Cuestionario de ciberseguridad: qué contestar sobre la IA

El cuestionario llega por dos caminos. Uno es la solicitud de tu aseguradora cuando contratas o renuevas un seguro cibernético. El otro es el cuestionario de seguridad que te manda un cliente grande antes de darte de alta como proveedor. Los dos piden lo mismo: que digas con verdad cómo cuidas su información. Y cada vez más, esa respuesta incluye lo que tu equipo hace con ChatGPT, Claude, Gemini o Copilot.

Esta guía te da las respuestas modelo, la prueba que acompaña a cada una y lo que conviene tener listo para que todas sean un «sí» que puedas sostener.

Lo que preguntan de verdad las solicitudes de seguro cibernético en México

El 13 de octubre de 2026 buscamos «ciber» y «cyber» en el Registro de Contratos de Adhesión de Seguros (RECAS) de la CONDUSEF y leímos las solicitudes de siete seguros cibernéticos registrados. Ninguna menciona la inteligencia artificial.

Lo que sí aparece, repartido entre ellas y con distintas palabras, es esto:

• Autenticación multifactor en el correo, en el acceso remoto y en las cuentas con privilegios.
• Copias de seguridad separadas de la red y restauraciones probadas.
• Parches instalados en un plazo concreto; una solicitud habla de 30 días.
• Capacitación del personal; dos de ellas piden que sea al menos una vez al año.
• Políticas escritas de seguridad de la información, entregadas al personal.
• Servicios en la nube o software como servicio, y la lista de proveedores críticos, procesadores de datos incluidos.
• Cuántos registros de datos personales manejas y de qué tipo: financieros, de salud, comerciales.

Ahí es donde aterriza la IA. Un asistente de IA en línea es un servicio en la nube que procesa lo que le pegas. Si tu equipo lo usa con datos de clientes, eso toca la pregunta de proveedores, la de políticas escritas y la de capacitación, aunque la palabra «inteligencia artificial» no aparezca en el formulario.

Lo que firmas al pie de la solicitud

El artículo 8 de la Ley sobre el Contrato de Seguro obliga a declarar por escrito, «de acuerdo con el cuestionario relativo», los hechos importantes para apreciar el riesgo, tal como los conozcas o debas conocer al firmar. Y el artículo 47 dice que cualquier omisión o inexacta declaración de esos hechos permite a la aseguradora considerar rescindido el contrato, aunque no hayan influido en el siniestro.

Las solicitudes lo recuerdan en su propia letra: cinco de las siete citan el artículo 47. La conclusión práctica es sencilla. Un «sí» que no puedes probar vale menos que un «parcial» bien explicado, y al menos una solicitud ya trae esa tercera casilla. Tu agente también tiene que pasarle a la aseguradora la información precisa del riesgo, y cómo la ordena con IA lo contamos en ChatGPT para agentes de seguros.

Y si durante la vigencia el riesgo se agrava de forma esencial, el artículo 52 pide avisar a la aseguradora dentro de las 24 horas siguientes a que lo sepas. Guarda copia de lo que contestaste: es tu referencia para saber si algo cambió. Los plazos para avisar un siniestro los repasamos en la guía del seguro de ciberriesgos.

El cuestionario del cliente grande

El cliente que te pregunta por tu seguridad no lo hace por desconfianza. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares le pide, en su artículo 18, mantener medidas de seguridad administrativas, técnicas y físicas sobre los datos que trata. El artículo 20 le pide controles para que todas las personas que intervienen en el tratamiento guarden confidencialidad. Si tú llevas su contabilidad, sus juicios o su nómina, estás dentro de esa cadena.

A diferencia de la solicitud del seguro, aquí la IA puede aparecer con su nombre. Si el tuyo pregunta por ella, prepárate para cuatro preguntas: si la usan, con qué cuentas, si entran datos del cliente y si esos datos sirven para entrenar modelos. Y contesta lo mismo que le dijiste a tu aseguradora.

Las respuestas modelo, con su prueba

Cambia lo que va entre corchetes y borra lo que no aplique. Ninguna respuesta debe ir sin el documento que la sostiene.

PREGUNTAS SOBRE IA: QUÉ SE CONTESTA Y QUÉ SE ADJUNTA
[Nombre de la empresa] · versión [1] · [fecha]
Responsable: [Andrés Valmorquiz Ruiz]

1. ¿Usan herramientas de inteligencia artificial?
Sí, para [redactar borradores / resumir / traducir],
siempre con revisión humana antes de enviar o firmar.
Prueba: política de uso de IA, punto [2].

2. ¿Cuáles y con qué cuentas?
Sólo [herramienta], con cuenta de empresa. No se usan
cuentas personales para trabajo de clientes.
Prueba: lista de herramientas aprobadas, con fecha.

3. ¿Entran datos personales de clientes?
No en claro. Los nombres, correos, CURP y RFC se
ocultan en la computadora antes de pegar el texto.
Prueba: política, punto [1], y descripción de la
herramienta instalada.

4. ¿Sus datos se usan para entrenar modelos?
No se mandan datos identificables, y en [herramienta]
está desactivado el uso de conversaciones para
entrenamiento.
Prueba: captura de la configuración, fechada.

5. ¿Tienen una política de uso de IA?
Sí, versión [1] de [fecha], firmada por todo el equipo.
Prueba: política y hoja de firmas.

6. ¿Capacitan al personal?
Sí. Se explicó la política el [fecha] y se repite con
cada persona nueva y cada herramienta nueva.
Prueba: registro con fecha y asistentes.

7. ¿Qué servicios en la nube procesan información?
[Correo, almacenamiento, contabilidad] y [herramienta
de IA], esta última sin datos identificables.
Prueba: lista de proveedores.

8. ¿Aplican controles para evitar fugas de información?
[Elegir la que sea verdad]
a) Organizativos: política y lista cerrada de herramientas.
b) Además técnicos: [qué está instalado, en qué equipos
   y desde cuándo].
Prueba: la que corresponda.

La pregunta 8 es la más fácil de contestar de más. Marca sólo lo que tengas instalado, en los equipos donde lo tengas, y con la fecha. Una descripción exacta convence más que una casilla marcada a la ligera.

Cómo dejar las respuestas en «sí» antes de la renovación

Tres cosas cambian las respuestas de este cuestionario, y ninguna te obliga a dejar de usar la IA.

Una política de una página. Qué herramientas sí, con qué cuentas, qué datos nunca entran y quién revisa lo que sale. Contesta por sí sola las preguntas 1, 2, 5 y 6. Tienes el modelo en la guía de política de uso de IA en empresas.

Cuentas de empresa, no personales. Las condiciones cambian según el plan, y eso responde la pregunta 4. Revisa qué cambia entre la cuenta personal y la de empresa en qué hace ChatGPT con tus datos.

Ocultar los datos antes de pegar. Es lo que convierte la pregunta 3 en un «no» que se sostiene. Si el nombre del cliente nunca llega al chat, la respuesta sobre entrenamiento y sobre proveedores se simplifica sola. Para saber qué suele sobrar en un texto, revisa qué datos ocultar antes de usar la IA.

Qué pone Nonimo en el cuestionario

Nonimo es una app para Windows y Mac, con extensión para el navegador. En tu computadora cambia por marcadores los nombres, los correos, la CURP, el RFC, y la fecha de nacimiento y el domicilio cuando van rotulados, antes de que el texto llegue a ChatGPT, Claude, Gemini o Copilot. Al copiar la respuesta, los datos reales regresan a su lugar. Los datos no salen de tu computadora.

En el cuestionario eso se declara tal cual, como medida técnica, en la respuesta 3 y en la opción b de la 8: qué hace, en qué equipos está instalada y desde cuándo. Si lo que vas a subir es un archivo, las herramientas web de Nonimo te lo devuelven con los datos cambiados.

Antes de mandar el cuestionario

• Lee todas las preguntas antes de contestar la primera: muchas se repiten con otras palabras.
• Contesta igual a la aseguradora y al cliente. Si un día los dos papeles se cruzan, tienen que decir lo mismo.
• Guarda copia de lo que enviaste, con la fecha.
• Anota lo que descubriste al llenarlo y llévalo a tu política.

Y antes de firmar, entérate de lo que el seguro paga cuando algo sale mal: lo contamos en qué cubre un seguro de ciberriesgos en México.

Si tu giro es la contabilidad o el derecho, lo aterrizamos con tus papeles:

• IA para despachos contables
• IA para despachos de abogados

Fuentes

Todas consultadas el 13 de octubre de 2026.

• CONDUSEF, Registro de Contratos de Adhesión de Seguros (RECAS): solicitudes de los registros CONDUSEF-003778-03, CONDUSEF-004824-01, CONDUSEF-004989-05, CONDUSEF-005140-05, CONDUSEF-006248-03, CONDUSEF-007026-02 y CONDUSEF-007154-03.
• Cámara de Diputados, Ley sobre el Contrato de Seguro, artículos 8, 47 y 52.
• Cámara de Diputados, Ley Federal de Protección de Datos Personales en Posesión de los Particulares, artículos 18 y 20.