Durante dois anos, as organizações experimentaram a IA e hoje, a conversa evolui para como controlar uma tecnologia que já está tomando decisões, automatizando processos e ampliando a superfície de risco.

O FBI, serviço de inteligência interna dos Estados Unidos, vem repetindo a mesma mensagem há anos: se sua organização for vítima de um ataque de ransomware, não pague. A lógica é clara, se a empresa pagar, isso financia os criminosos, não garante a recuperação dos dados e transforma a companhia em um alvo recorrente. No entanto, segundo o relatório State of Cybersecurity 2026 da Ivanti, empresa global de software corporativo especializada em segurança cibernética e gerenciamento de TI, baseado em uma pesquisa com mais de 1.200 profissionais de segurança, 54% das organizações afirmam que pagariam, ou provavelmente pagariam, caso fossem atacadas hoje.

Não é que as organizações não saibam que não devem pagar, é que ainda não desenvolveram a capacidade necessária para não precisar realizar o pagamento e essa distinção representa o problema central que a indústria vem evitando perceber. O mesmo relatório confirma que a diferença entre o nível de ameaça percebido e a capacidade real de defesa aumentou em média 10 pontos em relação ao ano anterior. Isso acontece enquanto 83% das organizações relatam aumento em seus orçamentos de segurança.

Mais investimento e maior vulnerabilidade, essa contradição revela muito mais sobre o estado atual da cibersegurança do que qualquer indicador isolado.

Na América Latina, o ransomware deixou de ser uma ameaça teórica. Costa Rica, Colômbia e México já sofreram ataques que paralisaram operações inteiras. A região enfrenta o mesmo dilema global, porém com uma margem de erro menor: infraestruturas fragmentadas, equipes de segurança reduzidas e, em muitos casos, uma visão que ainda trata a cibersegurança como um custo, e não como uma capacidade crítica para os negócios.

O mais preocupante não é apenas o presente, é que o mesmo padrão está prestes a se repetir com a inteligência artificial, já que as organizações que não construíram uma resiliência básica contra o ransomware, agora se preparam para implementar IA Agêntica, sistemas autônomos capazes de tomar decisões sem supervisão humana, e fazem isso com a mesma urgência e o mesmo nível de despreparo estrutural.

Mesmo em um ambiente preparado, esses sistemas podem automatizar decisões como aprovações operacionais ou respostas a incidentes sem intervenção humana direta, ampliando o impacto potencial de um erro.

Por isso, o desafio já não é apenas adotar IA, mas governá-la e governar a IA não significa apenas reduzir riscos de segurança, mas implica em definir responsabilidades, estabelecer mecanismos de supervisão humana e garantir que os sistemas operem de forma transparente e alinhada aos objetivos do negócio. Também significa definir quem será responsável quando a IA falhar e como serão gerenciadas as decisões híbridas entre pessoas e sistemas autônomos.

A IA agêntica chega antes dos controles

Dos profissionais de segurança entrevistados na pesquisa da Ivanti, 87% afirmam que a adoção de IA agêntica é uma prioridade para suas equipes em 2026. No entanto, apenas 55% contam com guardrails formais para controlar a implementação desses sistemas de IA.

A adoção de tecnologia autônoma está sendo acelerada sem que os controles mínimos estejam estabelecidos, o mesmo padrão que gerou vulnerabilidades em ciclos anteriores, agora com maior velocidade e uma margem de erro ainda menor.

O Global Cybersecurity Outlook 2025, do Fórum Econômico Mundial, revelou que quase três em cada quatro organizações relataram um aumento nos riscos de cibersegurança em 2025, antes mesmo da adoção em larga escala da IA agêntica.

Nesse cenário, também aparece a pressão regulatória crescente em diferentes mercados, onde novos marcos de governança e conformidade começam a exigir maior rastreabilidade, controle e responsabilização no uso da inteligência artificial.

As organizações que mais avançam são aquelas que conseguem combinar inovação com governança, definindo responsabilidades, estabelecendo métricas de sucesso antes da implementação de novos sistemas e incorporando mecanismos de supervisão desde o primeiro dia.

Na prática, isso começa com ações concretas, como mapear os sistemas de IA em uso, atribuir responsabilidades claras entre as áreas de tecnologia, segurança e negócios e implementar controles de acesso, monitoramento e auditoria desde o início.

Embora 78% das organizações afirmem possuir uma estratégia documentada para gerenciar riscos de segurança, menos da metade a aplica de forma consistente em suas operações diárias. O que o ransomware demonstrou e o que a IA agêntica está prestes a confirmar é que a distância entre ter um plano e estar realmente preparado pode custar muito caro.

Preparação, não gasto

As organizações com maior maturidade em cibersegurança não são necessariamente as que mais investem, mas as que transformaram a preparação em um hábito operacional. Elas contam com estruturas de governança que são efetivamente aplicadas, e não apenas arquivadas, simulam incidentes antes que eles aconteçam, e capacitam suas equipes para lidar com riscos específicos, não apenas com alertas genéricos.

Isso exige uma forma diferente de investir, como em estruturas de governança que realmente sejam executadas, em simulações de ataques que preparem as equipes para tomar decisões sob pressão e em treinamentos voltados para riscos reais.

Essa preparação não apenas reduz riscos, como também permite que as organizações acelerem a adoção da IA com mais velocidade e confiança, transformando a governança em um verdadeiro habilitador de valor para os negócios.

Os 54% das organizações que afirmam que pagariam um resgate em um ataque de ransomware não o fariam por desconhecimento nem por falta de orçamento, mas porque no momento do ataque, pagar seria a única decisão para a qual estariam preparadas. O mesmo acontecerá com a IA se os controles não forem estabelecidos desde agora. Mudar esse padrão não exige mais investimento, exige investir em resiliência, capacidade de resposta e governança efetiva.

Na América Latina, essa transformação é ainda mais urgente, as organizações que adotarem a IA com uma estrutura sólida de governança conseguirão capturar seu valor de forma sustentável, ampliar seu uso com confiança e reduzir riscos operacionais. Já aquelas que continuarem implementando a tecnologia sem controles adequados estarão mais expostas a problemas de segurança, conformidade, reputação e a decisões automatizadas que dificilmente poderão supervisionar ou corrigir.

A pergunta já não é quem adotará a IA primeiro, mas quem será capaz de governá-la melhor.

Sobre Leonardo González: É especialista em transformação digital, com mais de 25 anos de experiência na indústria de tecnologia. Atualmente, lidera a estratégia da Ivanti para a América Latina como Diretor Regional, impulsionando a inovação em operações de TI e segurança corporativa.