Em 22 de junho de 2026, cinco das agências de inteligência e segurança cibernética mais influentes do planeta fizeram algo que praticamente nunca fazem. Falaram claro. Sem o verniz costumeiro de comunicado técnico, sem aquele jargão hermético que serve tanto para informar quanto para proteger quem escreveu de qualquer responsabilidade futura, os órgãos de cibersegurança de Estados Unidos, Reino Unido, Canadá, Austrália e Nova Zelândia assinaram uma declaração conjunta afirmando algo que qualquer executivo minimamente atento já deveria estar sussurrando nos corredores da sala de conselho: os modelos de inteligência artificial de fronteira vão superar as expectativas do próprio setor que os produz e transformar, de forma simultânea, as capacidades ofensivas e defensivas do ambiente cibernético mundial. E o prazo para essa transformação, segundo o texto, não se mede em anos. Mede se em meses.

Convido o leitor a parar um segundo aqui. Não é retórica de palestrante querendo vender ansiedade em forma de slide bonito. É a Agência de Segurança Nacional dos Estados Unidos, a Agência de Segurança Cibernética e de Infraestrutura americana, o Centro Nacional de Segurança Cibernética do Reino Unido, o Centro Canadense de Segurança Cibernética, a Direção de Sinais Australiana e o órgão neozelandês equivalente assinando, juntos, uma frase que qualquer diretor de risco deveria imprimir e colar na porta da sala onde o conselho discute orçamento de tecnologia. A frase, traduzida sem meias palavras, diz que a evolução da inteligência artificial está transformando o risco cibernético de maneira rápida e que é preciso agir com igual rapidez para não ficar para trás. Cybersecurity Dive relatou a declaração descrevendo como as cinco nações reconheceram publicamente que os modelos de fronteira vão exceder as expectativas atuais do setor e transformar de modo estrutural tanto o ataque quanto a defesa no ciberespaço.

Achei genuinamente fascinante observar a reação corporativa média a esse tipo de aviso. Um comunicado dessa envergadura sai, cinco potências de inteligência assinam junto, e o que acontece na prática em boa parte das empresas que conheço, inclusive algumas que se autodenominam orgulhosamente orientadas a dados? Nada. Ou quase nada. Um repasse de correio eletrônico para o time de segurança da informação, talvez um slide extra na próxima reunião trimestral, um comentário de corredor sobre como a IA está mesmo mudando tudo, seguido do retorno imediato à rotina de sempre. É como se o aviso tivesse sido emitido para outra galáxia, não para o mesmo mercado onde essas mesmas empresas competem, contratam, investem e, presumo, pretendem continuar existindo daqui a doze meses.

Prazo contado em meses, não em anos

Vamos com calma sobre o que essa frase realmente significa, porque ela é simples na superfície e devastadora na prática. Segundo o material publicado pelas próprias agências, e reproduzido por diversos veículos especializados, o ritmo de desenvolvimento da inteligência artificial de fronteira é tão acelerado que premissas de risco cibernético consideradas válidas hoje podem se tornar obsoletas em questão de meses. Isso significa, na prática de qualquer comitê de risco minimamente sério, que o ciclo tradicional de revisão anual de políticas de segurança, aquele documento empoeirado que o compliance atualiza uma vez por ano porque a auditoria exige, deixou de fazer o menor sentido. O relatório do Cyberscoop sobre o tema é direto ao afirmar que agências de inteligência dos Estados Unidos, Canadá, Reino Unido, Austrália e Nova Zelândia estão alertando que capacidades avançadas de invasão viabilizadas por modelos de fronteira, incluindo os concorrentes diretos que hoje disputam a liderança do setor, devem se tornar amplamente disponíveis ao público dentro do próximo ano, conforme reportagem do Cyberscoop, mesmo com o esforço deliberado das empresas desenvolvedoras para restringir esse acesso.

Reparem na ironia embutida nesse parágrafo. As próprias empresas que constroem esses modelos estão, segundo a inteligência de cinco países, tentando conter a própria criação, e mesmo assim a avaliação técnica é de que a contenção vai falhar dentro de meses. Isso não é ficção científica alarmista escrita por quem nunca chegou perto de um data center. É avaliação de inteligência, o tipo de julgamento profissional que normalmente fica trancado em relatórios classificados e que, dessa vez, por decisão deliberada, foi publicado em linguagem acessível para qualquer conselho de administração poder ler. Uma análise publicada pelo Centro de Diplomacia Cibernética e Segurança Internacional destacou justamente esse ponto, observando que a alianza de inteligência que representa a mais extensa e sustentada cooperação estatal da história recente normalmente não costuma publicar suas avaliações de ameaça em comunicados de três páginas de fácil leitura, e que a escolha de fazer isso dessa vez sinaliza, por si só, a gravidade daquilo que está sendo avaliado, segundo a análise publicada pelo Center for Cyber Diplomacy and International Security.

Ou seja. Quando o serviço de inteligência decide abandonar o cofre e falar em português claro, ou em inglês claro, tanto faz, o mínimo que se espera de quem ocupa uma cadeira de liderança é prestar atenção. Prestar atenção de verdade, não aquela atenção performática de repostar o link no LinkedIn com um comentário genérico sobre como precisamos estar atentos aos riscos da tecnologia.

O compliance que virou geopolítica

Aqui está o ponto que considero central e que pretendo desenvolver com todo o rigor que o tema exige. Durante anos, governança de inteligência artificial foi tratada, na melhor das hipóteses, como um capítulo dentro do manual de compliance. Uma política escrita por um comitê jurídico, revisada por um comitê de ética que se reúne trimestralmente, arquivada numa pasta compartilhada que ninguém abre entre uma auditoria e outra. Governança de IA era, em essência, papelada. Um exercício de proteção contra processo, não um exercício de proteção contra ataque. E de repente, com uma única declaração conjunta assinada por cinco potências de inteligência, o assunto sai do departamento jurídico e entra na sala de situação. Vira, sem cerimônia, pauta de segurança nacional.

Isso deveria provocar em qualquer executivo uma reflexão bem mais incômoda do que costuma provocar. Se o tema que antes cabia num apêndice de política interna agora é tratado como equivalente estratégico a defesa de fronteira, infraestrutura crítica e capacidade de dissuasão, então talvez, só talvez, a estrutura de decisão que sua empresa usa para tratar inteligência artificial esteja completamente desatualizada frente à gravidade real do assunto. Volto a insistir no ponto porque ele merece insistência. Uma coisa é dizer que precisamos de mais ética em IA. Outra, bem diferente, é reconhecer que a velocidade de evolução dessa tecnologia agora se equipara, em termos de urgência estratégica, à velocidade com que se planeja resposta a um conflito armado convencional. O material da Cyberscoop reforça exatamente essa mudança de registro, ao descrever que os países da aliança esperam que as mesmas capacidades avançadas de invasão hoje restritas a poucos laboratórios se tornem amplamente acessíveis dentro de um horizonte extremamente curto, de acordo com a reportagem já citada do Cyberscoop.

Permitam me uma provocação direta, do tipo que costuma incomodar quem prefere manter a governança de IA num powerpoint bonito e inofensivo. Se a sua empresa ainda trata inteligência artificial como pauta de inovação, isolada num departamento de tecnologia que reporta trimestralmente ao conselho um resumo de iniciativas em andamento, você está, com todo o respeito, brincando de governança enquanto o mundo real já decidiu que o assunto é geopolítico. Governança de compliance protege reputação. Governança de segurança nacional protege existência. São categorias distintas, com pesos distintos, e a confusão entre uma e outra é exatamente o tipo de erro estratégico que separa organizações resilientes de organizações que viram estudo de caso em conferência de segurança dois anos depois do incidente.

A janela que encolhe

Um dos elementos mais tecnicamente relevantes da declaração conjunta, e ao mesmo tempo um dos mais ignorados pelo debate público raso, é a explicação sobre por que essa mudança de ritmo importa tanto. Não se trata simplesmente de dizer que os ataques vão ficar mais sofisticados, frase que qualquer relatório de tendência repete há uma década sem consequência prática nenhuma. O ponto específico levantado pelas agências é que a inteligência artificial está reduzindo o intervalo entre a descoberta de uma vulnerabilidade e a exploração efetiva dela. Reportagem do Cloudswitched News, ao analisar o comunicado em profundidade, descreveu que a IA já não é uma consideração futura, ela já está presente, reduzindo barreiras para atores maliciosos e aumentando a velocidade e a complexidade dos ataques, encurtando cada vez mais a janela entre descoberta de vulnerabilidade e exploração, segundo o Cloudswitched News.

Pense no que isso significa em termos operacionais, não filosóficos. Toda a arquitetura tradicional de resposta a incidentes foi construída sobre uma premissa temporal. A vulnerabilidade é descoberta, existe um intervalo, por vezes de semanas, por vezes de meses, até que alguém mal intencionado desenvolva um exploit funcional, e nesse intervalo os times de segurança correm para aplicar correções, testar patches, ajustar controles de acesso. Toda a cultura de gestão de vulnerabilidade que ensinamos há vinte anos em cursos de governança de tecnologia da informação foi desenhada em torno dessa folga temporal. O que a declaração dos Five Eyes está afirmando, com todas as letras, é que essa folga está desaparecendo, comprimida por ferramentas de varredura automatizada, fuzzing acelerado por IA e geração automática de código malicioso que outrora exigia meses de trabalho artesanal de um analista humano altamente qualificado. Isso foi bem descrito pela reportagem da IBTimes UK, que relatou o entendimento das agências de que a IA já está aumentando velocidade, escala e sofisticação das ameaças cibernéticas, ao mesmo tempo em que oferece benefícios defensivos reais para organizações que já possuem práticas robustas de segurança, conforme a IBTimes UK.

E aqui reside a parte que considero mais provocativa de todo o debate, porque exige do leitor abandonar o conforto da narrativa apocalíptica simplista. A mesma inteligência artificial que acelera o ataque também acelera a defesa. As agências foram explícitas quanto a isso. Não estamos diante de um roteiro de fatalidade inevitável em que a tecnologia condena qualquer organização ao colapso. Estamos diante de uma corrida em que quem tiver disciplina, velocidade de resposta e maturidade de controles vai efetivamente se beneficiar da mesma força que devasta o despreparado. A vantagem, nesse novo cenário, não vai para quem tem mais orçamento de tecnologia. Vai para quem tem mais rigor de execução.

Cinco frentes de ação, zero espaço para meia palavra

O comunicado não se limitou a alertar. Ele estabeleceu um roteiro prático, e vale a pena examinar esse roteiro com atenção porque revela exatamente onde a maioria das organizações ainda está atrasada. Segundo a análise publicada pelo Insicon Cyber, o texto orienta líderes a compreenderem e avaliarem seus riscos com precisão, priorizarem controles fundamentais de segurança cibernética antes de qualquer sofisticação adicional, capacitarem seus líderes de segurança com autoridade real e recursos efetivos, e manterem um processo contínuo de adaptação à medida que as ameaças evoluem, de acordo com a análise do Insicon Cyber. O Cloudswitched News detalhou ainda a primeira dessas frentes com clareza cirúrgica, apontando que reduzir a superfície de ataque significa limitar acessos desnecessários ao sistema e conectividade externa, além de isolar aquilo que realmente precisa estar isolado, segundo o mesmo Cloudswitched News já citado anteriormente.

Reparem que nenhum desses cinco pontos depende de comprar uma ferramenta nova. Nenhum deles é sobre adquirir a plataforma de inteligência artificial mais avançada do mercado para blindar sua organização com um único clique mágico. São, todos eles, pontos de disciplina. De rigor. De execução consistente daquilo que qualquer manual de governança de tecnologia da informação já ensina desde os primeiros frameworks de gestão de serviços que aprendi a aplicar há mais de três décadas trabalhando com organizações públicas e privadas neste país. A tecnologia mudou de patamar. Os fundamentos, esses continuam exatamente os mesmos que sempre foram. E é justamente aí que mora a ironia mais deliciosa de todo esse episódio. As mesmas empresas que investem fortunas em narrativas de transformação digital, em comitês de inovação disruptiva, em consultorias caríssimas prometendo reinvenção radical de processos, muitas vezes falham em aplicar o básico. Segmentação de rede correta. Gestão de identidade rigorosa. Aplicação disciplinada de correções de segurança. O básico bem feito, executado com constância e comprometimento genuíno, vale infinitamente mais nesse novo cenário do que qualquer promessa de sofisticação tecnológica vendida em apresentação de slide.

O paradoxo brasileiro, entre soberania de discurso e dependência de fato

Deixe me trazer esse debate para o território que conheço, entendo e onde exerço minha atuação profissional todos os dias, porque seria intelectualmente desonesto discutir soberania digital sem examinar o que efetivamente acontece por aqui, em Brasília, e no restante do país. O Brasil vive, neste exato momento, um movimento paralelo de amadurecimento regulatório que merece reconhecimento, ainda que mereça também uma boa dose de ceticismo saudável quanto à velocidade de implementação real.

A Estratégia Brasileira para a Transformação Digital, aprovada para o ciclo que vai de 2022 até 2026, já previa entre suas ações estratégicas a promoção de regulação proporcional aos riscos de segurança da informação e de segurança cibernética inerentes às tecnologias digitais disruptivas, incluindo explicitamente a inteligência artificial, conforme análise publicada em periódico acadêmico sobre o panorama regulatório vigente, de acordo com artigo publicado na Revista FT. Paralelamente, o Marco Legal da Inteligência Artificial, tramitando sob o número 2.338 de 2023, segue avançando no Congresso Nacional, e a recém criada Frente Parlamentar Mista de Inteligência Artificial, Proteção de Dados e Segurança Digital, instituída por resolução do Senado Federal neste mesmo ano, sinaliza um esforço de coordenação legislativa que aproxima poder público, empresas e academia na definição de diretrizes que equilibrem inovação tecnológica e proteção de informação, conforme reportagem especializada do Security Leaders, segundo publicação do Security Leaders.

Excelente no papel. Genuinamente relevante como sinalização política. Mas convido qualquer leitor experiente em administração pública brasileira, e eu carrego décadas de trabalho direto com órgãos como Dataprev, Polícia Federal, Caixa Econômica Federal e Secretaria da Fazenda da Bahia, a fazer a pergunta que realmente importa. Quanto tempo, historicamente, leva para transformar portaria em prática efetiva de governo, e prática de governo em cultura corporativa disseminada no setor privado? A resposta, para quem já viu esse filme repetir várias vezes, tende a ser bem mais longa do que os meses mencionados pela declaração dos Five Eyes. Reportagem da FecomercioSP destaca que toda essa agenda digital deixou de ser debate meramente setorial e passou a representar estratégia essencial de desenvolvimento econômico, soberania digital e inserção internacional do país, o que é uma afirmação absolutamente correta em espírito, conforme reportagem da FecomercioSP. O problema não está no espírito da afirmação. Está no descompasso brutal entre o tempo político brasileiro e o tempo tecnológico global que a própria aliança de inteligência já classificou como contado em meses.

Enquanto isso, iniciativas como o Ministério da Gestão e da Inovação em Serviços Públicos formalizando, por meio de portaria assinada neste ano, sua própria política de governança de inteligência artificial para regular desenvolvimento, aquisição e uso de sistemas baseados em IA dentro da estrutura do órgão, representam um passo relevante, ainda que inicial, na construção de um modelo de uso de IA pelo Estado brasileiro, conforme reportagem do portal Capital Digital, de acordo com a Capital Digital. Passo relevante, concordo inteiramente. Passo suficiente diante de um adversário que opera em ciclos de semanas? Aí já é outra conversa, e convido o leitor a chegar sozinho à própria conclusão, porque tenho a suspeita incômoda de que ambos já sabemos a resposta.

A dogmática confortável e o preço de acreditar em tudo que já leram sobre o tema

Há um comportamento que observo com frequência entre executivos experientes, inclusive muitos dos mais brilhantes que já tive o privilégio de assessorar ao longo de mais de três décadas de atuação profissional. É a tendência de tratar afirmações sobre inteligência artificial como verdades dogmáticas, absorvidas de forma passiva de conferências, relatórios de consultoria e postagens virais, sem o menor exercício de questionamento crítico sobre o que realmente significam para a realidade específica da própria organização. Ouve se, em praticamente todo evento corporativo, a frase repetida de que a inteligência artificial vai substituir empregos, vai resolver a produtividade, vai eliminar a necessidade de julgamento humano em decisões operacionais. Frases de efeito, ditas com convicção suficiente para parecerem verdade estabelecida, mas raramente submetidas ao teste elementar de qualquer pensamento crítico minimamente rigoroso.

E é justamente aqui que quero provocar diretamente quem está lendo este texto até este ponto. Convido você a duvidar, com a mesma intensidade, tanto do discurso apocalíptico que trata a inteligência artificial como ameaça existencial inevitável, quanto do discurso ingênuo que trata a mesma tecnologia como solução mágica capaz de substituir integralmente o julgamento, a experiência e o comprometimento humano dentro de qualquer estrutura organizacional séria. As duas posições são, em essência, formas equivalentes de preguiça intelectual. Uma terceiriza o medo. A outra terceiriza a responsabilidade. Nenhuma das duas exige de quem a professa qualquer esforço real de análise contextualizada.

A postura que defendo, e que considero a única compatível com o rigor que décadas de experiência em governança corporativa e organizacional me ensinaram a valorizar, é bem menos confortável e bem mais exigente. Ela exige reconhecer, simultaneamente, que a inteligência artificial de fronteira representa uma ameaça real e crescente, documentada por evidência de inteligência estatal de altíssimo nível, e que essa mesma tecnologia, quando aplicada com disciplina, governança rigorosa e supervisão humana constante, é também a ferramenta mais poderosa de defesa disponível na história recente da segurança cibernética. As duas coisas são verdadeiras ao mesmo tempo. Isso não é contradição. É a natureza real e desconfortável de qualquer tecnologia de duplo uso, e quem prefere a simplicidade reconfortante de uma narrativa única e linear está, por opção própria, escolhendo entender menos do que poderia entender.

O que realmente separa quem sobrevive de quem vira estatística

Chego agora ao ponto que considero o coração deste texto, e que talvez explique por que insisto tanto, publicamente e em minha própria atuação profissional, na convergência entre governança, comprometimento e disciplina humana como fator decisivo de qualquer estratégia séria de segurança cibernética diante da inteligência artificial de fronteira.

A inteligência artificial, por mais sofisticada que se torne, opera dentro dos limites daquilo que a organização humana ao seu redor permite, define, supervisiona e corrige. Um modelo de fronteira capaz de descobrir vulnerabilidades em velocidade que nenhum ser humano sozinho conseguiria igualar ainda depende, do lado defensivo, de uma equipe que aplique a correção descoberta, que revise o alerta gerado, que interprete corretamente o sinal e distinga entre ruído e ameaça real. A tecnologia amplia capacidade. Não substitui compromisso. Multiplica a velocidade de execução. Não substitui a decisão sobre o que deve ser executado, nem por que, nem quando. E é exatamente por isso que insisto, com toda a convicção construída ao longo de mais de trinta e seis anos trabalhando com governança corporativa, comportamento organizacional e tecnologia da informação, que o verdadeiro diferencial competitivo neste novo cenário nunca será a ferramenta de inteligência artificial adotada. Será, sempre, a qualidade humana que decide como, quando, por quem e com qual grau de rigor essa ferramenta é utilizada.

Comprometimento não é palavra de treinamento motivacional vazio. É a disposição genuína de assumir responsabilidade por um resultado, mesmo quando ninguém está observando o processo de perto. Compromisso não é assinatura em contrato de trabalho. É a constância de manter o padrão de excelência em dias difíceis, não apenas em dias de apresentação para o conselho. Garra não é discurso de palco corporativo. É a capacidade de persistir na correção do erro descoberto às três da manhã, quando seria muito mais confortável adiar para o próximo expediente. Dedicação não é métrica de horas trabalhadas. É a atenção genuína aos detalhes que separam um controle de segurança funcional de um controle de segurança meramente documentado. Nenhuma dessas quatro qualidades pode ser automatizada, terceirizada para um modelo de linguagem ou substituída por qualquer algoritmo, por mais avançado que seja o laboratório que o produziu.

A inteligência artificial, nesse contexto, cumpre exatamente o papel que sempre deveria ter cumprido desde o primeiro dia em que a tecnologia entrou no vocabulário corporativo. É complemento. É multiplicador de capacidade humana bem direcionada. É instrumento de amplificação de julgamento, jamais substituto dele. Quem trata a inteligência artificial como solução autônoma capaz de operar sem supervisão humana constante, sem governança rigorosa, sem revisão crítica permanente, está, com toda franqueza, cometendo o mesmo erro estratégico que a própria declaração dos Five Eyes tentou evitar ao publicar seu alerta em linguagem acessível. Está confundindo velocidade de ferramenta com maturidade de processo.

O relatório da CyberSecBrazil, ao projetar as tendências para este ano, capturou bem essa transição ao afirmar que os agentes de inteligência artificial deixam de ser mera funcionalidade e passam a se tornar atores digitais operacionais, exigindo governança, identidade, telemetria e controles de segurança desde a concepção, conforme relatório da CyberSecBrazil. Reparem na palavra escolhida. Ator. Não ferramenta passiva. Ator operacional. E todo ator operacional dentro de uma organização séria precisa responder a alguém, precisa ser supervisionado por alguém, precisa ter limites de autonomia definidos por alguém que assuma a responsabilidade final por aquilo que esse ator executa. Esse alguém, hoje e sempre, é humano. E a qualidade dessa supervisão humana depende exatamente das quatro qualidades que mencionei antes. Comprometimento, compromisso, garra e dedicação.

O advogado José de Souza Júnior, ao comentar as perspectivas para este ano em reportagem publicada pelo Estado de Minas, resumiu com precisão o deslocamento conceitual que atravessamos ao afirmar que a governança já não é apenas conformidade, ela passa a ser o próprio governo do risco digital, garantindo continuidade de negócio num ambiente em que o incidente deixou de ser possibilidade remota para se tornar praticamente certeza estatística, de acordo com reportagem do Estado de Minas. Certeza estatística. Não probabilidade distante. Certeza. E diante de certeza estatística, o único ativo genuinamente capaz de diferenciar quem atravessa o incidente com dignidade organizacional intacta de quem colapsa em meio ao caos não é a licença de software adquirida. É a cultura de comprometimento construída ao longo de anos, testada exatamente no momento em que a pressão é maior e o tempo de resposta é menor.

O conselho que finge não ver

Permito me, neste ponto do texto, uma provocação direta e deliberadamente incômoda para qualquer membro de conselho de administração que esteja lendo até aqui. Se sua organização ainda trata segurança cibernética e governança de inteligência artificial como pauta técnica delegável integralmente ao departamento de tecnologia, sem supervisão estratégica direta do mais alto nível decisório, você está, na prática, ignorando exatamente aquilo que a maior aliança de inteligência do mundo ocidental acabou de classificar como equivalente a risco de segurança nacional. Não estou exagerando o tom para efeito retórico. Estou descrevendo, com a maior precisão possível, o que está literalmente escrito no comunicado que citei ao longo de todo este texto.

Reportagem publicada pela Kiteworks descreveu bem o peso institucional desse tipo de declaração ao observar que quando cinco agências dessa envergadura emitem comunicado conjunto, elas estão descrevendo aquilo que já observam em suas próprias fontes de inteligência, não extrapolando a partir de temores hipotéticos, e que delegar essa supervisão inteiramente à área de tecnologia deixou de ser postura defensável de governança corporativa, conforme análise da Kiteworks. Deixou de ser defensável. Essa expressão merece ser lida devagar por qualquer conselheiro, diretor executivo ou acionista relevante que ainda acredite que segurança cibernética é assunto de sala de servidor, não de sala de reunião estratégica.

E aqui devo confessar, com a ironia que o tema realmente merece, minha genuína curiosidade sobre quantas empresas brasileiras de médio e grande porte efetivamente reformularam sua pauta de conselho depois de 22 de junho deste ano. Minha suspeita, baseada em décadas observando como decisões estratégicas efetivamente se materializam dentro de estruturas corporativas nacionais, é de que o número seja consideravelmente menor do que a gravidade do comunicado justificaria. E essa é exatamente a lacuna que separa organizações que vão navegar essa transição com relativa segurança daquelas que vão descobrir, da pior maneira possível, o significado prático da expressão meses, não anos.

Perguntas que todo conselho deveria fazer antes de qualquer nova aquisição de tecnologia

Diante de tudo isso, proponho ao leitor um exercício simples, mas deliberadamente desconfortável. Da próxima vez que sua organização discutir investimento em inteligência artificial, seja para automação de processo, atendimento, análise preditiva ou qualquer outra aplicação da moda corporativa do momento, pergunte antes de qualquer entusiasmo tecnológico se existe clareza real sobre quem supervisiona a decisão automatizada, se existe processo formal de auditoria periódica sobre o comportamento do sistema em produção, se existe capacidade humana de intervir e corrigir em tempo hábil quando o sistema errar, porque ele vai errar mais cedo ou mais tarde, e se existe cultura organizacional de responsabilidade individual suficientemente forte para que ninguém escondido atrás da frase o sistema decidiu assim escape da responsabilidade que sempre foi, e sempre será, humana.

Essas perguntas não aparecem em nenhum manual de venda de plataforma de inteligência artificial, porque nenhum fornecedor tem interesse comercial em desacelerar a euforia de compra do cliente. Mas são exatamente as perguntas que separam governança genuína de teatro corporativo de governança. E convido cada executivo que está lendo este texto a levá las, literalmente, para a próxima reunião de conselho, porque tenho a plena convicção, construída ao longo de uma carreira dedicada exatamente a esse tipo de reflexão estrutural, de que a resposta vai revelar mais sobre a real maturidade da organização do que qualquer relatório de maturidade digital produzido por consultoria externa.

O preço silencioso da complacência

Vale a pena, antes de encerrar, dedicar algumas linhas ao que raramente aparece nesse tipo de debate, que é o custo concreto e mensurável da inação. Não estou falando de multa regulatória, embora ela exista e venha crescendo em todas as jurisdições relevantes. Estou falando de algo mais corrosivo e mais difícil de contabilizar em qualquer planilha trimestral, que é a erosão gradual da confiança. Uma organização que sofre um incidente cibernético grave raramente quebra da noite para o dia. O que quebra, primeiro, é a confiança do cliente, do parceiro, do investidor, do regulador, e essa confiança, uma vez perdida, custa anos para ser reconstruída, se é que algum dia é reconstruída por completo. O relatório da Harvard Law School sobre divulgações de governança cibernética observou que a expertise em segurança cibernética já se tornou expectativa recorrente dentro de conselhos de administração, com a maioria das empresas hoje divulgando publicamente essa competência como área de conhecimento buscada ou já presente entre seus conselheiros, um crescimento expressivo em relação a apenas alguns anos atrás, conforme análise do Harvard Law School Forum on Corporate Governance. Ou seja, o mercado já está de olho. Investidores institucionais já perguntam, em processos de diligência, se o conselho tem competência real para supervisionar risco cibernético e de inteligência artificial, ou se apenas terceiriza esse julgamento inteiramente para um relatório técnico que ninguém no topo da hierarquia realmente compreende.

E aqui permito me um último exercício de ironia, porque o tema realmente pede. Quantas vezes já ouvimos, em reuniões de resultado, a frase de que pessoas são o ativo mais importante da organização. Frase bonita, repetida em relatório anual, em vídeo institucional, em discurso de posse de novo executivo. Curioso notar como, na prática orçamentária real, o investimento em capacitação contínua de equipes de segurança, em cultura de responsabilidade individual, em programas sérios de retenção de talento técnico qualificado, costuma ser o primeiro a sofrer corte quando a meta trimestral aperta. Se pessoas realmente fossem tratadas como o ativo mais importante, o comprometimento, o compromisso, a garra e a dedicação dessas mesmas pessoas seriam protegidos com o mesmo rigor orçamentário reservado à licença de software mais recente. Não são, na maioria dos casos observados ao longo de décadas de atuação profissional neste campo. E é exatamente essa incoerência entre discurso institucional e prática orçamentária real que a aceleração da inteligência artificial de fronteira está prestes a expor de maneira implacável, porque a tecnologia amplifica tanto a excelência quanto a negligência, sem qualquer distinção de intenção.

A verdadeira soberania não é discurso, é disciplina sustentada

Encerro este texto retornando ao conceito que abriu a reflexão. Soberania digital, tema que aparece cada vez com mais frequência em discursos oficiais, planos nacionais e debates parlamentares brasileiros, não se constrói apenas com portaria, projeto de lei ou frente parlamentar, por mais relevantes e necessários que esses instrumentos sejam. O plano brasileiro de inteligência artificial que prevê investimento bilionário ao longo de quatro anos para transformar o país em referência internacional no uso responsável dessa tecnologia representa ambição legítima e bem vinda, especialmente no que diz respeito à construção de infraestrutura computacional sob domínio nacional, conforme destacado por reportagem que acompanhou a apresentação do sistema SoberanIA em Brasília, segundo publicação reproduzida no Tag Team de Harvard. Mas ambição de longo prazo, por mais nobre que seja, não substitui disciplina operacional de curto prazo. E é exatamente nessa disciplina de curto prazo, medida em meses e não em anos, que a soberania real de qualquer organização, pública ou privada, brasileira ou de qualquer outra nação, será efetivamente testada.

Soberania digital genuína não é a capacidade de discursar bonito sobre autonomia tecnológica em fórum internacional. É a capacidade prática, cotidiana, silenciosa e raramente aplaudida de manter controles de segurança atualizados, de treinar equipes com constância, de revisar governança com a mesma urgência com que se revisa fluxo de caixa, de tratar cada alerta de vulnerabilidade com o mesmo rigor que se trataria uma ameaça física real, porque, goste ou não, é exatamente isso que ela já se tornou. E soberania, nesse sentido mais profundo e menos confortável do termo, sempre dependeu, desde o primeiro dia da civilização organizada, de pessoas comprometidas, dedicadas e obstinadas o suficiente para sustentar padrões elevados mesmo quando ninguém está aplaudindo. A inteligência artificial de fronteira não muda essa equação fundamental. Ela apenas eleva, de forma brutal e irreversível, o preço de qualquer organização que ainda insista em ignorá la.

O convite que faço a cada leitor que chegou até esta última linha não é para entrar em pânico, nem para se entregar ao fatalismo confortável de quem prefere acreditar que nada pode ser feito diante de uma tecnologia que evolui rápido demais para ser compreendida. O convite é para exercitar exatamente aquilo que abre este texto e que deveria fechá lo também. Questionar. Duvidar da facilidade das narrativas prontas, sejam elas apocalípticas ou ingenuamente otimistas. Olhar com profundidade além da superfície de qualquer manchete, qualquer slide de consultoria, qualquer promessa de solução mágica. E, acima de tudo, lembrar, com a convicção de quem já viu tecnologias virem e passarem ao longo de décadas de atuação profissional, que nenhuma inteligência, por mais artificial e sofisticada que seja, jamais substituirá o valor insubstituível do comprometimento humano genuíno. A tecnologia acelera. A responsabilidade, essa continua, como sempre foi, inteiramente nossa.

Fontes e referências

Cybersecurity Dive, sobre a declaração conjunta dos Five Eyes de 22 e 23 de junho de 2026: https://www.cybersecuritydive.com/news/ai-cyberattacks-five-eyes-frontier-models-warning/823526/

Cyberscoop, sobre as capacidades ofensivas de IA de fronteira e o prazo estimado pelas agências: https://cyberscoop.com/five-eyes-alliance-say-advanced-ai-hacking-models-months-away/

Center for Cyber Diplomacy and International Security, análise sobre o significado institucional da declaração: https://cybercenter.space/2026/06/25/months-not-years-the-five-eyes-advisory-and-what-it-reveals-about-the-intelligence-communitys-ai-threat-assessment/

IBTimes UK, cobertura do alerta conjunto sobre ameaças cibernéticas impulsionadas por IA: https://www.ibtimes.co.uk/five-eyes-alliance-warns-ai-cyber-threats-1805789

Insicon Cyber, análise das cinco frentes de ação recomendadas pelas agências: https://insiconcyber.com/five-eyes-ai-cyber-security-statement

Cloudswitched News, detalhamento das medidas práticas recomendadas pelo comunicado: https://www.cloudswitched.com/news/five-eyes-ai-cyber-warning-june-2026-uk-sme-cyber-essentials-action-plan

Kiteworks, sobre o peso institucional do comunicado para conselhos e comitês de risco: https://www.kiteworks.com/cybersecurity-risk-management/five-eyes-ai-cyberattacks-warning/

Revista FT, panorama regulatório da governança de inteligência artificial no Brasil: https://revistaft.com.br/governanca-de-inteligencia-artificial-no-brasil-panorama-regulatorio-atual/

FecomercioSP, sobre o avanço da agenda digital brasileira e soberania tecnológica: https://www.fecomercio.com.br/noticia/brasil-intensifica-debates-sobre-ia-datacenters-e-ciberseguranca

Security Leaders, sobre a Frente Parlamentar Mista de Inteligência Artificial e o marco regulatório nacional: https://securityleaders.com.br/avanco-regulatorio-da-ia-amplia-debate-sobre-governanca-e-resiliencia-de-dados-no-brasil/

Capital Digital, sobre a política própria de governança de IA do Ministério da Gestão e da Inovação em Serviços Públicos: https://capitaldigital.com.br/mgi-cria-governanca-de-ia-e-abre-debate-sobre-controle-e-soberania-na-maquina-publica/

CyberSecBrazil, relatório de tendências de segurança cibernética e IA para 2026: https://www.cybersecbrazil.com.br/post/cyber-security-brazil-relat%C3%B3rio-de-seguran%C3%A7a-e-previs%C3%B5es-para-2026

Estado de Minas, sobre a centralidade estratégica da cibersegurança diante da IA em 2026: https://www.em.com.br/mundo-corporativo/2026/03/7367894-ia-redefine-a-ciberseguranca-no-ano-de-2026.html

Tag Team de Harvard, reprodução de reportagem sobre o sistema SoberanIA e o Plano Brasileiro de Inteligência Artificial: https://tagteam.harvard.edu/hub_feeds/3884/feed_items/17115809