Gerenciando o Impacto da IA na Resiliência Organizacional

A inteligência artificial (IA) começa a ocupar, em 2026, um papel crítico na infraestrutura empresarial, marcando a transição de ferramenta experimental para ativo central dos negócios. As iniciativas ainda estão, por natureza, em estágio inicial de inovação, e as avaliações de novos riscos frequentemente são tratadas como baixa prioridade.

No entanto, à medida que a IA passa a ser incorporada aos sistemas e aos processos dos quais as organizações dependem, ela rapidamente se torna alvo de disrupção, manipulação e exploração. A velocidade e a abrangência desses avanços criam uma necessidade cada vez maior de avaliar os impactos sobre a resiliência organizacional como um todo.

A publicação KPMG Global Tech Report 2026 revela a rapidez com que a IA está sendo integrada às operações de negócios. A confiança está alta: metade das organizações participantes relatou que já está ampliando os casos de uso de IA, enquanto 68% esperam obter um bom retorno sobre seus investimentos até o fim deste ano. Isso representa um aumento de 44% em relação ao ano passado, refletindo uma compreensão mais sólida sobre como gerar valor.

Além disso, 88% afirmaram investir no desenvolvimento de sistemas de IA agêntica, buscando acelerar e, em última instância, remodelar funções e fluxos de trabalho. No dia a dia, colaboradores dependem cada vez mais de ferramentas e recursos de IA para elaborar conteúdo, resumir reuniões, analisar dados e gerar códigos, seja por meio de acessos corporativos licenciados, seja por assinaturas privadas não monitoradas, nas quais a governança pode ser limitada.

A rápida adoção da IA sem governança e sem avaliação dos níveis crescentes de risco operacional pode expor as organizações a sérias ameaças. Os impactos podem ser significativos, variando de falhas potenciais na qualidade dos componentes de IA na cadeia de desenvolvimento até a proliferação de novas vulnerabilidades capazes de comprometer as defesas cibernéticas existentes. Os próprios modelos de IA estão se tornando alvos, já que representam novas propriedades intelectuais desenvolvidas pelas organizações. As preocupações vão além do risco tecnológico, indicando a necessidade de proteções mais robustas para operações e resultados orientados por IA.

Sistemas agênticos impulsionados por Large Language Models (LLMs) criam agentes de software que trabalham em conjunto para executar tarefas de várias etapas, usando regularmente técnicas de aprendizado de máquina (machine learning) para otimizar processos e resultados. Seu avanço é ilustrado pela criação de softwares: cada vez mais, os desenvolvedores atuam como arquitetos e gerentes de sistemas que executam codificação, testes e outras tarefas que anteriormente dominavam seu trabalho.

As oportunidades para comprometimento e disrupção tendem a aumentar à medida que a dependência desses sistemas se amplia. Um volume crescente de pesquisas sobre "ataques cibernéticos por envenenamento” contra LLMs de fronteira (que sustentam os sistemas agênticos) mostra que mesmo baixos níveis de dados maliciosos podem introduzir erros e interromper operações. Alertas recentes de segurança cibernética sobre "ataques de destilação" descrevem a crescente capacidade dos adversários imitarem fluxos legítimos de criação de agentes, tornando o ecossistema baseado em nuvem suscetível a comprometimentos difíceis de detectar.

Esses ataques têm como alvo a propriedade intelectual codificada nos modelos, como pesos, dados de treinamento e prompts de sistema, para extração e revenda, além do uso de modelos comprometidos para aprimorar ferramentas comuns de ataques cibernéticos. Relatos recentes de suspeitas de espionagem patrocinada por governos utilizando IA agêntica com supervisão humana mínima ressaltam o potencial de um aumento expressivo tanto no volume quanto na precisão de campanhas adversárias.

Essas revelações, somadas às crescentes ambições de inovação com IA, sinalizam a necessidade urgente de antecipar e fortalecer dependências críticas. As análises atuais de riscos cibernéticos podem subestimar os riscos relacionados à IA, pois os impactos ainda são pouco compreendidos e as evidências do uso de capacidades agênticas por adversários são difíceis de detectar nas redes.

A governança em torno de como os sistemas de IA são desenvolvidos e incorporados também ainda é incipiente: as ferramentas de monitoramento permanecem imaturas, assim como o entendimento sobre o que efetivamente deve ser monitorado. Analistas de resposta a incidentes da KPMG já começam a identificar ferramentas "não identificáveis" dentro das redes, ao mesmo tempo em que observam aumento na velocidade dos comprometimentos e em ataques direcionados a ativos de maior valor – indicadores consistentes com técnicas agênticas voltadas ao roubo de credenciais e dados. Em nossa opinião, é necessário haver coordenação entre os sistemas e gerenciamento de riscos corporativos para aumentar a visibilidade, orientar níveis aceitáveis de risco e atribuir responsabilidades claras para administrar essas ameaças em evolução.

A KPMG desenvolveu o framework Trusted AI para promover as conversas organizacionais necessárias diante dos desafios futuros. Com agentes de IA trabalhando cada vez mais ao lado de colaboradore em fluxos híbridos, o framework enfatiza características que precisam ser preservadas nos processos conduzidos por pessoas: atuação orientada por valores, foco humano e confiabilidade.

Deve-se priorizar os julgamentos éticos que as organizações desejam que esses sistemas sustentem, para garantir aderência a valores corporativos e códigos de conduta. Os sistemas, por exemplo, precisam ser desenvolvidos com controles adicionais que assegurem atuação dentro das regras e até a capacidade de reportar violações automaticamente, criando oportunidades para identificar comprometimentos e erros. Os desenvolvedores talvez não possam depender apenas do treinamento dos modelos para garantir essas salvaguardas. As considerações fundamentais para o desenvolvimento desses sistemas incluem:

• Deliberação cuidadosa sobre o que precisa ser preservado em processos, sistemas e governança de dados, orientando o desenvolvimento de controles e mecanismos de asseguração.
• Definição de políticas que estabeleçam parâmetros para tomada de decisão e limites de confiabilidade, guiando o desenho de fluxos de trabalho assistidos por IA.
• Identificação de evidências relevantes e auditáveis das assegurações e da explicabilidade necessárias para avaliar se os agentes de IA se comportam conforme o esperado.

Os agentes de IA estão se tornando novos alvos, sobretudo porque frequentemente operam com identidades corporativas e podem ser induzidos a criar outras identidades digitais. Sistemas distintos podem ser desenvolvidos para interagir entre si e entre departamentos, sustentados por um ecossistema em rápido desenvolvimento de novos serviços, criadores de aplicativos e ferramentas relacionadas aos LLMs. A introdução desses componentes em sistemas centrais cria grande potencial para novas vulnerabilidades, capazes de gerar disrupções ou servir como porta de entrada para navegação maliciosa em redes mais amplas. As defesas cibernéticas precisam ser ajustadas a esse cenário de riscos em expansão e garantir:

• Evolução de inventários de ativos de IA e sistemas de monitoramento capazes de ampliar a visibilidade das equipes de segurança cibernética em toda a cadeia de componentes.
• Implementação de arquiteturas zero trust ou controles de acesso de privilégio mínimo para agentes de IA, refletindo controles equivalentes aos aplicados a colaboradores.
• Capacidades defensivas de IA compatíveis com a natureza e a velocidade das transformações nos ataques cibernéticos.

O reconhecimento do valor estratégico da IA está influenciando o desenvolvimento de programas unificados e, em alguns casos, a reformulação dos controles que sustentam políticas e culturas corporativas. O cargo de Chief AI Officer torna-se cada vez mais comum, criando as bases para a visibilidade e a coordenação necessárias para priorizar a gestão do cenário de riscos em transformação, preservar a resiliência organizacional e, sobretudo, viabilizar as oportunidades buscadas com a IA.

A prática de cibersegurança da KPMG está pronta para apoiar organizações em sua jornada de IA.