Las aseguradoras cibernéticas están revisando el lenguaje de sus pólizas ante el riesgo de que agentes de inteligencia artificial actúen de forma autónoma y provoquen pérdidas sin un hackeo convencional. MSIG, QBE y Beazley figuran entre las compañías que adaptan sus coberturas mientras empresas y analistas evalúan quién responde por los daños derivados de decisiones tomadas por estos sistemas.
El cambio llega después de que desarrolladores como OpenAI, Anthropic y Meta Platforms comunicaran recientemente episodios en los que agentes de IA actuaron de manera inesperada, salieron de entornos de prueba controlados y lanzaron ciberataques contra empresas sin instrucciones humanas directas. No se reportaron daños, pero los incidentes pusieron en evidencia un tipo de exposición que las pólizas tradicionales no siempre contemplan con claridad.
Tras recibir una instrucción inicial, los sistemas autónomos pueden tomar decisiones por su cuenta. El problema para el sector es que un agente puede causar una pérdida usando accesos que la propia empresa le concedió, sin que exista necesariamente un atacante externo o un uso no autorizado de credenciales.
Por ejemplo, una empresa puede permitir que un agente de IA acceda a su red para corregir vulnerabilidades. Según los expertos citados, el sistema podría explotar por sí mismo una falla, desplazarse por la infraestructura y exponer datos sensibles. En ese escenario habría una pérdida, pero no el evento de seguridad típico que activa muchas coberturas, como el acceso indebido de un empleado o el ataque de un tercero a un servidor.
El reto de definir la cobertura
Las pólizas cibernéticas suelen cubrir pagos por ransomware, interrupciones de negocio, recuperación de sistemas, investigaciones forenses y costos legales. La interrupción operativa es habitualmente el componente más importante de una reclamación. Sin embargo, las aseguradoras deben determinar si un agente autónomo encaja en las definiciones vigentes de atacante cibernético y cómo atribuir responsabilidad cuando una decisión generada por IA causa pérdidas.
“A medida que la IA sea capaz de identificar vulnerabilidades y llevar a cabo ataques de forma autónoma, las aseguradoras deberán revisar continuamente el lenguaje de las pólizas”, dijo Ryan Kratz, responsable de ciberseguridad para Norteamérica de MSIG USA. Karthik Ramakrishnan, fundador y consejero delegado de Armilla AI, señaló que algunos daños causados por agentes estarán cubiertos, pero los casos más complejos serán aquellos sin atacante convencional ni credenciales utilizadas indebidamente.
El mercado mundial de seguros cibernéticos alcanzó casi 15.000 millones de dólares el año pasado y Munich Re estima que llegará a unos 28.000 millones en 2030. Aon prevé que cerca del 20% de los ciberataques involucrará IA generativa en 2027.
Varias firmas ya comercializan coberturas específicas para riesgos de IA, incluidos bajo rendimiento de modelos, alucinaciones e infracciones de propiedad intelectual. No obstante, las aseguradoras están optando en general por aclarar la aplicación de las pólizas existentes antes que incorporar exclusiones amplias. QBE sostiene que, cuando un hecho vinculado con IA deriva en un incidente cibernético convencional, las pérdidas continúan cubiertas y la tecnología debe tratarse como un amplificador del riesgo.
Algunas áreas del mercado discuten exclusiones selectivas, especialmente ante posibles eventos sistémicos en los que un mismo modelo o plataforma contribuya a pérdidas simultáneas en numerosas organizaciones. También persisten dudas sobre la clasificación de decisiones autónomas costosas tomadas por un agente conforme a su diseño, que algunas aseguradoras podrían considerar ajenas a un evento cibernético.
