Três quartos das organizações inquiridas pela BSI (British Standards Instituion) afirmam ter registado pelo menos uma falha de Inteligência Artificial (IA) no último ano. Entre as que registaram falhas de IA, 92% tiveram mais do que um incidente. Ainda assim, 78% esperam aumentar o investimento em IA.
Os dados constam do relatório The Cost of AI Failure, publicado pela BSI em outubro de 2026. A investigação combina um estudo económico desenvolvido pela Alma Economics com um inquérito realizado pela FocalData a 1.287 dirigentes, em nove mercados e sete setores. A adoção avança mais depressa do que os mecanismos criados para governar as falhas de IA.
As falhas de IA já são comuns. A governação ainda não
O relatório define falha de IA como uma situação em que o sistema comete um erro inesperado, funciona mal, perde desempenho ou produz um resultado enviesado. A definição abrange situações tão diversas como uma alucinação num documento, uma resposta inadequada de um chatbot ou uma decisão automatizada discriminatória.
Só 47% das organizações dizem ter um processo para gerir incidentes de IA. Apenas 38% têm um programa de governação, embora o valor tenha subido face ao ano anterior. Quase metade, 49%, dispõe de uma abordagem de avaliação de risco e 50% têm processos claros para gerir dados confidenciais durante o treino ou a utilização de ferramentas de IA.
A BSI designa este desfasamento por confidence-action gap: os dirigentes confiam no potencial da tecnologia, mas muitas organizações ainda não traduziram essa confiança em responsabilidade, critérios de utilização, mecanismos de supervisão e resposta a incidentes.
Quanto pode custar uma falha de IA
O estudo económico analisou sete casos públicos distribuídos por quatro categorias: decisões enviesadas ou discriminatórias, alucinações e conteúdos fabricados, falhas de chatbots de atendimento ao cliente e falhas associadas a sistemas de agentes de IA, capazes de executar tarefas com algum grau de autonomia. A partir das consequências financeiras observadas, os investigadores estimaram o potencial grau de exposição em cada mercado relevante.
Consoante o tipo de falha e a atividade considerada, a exposição anual poderá corresponder a cerca de 0,1% a 3,6% do volume de negócios gerado no mercado relevante. No modelo, a exposição potencial mais elevada está associada à utilização empresarial de agentes de IA. Não é uma previsão de perdas nem um custo médio por empresa. O próprio relatório sublinha que estas estimativas são indicativas e se baseiam num conjunto limitado de casos públicos com impacto mensurável.
Muitas falhas não são divulgadas, não têm consequências financeiras imediatamente visíveis ou produzem sobretudo custos operacionais e reputacionais difíceis de quantificar. A ausência desses efeitos no modelo não os torna menos relevantes para quem gere a reputação.
Quando a falha técnica chega à reputação
Uma falha de IA torna-se um problema reputacional quando afeta uma promessa feita a clientes, colaboradores ou parceiros. Pode ser a promessa de confidencialidade, de igualdade de tratamento, de rigor numa recomendação ou de supervisão humana numa decisão. A questão deixa então de ser apenas o que o sistema fez e passa a incluir quem o autorizou, quem o monitorizou e como a organização reagiu.
A forma como a organização responde também comunica. Reconhecer o incidente, corrigir o resultado, explicar o impacto e indicar as salvaguardas introduzidas é diferente de publicar uma garantia genérica sobre “IA responsável”. A confiança depende da capacidade de mostrar o que mudou depois da falha.
Governação da IA: quatro responsabilidades antes do próximo incidente
Antes de tudo, é preciso atribuir responsabilidade. Cada utilização relevante de IA deve ter, além da equipa técnica, um responsável da área de negócio. É essa pessoa ou função que deve conhecer o objetivo, os dados utilizados, os limites do sistema e as consequências de um erro.
Depois, importa preparar um processo de gestão de incidentes. Quem pode suspender a ferramenta? Como se confirma o impacto? Que clientes ou entidades reguladoras têm de ser informados? Sem respostas prévias, a organização perde tempo quando a pressão aumenta.
A comunicação também deve estar definida antes do incidente, com uma política de atualização por etapas. O #PRExperts deste mês explica como atualizar os stakeholders sem confundir prudência com silêncio nem incerteza com ausência de responsabilidade.
Por fim, são necessários mecanismos de verificação. Testes independentes, registos das decisões, avaliação do risco e participação das áreas jurídica, de segurança, de operações e de comunicação tornam a governação observável. A certificação ou o alinhamento com referenciais como a ISO/IEC 42001 pode apoiar esse processo, mas não substitui a responsabilidade interna.
A IA vai continuar a errar, e o investimento a crescer. A diferença reputacional estará na forma como cada organização previne, deteta, explica e corrige esses erros.