FIESP: 57,3% das indústrias seguem sem governança ética de IA

Sobre o estudo

• Publicador: FIESP
• Quem fez a pesquisa: FIESP, por meio do Departamento de Defesa e Segurança e do Departamento de Economia
• Publicação: 2025
• Amostra: 294 empresas da indústria de São Paulo
• Período de coleta: 16 de abril a 31 de maio de 2025, com referência no ano de 2024
• Método: formulário enviado à base de indústrias associadas à FIESP
• Recorte: Brasil (indústria paulista)

Resultados

Governança de IA

• Cerca de 57,3% das empresas ainda passam sem qualquer tipo de governança ética e responsável para orientar a adoção da IA.
• Cerca de 35% das organizações usam pouca IA, e, entre as que já adotam essas soluções, apenas 7,7% implantam alguma medida voltada à governança.
• Os riscos mais citados no uso de IA são proteção de dados pessoais (41,8%), segurança cibernética (38,4%) e violação de propriedade intelectual (35,4%).
• Mudanças radicais no mercado de trabalho aparecem para 27,9% dos respondentes, e 19,4% afirmam enxergar poucos riscos no uso de IA.
• Outros riscos citados incluem alucinação da IA (16,0%), transparência (13,9%), potencialização de vieses discriminatórios (11,2%) e explicabilidade (5,4%).
• Entre as grandes empresas, 16,7% usam pouca IA, 58,3% das que usam passam sem medida de governança ética e apenas 25% contam com diretrizes formais de uso responsável.

Priorização da cibersegurança

• Cerca de 48,6% das organizações consideram a cibersegurança algo necessário, mas de baixa prioridade, e 29,7% a definem como prioridade estratégica.
• Outros 23,5% veem a cibersegurança como uma obrigação que traz poucos benefícios para o negócio.
• A prioridade estratégica cresce com o faturamento: até R$ 1 milhão são 17,2%; entre R$ 1 milhão e R$ 30 milhões, 22,6%; entre R$ 30 milhões e R$ 100 milhões, 32,4%.
• Nas faixas maiores, a prioridade estratégica chega a 41,7% entre R$ 100 milhões e R$ 300 milhões, 75% entre R$ 300 milhões e R$ 1 bilhão, e 80% acima de R$ 1 bilhão.

Estrutura e governança corporativa

• Cerca de 54,8% das organizações possuem uma estrutura organizacional de segurança cibernética ou da informação, e 41,2% passam sem essa estrutura.
• Cerca de 58,2% têm reporte direto à alta gestão ou supervisão dos conselhos, contra 36,7% que passam sem esse reporte.
• Cerca de 72,4% dos conselhos de administração passam sem membros com experiência em segurança cibernética, e 20,1% têm esse profissional.
• Cerca de 58,2% das organizações discutem segurança cibernética fora de uma rotina regular ou contínua, e 35,4% abordam o tema periodicamente.
• Cerca de 67,3% das empresas incluem a segurança cibernética fora de suas principais prioridades, e 25,7% a levam como pauta estratégica no conselho.
• Cerca de 77,1% das indústrias destinam à cibersegurança um orçamento inferior a 1% da receita total.

Incidentes cibernéticos

• No último ano, 34,7% das empresas afirmaram ter sofrido algum ataque cibernético, e 42,2% desses ataques foram exitosos.
• Entre os ataques exitosos, 65,1% buscaram indisponibilizar a operação, 9,3% miraram dados pessoais de clientes ou colaboradores e 4,7% tentaram acessar segredos de negócio.
• Cerca de 67,4% dos ataques exitosos foram seguidos de tentativa de extorsão, e 34,5% das empresas atacadas pagaram o resgate.
• Cerca de 62,2% das empresas afirmam nunca ter sofrido um ataque cibernético, enquanto 31,3% relatam até 5 ataques por ano.
• Cerca de 30% das organizações tiveram prejuízo médio de até 1% do faturamento anual, o equivalente a valores entre 10.000 e 300.000 por incidente.

Medidas preventivas

• A falha humana segue como principal vulnerabilidade, presente em 45,5% das declarações, seguida de serviços em nuvem ou softwares de terceiros (14,7%) e erro sistêmico (11,6%).
• Cerca de 84% adotam e atualizam softwares de antivírus e antimalware, e 85% realizam gestão de acesso de usuários autorizados aos sistemas.
• Sobre PENTEST, 11,6% realizam com regularidade, 24,8% o fazem ocasionalmente e 63,3% seguem sem realizar esse tipo de teste.
• Cerca de 44,9% isolam ou protegem sistemas legados, e 8,2% seguem sem isolar ou proteger esses sistemas.
• Cerca de 52,7% passam sem fazer nenhuma avaliação de dependência de terceiros, e 23,1% fazem um checklist no ato da contratação.
• Cerca de 56,8% passam sem o suporte de Centros de Operação de Segurança, e 24,8% adotaram um SOC em operação 24 horas, sete dias por semana.
• Cerca de 31,6% seguem sem tomar medidas de conscientização sobre segurança da informação, e 5,8% desconhecem se há esforço nesse sentido.
• Cerca de 60,2% passam sem um plano de resposta a incidentes cibernéticos, e 5,2% contam com seguro cibernético contratado.

Proteção de dados

• Cerca de 58,5% das empresas afirmam possuir um programa de governança de proteção de dados, e 35% seguem sem esse programa.
• Cerca de 51% das empresas seguem sem nomear um encarregado para o cumprimento da LGPD, e 4,1% estão em processo de recrutamento.
• Entre quem possui encarregado, 80,4% têm um profissional interno, e 88,9% acumulam outras funções na organização.
• Cerca de 12,8% já passaram por algum processo de auditoria ou certificação da LGPD, e 78,5% seguem sem passar por nenhuma.
• Cerca de 86,1% declaram nunca ter reportado incidente às autoridades competentes, e 11,6% deixaram de reportar por desconhecer a agência responsável.

Limites

• A pesquisa foi realizada pela própria FIESP, com formulário enviado à base de indústrias associadas e análise do Departamento de Economia.
• O recorte é a indústria de São Paulo, com 294 empresas respondentes, em maioria pequenas: 59,5% são pequenas e 65,3% somadas aos microempreendimentos.
• O perfil das respondentes é de empresas de menor porte e foco em vendas entre empresas (71,1% no modelo B2B), o que limita a generalização para toda a indústria brasileira.
• As respostas vêm de autodeclaração das empresas, sem cruzamento com registros de incidentes ou auditorias independentes.

Estudo completo

• Baixar o relatório completo (PDF)
• Página do estudo no site do publicador

Resumo produzido pelo TheAgent a partir do relatório original. Os números e achados pertencem ao publicador; consulte o estudo completo para os detalhes e a metodologia.