Seguro de ciberseguridad: qué cubre si la fuga es por IA

Cada vez más empresas peruanas preguntan por un seguro de ciberseguridad, y casi siempre por la misma razón: un cliente grande lo pide en un contrato, un banco lo menciona en su cuestionario de proveedores o alguien en la oficina leyó de una filtración y se quedó preocupado. La pregunta que casi nadie hace al contratar es la que importa hoy: ¿qué pasa si la fuga no viene de un hacker, sino de un trabajador que pegó la base de clientes en un chat de inteligencia artificial?

Esta guía explica qué suele cubrir una póliza cyber, qué dice la ley peruana del contrato de seguro sobre lo que declaras al contratar y sobre la culpa del asegurado, y qué conviene revisar antes de firmar. No reemplaza la lectura de tu póliza ni el consejo de tu corredor de seguros: cada condicionado es distinto, y manda lo que dice el tuyo.

Qué es un seguro de ciberseguridad para empresas

Un seguro de ciberseguridad, también llamado seguro cibernético o póliza cyber, cubre las pérdidas que sufre una empresa por un incidente con sus sistemas o sus datos, y los reclamos de terceros por ese incidente. En el mercado peruano lo ofrecen varias aseguradoras, normalmente como producto para empresas y a través de corredores de seguros.

Las aseguradoras y los corredores de seguros están bajo la supervisión de la Superintendencia de Banca, Seguros y AFP (SBS). La SBS exige a las aseguradoras, y también a los corredores, gestionar su propia seguridad de la información y ciberseguridad, incluida la de sus proveedores (Resolución SBS 504-2021). Lo que no encontramos es una norma de la SBS que fije el contenido de una póliza cyber: el producto lo diseña cada aseguradora.

No hay una póliza cyber estándar. Cada aseguradora arma su condicionado, con sus coberturas, sus exclusiones y sus definiciones. Dos pólizas con el mismo nombre pueden cubrir cosas muy distintas, y por eso más abajo hay una lista de preguntas para compararlas.

Póliza cyber: qué cubre normalmente

Aunque cada póliza es distinta, la mayoría se arma con dos bloques.

Daños propios, lo que le cuesta a tu empresa el incidente:

• La respuesta inicial: peritos informáticos que investigan qué pasó, cómo y qué datos salieron.
• La recuperación de sistemas y datos.
• La pérdida de ingresos mientras los sistemas no funcionan.
• La extorsión, cuando alguien secuestra los datos y pide un rescate (con condiciones muy estrictas).
• La asesoría legal y de comunicación para avisar a clientes y autoridades.

Responsabilidad frente a terceros, lo que te reclaman otros por el incidente:

• Reclamos de clientes o de las personas cuyos datos se expusieron.
• Los gastos de defensa en esos reclamos.
• En algunas pólizas, los procedimientos ante autoridades administrativas, con límites y según lo que permita la ley.

Lo que una póliza cubre o no se decide en las definiciones. Si «incidente» o «violación de datos» se define solo como un acceso no autorizado por un tercero, una fuga causada por un trabajador puede quedar fuera. Si se define de forma amplia, como cualquier divulgación no autorizada de datos personales, puede entrar. Esa es la primera línea que tienes que leer.

Si un empleado pega datos en ChatGPT: el caso concreto

Pongamos un caso común. Una asistente del área comercial quiere ordenar una lista de clientes para una campaña. Copia el Excel con nombres, correos y celulares, la pega en ChatGPT con su cuenta personal y le pide que la ordene por distrito. Nadie la atacó. No hay virus ni rescate. Pero los datos de cientos de clientes ya están en el servidor de un tercero, con una cuenta que la empresa no controla.

¿Es un siniestro? Depende de tres cosas:

1. La definición. Si la póliza cubre la «divulgación no autorizada de información personal» sin exigir que venga de un tercero, el caso puede entrar. Si exige un «ataque» o un «acceso no autorizado a los sistemas del asegurado», probablemente no.
2. Las exclusiones. Algunas pólizas excluyen los actos intencionales de empleados, otras los actos de empleados en general, y otras los cubren con un sublímite. Una trabajadora que pega datos para hacer su trabajo no actúa con intención de dañar, pero la redacción de la exclusión es la que decide.
3. Lo que declaraste al contratar. Si en el formulario dijiste que tienes una política sobre el uso de herramientas externas y no la tenías, el problema ya no es la IA: es la declaración.

Hay además un punto práctico: en un caso así, el daño no siempre es evidente. Puede que nunca sepas si alguien vio esos datos. Pero si un cliente se entera y reclama, o si la empresa tiene que avisar a la Autoridad, aparecen los costos. Y no pasa solo en las áreas comerciales: en una inmobiliaria, esa misma lista lleva el DNI de inquilinos y dueños.

Lo que dice la Ley del Contrato de Seguro sobre la culpa

En el Perú, la relación con la aseguradora se rige por la Ley 29946, Ley del Contrato de Seguro, además de lo que diga tu póliza. Para el caso de la IA importa una regla: si el siniestro lo provoca el asegurado con dolo o culpa grave, el asegurador queda liberado de pagar, salvo que la póliza diga otra cosa sobre la culpa grave (artículo 91). Por eso conviene buscar en tu condicionado si hay un pacto así.

¿Pegar datos en un chat es culpa grave? En el ejemplo de arriba, la que pegó los datos fue una trabajadora, no la empresa asegurada, y lo hizo para hacer su trabajo. No conocemos casos peruanos que lo hayan resuelto, y no vamos a adelantar una respuesta. Pero la pregunta que se haría cualquier ajustador es razonable: ¿la empresa sabía que su gente pegaba datos de clientes en herramientas externas y no hizo nada? Una política escrita, una herramienta para tapar los datos y una capacitación con fecha cambian mucho la respuesta.

Lo que declaras al contratar: la declaración del riesgo

Antes de emitir la póliza, la aseguradora te pide llenar una solicitud o un cuestionario sobre tu empresa: cuántos trabajadores, qué datos manejas, qué medidas de seguridad tienes. Lo que respondes ahí no es un trámite. La Ley 29946 dice que la reticencia o la declaración inexacta hecha con dolo o culpa inexcusable, sobre circunstancias que habrían cambiado la decisión de la aseguradora, hace nulo el contrato (artículo 8). La aseguradora tiene treinta días desde que se entera para alegarlo (artículo 9), y si el siniestro ocurre antes, queda liberada de pagar (artículo 12).

Si la declaración inexacta no fue dolosa ni con culpa inexcusable, la ley da otro camino: la aseguradora puede proponer revisar el contrato, con plazos cortos para responder (artículo 13). El contrato sigue, pero en otras condiciones.

En las solicitudes de seguro cyber las preguntas sobre IA son cada vez más frecuentes: si la empresa tiene una política de uso de herramientas de IA, qué herramientas usan y con qué cuenta, si se ingresan datos de clientes. Responde lo que puedas mostrar. Si la respuesta todavía es «no», dilo: un «no» declarado es un riesgo que la aseguradora aceptó; un «sí» que no era cierto es un argumento para discutir el siniestro.

Si tu empresa todavía no tiene política, hay un modelo para copiar en política de uso de IA en empresas. Y si la tienes, guarda la versión vigente en la fecha en que llenaste la solicitud.

Agravación del riesgo y avisos: los plazos que corren

La póliza se contrata con la empresa que eras ese día. Si después cambia algo importante, por ejemplo empiezas a usar una herramienta de IA que procesa datos de todos tus clientes, eso puede ser una agravación del riesgo. La Ley 29946 pide comunicarla por escrito a la aseguradora (artículo 60), que tiene quince días para decidir si mantiene el contrato, lo modifica o lo resuelve (artículo 61). Si no avisaste, la aseguradora puede quedar liberada, salvo que no hubiera culpa inexcusable o que la agravación no haya influido en el siniestro (artículo 62).

El aviso del siniestro tiene sus propios plazos: la ley los deja a lo que fije la SBS según el tipo de seguro (artículo 68), y tu póliza los recoge. Si el aviso llega tarde por culpa leve y eso perjudica a la aseguradora, la indemnización se puede reducir (artículo 70); si el retraso es doloso, se pierde, y también por culpa inexcusable, salvo que la demora no haya influido en verificar el siniestro (artículo 72). La regla práctica: ante la duda, avisa el mismo día y por escrito, aunque todavía no sepas el alcance del incidente. Tu corredor de seguros te puede decir el plazo exacto de tu póliza.

Lo que la ley te pide igual, tengas o no seguro

Un seguro paga costos; no cumple las obligaciones legales por ti. Con o sin póliza, la Ley 29733, Ley de Protección de Datos Personales, y su Reglamento te piden lo mismo.

El Reglamento vigente es el D.S. 016-2024-JUS, publicado en El Peruano el 30 de noviembre de 2024 y en vigencia desde el 30 de marzo de 2025. Su artículo 34 pide notificar a la Autoridad Nacional de Protección de Datos Personales los incidentes de seguridad graves en un plazo de 48 horas. Ese plazo corre aunque todavía estés esperando la respuesta de la aseguradora. Por eso conviene que el plan de respuesta de la empresa y el aviso al seguro arranquen juntos, el mismo día. Qué hacer paso a paso está en la guía de filtración de datos personales.

El mismo artículo pide avisar también a los titulares de los datos, en 48 horas, cuando el incidente los afecta, y el artículo 35 pide documentar todos los incidentes, sean graves o no. Si el incidente ocurre en un proveedor que trata los datos por encargo tuyo, el proveedor tiene que avisarte de inmediato (artículo 36). Y en el fondo de todo está el artículo 16 de la Ley 29733, que pide medidas técnicas, organizativas y legales para proteger los datos. Una póliza no es una de esas medidas: es lo que paga cuando las medidas fallan.

Cuando los datos que salen son sensibles

No todas las fugas pesan lo mismo. La Ley 29733 da la protección más alta a los datos sensibles, y la lista peruana es más amplia de lo que muchos creen: además de la salud (empezando por la historia clínica), la vida sexual, el origen racial o étnico, las convicciones religiosas o políticas y la afiliación sindical, incluye los ingresos económicos. Es decir, una boleta de pago, un estado de cuenta o el detalle de sueldos de una planilla son datos sensibles.

Esto importa para el seguro por dos razones. La primera: el artículo 34 del Reglamento pide notificar a la Autoridad los incidentes que afectan datos sensibles, aunque no sean masivos. Una sola planilla pegada en un chat puede bastar. La segunda: los reclamos de terceros por datos sensibles suelen ser más altos, y algunas pólizas los tratan con sublímites propios. Si tu empresa es una clínica, un estudio contable o un área de recursos humanos, pregunta específicamente por eso. Qué entra en la categoría, con ejemplos, está en datos sensibles según la Ley 29733.

Si la fuga ocurre en el proveedor de IA

Otro caso: los datos no los filtró tu equipo, sino que el proveedor de IA sufrió un incidente y se expusieron conversaciones de usuarios, entre ellas las de tu empresa. Aquí la pregunta para la póliza es si cubre los incidentes en sistemas de terceros que tratan tus datos (proveedores en la nube, servicios contratados). Muchas pólizas lo cubren con condiciones; otras solo cubren los sistemas propios.

Pero la mejor respuesta a este caso no está en la póliza. Si a la herramienta de IA no le llegaron nombres, correos ni números de documento, porque se cambiaron por etiquetas antes de pegar, una filtración en el proveedor no expone a tus clientes. Lo que se filtra es un texto con [PERSONA_1] y [CORREO_1].

Un ataque clásico: lo que dice la Ley 30096

Cuando el incidente sí es un ataque, la Ley 30096, de delitos informáticos, tipifica el acceso ilícito a un sistema informático (artículo 2), el atentado contra la integridad de los datos informáticos, es decir, introducir, borrar, alterar o hacer inaccesibles datos (artículo 3), y el atentado contra la integridad de los sistemas, cuando alguien los inutiliza o entorpece (artículo 4). Si sufres un ataque, la denuncia penal es un paso más, y muchas pólizas piden presentarla como condición para pagar.

Lo que la Ley 30096 no resuelve es el caso de la IA. Cuando una trabajadora pega datos en un chat, nadie accedió ilícitamente a nada: los datos salieron por la puerta, con la mejor intención. Por eso conviene que la póliza no dependa solo de que exista un delito.

Cómo comparar dos pólizas, en ocho preguntas

Si tu corredor de seguros te trae dos o tres propuestas, estas preguntas ayudan a compararlas por lo que importa y no solo por la prima:

1. ¿Cómo se define el incidente? ¿Exige un ataque externo o cubre cualquier divulgación no autorizada de datos?
2. ¿Qué pasa con los errores de empleados? ¿Están cubiertos, excluidos o con sublímite? ¿Y los actos intencionales?
3. ¿Cubre datos en sistemas de terceros? Nube, proveedores de software, herramientas de IA.
4. ¿Qué gastos de respuesta incluye? Peritos, abogados, comunicación con clientes, aviso a la Autoridad.
5. ¿Qué deducible y qué sublímites tiene? Sobre todo para extorsión y para reclamos de terceros.
6. ¿Qué medidas de seguridad exige como condición? Contraseñas, doble factor, copias de respaldo, política de uso de IA.
7. ¿En qué plazo hay que avisar un siniestro y a quién? ¿Hay una línea de respuesta ante incidentes las 24 horas?
8. ¿Cubre hechos ocurridos antes de contratar que se descubren durante la vigencia?

Pide las respuestas por escrito, con referencia a la cláusula del condicionado. Una respuesta de palabra del ejecutivo comercial no sirve el día del siniestro.

Seguro cyber y responsabilidad civil profesional

Si eres abogado, contador, médico, notario o corredor, conviene revisar cómo se relaciona la póliza cyber con tu seguro de responsabilidad civil profesional. Un error al usar la IA puede caer en cualquiera de las dos: una fuga de datos de un cliente se parece a un incidente cyber, pero un consejo equivocado que salió de un chat es un error profesional. Algunas pólizas de responsabilidad profesional excluyen los incidentes cibernéticos, y algunas pólizas cyber excluyen los errores profesionales. El riesgo es que el caso caiga justo entre las dos y ninguna lo cubra.

Para los estudios de abogados, el tema se cruza además con el secreto profesional, como explicamos en secreto profesional del abogado e IA.

Y si en el estudio ya usan IA con los expedientes, conviene contárselo al cliente desde el inicio, con una cláusula de IA en el contrato de locación de servicios.

Y para los corredores de seguros, que manejan pólizas, siniestros y datos de salud de sus clientes, hay una página propia de IA para corredores de seguros.

Qué guardar desde hoy por si un día tienes que reclamar

El día del siniestro, la aseguradora va a pedir pruebas de lo que declaraste y de lo que hiciste. Conviene tener a mano, desde hoy:

• La política de uso de IA vigente, con su fecha y las firmas del personal.
• La lista de herramientas aprobadas y con qué cuenta se usan.
• La copia de la solicitud del seguro tal como la llenaste.
• Un registro simple de capacitaciones: quién recibió la explicación de la política y cuándo.
• La configuración de las herramientas instaladas para tapar datos, si las tienes.
• El procedimiento ante incidentes, con el nombre de la persona responsable.

No es burocracia: es lo que separa un reclamo que se paga de uno que se discute. Y si para el trámite te piden la copia del pasaporte del representante, conviene tapar los datos del pasaporte que el trámite no necesita.

Prevenir es más barato que reclamar

Ninguna póliza devuelve la confianza de un cliente cuyos datos terminaron en un chat, ni la de un paciente cuya información salió de la clínica o el consultorio. La póliza paga costos, con deducibles, sublímites y meses de trámite. La prevención evita el incidente.

En el caso de la IA, prevenir es sencillo: que los datos de las personas no lleguen a la herramienta. Para eso hicimos Nonimo, una app para Windows y Mac que trabaja en tu computadora. Antes de pegar, cambia por etiquetas los datos personales, como nombres, correos, celulares, direcciones, el DNI o el RUC, y te los muestra marcados para que los revises. A Nonimo no le llega el texto.

Así queda el aviso que un área de administración quiere redactar con ayuda de la IA. Antes:

Asegurado: Hugo Nakamura Ríos
Correo: nombre@example.com
Celular: +51 900 000 000

Redacta el aviso de siniestro para la aseguradora: el martes una trabajadora pegó una lista de clientes en un chat de IA con su cuenta personal.

Y lo que le llega al chat, tal como sale de Nonimo:

Asegurado: [PERSONA_1]
Correo: [CORREO_1]
Celular: [TELEFONO_1]

Redacta el aviso de siniestro para la aseguradora: el martes una trabajadora pegó una lista de clientes en un chat de IA con su cuenta personal.

Cuando copias la respuesta y presionas la misma tecla, los datos vuelven a su lugar. Y si el área de TI quiere aplicarlo a toda la empresa, la extensión de navegador se instala por política.

Para los archivos que se comparten con terceros, como el reporte que pide el perito o el listado que va al corredor, las herramientas en línea tapan los datos de un PDF, un Word o un Excel antes de enviarlo.

Lo que dice la ley peruana sobre la IA en general está en inteligencia artificial y protección de datos.

Errores frecuentes al contratar

• Comparar pólizas solo por la prima, sin leer la definición de incidente.
• Llenar la solicitud con lo que la empresa «piensa hacer» y no con lo que hace.
• No avisar a la aseguradora cuando cambian cosas importantes: más trabajadores con acceso a datos, una herramienta nueva que procesa información de clientes.
• Creer que la póliza cyber cubre los errores profesionales, o al revés.
• Avisar el siniestro tarde porque «todavía no se sabe si es grave».

Para llevarse

Un seguro de ciberseguridad tiene sentido para muchas empresas peruanas, y cada vez más clientes lo piden. Pero la fuga más probable hoy no es un ataque sofisticado: es un trabajador apurado que pega datos en un chat. Antes de contratar, pregunta cómo trata la póliza ese caso. Y desde hoy, haz que ese caso sea difícil que ocurra. Cómo trabaja Nonimo por dentro está en nuestra página de seguridad.

Lo de arriba resume normas peruanas y no reemplaza la lectura de tu póliza ni la opinión de un abogado o de tu corredor sobre tu caso concreto.