Estarão as empresas preparadas para responder a ataques de modelos de inteligência artificial (IA)? Um relatório da Boston Consulting Group (BCG) intitulado "Cybersecurity Budgets Are Growing Fast. AI Threats Are Growing Faster”, que inclui 300 responsáveis de cibersegurança, revela que 89% das empresas reportaram ataques habilitados por IA nos últimos 12 meses e 35% sofreram impacto financeiro ou operacional significativo.
"Neste contexto, não podemos assumir que as empresas estão preparadas apenas porque dispõem de mecanismos tradicionais de segurança. A eficácia da defesa depende da capacidade de antecipar ameaças, adaptar continuamente os controlos e responder à velocidade a que os riscos evoluem", refere o managing director & partner da BCG Lisboa, José Koch Ferreira, em entrevista ao Jornal Económico (JE), que adianta que a IA "está a alterar estruturalmente" o equilíbrio entre ataque e defesa no ciberespaço.
No caso português, tal como acontece noutras geografias, existem níveis de maturidade "muito distintos", assinala. "O desafio é garantir que a cibersegurança evolui ao ritmo da adoção da IA, com investimento em competências, monitorização contínua e mecanismos de resposta que permitam atuar antes de um incidente comprometer o negócio", acrescenta.
A eficácia da defesa "dependerá cada vez mais" da capacidade de sincronizar pessoas, processos e tecnologia, assegurando que a deteção de uma ameaça desencadeia uma resposta "coordenada e atempada". A questão já não é apenas saber se uma organização consegue recuperar de um ataque, mas se consegue "antecipá-lo, limitar o seu impacto e manter" a continuidade do negócio. "É essa capacidade de adaptação que será determinante", afirma.
A vaga de ataques de modelos de IA, entre os quais os da Anthropic, OpenAI, Google, não deixou o setor indiferente. De um lado os defensores de salvaguardas do outro os que não o defenderam. E quanto a José Koch Ferreira? "A questão central é como garantir que a inovação avança de forma responsável, com salvaguardas proporcionais aos riscos e mecanismos de controlo adequados às capacidades de cada sistema", salienta.
Num cenário em que a IA ganhe autonomia e capacidade para executar operações complexas, a segurança "tem de ser integrada" desde a conceção e ao longo de todo o ciclo de vida da tecnologia, e "não acrescentada posteriormente" como uma camada de proteção. "Isto exige responsabilidade partilhada entre quem desenvolve estas tecnologias, quem as disponibiliza e as organizações que as utilizam", acrescenta.
Para si os mecanismos de controlo "devem ser proporcionais" ao nível de autonomia dos sistemas, ao acesso a informação e infraestruturas críticas e ao impacto potencial das suas decisões. "O objetivo não deve ser travar a inovação, mas criar as condições para que esta possa ser adotada com confiança e responsabilidade. E a longo prazo, será também um fator de competitividade a capacidade de combinar velocidade de inovação com uma gestão rigorosa do risco", defende.
No seu entender a rápida evolução das ameaças exige uma "adaptação contínua" dos planos de cibersegurança, com a integração da IA nas capacidades de defesa e o reforço da antecipação de riscos. A cibersegurança deve, assim, "estar alinhada" com as decisões de negócio, a gestão de risco e a continuidade das operações.
"O desafio não está apenas em ter um plano, mas em garantir que este funciona em cenários reais e acompanha a evolução tecnológica", afirma.
"A nova realidade exige testar regularmente os mecanismos de resposta, clarificar responsabilidades e avaliar se os controlos existentes continuam adequados perante a evolução das ameaças e a crescente utilização da IA", sublinha. "Num ambiente em que o tempo de reação é cada vez mais crítico, a maturidade mede-se pela capacidade de antecipar riscos, limitar o impacto de um ataque, assegurar a continuidade do negócio e adaptar e melhorar continuamente a resposta", acrescenta.
Na cibersegurança o managing director & partner da BCG Lisboa identifica três grandes desafios. Um deles passa por "acompanhar a crescente velocidade e sofisticação das ameaças", o outro por "desenvolver as competências necessárias para responder a um contexto tecnológico cada vez mais complexo" e por fim "garantir que o investimento em segurança se traduz numa redução efetiva do risco". Mas existem ainda outros desafios mais secundários. Um dos quais passa pela "crescente interligação" dos sistemas, a dependência de fornecedores e parceiros e a expansão da utilização da IA nos processos empresariais, que "podem aumentar" a exposição das organizações quando "não são acompanhadas" por controlos adequados.
"O desafio central e transversal é garantir que tecnologia, pessoas, processos e governação evoluem de forma coordenada", assinala. "A adoção de novas soluções de IA tem de ser acompanhada pela adaptação dos controlos de segurança, dos processos de monitorização e dos mecanismos de resposta", defende.
A aquisição de novas ferramentas, por si só, do seu ponto de vista, "não resolve" o problema se não existirem competências para as utilizar, processos para responder a incidentes e uma liderança capaz de definir prioridades. "As empresas precisam de identificar os riscos mais críticos e concentrar os seus recursos nas capacidades que melhor protegem os ativos, as operações e a continuidade do negócio", sugere.
Ao nível das empresas a cibersegurança tem atualmente "um lugar mais relevante" para as organizações porque os riscos digitais "deixaram de ser uma preocupação exclusivamente tecnológica" e passaram a ter "implicações diretas" na reputação, na continuidade operacional e na criação de valor. "No entanto, reconhecer a importância do risco não significa necessariamente estar preparado para o gerir", diz, acrescentando que a sensibilização "tem de se traduzir" em decisões concretas, responsabilidades claras e capacidade efetiva de resposta.
"A verdadeira diferença estará na capacidade de passar da preocupação à ação. Isso significa envolver a liderança na definição das prioridades, incorporar o risco cibernético nas decisões de negócio e avaliar regularmente se as medidas implementadas continuam adequadas. Num contexto em que a IA acelera tanto as oportunidades como as ameaças, a cibersegurança tem de ser uma prioridade permanente da gestão, e não apenas uma resposta a incidentes ou a exigências regulamentares", salienta.
Questionado sobre se as empresas portuguesas estão a mobilizar o capital devido para a área da cibersegurança, José Koch Ferreira considera que a questão central "não é apenas saber" se os orçamentos de cibersegurança estão a aumentar, mas se "acompanham" a evolução do risco. "A nível global, o investimento está de facto a crescer, tendência que a BCG apontou através do relatório já referido: a despesa aumentou 12% em 2025, bem acima dos 7% esperados, e mais de 80% dos inquiridos pretendem continuar a aumentar orçamentos até 2027", recorda.
"Num contexto em que a IA está a acelerar as capacidades de ataque, o crescimento do investimento não garante, por si só, uma melhoria equivalente na proteção das organizações", alerta. Esse estudo refere também que apesar de estar a existir um crescimento no investimento apenas 41% dos inquiridos têm políticas formais de governação de IA. "A adequação do capital mobilizado deve ser avaliada em função da exposição ao risco, das capacidades de defesa existentes e da eficácia com que os recursos são convertidos em prevenção, deteção e resposta. Um orçamento definido num contexto de risco diferente pode deixar de responder às necessidades atuais, mesmo que não tenha sido reduzido", diz.
A cibersegurança deve ser encarada como um investimento na resiliência e na continuidade do negócio, e não apenas como um custo operacional ou uma resposta a exigências regulamentares, defende. Isso exige uma "alocação criteriosa" de recursos à tecnologia, às competências, aos processos e à capacidade de resposta. "Não é necessariamente quem mais investe que está mais protegido, mas quem consegue alocar os recursos às vulnerabilidades mais críticas e transformar esse investimento em capacidade efetiva para antecipar, detetar e conter ameaças", considera.
E como fica Portugal face a outras geografias no panorama da cibersegurança? "A comparação entre Portugal e outras geografias deve considerar não apenas os níveis de investimento, mas também a maturidade das capacidades de defesa, a disponibilidade de talento, a adoção de tecnologia e a exposição das organizações ao risco. A IA está a transformar o panorama da cibersegurança à escala internacional, mas as empresas não partem todas do mesmo ponto nem dispõem dos mesmos recursos para acompanhar esta evolução. Por isso, não seria rigoroso atribuir ao mercado português uma posição única sem indicadores comparáveis que sustentem essa conclusão", explica.
No caso concreto das empresas portuguesas a prioridade "deve ser acelerar" a evolução das suas capacidades, aprender com as práticas internacionais mais avançadas e adaptá-las à sua realidade operacional, sugere. E isso implicaria "integrar a cibersegurança na estratégia, investir nas áreas de maior exposição e reforçar" a articulação entre tecnologia, pessoas e processos. "Num ambiente digital interligado, a capacidade de operar com segurança e resiliência é uma condição de competitividade, independentemente da dimensão ou da geografia da organização", conclui.
