Orçamento de Cibersegurança no Brasil: a IA está mudando não apenas quanto as empresas gastam, mas onde precisam investir
Inteligência artificial amplia a capacidade de defesa, mas também cria novos ativos, identidades, aplicações e dados que precisam ser protegidos. No Brasil, empresas elevam os investimentos enquanto CISOs enfrentam uma questão mais complexa: como financiar simultaneamente a segurança tradicional, a proteção da própria IA e o uso da IA como ferramenta de defesa.
Durante anos, a discussão sobre orçamento de cibersegurança esteve concentrada em uma pergunta relativamente simples: quanto a organização deveria gastar para proteger infraestrutura, sistemas e dados? A inteligência artificial está tornando essa pergunta insuficiente.
A questão que começa a chegar aos CISOs, CIOs, CFOs e conselhos de administração é outra: quanto custa proteger uma empresa que está incorporando IA em praticamente todos os processos — e quanto da própria IA pode ser usado para reduzir esse custo e melhorar a capacidade de defesa?
No Brasil, essa mudança ocorre em um momento no qual a cibersegurança já ganhou relevância orçamentária. O Barômetro da Segurança Digital 2025, realizado pelo Datafolha para a Mastercard, mostra que 53% das empresas brasileiras passaram a atribuir prioridade máxima à cibersegurança em seus orçamentos, contra apenas 23% no levantamento anterior. A parcela de organizações com área dedicada à segurança saltou de 35% para 75%.
Outro levantamento recente reforça a tendência. Na Latin America Cybersecurity Survey 2026, da RSM, 71% dos respondentes brasileiros disseram esperar aumento do orçamento de cibersegurança nos próximos 12 meses. Ao mesmo tempo, 35% relataram pelo menos um ataque ou demanda de ransomware no período anterior.
O dinheiro está aumentando. O problema é que a quantidade de coisas que precisam ser protegidas também está crescendo — e a IA está no centro dessa equação.
A IA criou três orçamentos dentro do orçamento de segurança
Uma das mudanças mais importantes para o planejamento financeiro é que “investir em IA para cibersegurança” e “investir em segurança para IA” são despesas diferentes.
Na prática, as organizações começam a administrar três frentes simultaneamente.
A primeira é a cibersegurança tradicional: identidade e acesso, endpoint, nuvem, redes, vulnerabilidades, proteção de dados, SIEM, SOC, EDR/XDR, PAM, backup, resposta a incidentes e demais controles que continuam indispensáveis.
A segunda é a IA aplicada à defesa. Machine Learning, IA generativa e, mais recentemente, agentes de IA podem apoiar detecção, correlação de eventos, triagem de alertas, investigação, threat intelligence, análise de malware, resposta a incidentes e automação das operações.
A terceira, cada vez mais relevante, é a segurança da própria IA: modelos, aplicações, agentes, APIs, prompts, pipelines de dados, vetores de embeddings, bases utilizadas em RAG, credenciais de máquinas e agentes, dados de treinamento e conexões entre modelos e sistemas corporativos passam a integrar a superfície de ataque.
É justamente essa terceira conta que muitas organizações ainda não separaram adequadamente.
O 2026 Data Threat Report – Brazil, da Thales, mostra o tamanho dessa transição: apenas 21% das organizações pesquisadas no Brasil possuem orçamento dedicado à segurança de IA, enquanto 61% ainda financiam essa proteção a partir do orçamento de segurança existente. O estudo também aponta que 76% consideram a velocidade das mudanças no ecossistema de IA como seu principal risco relacionado à tecnologia.
Isso significa que, para muitas empresas, a IA não está simplesmente aumentando o orçamento. Ela está competindo pelos recursos que antes financiavam outras iniciativas de segurança.
O paradoxo: a IA aumenta a superfície de ataque e ajuda a defendê-la
Esse aparente paradoxo explica boa parte da pressão sobre os investimentos.
A Pesquisa Global Digital Trust Insights 2025 da PwC mostrou que 85% das empresas brasileiras haviam aumentado os investimentos em IA generativa, enquanto 68% dos líderes brasileiros reconheciam que tecnologias emergentes estavam ampliando a superfície de ataque. Ao mesmo tempo, 80% disseram ter aumentado investimentos em gestão de riscos e governança de IA.
Em 2026, a evolução continua. A PwC identificou que quase 70% dos líderes brasileiros estão priorizando IA e ferramentas de Machine Learning para compensar deficiências de capacidade em cibersegurança. IA agêntica também aparece entre os recursos priorizados para os próximos 12 meses, especialmente para segurança em nuvem, proteção de dados e operações de defesa.
A direção é semelhante nos Centros de Operações de Segurança. Pesquisa divulgada pela Kaspersky em junho de 2026 indica que 100% das empresas brasileiras participantes planejam incorporar IA às operações de segurança, buscando melhorar detecção, automação e velocidade de resposta. O levantamento, entretanto, também identifica barreiras como falta de dados adequados, escassez de especialistas e custos de integração.
A conclusão para o orçamento é importante: a IA não substitui automaticamente gastos com segurança. Em muitos casos, inicialmente ela acrescenta novas despesas antes de produzir eficiência.
A conta do risco também está aumentando
Para justificar investimentos, o CISO precisa cada vez menos falar apenas de ferramentas e cada vez mais demonstrar redução de exposição financeira.
O relatório Cost of a Data Breach 2026, da IBM, estima o custo médio global de uma violação em US$ 4,99 milhões, 12% acima do ano anterior. O levantamento também registra crescimento de 56% nos ataques orientados por IA.
Mas a mesma pesquisa oferece um argumento econômico para a automação: organizações com uso amplo de IA e automação em segurança registraram economia média de US$ 1,93 milhão em comparação com aquelas que não utilizavam essas tecnologias.
Dados anteriores específicos do Brasil já apontavam o mesmo efeito. Em 2024, a IBM estimou em R$ 6,75 milhões o custo médio de uma violação no país e constatou que organizações com uso extensivo de IA e automação em segurança economizavam até R$ 2,17 milhões e reduziam em 72 dias o ciclo das violações.
Portanto, o business case começa a mudar.
A pergunta deixa de ser simplesmente “quanto custa a ferramenta?” e passa a considerar quanto de perda esperada, indisponibilidade, tempo de investigação e exposição regulatória o investimento consegue reduzir.
Shadow AI transforma governança em item orçamentário
Existe ainda uma despesa que pode passar despercebida: controlar a utilização de IA fora dos processos formais da organização.
Ferramentas públicas de IA generativa podem ser adotadas diretamente por colaboradores, departamentos e fornecedores sem participação da TI ou da área de segurança. Dados pessoais, propriedade intelectual, código-fonte, documentos internos e informações comerciais podem acabar sendo enviados para serviços externos.
A IBM identificou, em seu estudo de 2025, que uma em cada cinco organizações analisadas sofreu violações relacionadas à chamada Shadow AI, e incidentes desse tipo adicionaram até US$ 670 mil ao custo médio de uma violação. Entre as organizações que sofreram incidentes envolvendo IA, 97% disseram não possuir controles adequados de acesso à tecnologia.
Isso cria novas linhas de investimento: descoberta de aplicações de IA, classificação de dados, DLP, IAM, gestão de identidades não humanas, segurança de APIs, monitoramento de prompts, proteção de aplicações baseadas em LLM, avaliação de modelos e governança do ciclo de vida da IA.
Ou seja, governança de IA deixa de ser apenas política corporativa e começa a consumir orçamento de segurança.
Pessoas continuam sendo parte da equação
Existe ainda um risco de interpretação perigoso: imaginar que a automação permitirá simplesmente reduzir equipes.
A IA pode diminuir tarefas repetitivas e aumentar a produtividade de analistas, mas também cria demanda por competências que antes não faziam parte da estrutura tradicional de segurança.
Segurança de modelos, AI Red Teaming, engenharia de segurança para LLMs, proteção de pipelines de dados, segurança de APIs, gestão de identidades de agentes, avaliação de riscos de modelos e governança de IA passam a disputar profissionais especializados.
A própria pesquisa Mastercard/Datafolha mostra que 25% das empresas brasileiras ainda consideram muito difícil encontrar profissionais qualificados em cibersegurança.
A resposta das organizações tende, portanto, a combinar treinamento, automação, contratação seletiva e serviços especializados.
Isso ajuda a explicar também o crescimento dos Managed Security Service Providers (MSSPs) e de modelos de SOC gerenciado: para muitas empresas brasileiras, especialmente médias organizações, construir internamente todas essas capacidades pode ser economicamente inviável.
O orçamento precisa migrar de ferramentas para capacidade de redução de risco
Talvez essa seja a principal transformação trazida pela IA.
Durante muito tempo, orçamentos de segurança foram construídos como listas de produtos: firewall, antivírus, SIEM, EDR, DLP, scanner de vulnerabilidades e serviços.
O modelo começa a mostrar suas limitações.
Uma empresa pode possuir dezenas de ferramentas e continuar vulnerável caso elas não estejam integradas, configuradas adequadamente ou relacionadas aos riscos relevantes do negócio.
O planejamento mais maduro parte dos cenários de risco e das capacidades necessárias para tratá-los.
Isso significa identificar ativos críticos, dados sensíveis, dependências de terceiros, aplicações de IA e processos essenciais; estimar probabilidade e impacto; definir tolerância ao risco; selecionar controles; e somente depois determinar tecnologias e serviços necessários.
A IA torna essa disciplina ainda mais importante porque cria um risco adicional: comprar ferramentas de IA simplesmente porque possuem IA.
O orçamento precisa responder a perguntas concretas: qual atividade será automatizada? Quantas horas de analistas serão economizadas? Quantos falsos positivos serão eliminados? O Mean Time to Detect (MTTD) ou Mean Time to Respond (MTTR) diminuirá? Que risco financeiro será reduzido? Que exposição de dados será eliminada?
Sem essas respostas, a IA corre o risco de se transformar apenas em mais uma camada de custo.
O CISO passa a disputar orçamento no centro da estratégia empresarial
Essa mudança também está alterando a posição da cibersegurança dentro das empresas brasileiras.
Segundo o CEO Outlook da EY-Parthenon divulgado em julho de 2026, ameaças cibernéticas e privacidade de dados aparecem como principal risco empresarial para os próximos 12 meses para 26% dos CEOs brasileiros. Ao mesmo tempo, 72% pretendem aumentar recursos destinados à IA.
São duas prioridades que inevitavelmente se encontram.
Quanto mais IA é incorporada a atendimento, produção, finanças, desenvolvimento, vendas, análise de dados e tomada de decisão, maior se torna a dependência tecnológica — e maior o impacto potencial de uma falha de segurança.
A consequência é que o orçamento de cibersegurança deixa progressivamente de ser apenas uma discussão entre CISO, CIO e CFO.
Ele passa a fazer parte da estratégia de transformação digital e de IA da própria organização.
Como estruturar o orçamento na era da IA
Não existe percentual universal de receita ou do orçamento de TI que determine quanto uma organização deve investir em cibersegurança. Porte, setor, exposição digital, criticidade dos serviços, quantidade e sensibilidade dos dados, requisitos regulatórios e apetite ao risco tornam comparações simples potencialmente enganosas.
Uma abordagem mais consistente é separar o investimento em grandes capacidades: proteção de identidade e acessos; segurança de dados; segurança de nuvem e aplicações; detecção e resposta; resiliência e recuperação; gestão de terceiros; segurança e governança de IA; pessoas e competências; e capacidade de resposta a incidentes.
A organização também precisa distinguir custos recorrentes de operação de investimentos necessários para corrigir lacunas estruturais.
E, principalmente, reservar recursos para segurança da IA desde o início dos projetos.
Adicionar controles somente depois que agentes, copilotos e aplicações baseadas em LLM já estiverem em produção reproduzirá um problema conhecido da transformação digital: pagar posteriormente — e normalmente mais caro — pela segurança que deveria ter sido projetada desde o início.
O Brasil entrou em uma nova fase do investimento em cibersegurança
Os números indicam que a discussão brasileira deixou de ser simplesmente convencer empresas de que segurança precisa receber orçamento.
O Barômetro Mastercard/Datafolha mostra a prioridade máxima no orçamento saltando de 23% para 53%; a RSM identifica 71% das organizações brasileiras pesquisadas planejando novos aumentos; e a Thales revela que a segurança específica de IA já começa a conquistar orçamento próprio, embora a maioria ainda retire esses recursos da verba tradicional de segurança.
A próxima etapa será mais difícil.
Será necessário decidir onde investir, o que consolidar, o que automatizar e como demonstrar que cada real adicional reduz efetivamente o risco para o negócio.
A inteligência artificial poderá aumentar a produtividade das equipes, reduzir o tempo de resposta e melhorar a detecção. Mas também cria aplicações, dados, modelos, agentes e identidades que precisam ser protegidos.
Por isso, o orçamento de cibersegurança da era da IA provavelmente não será apenas maior. Ele terá de ser mais inteligente.
Referências principais
As principais fontes utilizadas foram a Mastercard/Datafolha – Barômetro da Segurança Digital 2025, com dados específicos sobre orçamento e maturidade das empresas brasileiras; a PwC – Global Digital Trust Insights 2025 e 2026; a RSM – Latin America Cybersecurity Survey 2026; o Thales 2026 Data Threat Report – Brazil Edition; os relatórios IBM Cost of a Data Breach; a pesquisa da EY-Parthenon com CEOs brasileiros; e o levantamento da Kaspersky sobre IA nos SOCs brasileiros.
Mastercard — Barômetro da Segurança Digital 2025
PwC — Global Digital Trust Insights 2026
RSM — Pesquisa de Cibersegurança 2026
IBM — Cost of a Data Breach 2026
Thales — 2026 Data Threat Report: Brazil
Clique e fale com representante oficial Sophos
Veja também:
- Privacidade deixou de ser apenas uma obrigação legal
- O excesso de alertas está tornando as empresas mais vulneráveis?
- Aumento do “Shadow AI” no Brasil
- O excesso de alertas está tornando as empresas mais vulneráveis?
- Além do isolamento da chave privada
- Cibersegurança: de despesa a estratégia de crescimento
- IA a serviço do crime?
- Shadow AI: 3 medidas para reduzir o risco de cibersegurança
- O maior risco para os sistemas industriais não é a computação quântica, e sim esperar por ela
- Milhares de credenciais AWS vazadas continuam ativas
- Seu funcionário saiu do escritório. Seus dados foram junto?
Be the first to comment