Avanço de fraudes digitais, deepfakes e ataques impulsionados por inteligência artificial transforma risco cibernético em tema de governança, continuidade dos negócios e compliance, avalia Fabrizio Bon Vecchio
Durante anos, a segurança digital foi tratada dentro das empresas quase exclusivamente como responsabilidade dos departamentos de tecnologia. Firewall, antivírus, senhas, backups e proteção de servidores pareciam pertencer a uma discussão essencialmente técnica. Em 2026, essa lógica já não acompanha a dimensão do risco.
Ataques capazes de interromper operações, comprometer dados pessoais, provocar fraudes financeiras e afetar a reputação de uma companhia colocaram a cibersegurança diretamente na agenda de presidentes, conselhos de administração, departamentos jurídicos e áreas de compliance.
O Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial, aponta que 94% dos entrevistados consideram a inteligência artificial o principal fator de transformação da cibersegurança no ano. Outros 87% identificaram vulnerabilidades relacionadas à IA como o risco cibernético que mais cresceu ao longo de 2025. Entre CEOs, a fraude digital passou a ocupar o primeiro lugar entre as preocupações cibernéticas.
Para Fabrizio Bon Vecchio, advogado e presidente do Instituto Ibero-Americano de Compliance (IIAC), esse cenário modifica também a forma como as empresas precisam distribuir responsabilidades internamente.
“Quando um incidente cibernético pode interromper uma operação, expor clientes, gerar prejuízo financeiro, atingir a reputação e produzir consequências regulatórias, ele deixa de ser um problema exclusivo da área de tecnologia. A decisão sobre quanto risco a empresa está disposta a assumir, quais controles adotar e como reagir a uma crise é uma decisão de governança”, afirma Bon Vecchio.
Deepfake amplia fronteira das fraudes corporativas
O crescimento da inteligência artificial adicionou uma nova camada ao problema. O relatório Cost of a Data Breach 2026, da IBM, calcula em US$ 4,99 milhões o custo médio global de uma violação de dados, alta de 12% em relação ao ano anterior. O estudo também identificou aumento de 56% nos ataques impulsionados por IA, com destaque para falsificações por deepfake e malware apoiado por inteligência artificial.
Isso cria situações que não dependem necessariamente da invasão tradicional de um sistema. Uma ligação reproduzindo artificialmente a voz de um executivo, uma videoconferência simulando a imagem de alguém da diretoria ou um e-mail extremamente convincente produzido por IA podem ser suficientes para induzir funcionários a autorizar pagamentos, compartilhar informações sigilosas ou alterar dados bancários.
Nesse ambiente, segurança tecnológica e procedimentos corporativos precisam caminhar juntos.
“Não adianta uma empresa investir milhões em infraestrutura tecnológica e manter um processo em que uma transferência relevante pode ser autorizada por uma mensagem de WhatsApp ou por uma ligação. O criminoso não precisa necessariamente romper a tecnologia quando consegue explorar o comportamento humano e os próprios processos da organização”, explica Fabrizio.
LGPD transforma resposta a incidentes em obrigação de gestão
O impacto jurídico também cresceu. No Brasil, a LGPD determina a adoção de medidas destinadas à proteção dos dados pessoais, e a regulamentação da Autoridade Nacional de Proteção de Dados estabelece procedimentos específicos para incidentes de segurança.
Quando um incidente envolvendo dados pessoais puder causar risco ou dano relevante aos titulares, o controlador deve comunicar a ocorrência à ANPD e aos titulares. Pelas regras atuais, a comunicação deve ocorrer, em regra, em três dias úteis. A empresa também deve manter registro dos incidentes envolvendo dados pessoais por pelo menos cinco anos.
Para Bon Vecchio, essa realidade exige preparação anterior à crise.
“A pior hora para descobrir quem toma uma decisão é durante o incidente. A companhia precisa saber previamente quem aciona o jurídico, quem comunica a direção, quem preserva evidências, quem trata com clientes, quem avalia a necessidade de comunicação à autoridade e quem tem poder para interromper determinado processo.”
Essa preparação inclui não apenas tecnologia, mas políticas de acesso, treinamento de funcionários, avaliação dos fornecedores que têm contato com sistemas e informações da empresa, planos de continuidade, protocolos para confirmação de operações financeiras e simulações periódicas de incidentes.
Do departamento de TI para a mesa do conselho
A mudança não significa que executivos devam conhecer tecnicamente cada ferramenta de proteção. Significa, porém, que a alta gestão precisa compreender qual é o risco digital do negócio, quais ativos são críticos e quais consequências uma interrupção pode provocar.
O Fórum Econômico Mundial resume a mudança ao afirmar que, em 2026, cibersegurança já não pode ser vista como uma função técnica de bastidores, mas como preocupação estratégica para organizações e governos.
Na avaliação de Fabrizio Bon Vecchio, a tendência aproxima definitivamente cibersegurança e compliance.
“Compliance trabalha justamente com prevenção, responsabilização, processos e cultura organizacional. O risco cibernético atravessa todos esses elementos. A empresa que só discute segurança depois do ataque já começou a discussão tarde demais.”
Sobre Fabrizio Bon Vecchio
Fabrizio Bon Vecchio é advogado, gestor financeiro e professor universitário, mestre em Direito da Empresa e dos Negócios e doutorando em Direito Público. É presidente do Instituto Ibero-Americano de Compliance (IIAC) e sócio fundador da Vecchio & Associados, com atuação em compliance, governança, Direito empresarial e novas tecnologias.
Fontes de apuração: Fórum Econômico Mundial (Global Cybersecurity Outlook 2026), IBM (Cost of a Data Breach 2026) e Autoridade Nacional de Proteção de Dados (ANPD).