A adoção acelerada da inteligência artificial está mudando profundamente a forma como as organizações gerenciam riscos. Para o CISO, proteger infraestrutura já não é suficiente. É preciso garantir que dados, modelos e aplicações de IA possam evoluir com segurança, governança e conformidade, sem limitar a inovação.
Nessa nova realidade, o Chief Information Security Officer (CISO) assume uma responsabilidade mais ampla: garantir que a IA seja implementada com segurança, responsabilidade e a resiliência e governança necessárias para sustentar o sucesso dos negócios no longo prazo.
O 2026 Global AI Report: A Playbook for Private and Sovereign AI, da NTT DATA, evidencia a dimensão dessa transformação. Segundo o relatório, 96% das organizações temem que a IA e a IA generativa possam resultar em violações de privacidade ou no uso indevido de dados de clientes. Ao mesmo tempo, apenas 47% acreditam que conseguirão atender aos requisitos de soberania de dados. Excluindo as restrições orçamentárias, a segurança dos dados incluindo a privacidade é apontada como o principal desafio para a adoção da IA.
Esses dados revelam um distanciamento crescente entre o ritmo da inovação e a capacidade das organizações de proteger seus ativos mais valiosos. A IA promete ganhos de eficiência, automação, experiências mais relevantes para os clientes e modelos de negócios mais inteligentes. No entanto, também introduz novas formas de exposição, como dados circulando entre diferentes jurisdições, modelos treinados com informações sensíveis, integrações com terceiros, ciclos contínuos de retreinamento e ambientes de nuvem cada vez mais complexos.
A era da ciber-resiliência
Ciber-resiliência deixou de significar apenas recuperação após incidentes. Hoje, ela representa a capacidade de manter a operação, adaptar-se rapidamente e continuar gerando valor mesmo diante de ataques ou falhas.
Isso exige incorporar a segurança em todas as camadas da organização da arquitetura, dos dados e dos modelos de IA às identidades, ao ecossistema de parceiros e à governança. O foco deixa de ser apenas proteger ativos para proteger a confiança.
O relatório também evidencia uma lacuna importante na segurança em nuvem. Apenas 38% das organizações confiam em suas capacidades de segurança na nuvem, enquanto somente 48% contam com planos formais para gerenciar riscos de segurança relacionados à IA e à nuvem. Esse cenário é especialmente preocupante porque a segurança em nuvem é essencial para garantir a residência dos dados, a conformidade regulatória e a proteção dos modelos de IA contra acessos não autorizados.
Para o CISO, um dos maiores desafios atualmente é assegurar que a segurança seja incorporada desde o início ao desenho de cada processo de negócio, em vez de ser adicionada posteriormente.
Uma governança eficaz exige classificação robusta dos dados, acesso segmentado com base nos princípios de zero trust, criptografia durante todo o ciclo de vida dos dados, rastreabilidade (data lineage), exercícios periódicos de red teaming e gestão centralizada de identidades e chaves. Em ambientes de IA privada e soberana, o controle só é efetivo quando a própria arquitetura foi concebida para exercê-lo.
O imperativo da soberania
A soberania dos dados acrescenta uma nova camada de complexidade. Segundo o relatório, 95% das organizações consideram a IA soberana importante para sua estratégia de IA, mas apenas 29% estão priorizando ações concretas no curto prazo. A conscientização existe, porém a execução ainda não acompanha a velocidade necessária.
Para os CISOs, isso significa participar das decisões sobre arquitetura, nuvem, dados, IA, compras e gestão de riscos. Privacidade e soberania deixaram de ser apenas temas jurídicos ou de conformidade para se tornarem requisitos de arquitetura.
Esses fatores determinam onde os dados podem ser armazenados, quais modelos estão autorizados a processá-los, sob quais jurisdições esses modelos operam e quais controles precisam ser aplicados. Em setores altamente regulados, como saúde, serviços financeiros, setor público, energia e manufatura, decisões equivocadas podem comprometer não apenas a proteção das informações, mas também a continuidade dos negócios, a confiança dos stakeholders e a reputação da organização.
Ambientes híbridos exigem uma nova abordagem de segurança
O desafio torna-se ainda maior em ambientes híbridos. O relatório mostra que 51% das organizações apontam a complexidade dessas infraestruturas como um dos principais obstáculos para executar cargas de trabalho de IA em nuvens privadas. Ao mesmo tempo, 97% concordam que as cargas de trabalho críticas devem permanecer em ambientes privados ou on-premises.
Esses resultados deixam claro que as organizações não podem mais pensar em uma escolha entre nuvem pública ou privada. O desafio agora é determinar quais cargas de trabalho devem ser executadas em cada ambiente e por quê.
É nesse contexto que o CISO assume um papel estratégico. Mais do que definir controles de segurança, ele deve ajudar a organização a decidir quais ativos exigem maior proteção, onde as cargas de trabalho de IA devem ser executadas e como esses ambientes serão governados, monitorados e auditados. As organizações que desenvolverem essa capacidade estarão mais bem preparadas para construir estratégias resilientes de IA sem abrir mão da conformidade regulatória e da flexibilidade operacional.
Preparando-se para a próxima geração de ameaças impulsionadas por IA
O cenário de ameaças continuará evoluindo. Os atacantes já utilizam IA para identificar vulnerabilidades com maior rapidez, criar campanhas de phishing mais convincentes e adaptar suas técnicas em uma velocidade sem precedentes.
Para acompanhar essa evolução, as organizações precisarão desenvolver capacidades de segurança igualmente ágeis. Isso inclui integrar inteligência avançada de ameaças, ampliar testes ofensivos por meio de exercícios regulares de red teaming, fortalecer os centros de operações de segurança (SOCs) com IA, automatizar a resposta a incidentes, aprimorar a recuperação contra ransomware e medir a resiliência por meio de indicadores alinhados aos resultados do negócio, e não apenas a métricas técnicas.
Em última análise, as organizações que se destacarão em cibersegurança não serão apenas aquelas capazes de impedir ataques. Serão aquelas que demonstrarão resiliência, capacidade de adaptação e continuidade operacional diante de cenários adversos.
Em um cenário em que confiança se tornou um diferencial competitivo, o papel do CISO deixa de ser apenas proteger ativos digitais. Passa a ser criar as condições para que a organização adote IA com segurança, atenda aos requisitos regulatórios e acelere a inovação com confiança.