Cobertura cibernética de IA: análisis de evidencia de gobernanza

La nueva señal no es un discurso de un regulador. Es redacción de póliza, la parte del contrato que nadie lee hasta que el expediente de reclamación está abierto y la sala se queda en silencio. El riesgo de la IA está pasando del material para paneles de conferencias a la maquinaria aburrida de la suscripción, las exclusiones, los cuestionarios y las pruebas. Ahí es donde los equipos de producto y seguridad deberían prestar atención, porque las aseguradoras rara vez piden documentos que no piensan usar.

Qué está pidiendo realmente la cobertura afirmativa

Hunton Andrews Kurth, en su análisis de Law360, dice que las aseguradoras están respondiendo al riesgo de la IA de dos maneras opuestas: exclusiones específicas de IA y coberturas afirmativas específicas de IA. El mismo análisis señala que el 72% de las empresas del S&P 500 hablaron de la IA y de riesgos relacionados en sus informes anuales de valores, lo que es un indicador útil de hacia dónde están mirando los consejos de administración, los corredores y los equipos de reclamaciones.

La cobertura silenciosa es el problema antiguo, en el que una póliza cibernética, de responsabilidad profesional, de directores y administradores, o de producto podría responder sin mencionar la IA. La cobertura afirmativa es la versión más explícita, en la que la póliza nombra la exposición y luego pide al asegurado que demuestre qué opera realmente.

El artículo de arXiv Insurance of Agentic AI explica por qué las preguntas se están volviendo más específicas. Describe los sistemas de IA agéntica como sistemas que van más allá de la generación de información y pasan a la planificación autónoma, la invocación de herramientas, la ejecución de decisiones y la modificación persistente de entornos digitales o físicos. El artículo identifica vías de riesgo que incluyen alucinaciones, ataques de inyección de prompts, errores de decisión autónoma, deriva del modelo, fallos de dependencias y daños ciberfísicos.

Traducción: el expediente de suscripción ya no se conforma con decir que un proveedor tiene una función de IA.

Quién acaba dentro del expediente de seguro

Insurance of Agentic AI presenta los sistemas agénticos como un continuo de autonomía y autoridad delegada, lo que es una prueba más útil que preguntar si un producto está lo bastante de moda como para llamarse IA. Si un sistema solo redacta texto para que una persona lo revise, la carga de pruebas es distinta de la de un sistema que invoca herramientas, cambia registros, hace recomendaciones en flujos de trabajo regulados o activa transacciones posteriores.

Los equipos de seguridad deberían esperar preguntas sobre inyección de prompts, control de acceso, registro, supervisión y respuesta ante incidentes. Los equipos de producto deberían esperar preguntas sobre dónde se sitúa el modelo en el flujo de trabajo y quién puede anularlo.

El punto de Hunton Andrews Kurth sobre las exclusiones importa aquí porque una exclusión no es una objeción filosófica a la IA. Es lenguaje contractual que puede limitar lo que ocurre después de una pérdida. Si una empresa no puede distinguir entre modelos orientados al cliente, copilotos internos, modelos integrados por proveedores y automatización de seguridad, tendrá dificultades para explicar qué exposición estaba realmente asegurada.

Este es el glamuroso mundo del cumplimiento: nombrar las cosas con precisión antes de que lo haga por ti un perito de siniestros.

Qué documentar antes de la renovación

Zurich Insurance Group y Microsoft, en su informe sobre inteligencia artificial y responsabilidad algorítmica, dividen el riesgo algorítmico en la fase de entrada del modelo, la fase de diseño y desarrollo del modelo, y la fase de operación y salida del modelo. Esa es una estructura práctica para un expediente de pruebas de seguro de IA.

Para cada sistema, mantén un inventario de activos, las fuentes de datos o entradas en las que se basa, el responsable del desarrollo o la configuración, el contexto operativo y las salidas que pueden afectar a usuarios, clientes, empleados o contrapartes. Si eso suena a registro, es porque los registros son lo que aparece cuando el riesgo deja de ser abstracto.

El artículo de arXiv también propone analizar la evaluación de exposición, el análisis de escenarios, el mapeo de dependencias y las implicaciones del diseño de productos para los seguros. En lenguaje sencillo, escribe qué podría salir mal, de qué proveedores o servicios internos depende el sistema, cómo se vería un fallo y quién tiene autoridad para pausar o revertir el sistema.

Los escenarios de incidentes deberían incluir inyección de prompts, acción autónoma incorrecta, fuga de datos, deriva del modelo e interrupción del proveedor si encajan con el sistema. La versión útil no es un póster sobre IA responsable, sino un expediente que seguridad, legal, producto y compras puedan reconocer.

Los mapas de dependencias de proveedores merecen atención especial. El informe de Zurich y Microsoft señala el papel de los repositorios externos de código y datos en la gestión del riesgo de responsabilidad algorítmica, y la misma lógica se aplica a proveedores de modelos, herramientas de orquestación, almacenes de recuperación, servicios de supervisión y proveedores de revisión humana.

Tu expediente contractual debería mostrar límites de uso de datos, obligaciones de seguridad, deberes de notificación de incidentes, derechos de auditoría o aseguramiento cuando estén disponibles, y límites a la subcontratación. Si tu contrato con el proveedor dice menos sobre IA que tu presentación de ventas, tu aseguradora puede notarlo.

Los abogados tienen una frase para esto. Te la ahorraré.

Dónde empiezan a solaparse la regulación y la suscripción

El artículo de MIT Press sobre suscripción de crédito y seguros bajo la Ley de IA de la UE dice que prestamistas y aseguradoras usan puntuaciones de crédito externas, fuentes de datos propietarias, modelos de puntuación personalizados y reglas específicas del negocio para evaluar el riesgo del prestatario, y que la Ley de IA de la UE plantea preguntas de clasificación y cumplimiento para esas actividades. El explicador de Mason Hayes and Curran sobre las categorías de riesgo de la Ley de IA de la UE también trata la Ley como un marco de clasificación de riesgos, no como un simple tablero de inspiración general.

Para las empresas que operan en Europa o venden a Europa, una pregunta de suscripción puede llegar con dos credenciales: pruebas para el seguro y gobernanza de la Ley de IA. Quienes construyen productos atrapados entre jurisdicciones reconocerán el patrón. La ley puede exigir un conjunto de documentación y la aseguradora puede pedir otro. No son lo mismo, aunque las presentaciones de diapositivas sugieran lo contrario.

Una evaluación de IA de alto riesgo bajo la Ley de IA de la UE no es automáticamente una presentación para el seguro, y un cuestionario de seguro no es un certificado de cumplimiento. Aun así, el solapamiento es útil: inventarios, políticas de uso de modelos, escenarios de incidentes, dependencias de proveedores y revisiones de exclusiones son pruebas reutilizables si se mantienen al día en lugar de montarse en medio del pánico.

La próxima renovación del seguro no convertirá cada despliegue de IA en una emergencia legal. Hará que las respuestas vagas sean más caras. Los líderes de producto deberían saber qué sistemas de IA pueden afectar a usuarios o registros, los líderes de seguridad deberían saber cómo fallan esos sistemas y el equipo legal debería saber qué redacción de póliza incluye o excluye la exposición a la IA.

La señal del mercado es modesta y práctica: si la IA está en el producto o en el flujo de trabajo, ahora pertenece al expediente de seguro.