O orçamento subiu 12%. A frequência do incidente não cedeu.

É comum ler esses dois números como contradição. Gastou mais, apanhou igual, logo o gasto não funciona. A leitura é confortável e provavelmente errada.

A incidência de ataque não mede eficácia de defesa. Mede o custo de tentar, do lado de quem ataca. Ferramenta generativa derrubou esse custo de forma brusca: campanha de phishing em português correto, reconhecimento automatizado de superfície e adaptação de payload deixaram de exigir equipe. Com o custo unitário da tentativa perto de zero, o volume sobe independentemente do que o defensor faz. Manter a taxa de impacto relevante em 35% enquanto o volume explode já é algum resultado.

Dito isso, há um problema real escondido nesses dados, e ele não está no total gasto.

O dinheiro entra em uma categoria que ainda não tem dono

A alta de 68,7% projetada para segurança de IA é o número mais interessante da série, porque descreve um orçamento sendo criado do zero em um mercado onde a categoria ainda não está definida.

Indicador	Valor	O que ele diz
Gasto global em 2026	~US$ 244 bi	Base atual do mercado de segurança da informação.
Projeção para 2029	~US$ 320 bi	Crescimento composto de 11% ao ano, acima do gasto geral de TI.
Segurança de IA, 2026 a 2027	+68,7%	Categoria nova crescendo em ritmo de seis a sete vezes o do setor.
Empresas com ataque apoiado em IA	89%	Deixou de ser cenário prospectivo e virou base de cálculo.
Com impacto relevante	35%	Um terço das ocorrências chegou a consequência financeira ou operacional.

Quando um orçamento cresce quase 70% em doze meses, ele não cresce com base em avaliação comparativa. Cresce por pressão, e pressão compra o que estiver disponível. O resultado previsível é uma safra de compras cuja utilidade só será medida depois, quando a renovação chegar e alguém precisar explicar o que aquilo evitou.

O próprio BCG aponta que as medidas de base continuam pendentes na maioria das empresas: governança formal de IA, supervisão sobre agentes e monitoramento de uso não declarado. Nenhuma das três é produto. Todas são processo, e processo não tem fornecedor ligando para vender.

A distorção que isso cria no mercado

Do lado da oferta, o efeito já é visível. Praticamente todo fabricante anunciou linha de segurança para IA no último ano, e boa parte dessas linhas é a mesma capacidade anterior com rótulo novo. Descoberta de ativo virou descoberta de modelo. Classificação de dado virou prevenção de vazamento por prompt. Gestão de identidade virou identidade de agente.

Parte dessas extensões é legítima e faz sentido técnico. Parte é posicionamento. Distinguir uma da outra exige do comprador algo que ele frequentemente não tem: critério próprio sobre onde a IA efetivamente entrou na operação dele.

É por isso que o inventário de uso de IA virou, na prática, o controle de maior retorno do ciclo. Não porque seja sofisticado, mas porque sem ele não há como avaliar proposta comercial nenhuma. Quem não sabe quais modelos a empresa usa, com que dado e sob qual credencial, não consegue julgar se a ferramenta oferecida cobre o problema que ele tem.

Leitura LATAMSEC

Para a empresa brasileira que está montando o orçamento de 2027 agora, três recomendações práticas.

Separe a linha de IA do resto do orçamento de segurança. Não por organização contábil, e sim porque a taxa de crescimento dessa linha vai chamar atenção do financeiro em algum momento. É melhor que ela tenha justificativa própria desde o início do que precisar construí-la sob pressão no meio do exercício.

Gaste a primeira parcela em inventário e governança antes de gastar em ferramenta. A ordem importa. Inventário custa tempo de gente e entrega o critério de compra para tudo que vier depois. Ferramenta comprada antes do inventário costuma proteger a parte da operação que já estava visível.

Exija do fornecedor a métrica antes da assinatura. Se a proposta não diz qual número deve mudar e em quanto tempo, a renovação daqui a doze meses será decidida por sensação. Em um ciclo de alta de quase 70%, a chance de manter contrato inútil por inércia é alta.

Para o conselho, a pergunta que organiza a conversa não é se o orçamento de segurança deveria crescer. Ele vai crescer. É outra: dos itens que aprovamos no ciclo passado, quantos têm uma métrica associada que alguém acompanha? A resposta separa investimento de seguro emocional.