IA e cibersegurança: o novo plano da UE explicado

A inteligência artificial está a mudar a cibersegurança dos dois lados. Pode ajudar equipas a encontrar padrões e vulnerabilidades mais depressa, mas também permite automatizar fraudes, campanhas de phishing e tentativas de ataque. É neste contexto que a Comissão Europeia apresentou, em Julho de 2026, um plano de acção dedicado à cibersegurança e à inteligência artificial.

Para empresas e utilizadores em Portugal, a notícia não significa que exista uma nova ferramenta obrigatória para instalar amanhã. Significa, porém, que a segurança digital deixou de poder ser pensada sem considerar a IA. Este artigo explica o que está em causa e traduz o tema em passos úteis.

Porque é que a IA está a mudar a cibersegurança?

Os sistemas de IA conseguem analisar grandes volumes de informação, resumir alertas e ajudar a priorizar tarefas. Isto pode ser valioso numa equipa de segurança com pouco tempo: em vez de tratar milhares de eventos iguais, a equipa pode concentrar-se nos sinais que merecem investigação.

Mas a mesma capacidade de automatização cria riscos. Criminosos podem produzir mensagens de fraude mais credíveis, adaptar textos a cada vítima, criar imagens ou vozes falsas e procurar falhas de forma mais rápida. A tecnologia não elimina a importância das pessoas; torna a verificação humana e os processos de controlo ainda mais importantes.

O que propõe o plano da União Europeia?

Segundo a Comissão Europeia, o plano procura reforçar a resposta europeia aos riscos de cibersegurança associados a modelos avançados de IA e, ao mesmo tempo, aproveitar as oportunidades defensivas. A ideia central é coordenar Estados-Membros, indústria e organizações europeias em vez de deixar cada entidade resolver o problema isoladamente.

Este movimento complementa regras que já moldam o ambiente digital europeu, como a Diretiva NIS2 para entidades críticas e o Regulamento da IA. Para uma pequena ou média empresa, a lição mais útil não é decorar diplomas: é perceber que a segurança, a privacidade, a gestão de fornecedores e a utilização de ferramentas de IA têm de ser avaliadas em conjunto.

Três riscos que merecem atenção imediata

1. Phishing mais convincente

Mensagens com erros óbvios continuam a existir, mas estão a deixar de ser a regra. A IA permite escrever e-mails bem formatados, imitar estilos de comunicação e criar falsos pedidos urgentes em português. A defesa passa por confirmar pagamentos e alterações de IBAN através de um canal independente, e nunca apenas pelo e-mail recebido.

2. Dados inseridos em ferramentas de IA

Copiar para um assistente de IA uma lista de clientes, um contrato, código interno ou informação financeira pode expor dados confidenciais. Antes de adoptar uma ferramenta, defina que tipo de informação pode ser usada, quem tem acesso, onde ficam os dados e se é possível desactivar a utilização dos conteúdos para treino, quando essa opção existir.

3. Automatização sem supervisão

Um agente ou assistente pode acelerar tarefas, mas não deve ter permissões ilimitadas. Comece por casos de uso com baixo impacto e mantenha aprovação humana para pagamentos, acesso a sistemas críticos, publicação de conteúdos e partilha de dados sensíveis.

Como usar IA para melhorar a segurança — sem criar novos problemas

O melhor ponto de partida é escolher um problema concreto. Por exemplo: resumir alertas do serviço de monitorização, classificar pedidos recebidos pela equipa de suporte ou ajudar a criar cenários de formação contra phishing. Depois, estabeleça limites claros e avalie o resultado.

• Defina dados proibidos: palavras-passe, chaves de acesso, dados bancários, informação de saúde, contratos e dados pessoais não devem entrar numa ferramenta sem validação adequada.
• Use contas empresariais: evite que colaboradores dependam de contas pessoais para trabalho.
• Aplique o princípio do menor privilégio: dê a cada pessoa e sistema apenas os acessos necessários.
• Registe decisões importantes: em processos com impacto em clientes, dinheiro ou segurança, mantenha evidência da revisão humana.
• Teste antes de escalar: faça um projecto-piloto, meça erros e corrija o processo antes de o aplicar a toda a organização.

Uma checklist simples para esta semana

1. Faça uma lista das ferramentas de IA utilizadas na empresa, incluindo extensões de navegador e contas gratuitas.
2. Classifique que dados podem e não podem ser inseridos em cada uma.
3. Active autenticação multifator nas contas que permitem acesso a informação empresarial.
4. Reveja permissões de utilizadores, fornecedores e aplicações ligadas.
5. Avise a equipa sobre fraudes com voz ou vídeo e crie um procedimento de confirmação para pedidos urgentes.
6. Teste a cópia de segurança de pelo menos um sistema importante.

O papel das pessoas continua a ser decisivo

A IA pode aumentar a velocidade de uma equipa, mas não substitui uma cultura de segurança. Um colaborador que verifica um pedido invulgar, uma administração que aprova investimento em recuperação e uma empresa que sabe a quem ligar num incidente valem mais do que uma ferramenta usada sem regras.

Para os utilizadores, a recomendação é semelhante: desconfie de urgências, confirme a identidade por outro canal, use palavras-passe únicas com um gestor de palavras-passe e active MFA sempre que possível. Uma chamada ou vídeo realista já não é prova suficiente de identidade.

Perguntas frequentes sobre IA e cibersegurança

A IA torna uma empresa automaticamente mais segura?

Não. Pode acelerar a análise e apoiar equipas, mas só funciona bem quando existem dados protegidos, acessos controlados, regras de utilização e revisão humana. Uma ferramenta sem processo pode aumentar o risco em vez de o reduzir.

Que medida tem mais impacto imediato?

Para a maioria das organizações, começar por autenticação multifator, cópias de segurança testadas e um processo de confirmação para pagamentos urgentes reduz riscos reais sem exigir um projecto tecnológico complexo.

É seguro usar IA generativa no trabalho?

Depende da ferramenta, das definições contratadas e do tipo de informação introduzida. Antes de usar, confirme as regras de dados, defina casos de uso autorizados e evite colocar informação confidencial em contas pessoais ou serviços sem avaliação.

Conclusão

O novo plano europeu mostra que a IA e a cibersegurança vão evoluir juntas. A resposta equilibrada não é proibir toda a inovação nem confiar cegamente na automatização. É adoptar ferramentas com objectivos claros, proteger dados, limitar acessos e manter decisões críticas sob supervisão humana.

Fontes: Comissão Europeia — Plano de Acção sobre Cibersegurança e IA; Diretiva (UE) 2022/2555 (NIS2); Google Security — Beyond Zero.