Seguro de ciberseguridad: qué cubre si la fuga es por IA

Un seguro de ciberseguridad se contrata pensando en un ransomware o en un hackeo. Pero hoy una parte importante de los incidentes con datos personales no tiene nada de ataque: alguien de la oficina pega la planilla de clientes en ChatGPT para que la ordene, sube un contrato con el RUT de las partes a un chat o resume una carpeta de cobranza con Copilot desde su cuenta personal. Nadie entró a tus sistemas. Los datos salieron solos.

Esta guía explica qué es un seguro de ciberseguridad en Chile, qué suele cubrir, qué pasa con la cobertura cuando la fuga viene de la IA, qué dice el Código de Comercio sobre la culpa grave y la declaración del riesgo, y qué conviene guardar desde hoy por si un día tienes que reclamar.

Qué es un seguro de ciberseguridad y quién lo fiscaliza

Un seguro de ciberseguridad, también llamado seguro cibernético o seguro de ciberriesgo, es una póliza que cubre las pérdidas de una empresa por incidentes con sus sistemas o con los datos que maneja. En Chile lo ofrecen compañías de seguros generales, normalmente a través de un corredor de seguros, y cada vez más empresas medianas y estudios profesionales lo contratan, a veces porque un cliente grande lo pide en el contrato.

A las compañías de seguros las fiscaliza la Comisión para el Mercado Financiero (CMF). Un dato útil: por regla general, las aseguradoras solo pueden contratar modelos de póliza que estén depositados en la CMF, y ese depósito es público. Antes de firmar puedes leer el texto completo del modelo que te ofrecen, como explica la ficha de ChileAtiende para consultar el texto de una póliza de seguro.

Las reglas del contrato de seguro están en el Título VIII del Libro II del Código de Comercio. Son imperativas, salvo que la ley diga otra cosa, y valen las cláusulas más beneficiosas para el asegurado (artículo 542). Hay una excepción importante para empresas: los seguros de daños contratados individualmente, cuando asegurado y beneficiario son personas jurídicas y la prima anual supera las 200 unidades de fomento, se pueden negociar con más libertad. En esas pólizas lo que diga el texto pesa todavía más.

Qué suele cubrir un seguro de ciberseguridad

No hay dos pólizas iguales, pero la mayoría se organiza en dos bloques.

Daños propios. Lo que la empresa gasta para enfrentar un incidente:

• Investigación forense para saber qué pasó y qué datos salieron.
• Recuperación de datos y sistemas.
• Asesoría legal para cumplir las obligaciones de aviso.
• Aviso a los afectados y, a veces, servicios de monitoreo para ellos.
• Gestión de crisis y comunicaciones.
• Pérdida de ingresos por interrupción del negocio.
• En algunas pólizas, extorsión cibernética.

Responsabilidad frente a terceros. Lo que la empresa tiene que pagar a otros:

• Reclamos de clientes o personas cuyos datos se filtraron.
• Defensa en juicios y procedimientos administrativos.
• En algunas pólizas, multas administrativas, en la medida en que la ley permita asegurarlas.

Lo que define si un caso concreto está cubierto son tres partes del texto: la definición de siniestro o de evento cubierto, las exclusiones y las condiciones sobre medidas de seguridad mínimas. Si vas a leer una sola página de la póliza, que sea la de definiciones.

El caso concreto: un trabajador pega datos en una IA

Imagina el caso. Una analista de la empresa pega en un chat de IA, desde su cuenta personal, una planilla con nombres, RUT, correos y montos de deuda de doscientos clientes, para que le prepare correos de cobranza. Un mes después alguien lo nota. Esa misma planilla se podía anonimizar en Excel antes de pegarla, pero nadie lo hizo.

¿Es un siniestro? Depende de cómo la póliza defina el evento cubierto. Muchas pólizas cubren la «violación de privacidad» o la «filtración de datos personales», y algunas incluyen expresamente la causada por error u omisión de un trabajador. En ese caso, el hecho de que no haya un atacante no impide la cobertura. Otras pólizas definen el siniestro en torno a un acceso no autorizado a los sistemas de la empresa, y ahí una fuga voluntaria hacia un proveedor externo puede quedar fuera.

¿Hay una exclusión aplicable? Las que más se discuten en estos casos son las de incumplimiento de políticas internas, uso de sistemas no autorizados por la empresa y actos intencionales o de culpa grave del asegurado. Si tu propia política prohibía usar cuentas personales y la analista lo hizo igual, revisa cómo está redactada esa exclusión.

¿Hubo daño? Puede que no haya reclamos de terceros, pero sí gastos propios: el análisis de qué datos salieron, la asesoría legal y, si corresponde, el aviso a los afectados. Esos gastos suelen estar en el bloque de daños propios.

La respuesta corta es que muchas pólizas pueden cubrir este caso, pero ninguna lo garantiza por defecto. Pregúntaselo a tu corredor por escrito, con el caso concreto, antes de que pase.

Lo que dice el Código de Comercio sobre la culpa grave

El artículo 535 del Código de Comercio es corto y decisivo: el asegurador no está obligado a indemnizar el siniestro que se origine por dolo o culpa grave del asegurado o del tomador, salvo pacto en contrario para los casos de culpa grave.

Dos cosas importan aquí. La primera es que la culpa grave se puede cubrir si la póliza lo pacta. Revisa si la tuya lo hace, porque es una diferencia enorme en un caso de IA. La segunda es quién es «el asegurado». Si el asegurado es la empresa, la pregunta es si la empresa actuó con culpa grave, no si la trabajadora lo hizo. Una empresa que tenía una política escrita, la explicó y dio herramientas para cumplirla está en una posición muy distinta de la que nunca dijo nada. Qué exige hoy la ley chilena cuando usas IA con datos personales lo resumimos en la guía de IA y datos personales.

El artículo 524 nº 4 agrega una obligación general: el asegurado debe emplear el cuidado y celo de un diligente padre de familia para prevenir el siniestro. Una política de uso de IA firmada, más una herramienta que tape los datos antes de pegarlos, es el tipo de cuidado que conviene poder mostrar. Tienes un modelo en política de uso de IA en la empresa.

Lo que declaras al contratar: la declaración del riesgo

Al contratar un seguro de ciberseguridad te van a hacer preguntas: cuántos registros de datos personales manejas, qué medidas de seguridad tienes, si haces respaldos, si tienes autenticación de dos factores y, cada vez más, si tu personal usa herramientas de IA y con qué reglas.

Esas respuestas son tu declaración sobre el estado del riesgo. El artículo 524 nº 1 te obliga a declarar sinceramente todas las circunstancias que solicite el asegurador. El artículo 525 dice que, si el contratante incurre inexcusablemente en errores, reticencias o inexactitudes determinantes del riesgo, el asegurador puede rescindir el contrato; si no son de esa gravedad, puede proponer ajustar la prima o la cobertura. Y el artículo 539 es más duro: el contrato es nulo si el asegurado, a sabiendas, entrega información sustancialmente falsa.

El mismo artículo 525 tiene una protección para ti: si el asegurador no pregunta algo, después no puede alegar que no se lo dijiste. Por eso conviene contestar exactamente lo que se pregunta, con la verdad, y guardar una copia de lo que respondiste.

Si respondes que tienes una política de uso de IA, que sea porque existe una versión firmada que puedas mostrar. Si todavía no la tienes, es mejor decirlo que afirmar algo que no se sostiene. Lo mismo vale para el cuestionario de seguridad de un cliente, que te explicamos en la guía de política de uso de IA enlazada más arriba.

Agravación del riesgo y avisos: los plazos que corren

Hay dos plazos que conviene tener anotados.

El primero es el de agravación del riesgo. El artículo 526 obliga a informar al asegurador, dentro de los cinco días siguientes de conocerlos, los hechos o circunstancias que agraven sustancialmente el riesgo declarado y que sobrevengan después de contratar. Si declaraste que nadie usa IA con datos de clientes y eso cambió, revisa con tu corredor si corresponde avisar.

El segundo es el de aviso del siniestro. El artículo 524 nº 7 obliga a notificar al asegurador, tan pronto sea posible una vez conocido, cualquier hecho que pueda constituir un siniestro. Las pólizas de ciberseguridad suelen agregar plazos propios y una línea de atención de incidentes. Avisar tarde puede complicar el reclamo; avisar de más no le hace daño a nadie.

Además, el artículo 524 nº 8 te obliga a acreditar la ocurrencia del siniestro y a declarar fielmente y sin reticencia sus circunstancias y consecuencias. Para eso necesitas el registro del que hablamos más abajo.

Lo que la ley te pide igual, tengas o no seguro

El seguro es un contrato entre tú y la aseguradora. La ley de datos personales corre por su cuenta.

Hoy, la Ley 19.628 obliga al responsable de una base de datos a cuidarla con la debida diligencia, haciéndose responsable de los daños (artículo 11). Desde el 1 de diciembre de 2026, salvo que se apruebe la prórroga que se tramita en el Senado, la Ley 21.719 exige además medidas técnicas y organizativas de seguridad (artículo 14 quinquies) y el reporte a la Agencia de Protección de Datos Personales de las vulneraciones que generen un riesgo razonable para los titulares, con un registro de cada una (artículo 14 sexies). Cuando se trata de datos sensibles, de niños o financieros, también hay que avisar a las personas afectadas.

Si tu empresa presta servicios esenciales o es un operador de importancia vital, la Ley Marco de Ciberseguridad agrega el deber de reportar los incidentes significativos al CSIRT Nacional, con una alerta temprana en un máximo de tres horas (artículo 9 de la Ley 21.663).

Qué hacer paso a paso cuando los datos ya salieron lo explicamos en filtración de datos personales: qué hacer.

Si la fuga ocurre en el proveedor de IA

Hay un tercer escenario que conviene pensar. Tu trabajador pegó datos de clientes en un chat con cuenta de empresa, cumpliendo todas tus reglas, y meses después el proveedor de IA sufre un incidente en el que se exponen conversaciones de sus usuarios.

Ahí el siniestro ocurre en los sistemas de un tercero, no en los tuyos. Algunas pólizas de ciberseguridad cubren las filtraciones de datos que la empresa confió a proveedores externos; otras solo cubren las que ocurren en sistemas propios. Es otra pregunta para hacerle a tu corredor por escrito. Y es otro argumento para que los datos de tus clientes no lleguen al proveedor: si lo que se expone es un texto con etiquetas, los nombres, correos y teléfonos de tus clientes no están en la filtración. Qué guardan los proveedores y por cuánto tiempo lo vemos en ¿es seguro ChatGPT?.

Un ataque clásico: lo que dice la Ley 21.459

Para completar el cuadro, el seguro de ciberseguridad nació pensando en los ataques, y en Chile esos ataques son delito. La Ley 21.459 sobre delitos informáticos castiga, entre otros, el acceso ilícito a un sistema informático superando barreras técnicas o medidas de seguridad (artículo 2) y el fraude informático (artículo 7). Si tu caso es un ataque, la denuncia penal suele ser parte del procedimiento que te pide la aseguradora.

Una fuga por pegar datos en una IA, en cambio, normalmente no es un delito de nadie: es un error. Por eso el seguro la mira con otras reglas, las de la culpa y la diligencia que vimos más arriba.

Cómo comparar dos pólizas, en ocho preguntas

Cuando tu corredor te presente dos o tres alternativas, estas preguntas ayudan a compararlas en el punto que te importa:

1. ¿La definición de siniestro incluye la filtración de datos personales sin acceso no autorizado a los sistemas?
2. ¿Cubre expresamente el error u omisión de un trabajador?
3. ¿Pacta cobertura para la culpa grave, como permite el artículo 535?
4. ¿Hay una exclusión por incumplimiento de políticas internas o por uso de sistemas no autorizados? ¿Cómo está redactada?
5. ¿Cubre los gastos de aviso a los afectados y la asesoría legal para cumplir con la autoridad?
6. ¿Cubre la defensa en procedimientos administrativos ante la autoridad de datos personales?
7. ¿Qué plazo de aviso fija la póliza y a qué canal?
8. ¿Qué medidas de seguridad exige como condición, y cuáles de ellas hoy no cumples?

Pídele a tu corredor las respuestas por escrito. Si eres corredor de seguros y trabajas con datos de tus asegurados en IA, la otra mitad de esta conversación está en IA para corredores de seguros.

Profesionales: ciberseguridad y responsabilidad civil profesional

Si eres abogado, contador o médico, probablemente ya tienes o te ofrecieron un seguro de responsabilidad civil profesional. No es lo mismo que un seguro de ciberseguridad, y en un caso de IA pueden chocar.

La responsabilidad civil profesional cubre los errores en tu trabajo que causen daño al cliente. La de ciberseguridad cubre los incidentes con datos. Una fuga causada por pegar el expediente de un cliente en un chat está justo en la frontera: es un error profesional y es un incidente de datos. Algunas pólizas de responsabilidad civil excluyen los incidentes de datos, y algunas de ciberseguridad excluyen los errores profesionales. Revisa las dos juntas. Si eres médico, el expediente es la ficha clínica, y lo vemos en IA para médicos y centros médicos.

Para el abogado hay además un deber propio que el seguro no reemplaza: el secreto profesional, que explicamos en secreto profesional del abogado e inteligencia artificial.

Qué guardar desde hoy por si un día tienes que reclamar

Un reclamo de seguro se gana con documentos. Estos son los que conviene tener desde ya:

• La política de uso de IA firmada, con su fecha y versión.
• La lista de herramientas aprobadas y las condiciones de privacidad que aceptaste, con la fecha.
• Las respuestas que diste en el formulario de contratación del seguro.
• La evidencia de que el personal tiene una herramienta para tapar datos instalada en sus computadores.
• Un registro de incidentes, aunque esté vacío, con su formato listo: qué dato salió, en qué herramienta, cuándo, a quién afecta y qué hiciste.

Con eso puedes mostrarle al asegurador que actuaste como un diligente padre de familia, y mostrarle a la autoridad que tomaste las medidas que la ley pide.

Prevenir es más barato que reclamar

Todo lo anterior es para el día en que algo sale mal. Lo mejor es que ese día no llegue, y en el caso de la IA eso es más fácil de lo que parece: el dato no tiene por qué llegar al chat.

Nonimo es una app para Windows y Mac que, en tu computador, cambia por etiquetas los nombres, los correos, los teléfonos, las direcciones y el RUT antes de que el texto llegue a ChatGPT, Claude, Gemini o Copilot. Cuando copias la respuesta, los datos vuelven a su lugar. A Nonimo no le llega tu texto. Así se ve una consulta típica antes:

Asegurado: Constanza Riquelme Toloza
Correo: cliente@example.com
Teléfono: +56 9 0000 0000

Resume en lenguaje simple qué cubre esta póliza si un trabajador pega por error datos de clientes en un chat de IA y qué plazos tengo para avisar.

Y lo que llega al chat después de la tecla, tal cual sale:

Asegurado: [PERSONA_1]
Correo: [CORREO_1]
Teléfono: [TELEFONO_1]

Resume en lenguaje simple qué cubre esta póliza si un trabajador pega por error datos de clientes en un chat de IA y qué plazos tengo para avisar.

Si lo que llegó al chat es un texto con los datos tapados, hay mucho menos que reclamar: los nombres, correos y teléfonos de tus clientes nunca salieron de tu computador. Para documentos enteros, como una planilla de clientes, nuestras herramientas en línea tapan los datos de un Excel o un PDF antes de compartirlo.

En empresas grandes, el área de TI puede instalar la extensión del navegador por política. Cómo lo hacemos sin ver tus textos está en nuestra página de seguridad.

Errores frecuentes al contratar

• Contestar el formulario de memoria. Lo que declares sobre tus medidas de seguridad y tu uso de IA es tu declaración del riesgo. Pregunta internamente antes de responder.
• Suponer que «ciber» cubre todo. Sin leer la definición de siniestro y las exclusiones, no sabes qué compraste.
• No anotar el plazo de aviso. El día del incidente nadie va a buscar la póliza en el correo de hace un año.
• Olvidar la agravación del riesgo. Si después de contratar cambias cómo usa la IA tu equipo, revisa con tu corredor si corresponde avisar.
• Confiar en el seguro en vez de prevenir. La póliza paga una parte de las consecuencias; la reputación con tus clientes no la repone nadie.

Para llevarse

Un seguro de ciberseguridad puede cubrir una fuga de datos por IA, pero no lo hace por defecto. Lee la definición de siniestro, las exclusiones y el pacto sobre culpa grave; responde con la verdad lo que te pregunten al contratar; anota los plazos de aviso; y guarda la política firmada. Y, sobre todo, haz que el dato no salga: es lo único que funciona siempre, con póliza o sin ella.

Lo de arriba resume normas chilenas y prácticas habituales del mercado de seguros, y no reemplaza la lectura de tu póliza ni la opinión de tu corredor o de un abogado.