Cakupan Siber AI: Analisis Bukti Tata Kelola

Sinyal baru ini bukan pidato regulator. Ini adalah bahasa polis, bagian dari kontrak yang tidak dibaca siapa pun sampai berkas klaim dibuka dan ruangan menjadi hening. Risiko AI sedang bergerak dari bahan panel konferensi ke dalam mesin underwriting, pengecualian, kuesioner, dan bukti yang membosankan. Di situlah tim produk dan keamanan perlu memperhatikan, karena perusahaan asuransi jarang meminta dokumen yang tidak mereka niatkan untuk digunakan.

Apa yang sebenarnya diminta oleh pertanggungan afirmatif

Hunton Andrews Kurth, dalam analisisnya di Law360, mengatakan bahwa perusahaan asuransi merespons risiko AI dengan dua cara yang berlawanan: pengecualian khusus AI dan pertanggungan khusus AI yang afirmatif. Analisis yang sama mencatat bahwa 72% perusahaan S&P 500 membahas AI dan risiko terkait dalam laporan sekuritas tahunan, yang merupakan proksi berguna untuk melihat ke mana dewan direksi, broker, dan tim klaim sedang mengarahkan perhatian.

Pertanggungan diam-diam adalah masalah lama, ketika polis siber, tanggung jawab profesional, directors and officers, atau produk mungkin merespons tanpa menyebut AI. Pertanggungan afirmatif adalah versi yang lebih eksplisit, ketika polis menyebut eksposurnya dan kemudian meminta pihak tertanggung membuktikan apa yang sebenarnya dijalankannya.

Makalah arXiv Insurance of Agentic AI menjelaskan mengapa pertanyaannya menjadi makin spesifik. Makalah itu menggambarkan sistem AI agentik sebagai sistem yang bergerak melampaui pembuatan informasi menuju perencanaan otonom, pemanggilan alat, eksekusi keputusan, dan modifikasi persisten terhadap lingkungan digital atau fisik. Makalah tersebut mengidentifikasi jalur risiko termasuk halusinasi, serangan prompt injection, kesalahan keputusan otonom, model drift, kegagalan dependensi, dan kerugian siber-fisik.

Terjemahannya: berkas underwriting tidak lagi puas dengan pernyataan bahwa sebuah vendor memiliki fitur AI.

Siapa yang ikut terseret ke dalam berkas asuransi

Insurance of Agentic AI membingkai sistem agentik sebagai sebuah kontinum otonomi dan kewenangan yang didelegasikan, yang merupakan pengujian lebih berguna daripada bertanya apakah sebuah produk cukup trendi untuk disebut AI. Jika sebuah sistem hanya menyusun teks untuk ditinjau manusia, beban buktinya terlihat berbeda dari sistem yang memanggil alat, mengubah catatan, membuat rekomendasi dalam alur kerja yang diatur, atau memicu transaksi lanjutan.

Tim keamanan harus mengantisipasi pertanyaan tentang prompt injection, kontrol akses, logging, pemantauan, dan respons insiden. Tim produk harus mengantisipasi pertanyaan tentang di mana model berada dalam alur kerja dan siapa yang dapat mengambil alih.

Poin Hunton Andrews Kurth tentang pengecualian penting di sini karena pengecualian bukanlah keberatan filosofis terhadap AI. Itu adalah bahasa kontrak yang dapat mempersempit apa yang terjadi setelah kerugian. Jika sebuah perusahaan tidak dapat membedakan model yang menghadap pelanggan, copilot internal, model yang tertanam dari vendor, dan otomasi keamanan, perusahaan itu akan kesulitan menjelaskan eksposur mana yang sebenarnya diasuransikan.

Inilah dunia kepatuhan yang glamor: menamai sesuatu dengan akurat sebelum penilai klaim melakukannya untuk Anda.

Apa yang perlu didokumentasikan sebelum perpanjangan

Zurich Insurance Group dan Microsoft, dalam makalah mereka tentang kecerdasan buatan dan tanggung jawab algoritmik, membagi risiko algoritmik menjadi fase input model, fase desain dan pengembangan model, serta fase operasi dan output model. Itu adalah struktur praktis untuk berkas bukti asuransi AI. Untuk setiap sistem, simpan inventaris aset, sumber data atau input yang diandalkannya, pemilik pengembangan atau konfigurasi, konteks operasional, dan output yang dapat memengaruhi pengguna, pelanggan, karyawan, atau pihak lawan.

Jika itu terdengar seperti register, itu karena register adalah hal yang muncul ketika risiko berhenti menjadi abstrak.

Makalah arXiv tersebut juga mengusulkan untuk melihat penilaian eksposur, analisis skenario, pemetaan dependensi, dan implikasi desain produk untuk asuransi. Dalam bahasa sederhana, tuliskan apa yang bisa salah, vendor atau layanan internal mana yang menjadi dependensi sistem, seperti apa bentuk kegagalannya, dan siapa yang berwenang menjeda atau mengembalikan sistem ke keadaan sebelumnya. Skenario insiden harus mencakup prompt injection, tindakan otonom yang keliru, kebocoran data, model drift, dan gangguan vendor jika hal-hal itu sesuai dengan sistemnya.

Versi yang berguna bukanlah poster tentang AI yang bertanggung jawab, melainkan berkas yang dapat dikenali bersama oleh tim keamanan, hukum, produk, dan pengadaan.

Peta dependensi vendor layak mendapat perhatian khusus. Makalah Zurich dan Microsoft menandai peran repositori kode eksternal dan data dalam mengelola risiko tanggung jawab algoritmik, dan logika yang sama berlaku untuk penyedia model, alat orkestrasi, penyimpanan retrieval, layanan pemantauan, dan vendor peninjauan manusia. Berkas kontrak Anda harus menunjukkan batas penggunaan data, kewajiban keamanan, kewajiban pemberitahuan insiden, hak audit atau assurance jika tersedia, dan batasan atas subkontrak.

Jika kontrak vendor Anda mengatakan lebih sedikit tentang AI daripada materi penjualan Anda, perusahaan asuransi Anda mungkin akan memperhatikannya. Pengacara punya istilah untuk ini. Saya akan menghindarkan Anda dari istilah itu.

Di mana regulasi dan underwriting mulai bertumpang tindih

Artikel MIT Press tentang underwriting kredit dan asuransi di bawah EU AI Act mengatakan bahwa pemberi pinjaman dan perusahaan asuransi menggunakan skor kredit eksternal, sumber data proprietari, model penilaian khusus, dan aturan khusus bisnis untuk menilai risiko peminjam, dan bahwa EU AI Act memunculkan pertanyaan klasifikasi dan kepatuhan untuk aktivitas-aktivitas tersebut. Penjelasan kategori risiko EU AI Act dari Mason Hayes and Curran juga memperlakukan Undang-Undang tersebut sebagai kerangka klasifikasi risiko, bukan papan suasana umum.

Bagi perusahaan yang beroperasi di atau menjual ke Eropa, pertanyaan underwriting karena itu dapat datang dengan dua lencana: bukti asuransi dan tata kelola AI Act. Para pembangun yang terjepit di antara yurisdiksi akan mengenali polanya. Hukum mungkin mewajibkan satu set dokumentasi dan perusahaan asuransi mungkin meminta set lainnya. Keduanya bukan hal yang sama, terlepas dari apa yang disarankan slide presentasi.

Penilaian AI berisiko tinggi di bawah EU AI Act tidak otomatis menjadi pengajuan asuransi, dan kuesioner asuransi bukanlah sertifikat kepatuhan. Meski begitu, tumpang tindihnya berguna: inventaris, kebijakan penggunaan model, skenario insiden, dependensi vendor, dan tinjauan pengecualian adalah bukti yang dapat digunakan kembali jika dipelihara, bukan dirakit saat panik.

Perpanjangan asuransi berikutnya tidak akan mengubah setiap penerapan AI menjadi keadaan darurat hukum. Itu akan membuat jawaban yang samar menjadi lebih mahal. Pemimpin produk harus tahu sistem AI mana yang dapat memengaruhi pengguna atau catatan, pemimpin keamanan harus tahu bagaimana sistem tersebut gagal, dan penasihat hukum harus tahu bahasa polis mana yang mencakup atau mengecualikan eksposur AI.

Sinyal pasar ini sederhana dan praktis: jika AI ada di dalam produk atau alur kerja, sekarang AI juga harus ada di dalam berkas asuransi.