Empresas portuguesas apostam na IA, mas esquecem a segurança

A inteligência artificial passou a estar no topo das prioridades de investimento de muitas empresas portuguesas. A segurança, nem por isso. Dois estudos publicados em outubro de 2026 mostram o mesmo desequilíbrio: as empresas estão a adotar ferramentas de IA mais depressa do que as estão a proteger, e os ataques já estão a aproveitar essa distância.

Neste artigo resumimos o que dizem o Barómetro HeraPrime 2026 e o Relatório de Ciberpreparação da Hiscox 2026, e deixamos uma lista prática de medidas que uma pequena empresa pode tomar já, muitas delas sem custo adicional.

O que diz o Barómetro HeraPrime 2026

O estudo da consultora HeraPrime, noticiado pelo SAPO Tek a 15 de outubro de 2026, reuniu 57 respostas de empresas com atividade em Portugal entre julho e setembro. Os números principais:

• 60% apontam a IA como a prioridade de investimento tecnológico, mas 76% dessas empresas não colocam a cibersegurança entre as prioridades.
• 68% dizem já usar IA, mas só 14% a usam de forma regular e estruturada.
• A cibersegurança é prioridade para apenas 23% das empresas.
• 75% têm a digitalização mais avançada do que a segurança e a continuidade do negócio.

Nas medidas de proteção, o retrato é desigual. 88% fazem cópias de segurança, 81% têm antivírus e 72% usam uma firewall gerida. Mas só 35% usam autenticação multifator, 21% dão formação periódica aos colaboradores e 12% têm um plano de resposta a incidentes.

O dado mais revelador diz respeito às ferramentas que as empresas já pagam. Nas que usam o Microsoft 365, o Google Workspace ou ferramentas semelhantes, 56% não assinalaram o uso da autenticação multifator, que estas plataformas incluem sem custo adicional.

A preparação para uma falha grave é o ponto mais fraco. Três em cada dez empresas não sabem quanto tempo demorariam a retomar a atividade depois de uma paragem total dos sistemas. Só 12% têm um plano de continuidade documentado e testado, e 44% não têm nenhum.

Nas microempresas, até 10 pessoas, a distância é maior: só 8% apontam a cibersegurança como prioridade e 17% usam autenticação multifator. O principal obstáculo que referem é a falta de tempo (58%).

O que diz o Relatório de Ciberpreparação da Hiscox 2026

O segundo estudo, noticiado pela Security Magazine a 9 de outubro de 2026, inclui 250 entrevistas em Portugal, a empresas com menos de 250 colaboradores, realizadas em junho de 2026.

• Entre as empresas que sofreram ciberataques, 92% registaram pelo menos um ataque associado a novas vulnerabilidades relacionadas com IA nos últimos 12 meses, contra 48% em 2025.
• A média destes ataques passou de 1,60 para 3,48 por empresa num ano.
• 24% identificaram uma ferramenta ou software de IA como um dos pontos de entrada de ataques bem-sucedidos.
• 42% admitem ter adiado a adoção de IA ou de outras tecnologias depois de um incidente.

Para os próximos cinco anos, as preocupações mais referidas são as vulnerabilidades em ferramentas de IA de terceiros (46%), o envenenamento de dados de IA e o malware ou phishing baseado em IA (ambos com 43%).

A Hiscox alerta também para a chamada shadow AI: colaboradores que usam ferramentas de IA externas sem conhecimento de quem gere a segurança, o que dificulta saber que dados estão a ser partilhados e com quem.

O que isto significa para uma pequena empresa

Os dois estudos dizem a mesma coisa por caminhos diferentes. O problema raramente é a falta de tecnologia. É a falta de proteções básicas ligadas, de regras claras e de um plano para o dia em que algo corre mal. A boa notícia é que a maior parte do que falta não exige grandes investimentos.

A própria HeraPrime resume a recomendação em três passos: ativar o que já está pago, como a autenticação de dois fatores, em todas as contas, incluindo as de administração; incluir a segurança no orçamento de cada projeto de IA, com o controlo de quem acede aos dados e a forma de os recuperar; e, nas microempresas, recorrer a serviços externos de gestão da segurança, com um teste anual de recuperação.

Lista prática: cinco medidas para esta semana

1. Ative a autenticação de dois fatores em todas as contas

No Microsoft 365 e no Google Workspace, a autenticação de dois fatores está incluída. Ative-a para todos os utilizadores, começando pelas contas de administração e pelo email de quem trata de pagamentos. Faça o mesmo no alojamento do site, no domínio, nas redes sociais e no banco.

2. Defina regras para o uso de IA pela equipa

Faça uma lista das ferramentas de IA que a equipa usa e decida quais são aprovadas. Deixe por escrito o que nunca se cola numa ferramenta externa: dados de clientes, contratos, palavras-passe, dados financeiros. Uma página simples, lida e assinada por todos, já reduz muito o risco de shadow AI.

3. Trate cada ferramenta de IA como um fornecedor

Antes de ligar um chatbot, um agente ou uma automação ao email, ao site ou à base de dados de clientes, confirme que acessos pede, onde guarda os dados e como se desliga. Dê-lhe só as permissões de que precisa.

4. Escreva um plano de resposta de uma página

Quem se contacta primeiro, como se mudam as palavras-passe, quem fala com os clientes e quem avisa as autoridades, se for preciso. Se a sua empresa trabalha para clientes abrangidos pela NIS2, este plano vai ser-lhe pedido. Explicámos o que costuma ser pedido em O meu cliente está na NIS2.

5. Teste se consegue voltar

Ter cópias de segurança não chega, se nunca as restaurou. Saber quanto tempo demora a voltar é exatamente o que três em cada dez empresas não sabem. Escrevemos sobre como fazer este teste em Cópias de segurança: como saber se o site volta.

Comece pelo site

O site é muitas vezes a parte mais exposta de uma pequena empresa, e também a mais fácil de verificar. A nossa auditoria gratuita analisa a segurança e o desempenho do seu site e mostra o que corrigir. Se tiver dúvidas sobre o resultado, explicamos a nota em Auditoria gratuita ao site: o que significa a nota e o que corrigir.

Em resumo

Segundo o Barómetro HeraPrime 2026, 76% das empresas que apostam na IA não colocam a cibersegurança entre as prioridades, só 35% usam autenticação multifator e só 12% têm um plano de resposta a incidentes. O Relatório da Hiscox 2026 mostra que, entre as PME portuguesas atacadas, 92% sofreram pelo menos um ataque ligado a vulnerabilidades de IA no último ano. A resposta não passa por travar a IA, mas por ativar o que já está pago, definir regras para a equipa, preparar um plano simples e testar se consegue voltar.

Quer saber como está a segurança do seu site?

A MarcaWeb constrói e mantém sites à medida em Next.js, com a segurança tratada desde o primeiro dia. Comece pela auditoria gratuita ou fale connosco: escreva para info@marcaweb.pt ou ligue para o +351 920 260 897. Diga-nos o que tem e o que quer alcançar, e respondemos com uma proposta clara.