¿Te cubre el seguro en Panamá si pegan datos en ChatGPT?

Un seguro de ciberseguridad se compra pensando en alguien de afuera que secuestra los servidores. Hay otra fuga que no necesita intruso: un colaborador copia la lista de clientes y la pega en ChatGPT para que se la ordene por corregimiento.

Aquí repaso qué paga una póliza cyber en Panamá, qué revisa la Superintendencia de Seguros y Reaseguros y dónde se cae ese caso. Lo que tienes que avisar a la ANTAI, con o sin seguro, está en qué hacer ante una filtración de datos.

¿La póliza multirriesgo de tu negocio cubre un ciberataque?

Antes de cotizar algo nuevo, mucha gente pregunta si el seguro que ya tiene alcanza. Leímos las condiciones generales que dos aseguradoras panameñas publican para negocios, y las dos dejan fuera lo cibernético de forma expresa.

No me sorprende. Esas pólizas aseguran el local, el inventario y las computadoras como objetos. Lo que vale tu base de clientes, y lo que te reclamen por ella, va por otra póliza. El marco legal de esos datos lo explica la guía de datos personales frente a la IA.

Seguro de ciberseguridad en Panamá: lo que revisa la Superintendencia

Todo modelo de póliza que se vende al público pasa antes por la Superintendencia de Seguros y Reaseguros, que estudia si los derechos de las partes son equitativos (Ley 12 de 2012, artículo 140). Si en treinta días hábiles no objeta, el modelo queda autorizado (artículo 141).

Hay una salida que toca de cerca a lo cibernético: las pólizas a la medida para empresas con alto conocimiento en seguros y riesgos poco usuales pueden emitirse sin esa aprobación previa, si las partes lo pactan de modo expreso. La aseguradora manda el modelo después (artículo 141).

Una póliza a la medida no es mala por eso, pero la leería con más calma, porque nadie la revisó antes que tú. La Superintendencia vigila al seguro; tus datos los vigila la ANTAI, con la Ley 81 de 2019.

Datos de clientes pegados en ChatGPT: ¿lo cubre la póliza cyber?

Volvamos a la lista pegada en el chat. Nadie forzó una clave ni hubo virus: los nombres, correos y celulares están ahora en los servidores de otra empresa, con una cuenta personal que la tuya no controla. Que eso sea siniestro lo decide una definición.

En una corredora de bienes raíces, esa lista lleva inquilinos, fiadores y propietarios con su cédula. Ese es el párrafo que buscaría primero en la póliza: cómo define «incidente» o «violación de datos», y si exige que venga de un tercero.

Mira también si excluye el dolo o la culpa grave del asegurado. Un ajustador puede preguntar si la empresa sabía que su gente pegaba datos en chats y no hizo nada.

Para la ANTAI no hay duda: el Decreto Ejecutivo 285 llama violación de seguridad a cualquier uso no autorizado de los datos, aunque sea accidental (artículo 37). El chat puede contar como incidente ante la ANTAI y quedar fuera de tu póliza.

Qué cubre un seguro cibernético frente a los incidentes del CSIRT Panamá

En 2025 el CSIRT Panamá recibió 3,085 reportes y el 43% fue phishing. En una póliza cyber, eso suele terminar en la cobertura de fraude o de cuenta robada; el ransomware, un 7%, cae en extorsión y en los gastos de restaurar sistemas.

Lo que te reclamen después los clientes va por la parte de responsabilidad ante terceros, con los gastos de defensa. Lo pegado en un chat no sale en ninguna categoría del CSIRT, porque nadie atacó nada.

Si tus listas llevan datos sensibles, como salud o biométricos, pregunta si tienen un sublímite propio: es la cifra de la póliza que más me interesa. Un reclamo por un diagnóstico expuesto no se parece a uno por un correo.

Solicitud del seguro y reticencia: la pregunta sobre IA

La aseguradora acepta el riesgo con lo que pones en la solicitud. MAPFRE Panamá lo escribe en su cláusula de nulidad: una declaración falsa o inexacta que pudo influir en el contrato lo anula, y la aseguradora se queda con la prima. La cláusula se apoya en el artículo 1000 del Código de Comercio.

Si la solicitud pregunta si tienen política de uso de IA, contesta lo que puedas enseñar con fecha y firmas. Me quedo con un «todavía no» que la aseguradora aceptó antes que con un «sí» que no aguanta el primer reclamo.

¿No tienes política? Hay un borrador en política de uso de IA para empresas. Y si después de firmar empiezan a pasar datos de clientes por una IA nueva, avísale a la aseguradora por escrito: es un cambio del riesgo.

Prima atrasada y suspensión de cobertura según la Ley 12

Un reclamo cyber puede caerse por algo más simple que una exclusión: la prima. Si no pagas el total o la primera cuota al emitirse la póliza, el contrato es nulo sin necesidad de declaración judicial y se entiende que nunca rigió (Ley 12, artículo 154).

Con las cuotas siguientes hay margen. Pasado el periodo de gracia, la cobertura se suspende hasta por sesenta días; si la póliza no fija periodo, son treinta días calendario, y si fija menos, vale el más favorable para ti (artículos 156 y 160).

Una fuga en plena suspensión te deja sin seguro y con las 72 horas para avisar a la ANTAI corriendo igual. Pondría las cuotas en débito automático.

Aviso del siniestro cyber y las 72 horas de la ANTAI

Cada póliza fija cuándo y cómo avisar. En las dos pólizas comerciales de arriba, el aviso va de inmediato o tan pronto sea posible, y el informe del siniestro con sus documentos sigue en un plazo corto: 8 días calendario en Internacional de Seguros, 15 en MAPFRE.

El reloj de la ANTAI no espera al ajustador: son 72 horas desde que conoces el incidente (Decreto Ejecutivo 285, artículo 37). Lo tengo claro: esperar a conocer el alcance para avisar a cualquiera de los dos es regalar horas.

Las dos notas tienen que contar la misma historia: la misma hora en que lo supiste y los mismos datos expuestos. Si el ajustador encuentra dos versiones, tiene por dónde dudar del reclamo.

Con expedientes de pacientes el aviso pesa más, porque el dato de salud es sensible; lo desarrolla la guía de consultorios y chatbots.

Reclamo negado: Ejecutivo de Controversias y queja ante la Superintendencia

Si la aseguradora niega el reclamo, no se empieza por la Superintendencia. Primero va una nota por escrito al Sistema de Atención de Controversias de la propia aseguradora, que tiene 30 días calendario para contestar, por escrito y de forma vinculante para ella.

Después va la Superintendencia, cuyas decisiones sobre quejas son vinculantes (Ley 12, artículo 12). Según su guía, decide las de ramos generales hasta B/.50,000.00. Me parece sensato que la presente tu corredor, con tu autorización escrita: para eso está.

La queja pide nombre, cédula, domicilio y teléfono de quien reclama, más la prueba de la relación con la aseguradora. Lo que no te pidan, no lo mandes, como explico en tapar los datos del pasaporte.

Corredor de seguros con licencia: lo que le exige la Ley 12

En Panamá el corredor necesita licencia de la Superintendencia (artículo 164) y la ley le pide proteger tus intereses: analizar con objetividad lo que ofrece el mercado, recomendarte y ayudarte en los reclamos (artículo 165). Úsalo para eso.

Sus respuestas sólo me sirven por escrito y guardadas con la póliza. Si un día niegan el reclamo, son lo primero que va en la nota al Ejecutivo de Controversias. Y si el corredor no cumplió, la guía de la Superintendencia te da 60 días hábiles desde que lo sabes para quejarte de él.

Si tú eres el corredor y tus clientes preguntan por la IA, mira la página de Nonimo para corredores de seguros.

Abogados, notarios y clínicas: póliza cyber o responsabilidad profesional

Si eres abogado, contador, médico o notario, el error con IA puede caer en dos pólizas. La fuga del expediente se parece a un incidente cyber; el escrito equivocado que salió del chat, a un error profesional.

Me preocupa una combinación: una póliza profesional que excluye lo cibernético junto a una cyber que excluye los errores profesionales. El escrito mandado al cliente equivocado puede quedarse sin dueño. En una firma, además, está el secreto profesional del abogado, que ninguna póliza levanta.

Contarle al cliente cómo usas la IA también te cubre: va en la cláusula de IA del contrato de servicios.

Las clínicas y consultorios suman el expediente clínico: ahí quedarse entre dos pólizas sale más caro.

Seguro cibernético y prevención: la lista de clientes llega tapada

La póliza paga una parte del daño, con deducible y sublímites, meses después. Entre cobrar la póliza y evitar el siniestro, elijo lo segundo: que la IA reciba el trabajo sin los datos que identifican a tus clientes.

Para eso está Nonimo. En tu computadora, el nombre, el correo y el celular del cliente se cambian por etiquetas antes de llegar al chat, y vuelven a su lugar cuando copias la respuesta. Ves qué se tapó y lo deshaces con un clic.

Para un PDF o un Word que mandas al perito o al corredor están las herramientas web.

Cómo trata Nonimo lo que procesas está en su página de seguridad.

Esta guía te ayuda a leer tu póliza; si te niegan un reclamo grande, llévasela a un abogado.

Fuentes

• Ley 12 de 3 de abril de 2012, que regula la actividad de seguros (Gaceta Oficial 27007-A), copia de la Superintendencia de Seguros y Reaseguros. Arts. 12, 140, 141, 143, 153 a 161, 164 y 165.
• Superintendencia de Seguros y Reaseguros, guía para quejas y consultas. Ejecutivo de Controversias, 30 días calendario, 90 días hábiles y límite de B/.50,000.00 en ramos generales; queja contra el corredor en 60 días hábiles.
• Superintendencia de Seguros y Reaseguros, páginas «Protección al consumidor de seguros» y «Deberes básicos del contratante y asegurados». Conciliación y pago en 90 días calendario.
• Decreto Ejecutivo 285 de 28 de mayo de 2021, Gaceta Oficial 29296-A. Arts. 37 y 38.
• Ley 81 de 26 de marzo de 2019, Gaceta Oficial 28743-A. Art. 36.
• MAPFRE Panamá, condiciones generales de MAPFRE Empresarial. Exclusión NMA 2915, informe en 15 días y cláusula XVII de nulidad.
• Internacional de Seguros, condiciones generales del Optiseguro Comercial. Exclusión de datos electrónicos e informe en 8 días.
• CSIRT Panamá, estadísticas de incidentes. Desglose por tipo de 2024 y 2025.

Consultado el 9 de noviembre de 2026.