Seguradoras divergem sobre apólices para riscos de IA

Executivos do setor de seguros divergiram sobre quais apólices devem cobrir riscos relacionados à inteligência artificial, mesmo com o aumento de ataques cibernéticos usando a tecnologia, em painel na Cúpula de Risco Digital da NetDiligence, realizada nesta terça-feira (6) na Filadélfia, nos Estados Unidos.

Os palestrantes discordaram sobre se a exposição à IA é principalmente uma questão digital, uma questão de responsabilidade civil de diretores e executivos ou um novo risco para o qual o setor ainda não encontrou uma recomendação adequada.

“Há tantas coisas que podem dar errado e que vão além da área eletrônica que, basicamente, cheguei à conclusão de que se trata de uma questão de responsabilidade civil de diretores e executivos”, disse Gail Arkin, vice-presidente sênior e diretora jurídica da Berkley Cyber Risk Solutions. Ela afirmou que a cobertura de seguro sobre questões digitais não aborda casos como uma empresa que infringe direitos de terceiros, usa dados sem autorização ou incorpora preconceitos em seus programas. Os conselhos de administração estão elaborando políticas de IA e contratando equipes para monitorar seu uso, o que torna o tema “mais do que uma questão tecnológica, honestamente, e definitivamente mais do que uma questão cibernética”.

Tim Nazzaro, gerente global de produtos digitais da Hartford Steam Boiler, dividiu os riscos da IA em três categorias. A primeira envolve segurança e privacidade, como vazamento de dados pessoais por uma ferramenta de IA — caso em que a empresa é responsável e “isso deve estar claramente contemplado em uma apólice de segurança eletrônica”. A segunda diz respeito a outras linhas de seguro: uma ferramenta que discrimine na contratação se enquadraria em apólice de responsabilidade civil por práticas trabalhistas. A terceira abrange novos riscos que “não têm um lugar definido”. Ele alertou contra o hábito de “ampliar a cobertura, simplesmente incluir o risco, sem fazer a subscrição” e citou multas por violação de regras de IA que podem não se enquadrar em apólice cibernética.

Danielle Roth, líder de prática e chefe de sinistros cibernéticos para a América do Norte na Axa XL, disse que as seguradoras não devem tratar a IA como “um monólito”, mas voltar à análise básica da cobertura: quem é o segurado, qual é o sinistro, se ele aciona algum acordo e se há exclusões. “Talvez nem saibamos, em caso de violação, se a IA foi usada ou não. Podemos especular, mas talvez nunca venhamos a descobrir”, afirmou. Ela defendeu que os segurados avaliem seus riscos com corretores.

Arkin comparou a situação a um “risco cibernético silencioso”, observando que “a exposição à IA estará presente em todas as apólices de seguro existentes. No momento, trata-se apenas de uma IA silenciosa”.

Michael Brunetti, vice-presidente de resposta a incidentes da MOXFIVE, disse que sua empresa está mais ocupada desde por volta de 4 de julho do que nunca. O ransomware tradicional e a dupla extorsão seguem comuns, mas os ataques a serviços de computação em nuvem são onde “as coisas estão mudando”. Grupos como o ShinyHunters miram aplicativos de software como serviço (SaaS) e usam IA para vasculhar dados roubados, escrever mensagens de extorsão mais ameaçadoras e criar perfis de executivos rapidamente. “Um trabalho que costumava levar dias ou semanas agora leva minutos ou horas”, afirmou.

Roth disse que a Axa XL teve um verão agitado, com ataques a escritórios de advocacia substituindo o setor de saúde como alvo preferido. A maioria se baseou em phishing, e os funcionários continuam sendo “o maior ponto forte ou o elo mais fraco” de uma empresa.