Reuters.- Las aseguradoras cibernéticas llevan años definiendo qué constituye un ataque informático y cuándo debe pagarse la indemnización, pero la rápida aparición de los agentes de IA está planteando nuevas cuestiones, lo que obliga a las aseguradoras a revisar sus pólizas.

Los principales desarrolladores de IA —OpenAI, Anthropic y Meta Platforms— revelaron recientemente que sus agentes de IA se comportaron de forma inesperada , escapando de entornos de prueba controlados y llevando a cabo ciberataques contra empresas sin instrucciones humanas directas. Aunque esos incidentes no causaron daños documentados, pusieron de relieve los riesgos cibernéticos en rápida evolución a los que se enfrentan las empresas y las aseguradoras.

Tras recibir una instrucción inicial, los sistemas autónomos de IA pueden tomar decisiones de forma independiente. Las aseguradoras, entre ellas MSIG, QBE y Beazley están revisando las pólizas cibernéticas tradicionales y adaptando su redacción para tener en cuenta los riesgos emergentes que plantean dichos sistemas al asumir tareas cada vez más autónomas, según ocho ejecutivos de grandes empresas y varios analistas.

Las empresas se enfrentan a cuestiones como si los sistemas autónomos de IA se ajustan a las definiciones tradicionales de “atacante cibernético” que figuran en las pólizas y quién asume la responsabilidad por las acciones generadas por la IA que causen un perjuicio, según han señalado analistas y expertos.

El mercado mundial de los seguros cibernéticos alcanzó un valor de casi 15,000 millones de dólares el año pasado y se espera que alcance aproximadamente los 28,000 millones de dólares en 2030, según estimó Munich Re en su último informe. Aon afirmó a principios de este año que, según sus previsiones, casi el 20 % de los ciberataques implicarán IA generativa para 2027.

“A medida que la IA sea capaz de identificar vulnerabilidades y llevar a cabo ataques de forma autónoma, las aseguradoras tendrán que revisar continuamente la redacción de las pólizas”, afirmó Ryan Kratz, responsable de ciberseguridad para Norteamérica en la aseguradora especializada en seguros de daños y accidentes MSIG USA.

Definición de las pérdidas derivadas de la IA

Varias empresas, entre ellas Armilla AI, AiSure de Munich Re y AXA XL, ofrecen coberturas específicas contra riesgos relacionados con la IA, como el bajo rendimiento de los modelos, las «alucinaciones» —cuando la IA genera resultados falsos o engañosos— y las infracciones de la propiedad intelectual.

Sin embargo, las pólizas cibernéticas tradicionales están diseñadas para tener un alcance más amplio, cubriendo pérdidas derivadas de una variedad de incidentes, como pagos de ransomware, interrupción de la actividad empresarial, recuperación de sistemas, investigaciones forenses y costos legales. La interrupción de la actividad empresarial suele ser el componente más importante de una reclamación.

La mayoría de las pólizas contemplan un incidente de seguridad específico que provoca la pérdida, como el acceso no autorizado de un empleado que roba datos de la empresa o un ataque a un servidor que deja el sistema fuera de servicio. Los agentes de IA, sin embargo, pueden causar pérdidas sin que se produzca un incidente de seguridad tradicional, sobre todo cuando utilizan el acceso a los sistemas que se les ha concedido deliberadamente.

“Algunas pérdidas causadas por agentes de IA entrarán sin duda alguna en el ámbito de las pólizas cibernéticas”, declaró a Reuters Karthik Ramakrishnan, director ejecutivo y fundador de Armilla AI. “Los casos más complicados son aquellos en los que no hay un atacante convencional y, potencialmente, tampoco un uso no autorizado de credenciales”.

Una empresa, por ejemplo, podría conceder a un agente de IA acceso a su red para corregir vulnerabilidades de seguridad. El agente podría entonces aprovechar una vulnerabilidad por su cuenta, desplazarse por los sistemas de la empresa y exponer datos confidenciales. Esto podría dar lugar a una pérdida, sin que haya un hacker convencional y, potencialmente, sin acceso no autorizado desde el principio.

Dado que se dispone de relativamente pocos datos históricos sobre siniestros relacionados con pérdidas provocadas por la IA, y que el sector de la IA sigue tratando de comprender las capacidades de los modelos autónomos, resulta difícil valorar estos riesgos.

“Todavía están descubriendo cuál es su potencial, cómo funcionan y qué tipo de controles de seguridad deben implementar para contenerlos”, afirmó Sasha Romanosky, investigadora sénior de políticas en RAND, especializada en ciberseguridad y seguros, entre otras áreas.

Contención de los riesgos de la IA

En su mayor parte, las aseguradoras están aclarando cómo se aplica la redacción de las pólizas existentes cuando interviene la IA, en lugar de añadir exclusiones. “Los suscriptores reconocen que es importante seguir ofreciendo un producto que responda a este tipo de sucesos”, afirmó Greg Eskins, responsable global de productos cibernéticos en la correduría de seguros Marsh.

La aseguradora QBE, por ejemplo, ha ido mejorando la protección frente a riesgos específicos emergentes relacionados con la IA. Si un suceso relacionado con la IA da lugar a un incidente cibernético convencional, las pérdidas resultantes siguen estando cubiertas por una póliza cibernética, según ha declarado Serene Davis, directora global de ciberseguridad de QBE. “La IA se considera un amplificador de riesgos, no un riesgo cibernético fundamentalmente nuevo”, añadió.

Un portavoz de la británica Beazley señaló que las empresas desean que los riesgos de la IA se incluyan en pólizas cibernéticas amplias. “A medida que surgen nuevos riesgos relacionados con la IA, estamos desarrollando nuevas coberturas”.

No obstante, algunos ejecutivos señalaron que en ciertos sectores de la industria se están debatiendo exclusiones específicas. Un área de interés se refiere a posibles sucesos sistémicos, en los que un único modelo o plataforma de IA podría contribuir a que muchas organizaciones sufran pérdidas al mismo tiempo, según explicó Jenny Soubra, vicepresidenta de líneas comerciales especializadas de Verisk Underwriting Solutions.

Otra se refiere a la responsabilidad civil en los casos en que un agente de IA —actuando según lo previsto— tome una decisión autónoma que acabe costando mucho dinero. Algunas aseguradoras podrían clasificar esto como un suceso no cibernético.

“El mercado sigue evolucionando, pero esperamos que las organizaciones y las aseguradoras continúen explorando formas de abordar los riesgos relacionados con la IA a medida que se acelera su adopción”, añadió Soubra.