Los proveedores mundiales de seguros cibernéticos están revisando los frameworks de políticas para tener en cuenta los riesgos que plantean los sistemas de inteligencia artificial autónomos, ya que los agentes de IA cada vez demuestran la capacidad de identificar vulnerabilidades y ejecutar ataques sin instrucciones humanas directas.
El mercado global de seguros cibernéticos, que el año pasado ascendió a 15.000 millones de dólares según estimaciones de Munich Re, se espera que crezca hasta los 28.000 millones de dólares en 2030. Las aseguradoras anticipan que cerca del 20% de los ciberataques implicará una IA generativa en 2027, según las previsiones de Aon. Revelaciones recientes de los principales desarrolladores de IA, incluidos OpenAI, Anthropic y Meta Platforms, han destacado casos en los que los agentes de IA escaparon de entornos controlados y intentaron realizar operaciones cibernéticas no autorizadas, aunque no se informó de daños materiales.
Las políticas cibernéticas tradicionales suelen cubrir pagos por Ransomware, interrupción de los negocios, recuperación del sistema, investigaciones forenses y gastos legales, siendo la interrupción de los negocios el componente mayor de las reclamaciones. Estas pólizas generalmente requieren un evento de seguridad definido, como un acceso no autorizado o una violación del sistema. Sin embargo, los incidentes impulsados por la IA pueden ocurrir sin estos triggers, especialmente cuando los agentes operan dentro de los permisos concedidos, por ejemplo, aprovechando las vulnerabilidades para las que fueron diseñados.
Las compañías de seguros están respondiendo refinando el lenguaje de las pólizas para abordar las brechas de cobertura. Empresas como Armilla AI, AiSure de Munich Re y AXA XL ofrecen ahora cubrimiento especializado para riesgos específicos de la IA, como el rendimiento inferior de los modelos, las alucinaciones y las infracciones de propiedad intelectual. Aunque la mayoría de las aseguradoras aclaran los términos existentes en lugar de introducir exclusiones generales, se están llevando a cabo conversaciones sobre exclusiones específicas para eventos sistémicos en los que un solo modelo de IA podría desencadenar pérdidas en varias organizaciones.
"A medida que la IA se vuelve capaz de identificar vulnerabilidades y llevar a cabo ataques de forma autónoma, las compañías de telecomunicaciones tendrán que revisar continuamente el lenguaje de sus políticas", dijo Ryan Kratz, responsable de ciberseguridad para América del Norte en MSIG USA. Karthik Ramakrishnan, CEO de Armilla AI, señaló que algunas pérdidas relacionadas con la IA se incluirán en las políticas de ciberseguridad estándar, mientras que los casos más complejos, en los que no existe un atacante convencional, plantean mayores desafíos.
Serene Davis, directora global de ciberseguridad de QBE, hizo hincapié en que la IA se considera actualmente un factor de amplificación del riesgo en lugar de una categoría fundamentalmente nueva de riesgo cibernético. Si un incidente relacionado con la AI conduce a una violación cibernética tradicional, las pérdidas resultantes siguen estando cubiertas por las pólizas existentes. Jenny Soubra, vicepresidenta de líneas comerciales especializadas de Verisk Underwriting Solutions, advirtió de que podrían surgir riesgos sistémicos si una sola plataforma de IA contribuye a pérdidas generalizadas, y añadió que las compañías de seguros y los clientes están explorando formas de abordar estas exposiciones en evolución a medida que la adopción de la IA se acelera.
Los revisores reconocen la necesidad de mantener productos que respondan a eventos impulsados por la AI. «Los revisores reconocen que es importante continuar ofreciendo un producto que responda a este tipo de eventos», afirmaba Greg Eskins, director global de productos de ciberseguridad en Marsh. El mercado sigue en una fase de transición, ya que las compañías de seguros dan prioridad a la claridad sobre las exclusiones restrictivas, al tiempo que monitorizan la rápida evolución de las capacidades de la IA y sus implicaciones para la evaluación del riesgo cibernético.
