Seguro de ciberriesgo: qué cubre si la fuga viene de la IA

Un seguro de ciberriesgo se piensa casi siempre para el ataque de afuera: el ransomware que cifra los servidores, el mail falso que engaña a tesorería, el acceso de un tercero a la base de clientes. Pero hay una fuga que no necesita ningún atacante: un empleado bienintencionado que, para terminar más rápido, pega en ChatGPT la planilla de clientes con nombres, DNI y teléfonos. Nadie hackeó nada, y sin embargo los datos salieron.

Esta guía explica qué suele cubrir un seguro de ciberriesgo en Argentina, qué preguntas hacerle a tu póliza sobre ese caso concreto, qué dice la Ley de Seguros sobre la culpa grave, los plazos y lo que declarás al contratar, y por qué lo más barato sigue siendo que la fuga no ocurra.

Una aclaración antes de empezar: no reemplaza el consejo de tu productor asesor ni la lectura de tus condiciones. Cada póliza es distinta, y lo que cuenta es lo que firmaste.

Qué es un seguro de ciberriesgo y quién lo controla

Un seguro de ciberriesgo, también llamado seguro de riesgos cibernéticos o ciberseguro, cubre las consecuencias económicas de un incidente que afecta los sistemas o la información de una empresa. Lo ofrecen aseguradoras y bancos, casi siempre para empresas y profesionales, y se contrata en general a través de un productor asesor de seguros.

En Argentina, el mercado asegurador lo supervisa y regula la Superintendencia de Seguros de la Nación (SSN), que además recibe consultas y reclamos de los asegurados, por ejemplo por Trámites a Distancia. Antes de contratar, comprobá que la aseguradora esté autorizada y que tu productor esté inscripto.

El productor asesor es la persona clave en este tema. Es quien conoce las condiciones de cada aseguradora, quien te ayuda a completar la solicitud y quien te va a acompañar si hay un siniestro. Por eso conviene contarle cómo usa la IA tu empresa antes de contratar, no después: si sabe que tu equipo pega textos en un chat todos los días, puede buscarte una póliza que contemple ese riesgo o advertirte qué no cubre la que estás mirando.

El contrato en sí se rige por la Ley 17.418 de Seguros, que es la que vamos a citar en esta guía. Es una ley de 1967, pensada mucho antes de internet, pero sus reglas sobre la culpa grave, la agravación del riesgo y los plazos de denuncia se aplican igual a una póliza de ciberriesgo. Algunos de sus artículos no se pueden modificar por contrato, y otros sólo se pueden cambiar a favor del asegurado (artículo 158).

Qué suele cubrir un seguro de ciberriesgo

Las pólizas cambian mucho entre una aseguradora y otra, pero la mayoría combina tres bloques. Usalos como mapa para leer la tuya, no como promesa de lo que cubre.

Daños propios. Lo que le cuesta a tu empresa el incidente: recuperar sistemas y datos, contratar peritos informáticos que determinen qué pasó, y en algunas pólizas, la pérdida de ingresos mientras la actividad está interrumpida. También puede incluir la extorsión, como el rescate de un ransomware, con condiciones.

Responsabilidad frente a terceros. Lo que tengas que pagar a clientes, proveedores o empleados cuyos datos se vieron afectados, y los gastos de defenderte de su reclamo. Es el bloque que más importa en una fuga de datos personales, porque el daño no es tuyo sino de las personas cuyos datos salieron. La Ley de Seguros, en su artículo 109, define la lógica de este bloque: el asegurador se obliga a mantener indemne al asegurado por cuanto deba a un tercero en razón de la responsabilidad prevista en el contrato.

Gestión de la crisis. Asesoramiento legal, comunicación con los afectados, a veces relaciones públicas. Es lo que hace falta las primeras setenta y dos horas, cuando todavía no sabés bien qué pasó.

Fuera de esos bloques suelen quedar, según cada póliza, las multas, los daños que ya conocías antes de contratar y los actos intencionales del asegurado. Y aparecen exclusiones propias de cada póliza que hay que leer una por una.

El caso concreto: un empleado pega datos en una IA

Volvamos al empleado de la planilla. Desde el punto de vista del seguro, ese hecho tiene tres rasgos que lo hacen distinto de un ataque.

El primero: no hubo intrusión. Hay pólizas que definen el incidente cubierto alrededor de un acceso no autorizado a los sistemas, un código malicioso o una falla de seguridad. Un empleado con acceso legítimo que copia información y la pega en un servicio externo no entra cómodamente en esa definición. Puede entrar en otra, como la «divulgación no autorizada de información» o el «error humano», si la póliza las tiene.

El segundo: lo hizo alguien de adentro. Algunas pólizas cubren los actos de empleados, otras los excluyen o los limitan a los actos deshonestos, y otras distinguen entre el empleado que actúa por error y el que actúa con intención. Fijate qué dice la tuya sobre el «personal», los «empleados» o los «insiders».

El tercero: el dato no se perdió, se compartió. No hay sistemas que recuperar ni rescate que pagar. El daño posible está en el bloque de responsabilidad frente a terceros y en la gestión de la crisis. Si tu póliza tiene un buen bloque de responsabilidad pero define el incidente sólo como ataque, la cobertura puede quedar en el aire.

Por eso la pregunta concreta para tu productor es esta, y conviene hacerla por escrito: «Si un empleado, por error, pega datos personales de clientes en una herramienta de inteligencia artificial de un tercero, ¿está cubierto? ¿En qué cláusula?». La respuesta escrita pesa más que cualquier interpretación posterior.

La planilla pegada en el chat no es la única forma en que los datos llegan a una IA. También pasa cuando alguien sube un PDF con la base de clientes para que la IA lo «ordene», cuando una extensión del navegador lee todo lo que aparece en pantalla, o cuando una herramienta transcribe una reunión en la que se habló de un cliente con nombre y apellido. En todos los casos, la pregunta para tu póliza es la misma: si la información sale por un servicio externo que un empleado eligió usar, ¿está cubierto? Qué pasa con los archivos que se suben lo contamos en subir documentos a ChatGPT.

Lo que dice la Ley de Seguros sobre la culpa grave

Aun si la póliza cubre el caso, hay un artículo que todo asegurado debería conocer. El artículo 70 de la Ley 17.418 dice que el asegurador queda liberado si el tomador o el beneficiario provoca el siniestro dolosamente o por culpa grave. Y para los seguros de responsabilidad civil, el artículo 114 repite la idea: el asegurado no tiene derecho a ser indemnizado cuando provoque por dolo o culpa grave el hecho del que nace su responsabilidad.

El artículo 114 está entre los que sólo se pueden modificar a favor del asegurado, según el artículo 158. Algunas pólizas mejoran esa regla, por ejemplo cubriendo la culpa grave de empleados. Leé tus condiciones con esa pregunta en la cabeza.

¿Es culpa grave que un empleado pegue datos en una IA? La ley no lo dice, y dependerá de cada caso. Pero pensá cómo se ve desde afuera la diferencia entre dos empresas:

• Una no tenía ninguna regla sobre el uso de IA, nadie sabía qué se podía pegar y cada empleado usaba su cuenta personal.
• Otra tenía una política escrita y firmada, una lista de herramientas aprobadas y una forma de tapar los datos antes de pegar, y el empleado se equivocó igual.

En la segunda, el error es un error. En la primera, la discusión sobre si hubo culpa grave de la empresa es mucho más incómoda. Un modelo de esa política, para copiar y adaptar, está en la política de uso de IA en la empresa.

Lo que declarás al contratar: reticencia y agravación del riesgo

Las solicitudes de seguro de ciberriesgo traen preguntas sobre la seguridad de la empresa, y cada vez más, sobre la inteligencia artificial: si hay una política de uso, qué herramientas se usan, cómo se evita que lleguen datos de clientes. Lo que contestes ahí no es un trámite.

El artículo 5 de la Ley 17.418 dice que toda declaración falsa o toda reticencia de circunstancias conocidas por el asegurado, aun hechas de buena fe, que a juicio de peritos hubiese impedido el contrato o modificado sus condiciones, hace nulo el contrato. El asegurador tiene tres meses desde que conoce la reticencia para impugnarlo, y si no fue dolosa, puede anular el contrato o reajustar la prima con la conformidad del asegurado (artículo 6).

En la práctica: si la solicitud pregunta si tenés una política de IA y contestás que sí sin tenerla, el problema puede aparecer justo el día del siniestro. Contestá lo que puedas mostrar. Qué responder a esas preguntas, con respuestas modelo, lo armamos en la sección sobre el cuestionario de seguridad de la política de uso de IA.

Durante la vigencia, entra en juego otra regla. El artículo 37 dice que toda agravación del riesgo que, si hubiese existido al contratar, habría impedido el contrato o modificado sus condiciones, es causa especial de rescisión. Y el 38 obliga al tomador a denunciar las agravaciones causadas por un hecho suyo antes de que se produzcan. Si al contratar declaraste que nadie usa IA con datos de clientes y después la empresa empieza a hacerlo sin ninguna regla, preguntale a tu productor si corresponde avisar.

Los plazos: tres días que corren desde el primer momento

Cuando la fuga ya pasó, el reloj empieza a correr. La Ley de Seguros fija plazos cortos.

El artículo 46 dice que el tomador comunicará al asegurador el acaecimiento del siniestro dentro de los tres días de conocerlo, y que el asegurado está obligado a suministrar la información necesaria para verificar el siniestro. En los seguros de responsabilidad civil, el artículo 115 fija también tres días desde que el hecho se produjo, si lo conocías o debías conocerlo, o desde el reclamo del tercero.

Hay dos reglas más que suelen olvidarse en el apuro. El artículo 72 obliga al asegurado a proveer lo necesario, en la medida de sus posibilidades, para evitar o disminuir el daño y a observar las instrucciones del asegurador. Y el artículo 116 dice que el asegurado no puede reconocer su responsabilidad ni celebrar una transacción sin anuencia del asegurador. Si un cliente te llama enojado porque sus datos aparecieron donde no debían, no firmes nada antes de hablar con tu aseguradora.

Un consejo práctico, el mismo que damos para cualquier incidente: antes de borrar la conversación, anotá qué datos salieron, en qué herramienta, a qué hora y a quiénes afectan. Eso es lo que te va a pedir la aseguradora para verificar el siniestro. El paso a paso completo está en qué hacer ante un incidente de seguridad con IA.

Cómo comparar dos pólizas, en ocho preguntas

Si estás eligiendo entre dos ofertas, estas preguntas te ayudan a ver la diferencia que el precio no muestra. Hacelas por escrito y guardá las respuestas.

1. ¿Cómo define la póliza el incidente cubierto? ¿Exige un ataque o una intrusión, o incluye la divulgación no autorizada de información por cualquier causa?
2. ¿Cubre los errores de empleados? ¿Y sus actos deshonestos? ¿Con qué límites?
3. ¿Menciona la inteligencia artificial o los servicios en la nube de terceros? Algunas pólizas excluyen los incidentes ocurridos en sistemas que no controla el asegurado.
4. ¿Qué medidas de seguridad mínimas exige? Si exige, por ejemplo, políticas escritas o capacitación, ¿cómo se prueba que las tenías?
5. ¿Qué pasa con la culpa grave? ¿La póliza mejora el artículo 114 a favor del asegurado o lo deja como está?
6. ¿Cubre la responsabilidad frente a terceros por datos personales? ¿Incluye los gastos de defensa?
7. ¿Qué servicios de gestión de la crisis incluye? ¿Hay un número para llamar el primer día?
8. ¿Qué plazos y formas de denuncia fija? ¿Hay un canal especial para incidentes cibernéticos?

Si sos productor asesor y te toca explicar esto a tus clientes, cómo se usa la IA en tu propio trabajo sin exponer a tus asegurados lo contamos en IA para productores de seguros.

Profesionales: ciberriesgo y responsabilidad profesional

Si sos abogado, contador, médico o escribano, probablemente ya tengas un seguro de responsabilidad civil profesional, y conviene preguntarse cuál de los dos respondería ante una fuga por IA. La respuesta corta es que depende de las dos pólizas, y que puede pasar que ninguna lo cubra del todo.

El seguro de responsabilidad profesional está pensado para el error en el ejercicio de la profesión: el plazo que se venció, el diagnóstico equivocado, el asiento contable mal hecho. Algunas pólizas excluyen expresamente los incidentes cibernéticos o de datos, justamente porque hay un producto específico para eso. El seguro de ciberriesgo, del otro lado, puede excluir los reclamos que nacen del ejercicio profesional.

Para un profesional, la fuga por IA tiene un ingrediente más: el secreto profesional. Si el abogado copia el expediente de un cliente en un chat, el problema no es sólo de datos personales, sino de un deber propio de su profesión, con sus propias sanciones. Lo explicamos en el secreto profesional del abogado frente a la IA.

Por eso, si tenés las dos pólizas, mandale a tu productor la misma pregunta para las dos y pedile que te diga, por escrito, cuál respondería y con qué límites. Y si tenés sólo la profesional, preguntale si cubre la divulgación de datos de clientes por el uso de herramientas de IA, o si conviene sumar una cobertura de ciberriesgo. Y si sos abogado, dejar por escrito cómo usás la IA en la cláusula del contrato de honorarios es otra prueba de diligencia.

Qué guardar desde hoy por si un día tenés que reclamar

El día del siniestro no es el mejor momento para armar la prueba de que hacías las cosas bien. Conviene tenerla lista desde antes, en una carpeta que alguien de la empresa sepa encontrar.

• La política de uso de IA, con su versión, su fecha y las firmas de cada persona.
• La lista de herramientas aprobadas, con la fecha en que se leyeron sus condiciones y una copia de esas condiciones.
• La constancia de que la herramienta para tapar datos está instalada en los equipos de quienes trabajan con datos de clientes.
• Las respuestas a la solicitud del seguro y a los cuestionarios de seguridad de clientes, tal como las mandaste.
• El registro de incidentes, aunque esté vacío: que exista muestra que hay un procedimiento.

Nada de esto garantiza que la aseguradora pague. Pero si la discusión es si hubo culpa grave o si cumpliste las medidas mínimas que pedía la póliza, esta carpeta es lo primero que vas a querer mostrar.

Lo que la Ley 25.326 te pide igual, tengas o no seguro

El seguro es un contrato entre vos y la aseguradora. La protección de los datos personales es una obligación legal que no depende de él.

La Ley 25.326 obliga, en su artículo 9, a adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad y confidencialidad de los datos personales, de modo de evitar su consulta o tratamiento no autorizado, y a detectar las desviaciones de información, sean intencionales o no, provengan de la acción humana o del medio técnico. El empleado que pega la planilla en un chat es, exactamente, una desviación por acción humana.

Y el artículo 10 obliga al secreto al responsable y a todas las personas que intervienen en el tratamiento. Que tengas un seguro no te libera de esas obligaciones ni de las sanciones que la Agencia de Acceso a la Información Pública puede aplicar por incumplirlas. Lo que dice esa ley en detalle está en habeas data y la Ley 25.326.

Hay además una diferencia práctica. Si los datos que salieron son sensibles, como información de salud o afiliación sindical, el daño posible a las personas es mayor, y también la exposición de tu empresa. Qué datos entran en esa categoría lo explicamos en datos sensibles.

Prevenir es más barato que reclamar

Un seguro de ciberriesgo paga una parte de las consecuencias. No devuelve los datos a su lugar, no le explica al cliente por qué su DNI estuvo en un chat y no recupera la confianza perdida. Para la fuga por IA, la prevención es mucho más simple que para un ataque: alcanza con que los datos de las personas no lleguen al chat.

Para eso hicimos Nonimo. Es una aplicación para Windows y Mac, con extensión para el navegador. Seleccionás el texto, apretás una tecla y, en tu computadora, los nombres que van con su rótulo, como «Nombre:» o «Cliente:», los correos, los teléfonos con +54 y, rotulados en su propia línea, el DNI, el CUIT o el CUIL, el número de trámite del DNI y el domicilio se cambian por marcadores. Recién entonces se pega en el chat.

Así queda un reclamo de un cliente que alguien de atención quiere contestar con ayuda de la IA. Antes:

Reclamo recibido por el formulario web

Nombre: Nuria Solé Domènech
DNI: 60.000.000
Correo: cliente@example.com
Tel.: +54 9 11 0000-0000

Dice que el envío llegó con diez días de demora y pide la devolución del costo de envío. Redactá una respuesta corta y con disculpas.

Y lo que le llega al chat, tal cual lo devuelve el motor:

Reclamo recibido por el formulario web

Nombre: [PERSONA_1]
DNI: [DNI_AR_1]
Correo: [CORREO_1]
Tel.: [TELEFONO_1]

Dice que el envío llegó con diez días de demora y pide la devolución del costo de envío. Redactá una respuesta corta y con disculpas.

La IA escribe la respuesta con lo que importa: la demora y el pedido. Cuando copiás la respuesta y apretás la misma tecla, los datos vuelven a su lugar en tu pantalla. Si ese día alguien se olvida de la política, el riesgo es mucho menor, porque lo que salió no identifica a nadie.

Lo que Nonimo no tapa, como un CBU o un número de tarjeta, sigue en el texto: si la consulta los lleva, tapalos a mano antes de pegar, y mejor todavía, no los pegues. Para archivos completos, como la planilla de clientes, las herramientas en línea tapan los datos de un Excel, un Word o un PDF y te devuelven el archivo listo.

Y el día que la aseguradora o un cliente corporativo te pregunten cómo evitás que los datos lleguen a la IA, vas a tener una respuesta concreta: una política firmada y una herramienta instalada que la hace cumplir. Esa respuesta no reemplaza al seguro, pero hace que lo necesites menos.

Para llevarse

• Un seguro de ciberriesgo puede cubrir o no la fuga por IA de un empleado. Depende de cómo defina el incidente y de sus exclusiones.
• Preguntá por escrito, antes de contratar, si ese caso está cubierto y en qué cláusula.
• La Ley de Seguros libera al asegurador ante la culpa grave. Tener una política de uso de IA escrita y aplicada cambia mucho cómo se ve tu caso.
• Lo que declares al contratar tiene que ser verdad y poder probarse.
• Si pasa, tres días para denunciar, no reconozcas responsabilidad sin tu aseguradora y anotá todo antes de borrar.
• La Ley 25.326 te obliga igual a cuidar los datos, tengas o no seguro.