nas empresas não geram impacto mensurável no resultado. E a McKinsey, ouvindo COOs da América Latina, encontrou apenas 7% das organizações da região com IA implementada em escala (contra 11% no mundo) e só 17% afirmando ter capturado o retorno esperado (contra 30% globalmente).
Junte as duas pontas: adoção em massa, retorno em minoria. Esse abismo entre o que se gasta e o que se colhe tem nome: falta de gestão. E é exatamente nesse vão que mora o risco.
O risco trocou de lado: antes era o humano sem treinamento, agora é também a tecnologia sem treinamento
Durante décadas, o maior risco operacional e de segurança das empresas foi o humano sem capacidade ou sem treinamento: o funcionário que clica no link errado, o analista que configura mal o firewall, o operador que digita o valor com um zero a mais. Todo programa de segurança maduro aprendeu a tratar isso com capacitação, processo e controle.
Agora temos um fenômeno novo: a tecnologia ainda não treinada o suficiente para as atividades que estamos entregando a ela. Modelos de IA alucinam com convicção, agentes executam ações com base em interpretações erradas, sistemas tomam decisões com vieses herdados dos dados. Joe Sullivan, ex-CISO do Uber e do Facebook, resumiu bem em reportagem da CNBC: parte dos produtos de segurança com IA "ainda não está pronta para uso em produção", porque a tecnologia é muito recente. Se isso vale para produtos de segurança, vale em dobro para o agente que a sua empresa colocou para responder clientes ou aprovar solicitações.
E o mais importante: o risco humano não foi embora. Ele se somou ao novo. Temos hoje humanos sem treinamento operando tecnologias sem maturidade, no ritmo mais acelerado de adoção que a indústria de software já viu. Quando a pauta é cibersegurança, essa combinação é explosiva, e os números não mentem:
A Check Point Software, no seu relatório The State of Cyber Security 2026, registrou média de 1.968 ataques semanais por organização em 2025, alta de 18% sobre o ano anterior e de quase 70% desde 2023. O ransomware bateu recorde: mais de 7.960 vítimas publicadas em sites de extorsão, 53% a mais que no ano anterior. A CrowdStrike, no Relatório Global de Ameaças 2026, mediu um aumento de 89% nos ataques conduzidos por adversários habilitados por IA e registrou o tempo médio de movimentação lateral do atacante dentro da rede em 29 minutos, com o caso mais rápido em 27 segundos. E 82% das detecções já não envolvem malware: o atacante entra por credenciais válidas e engenharia social, cada vez mais gerada e escalada por IA.
Do outro lado do balcão, a IA da própria empresa virou porta de entrada. A Check Point documentou que 89% das organizações são impactadas todo mês por prompts de risco enviados a ferramentas de IA, e que 1 em cada 41 prompts submetidos por funcionários contém dado sensível ou risco alto (número que quase dobrou ao longo de 2025). Uma análise da Lakera sobre cerca de 10 mil servidores MCP (o protocolo que conecta agentes de IA a sistemas) encontrou vulnerabilidades em 40% deles. E o caso mais emblemático do ano: a campanha de espionagem GTG-1002, documentada pela Anthropic, em que um modelo de IA executou de forma autônoma entre 80% e 90% das tarefas táticas de uma operação de invasão contra cerca de 30 organizações, um episódio que analisamos em detalhe no artigo sobre o caso OpenAI e Hugging Face.
O IBM Cost of a Data Breach Report 2025 fecha a conta: 13% das organizações já sofreram violações envolvendo seus modelos ou aplicações de IA, e 97% delas não tinham controle de acesso adequado sobre a IA. Organizações com alto nível de "shadow AI" (IA usada sem conhecimento da empresa) pagaram em média US$ 670 mil a mais por violação. E 63% das organizações violadas não tinham política de governança de IA ou ainda estavam desenvolvendo uma.
Releia esse último parágrafo. Ele descreve, com dados, o custo de implantar primeiro e governar depois.
Os 5 erros que estão multiplicando o risco das empresas com IA
Depois de acompanhar dezenas de empresas nessa jornada, entre clientes de segurança gerenciada, projetos de compliance com a LGPD e conversas de diretoria, os padrões de erro se repetem. São estes:
1. Implantar na velocidade do pânico competitivo
O medo de ficar para trás virou o principal motor de decisão. A empresa vê o concorrente anunciar IA e responde em semanas com uma solução imediatista: um chatbot comprado às pressas, um agente conectado ao WhatsApp sem homologação, uma integração feita por um freelancer diretamente na base de produção. A mecânica do problema é simples: velocidade de implantação sem processo de implantação. O resultado aparece nos números do BCG e do MIT que citei acima: pilotos por todo lado, valor em quase lugar nenhum, e cada piloto abandonado deixando para trás credenciais ativas, integrações abertas e dados copiados. Código que funciona não é código seguro, ponto que detalhei no artigo Vibe coding e segurança 2.0, e piloto que impressiona na demo não é sistema pronto para produção.
2. Terceirizar a decisão para a sala de TI
Durante anos, o gestor tratou tecnologia como assunto de técnico: "isso aí é com a TI". Com a IA, muitos diretores repetiram o reflexo e jogaram para a equipe técnica uma decisão que é de negócio: quais processos podem ser automatizados, com quais dados, com qual apetite de risco, com qual orçamento. A pesquisa da SAP LeanIX mostra a consequência: 48% das empresas não têm responsabilidade claramente definida sobre a gestão dos agentes de IA, com múltiplas equipes envolvidas e ninguém respondendo pelo todo. TI executa, mas não pode decidir sozinha o risco que a empresa aceita correr. Quando o incidente acontece, quem explica ao cliente, ao mercado e à ANPD não é o analista: é o dono do negócio.
3. Entregar atividade crítica a uma tecnologia que ainda não está pronta para ela
Existe uma distância enorme entre usar IA para rascunhar um e-mail e usar IA para decidir crédito, precificar contrato, responder cliente em nome da empresa ou operar segurança. A tecnologia evolui rápido, mas hoje ainda erra com confiança, e agente autônomo erra em escala e em velocidade de máquina. No Brasil isso tem consequência jurídica direta: a LGPD garante ao titular o direito de revisão de decisões tomadas unicamente de forma automatizada que afetem seus interesses. Colocar IA para decidir sem revisão humana não é só risco operacional, é passivo regulatório. A regra prática que uso: quanto maior o impacto do erro, maior a supervisão humana exigida. IA propõe, humano dispõe, e o processo registra quem decidiu.
4. Ignorar a superfície de ataque que a própria IA cria
Cada ferramenta de IA conectada ao negócio é um novo caminho para dentro dele. Prompt injection (instruções maliciosas escondidas em e-mails, documentos e páginas que o agente lê e obedece), servidores MCP vulneráveis, extensões e pacotes falsos, agentes com permissões largas demais, funcionários colando base de clientes em ferramentas gratuitas. A média que a Check Point mediu é de mais de 14 serviços de IA diferentes em uso por organização, a maioria sem passar por qualquer avaliação de segurança. É o shadow AI que o relatório da IBM precificou em US$ 670 mil adicionais por violação. Vazamento de dados, invasão de sistemas, fraude com deepfake de voz e vídeo, exposição de marca: nenhum desses riscos é teórico, todos cresceram em 2025 segundo os relatórios da Check Point e da CrowdStrike. A empresa que não inventaria sua IA não tem como defender o que não sabe que existe.
5. Esquecer o compliance e não medir nem ROI, nem risco
O quinto erro é o mais silencioso: implantar IA sem responder três perguntas de gestão básica. Quanto isso retorna? A quais leis e normas isso está sujeito? Como saberemos se algo deu errado? A pesquisa da SAP LeanIX mostra que mais de 80% das empresas não têm visibilidade sobre desempenho, conformidade ou ROI dos agentes de IA que já usam, e 38% admitem que nem pretendem medir. Enquanto isso, LGPD, marcos setoriais, normas de conselhos profissionais e a regulação de IA que avança no mundo (como o AI Act europeu) vão cobrando conformidade de quem trata dados pessoais com sistemas automatizados. Sem ROI medido, o investimento vira fé. Sem compliance mapeado, vira multa. Sem monitoramento, vira incidente descoberto pelo cliente antes de você.
A máxima que resume tudo: a IA deixou de ser pauta de sala de TI e virou pauta de mesa de CEO
Se você leu até aqui, a frase que dá título a esta seção deixou de ser slogan e virou consequência lógica. Uma tecnologia que pode automatizar 56% das horas trabalhadas do país, que 72% dos CEOs brasileiros vão financiar, que falha em gerar retorno em 95% dos pilotos e que multiplica a superfície de ataque da empresa não é um tema técnico. É um tema de estratégia, de capital e de sobrevivência.
O mercado já entendeu. No CEO Outlook da EY-Parthenon, com 50 CEOs de grandes empresas brasileiras, ameaças cibernéticas e privacidade de dados aparecem pela primeira vez como o risco número um para os negócios nos próximos 12 meses, citadas por 26% dos entrevistados, à frente de tensões geopolíticas (16%), incerteza regulatória (14%), ruptura de cadeias de suprimento (12%) e volatilidade macroeconômica (10%). O setor financeiro, o mais maduro do país em defesa digital, mostra como fica a agenda quando ela é tratada como risco de negócio: a Pesquisa Febraban de Tecnologia Bancária 2026, conduzida pela Deloitte, projeta R$ 50,4 bilhões de investimento em tecnologia no ano, e 100% dos bancos classificam cibersegurança como prioridade alta ou média, à frente de nuvem e da própria IA generativa (84%).
Globalmente, a estrutura de reporte acompanhou: pesquisa da Splunk mostra que 82% dos executivos de cibersegurança já reportam diretamente ao CEO, e 83% participam com regularidade das reuniões do conselho.
Agora o contraste que interessa a quem opera no Brasil: o Relatório Nacional de Cibersegurança do Cyber Economy Brasil aponta que 83% das empresas brasileiras não têm um executivo dedicado à segurança da informação, e 70% dos conselhos não discutem cibersegurança com regularidade. Ou seja: o risco número um do CEO brasileiro é justamente aquele que a maioria das empresas não colocou sob a responsabilidade de ninguém.
O ativo prático: o checklist do CEO
Este checklist é diferente dos que costumo publicar. Ele não é para a equipe técnica, é para você que está na direção. São 20 afirmações, para responder com um sim ou um não honesto. Ele mede duas coisas: o quanto você sabe sobre a IA que já roda na sua empresa e o quanto essa pauta já entrou, de verdade, na sua mesa e no plano de crescimento do negócio.
Uma calibragem importante: este checklist não exige que você saiba operar tecnologia, exige que você saiba governar o negócio. Nenhuma das 20 afirmações pede conhecimento técnico; todas pedem o mesmo tipo de domínio que você já exerce sobre finanças, vendas e pessoas. Se a resposta honesta for "isso quem sabe é a TI", releia o erro número 2.
Conclusão
A tese deste primeiro artigo cabe em três frases. A IA dentro dos negócios é um caminho sem volta e traz benefício real e mensurável, mas está sendo adotada na velocidade do pânico competitivo, sem gestão, e os números de ROI e de incidentes provam isso. O risco que antes era o humano sem treinamento agora se soma ao de uma tecnologia ainda não treinada o suficiente para tudo o que estão entregando a ela. E essa combinação tirou a pauta da sala de TI e a colocou na mesa do CEO, onde a primeira pergunta a responder é o quanto você está, de fato, no comando.
Este é o primeiro de dois artigos. No próximo, respondo a pergunta que este deixa aberta: se a condução da jornada é sua e não se delega, quem responde pela segurança, pela governança e pela continuidade dela ao seu lado? Apresento o papel do CISO, a função fundamental nesse processo, os caminhos para empresas que não podem contratar um executivo dedicado, e o checklist completo de governança de IA para a sua diretoria aplicar. A parte 2 já está publicada: O papel do CISO na jornada da IA.
Fez o checklist e o resultado não foi o que você esperava? A Forte Security conduz diagnósticos de governança de IA e cibersegurança para empresas que querem sair do improviso e ter clareza sobre quem responde pelo que. Conheça as nossas soluções ou fale conosco.
Veja como a Forte protege o uso de IA generativa na sua empresa →
Não existe 100% de segurança e não existe risco zero. Mas existe a Forte, com metodologia, experiência e tecnologia.