Seguro cibernético: qué cubre si la fuga viene de la IA

El seguro cibernético, también llamado póliza cyber o seguro de ciberseguridad para empresas, se volvió en pocos años una pregunta frecuente en las juntas directivas colombianas. Primero llegó por el ransomware y los fraudes por correo. Ahora llega por otro lado: los empleados usan ChatGPT, Copilot o Gemini todos los días, y a veces pegan en ellos documentos con datos de clientes. ¿Cubre la póliza una fuga que empezó en un chat de IA?

En esta guía te contamos qué suele cubrir una póliza cyber en Colombia, qué dice el Código de Comercio sobre la culpa grave, la declaración del riesgo y el aviso del siniestro, qué preguntan los cuestionarios sobre la IA, y por qué el seguro no reemplaza a las medidas de seguridad. Lo que sigue es una orientación general: cada póliza dice lo suyo, y lo que manda es su texto.

Póliza cyber en Colombia: qué cubre

Las pólizas de riesgo cibernético que se venden en Colombia no tienen un texto único: cada aseguradora tiene su clausulado, con sus coberturas, sus límites y sus exclusiones. Pero casi todas se organizan en dos grandes bloques.

Daños propios (lo que le pasa a tu empresa):

• Respuesta al incidente. Los gastos de investigación forense para saber qué pasó, asesoría legal, notificación a los clientes afectados y, a veces, manejo de la comunicación.
• Recuperación de datos y sistemas. Lo que cuesta restaurar la información y volver a operar.
• Interrupción del negocio. La pérdida de ingresos mientras los sistemas no funcionan.
• Extorsión cibernética. En algunas pólizas, los gastos asociados a un secuestro de datos, con condiciones estrictas.

Responsabilidad frente a terceros (lo que te reclaman otros):

• Violación de datos personales y de la privacidad. Los reclamos de clientes, empleados o terceros cuyos datos se expusieron.
• Defensa en investigaciones. Los gastos de defensa ante una autoridad, por ejemplo una investigación de la Superintendencia de Industria y Comercio por una falla en la protección de datos.
• Responsabilidad por contenidos. En algunas pólizas, los reclamos por lo que la empresa publica en sus medios digitales.

Las sumas aseguradas, los deducibles y los sublímites varían mucho. Una póliza puede tener un límite general alto y un sublímite bajo justo para la cobertura que más te interesa.

Las multas: un punto que hay que preguntar

La Ley Estatutaria 1581 de 2012, en su artículo 23, permite a la Superintendencia de Industria y Comercio imponer a las personas de naturaleza privada multas de hasta dos mil salarios mínimos mensuales vigentes por incumplir la ley de datos. ¿Las paga el seguro? No hay una respuesta general.

El Código de Comercio, en su artículo 1055, dice que no produce efecto la estipulación que tenga por objeto amparar al asegurado contra sanciones «de carácter penal o policivo». Si una póliza ofrece cubrir sanciones administrativas, y en qué condiciones, es algo que hay que leer en el clausulado y preguntar por escrito.

Seguro de ciberseguridad para empresas: qué lo hace distinto

Un seguro cibernético no es un seguro de responsabilidad civil general con otro nombre. Muchas pólizas de responsabilidad civil y de daños tradicionales excluyen, o no contemplan, los eventos digitales: la pérdida de datos, la caída de sistemas, la violación de la privacidad. Por eso existen pólizas específicas, y por eso conviene revisar qué cubre cada una antes de suponer que ya estás protegido.

Para una pyme colombiana, las preguntas de fondo suelen ser estas:

• ¿Qué datos manejo? Una base de clientes con cédulas, celulares y saldos pesa más que un catálogo de productos.
• ¿Cuánto dependo de los sistemas? Si un día sin sistemas es un día sin vender, la interrupción del negocio importa.
• ¿Qué me exigen mis clientes? Cada vez más contratos con grandes empresas piden pólizas cyber a sus proveedores.
• ¿Qué controles tengo? La aseguradora los va a preguntar, y de ellos depende la prima y la aceptación del riesgo.

Para elegir y negociar la póliza ayuda un corredor o una agencia de seguros que conozca el ramo. Para ellos, que manejan a diario datos de asegurados, hay una página propia: usar la IA con los datos de los asegurados.

Si un empleado pega datos en ChatGPT: ¿lo cubre el seguro?

Es la pregunta que motivó esta guía, y no tiene una respuesta única. Depende de tres cosas: cómo define la póliza el incidente, qué excluye, y qué declaraste al contratarla.

Cómo define el incidente. Muchas pólizas cubren la violación de datos personales sin importar si la causó un ataque externo o un error de un empleado. Otras se centran en el acceso no autorizado a los sistemas de la empresa. Un empleado que pega una base de clientes en un chat de IA no es un ataque: es un error humano que entrega datos a un tercero. Si la póliza sólo habla de ataques, puede quedar fuera.

Qué excluye. Las exclusiones típicas incluyen los actos dolosos, las fallas conocidas antes de la vigencia, el incumplimiento de las medidas de seguridad que la empresa declaró tener y, en algunas pólizas, los datos que se compartieron voluntariamente con terceros. Esa última es la que más pesa con la IA.

Qué declaraste. Si en el cuestionario dijiste que la empresa tiene una política de uso de IA y controles, y en la práctica no los tenía, la aseguradora puede discutir el pago.

Lo que dice el Código de Comercio

El Código de Comercio regula el contrato de seguro, y cuatro artículos pesan cuando el incidente viene de la IA:

• Artículo 1055, riesgos inasegurables. «El dolo, la culpa grave y los actos meramente potestativos del tomador, asegurado o beneficiario son inasegurables». Si la aseguradora sostiene que pegar datos de clientes en un chat, sin ningún control, fue culpa grave de la empresa, la discusión estará ahí.
• Artículo 1127, seguro de responsabilidad. Para los seguros de responsabilidad, el Código dice que son asegurables la responsabilidad contractual y la extracontractual, «al igual que la culpa grave», con la restricción del artículo 1055. Es un matiz técnico, pero importante: en la parte de responsabilidad frente a terceros, la culpa grave puede estar cubierta si la póliza lo dice.
• Artículo 1058, declaración del estado del riesgo. El tomador debe declarar con sinceridad los hechos que determinan el riesgo, según el cuestionario. La reticencia o la inexactitud sobre hechos que habrían hecho que la aseguradora no contratara o cobrara más producen la nulidad relativa del seguro.
• Artículo 1060, mantenimiento del estado del riesgo. El asegurado debe mantener el estado del riesgo y avisar por escrito los cambios que lo agraven. Si la empresa empezó a usar IA de forma masiva con datos de clientes después de contratar la póliza, es un cambio que conviene conversar con la aseguradora.

Estos artículos están en las partes del Código de Comercio que publica la Secretaría del Senado, leídas el 22 de octubre de 2026. Cómo se aplican en un caso concreto depende del clausulado y de la jurisprudencia: consulta a tu corredor o a un abogado.

Tres incidentes con IA y cómo se verían en la póliza

Para aterrizarlo, tres casos que se repiten en empresas colombianas. No son casos reales y la respuesta depende siempre del clausulado, pero ayudan a ver dónde se discute.

La base de cartera en el chat. Una analista de cartera sube a su cuenta personal de ChatGPT el Excel con nombres, cédulas, celulares y saldos de dos mil clientes para que le redacte recordatorios de pago. Nadie se entera hasta que un cliente reclama por otra razón y sale a la luz. Aquí se discutiría si hubo un incidente cubierto (los datos salieron a un tercero sin un ataque), si la empresa declaró controles que no tenía, y si fue culpa grave. Lo que más habría ayudado: que la base se subiera con los datos tapados. Cómo hacerlo está en anonimizar datos en Excel.

El contrato con datos en una herramienta gratuita. Un abogado de la firma pega un contrato completo, con los datos de las dos partes, en una herramienta gratuita de resúmenes que encontró en internet, de un proveedor desconocido. Meses después, el proveedor sufre una filtración. El incidente ocurre fuera de los sistemas de la firma, en un tercero que nadie autorizó: ni la firma ni el cliente en el contrato de servicios. Muchas pólizas exigen que el incidente afecte sistemas de la empresa o de proveedores contratados: aquí la cobertura es dudosa.

El correo redactado con IA que va a quien no es. Una asistente pide a la IA un correo para un cliente, pega los datos de otro por error y lo envía. Es la versión moderna del correo equivocado, y suele estar dentro de lo que las pólizas llaman violación de datos por error humano. La discusión sería sobre el monto y los sublímites, más que sobre la cobertura.

En los tres casos, la medida que más reduce el riesgo es la misma: que los datos no salgan sin tapar. Qué pasa con un documento cuando se sube a un chat lo contamos en subir documentos a ChatGPT sin exponer datos de clientes.

Lo que casi ninguna póliza cubre

Más allá de la IA, hay exclusiones que se repiten en casi todos los clausulados. Conviene tenerlas presentes:

• Los actos dolosos del asegurado o de sus directivos, por mandato del artículo 1055.
• Los incidentes conocidos antes de la vigencia, o los que empezaron antes aunque se descubran después, según cómo esté redactada la póliza.
• Las mejoras de los sistemas: el seguro paga restaurar, no modernizar.
• El valor de los datos o de la propiedad intelectual perdida, que casi nunca se indemniza como tal.
• Las fallas de infraestructura general, como un corte masivo de energía o de internet.
• Los eventos de guerra o actos de Estado, con redacciones que cambian de una aseguradora a otra.
• El incumplimiento de las medidas de seguridad declaradas, que es la que más se discute.

Qué preguntan los cuestionarios sobre la IA

Los cuestionarios de suscripción de las pólizas cyber cambian con cada renovación, y la IA ya aparece en muchos. Las preguntas típicas:

1. ¿La empresa usa herramientas de IA generativa? ¿Cuáles?
2. ¿Tiene una política escrita de uso de IA? ¿Los empleados la conocen?
3. ¿Qué datos se pueden compartir con esas herramientas y cuáles no?
4. ¿Hay controles técnicos que impidan o reduzcan que se compartan datos de clientes?
5. ¿Las cuentas de IA son personales o de la empresa?
6. ¿Se capacita al personal?

Contestar «sí» sin tenerlo es el peor escenario, por el artículo 1058. Contestar «no» puede encarecer la póliza o hacer que la rechacen. Lo que conviene es tener algo real que mostrar: una política escrita, una regla clara sobre qué datos se tapan antes de usar la IA, y una herramienta que lo haga fácil. Un modelo de política está en política de uso de IA en la empresa.

Cuándo y cómo avisar a la aseguradora

Si hay un incidente, el tiempo corre. El artículo 1075 del Código de Comercio dice que el asegurado debe dar noticia del siniestro a la aseguradora «dentro de los tres días siguientes a la fecha en que lo hayan conocido o debido conocer», y que ese plazo se puede ampliar pero no reducir. Muchas pólizas cyber tienen además una línea de atención para incidentes, con un equipo que empieza a trabajar desde la primera llamada.

Además del aviso:

• El artículo 1074 obliga a evitar que el siniestro se extienda. En un incidente de datos, eso puede significar cortar accesos, cambiar claves o borrar la conversación con los datos.
• El artículo 1077 pone en el asegurado la carga de demostrar el siniestro y la pérdida. Guarda las pruebas: qué se compartió, cuándo, con quién, qué datos.
• El artículo 1081 fija la prescripción: dos años la ordinaria, contados desde que conociste el hecho, y cinco la extraordinaria.

En paralelo, recuerda las obligaciones que no dependen del seguro. La Ley 1581, en su artículo 17, literal n), obliga al responsable a informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad que creen riesgos en la administración de la información de los titulares. Qué hacer paso a paso lo explicamos en incidente de seguridad con datos personales.

Un ejemplo de lo que se le manda a la aseguradora

El reporte del incidente también lleva datos personales: los de los clientes afectados. Si lo redactas con ayuda de una IA, tápalos antes. Un ejemplo, con datos de ejemplo, de una nota sobre la queja de una clienta, y cómo sale después de pasar por Nonimo:

ANTES
Reclamación a la aseguradora: queja de cliente
Clienta: Camila Rincón Vanegas
Correo: cliente@example.com
Celular: +57 300 000 0000
La clienta reporta que recibió un correo con datos de otra persona.

DESPUÉS
Reclamación a la aseguradora: queja de cliente
Clienta: [PERSONA_1]
Correo: [CORREO_1]
Celular: [TELEFONO_1]
La clienta reporta que recibió un correo con datos de otra persona.

Datos de ejemplo: el nombre es inventado, el celular es de ceros y example.com es un dominio reservado para ejemplos.

La IA puede ayudarte a ordenar los hechos sin recibir los datos de la clienta. Los datos reales van en el reporte final que mandas por el canal de la aseguradora.

El seguro no reemplaza las medidas de seguridad

Un seguro cibernético paga una parte de las consecuencias. No evita que el incidente pase, no recupera los datos que salieron, no quita la responsabilidad legal de quien trata los datos y no repara la confianza del cliente. Y las aseguradoras lo saben: miden el riesgo por los controles que tienes, y con mejores controles, más fácil es asegurar y mejores condiciones se consiguen.

La Ley 1581 pide, en su principio de seguridad, manejar la información «con las medidas técnicas, humanas y administrativas que sean necesarias» para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado. Con la IA, esas medidas son tres:

• Humanas: que el equipo sepa qué no se pega en un chat. Una lista práctica está en qué datos no compartir con ChatGPT y otras IA.
• Administrativas: una política escrita de uso de IA, con cuentas de empresa y reglas claras.
• Técnicas: herramientas que tapen los datos antes de que salgan. La app de Nonimo, en Mac y en Windows, cambia los datos personales, como nombres, cédulas, NIT, correos, celulares o direcciones, por etiquetas antes de pegar el texto en la IA, y los devuelve en la respuesta. A Nonimo no le llega el texto.

Esas tres medidas son, además, lo que se contesta en el cuestionario de la póliza. Cómo encajan en la ley colombiana lo resumimos en inteligencia artificial y protección de datos en Colombia.

Una lista para la próxima renovación

Antes de renovar la póliza cyber, o de contratar la primera:

1. Lee las definiciones de incidente y comprueba si incluyen el error humano y la divulgación a terceros.
2. Lee las exclusiones buscando las que hablan de datos compartidos voluntariamente o de incumplir medidas declaradas.
3. Pregunta por escrito si un incidente originado en el uso de una herramienta de IA por un empleado está cubierto, y bajo qué condiciones.
4. Revisa los sublímites de respuesta a incidentes, notificación y responsabilidad por datos.
5. Pregunta por las sanciones administrativas y qué dice la póliza sobre ellas.
6. Contesta el cuestionario con la verdad, y guarda copia de lo que contestaste.
7. Ten lista la política de uso de IA y las evidencias de los controles.
8. Anota el canal y el plazo de aviso del siniestro donde el equipo lo encuentre.

Para quién importa más

Algunos sectores manejan datos que convierten cualquier incidente en un problema serio, y donde la IA ya está en el día a día:

• Firmas de abogados, con expedientes cubiertos por el secreto profesional.
• IPS y consultorios, con historias clínicas, que son reservadas, y datos de salud, que son sensibles.
• Contadores públicos, con declaraciones, nóminas y estados financieros de muchos clientes a la vez.
• Inmobiliarias, con copias de cédulas, desprendibles de nómina y estudios de arrendatarios.
• Corredores y agencias de seguros, con los datos de todos sus asegurados.

Para ellos, el seguro cibernético es una pieza, y la otra es que los datos no salgan sin tapar.

Quién vigila a las aseguradoras

En Colombia, la Superintendencia Financiera vigila a las compañías de seguros y a los intermediarios. Si tienes una diferencia con tu aseguradora, el primer paso suele ser el defensor del consumidor financiero de la compañía, y después la Superintendencia Financiera. Para la parte de datos personales, la autoridad es la Superintendencia de Industria y Comercio.

Esta guía resume normas colombianas leídas el 22 de octubre de 2026 en las fuentes oficiales enlazadas. No reemplaza la asesoría de un abogado ni la lectura del clausulado de tu póliza.