BCG: Securitatea cibernetică devine o responsabilitate la nivel de CEO pe măsură ce atacurile facilitate de AI se intensifică

BCG arată că 89% dintre companiile participante la cel mai recent studiu dedicat directorilor de securitate informatică (CISO) au raportat atacuri facilitate de AI în ultimele 12 luni, iar 35% au declarat că aceste atacuri au avut un impact financiar sau operațional semnificativ.

Datele sunt incluse într-o analiză a BCG privind modul în care directorii executivi ar trebui să gestioneze riscurile de securitate cibernetică generate de AI.

În medie, organizațiile participante au raportat trei breșe de securitate semnificative și 25 de incidente care au implicat date sensibile în ultimele 12 luni.

Scurgerile de date au fost indicate drept cel mai important risc asociat utilizării AI

În paralel, investițiile companiilor în AI cresc rapid. Potrivit BCG AI Radar 2026, investițiile corporative globale în AI sunt estimate să se dubleze în 2026, până la aproximativ 1,7% din veniturile companiilor, de la circa 0,8% în 2025. Studiul, realizat în rândul a 2.360 de directori executivi din 16 piețe și 11 industrii, arată că 82% dintre CEO consideră că perspectivele privind randamentul investițiilor în AI sunt mai bune decât în urmă cu un an.

Jumătate dintre CEO-ii chestionați consideră că stabilitatea funcției lor depinde de succesul strategiei de AI a companiei

Aproape trei sferturi dintre CEO spun că sunt principalii factori de decizie în privința AI în organizațiile lor, ceea ce indică o trecere a responsabilității pentru tehnologie de la nivelul exclusiv al departamentelor IT către conducerea executivă.

Securitatea cibernetică și protecția datelor se află în continuare în topul preocupărilor legate de AI. În sondajul BCG AI Radar 2026, 53% dintre respondenți au inclus riscurile privind confidențialitatea datelor și securitatea cibernetică între primele trei preocupări legate de AI. Pe următoarele locuri s-au aflat lipsa controlului sau a înțelegerii deciziilor luate de sistemele AI, indicată de 41% dintre respondenți, și provocările de reglementare și conformitate, menționate de 39%.

BCG avertizează însă că ritmul în care companiile își dezvoltă și implementează sistemele AI poate depăși ritmul în care își adaptează mecanismele de protecție. AI nu extinde doar capacitatea companiilor de a automatiza procese, de a analiza date și de a dezvolta produse, ci le oferă și atacatorilor instrumente pentru automatizarea și accelerarea atacurilor.

BCG consideră că securitatea cibernetică nu mai poate fi tratată în principal ca responsabilitatea CISO sau a directorului IT

Pe măsură ce AI este integrată în produse, procese și infrastructura companiilor, riscul cibernetic devine o problemă de business care trebuie gestionată de conducerea organizației.

Un prim pas recomandat de BCG este identificarea activelor critice ale companiei, denumite „bijuteriile coroanei”. Acestea pot include proprietatea intelectuală, datele sensibile, credențialele de acces și infrastructura esențială. În condițiile unor resurse limitate, companiile ar trebui să își concentreze măsurile de protecție asupra activelor a căror compromitere ar putea produce cele mai mari pierderi.

O a doua schimbare este trecerea de la ideea că prevenirea tuturor atacurilor este posibilă la un model bazat pe reziliență. BCG recomandă ca organizațiile să pornească de la premisa că unele măsuri de prevenție vor eșua și să își dezvolte capacitatea de a detecta, limita și remedia rapid incidentele.

Organizațiile cu nivel ridicat de maturitate în domeniul securității își stabilesc obiective de răspuns măsurate în minute, nu în zile sau luni, potrivit BCG. Companiile ar trebui, de asemenea, să aibă copii de siguranță securizate pentru sistemele critice și planuri de gestionare a crizelor testate periodic prin simulări.

BCG: O zonă de risc este reprezentată de ecosistemul de furnizori de care depind companiile

Extinderea utilizării serviciilor cloud, a modelelor AI, a soluțiilor software ca serviciu (SaaS) și a altor instrumente bazate pe AI creează noi dependențe.

BCG recomandă clasificarea furnizorilor în funcție de nivelul lor critic, aplicarea unor controale mai stricte în cazul partenerilor esențiali și elaborarea unor planuri de ieșire, în cazul în care un furnizor-cheie este compromis sau devine indisponibil.

Securitatea trebuie, de asemenea, integrată în dezvoltarea sistemelor AI încă din faza de proiectare, prin principiul „secure by design”.

Potrivit BCG, utilizarea unor arhitecturi reutilizabile, a unui cod aprobat și a unor configurații standardizate poate permite echipelor să dezvolte aplicații sigure fără ca procesele de control să încetinească semnificativ inovarea.

BCG recomandă o distribuire mai clară a responsabilităților în interiorul companiei

Securitatea cibernetică ar trebui să implice nu doar board-ul, CISO și CIO sau CTO, ci și funcțiile de risc, juridic, achiziții, resurse umane, comunicare și business. Drepturile de decizie și responsabilitățile în cazul unui incident ar trebui stabilite înaintea apariției unei crize.

Rolul CEO este important în acest model deoarece conducerea executivă poate impune securitatea cibernetică drept responsabilitate transversală a organizației, mai degrabă decât ca funcție izolată în cadrul departamentului IT.

În același timp, BCG arată că AI poate fi și parte a soluției. În AI Radar 2026, 32% dintre lideri au indicat sistemele de inteligență artificială care pot acționa autonom drept cea mai importantă oportunitate pentru securitatea cibernetică, inclusiv pentru monitorizarea continuă a sistemelor și identificarea mai rapidă a atacurilor.

Pe măsură ce utilizarea AI se extinde, companiile trebuie astfel să gestioneze simultan două riscuri: vulnerabilitățile introduse de propriile sisteme AI și utilizarea AI de către atacatori. Pentru conducerile companiilor, implicația este că securitatea cibernetică nu mai poate fi separată de strategia de dezvoltare și de investițiile în tehnologie.

BCG recomandă, în acest context, trecerea de la un model centrat predominant pe prevenirea atacurilor la unul bazat pe reziliență continuă, în care organizațiile presupun că unele atacuri vor reuși și își construiesc capacitatea de a limita rapid efectele acestora.

Citește și: Securitatea cibernetică nu mai este doar treaba IT-ului, ci responsabilitatea strategică a top managementului