Seguro de ciberseguridad: qué cubre si la fuga es por IA

Cada vez más empresas uruguayas preguntan por un seguro de ciberseguridad, y casi siempre por la misma razón: un cliente grande lo pide en un contrato, un banco lo menciona en su cuestionario de proveedores o alguien en la oficina leyó de una filtración y se quedó preocupado. La pregunta que casi nadie hace al contratar es la que importa hoy: ¿qué pasa si la fuga no viene de un ataque, sino de un trabajador que pegó la base de clientes en un chat de inteligencia artificial?

Esta guía explica qué suele cubrir una póliza cyber, qué dice la ley uruguaya del contrato de seguro sobre lo que declarás al contratar, sobre el agravamiento del riesgo y sobre la culpa del asegurado, y qué conviene revisar antes de firmar. No reemplaza la lectura de tu póliza ni el consejo de tu corredor de seguros: cada póliza es distinta, y manda lo que dice la tuya.

Qué es un seguro de ciberseguridad para empresas

Un seguro de ciberseguridad, también llamado seguro cibernético o póliza cyber, cubre las pérdidas que sufre una empresa por un incidente con sus sistemas o sus datos, y los reclamos de terceros por ese incidente. Normalmente se ofrece como producto para empresas, y conviene revisarlo con tu corredor de seguros.

En Uruguay, el contrato de seguro se rige por la Ley 19.678, de octubre de 2018, que es de orden público (artículo 1). Las aseguradoras están bajo la órbita de la Superintendencia de Servicios Financieros del Banco Central del Uruguay, que la misma ley nombra para fijar, por ejemplo, las reservas exigidas a las empresas aseguradoras. Lo que no encontramos es una norma uruguaya que fije el contenido de una póliza cyber: el producto lo diseña cada aseguradora.

No hay una póliza cyber estándar. Cada aseguradora arma sus condiciones, con sus coberturas, sus exclusiones y sus definiciones. Dos pólizas con el mismo nombre pueden cubrir cosas muy distintas, y por eso más abajo hay una lista de preguntas para compararlas.

Póliza cyber: qué cubre normalmente

Aunque cada póliza es distinta, la mayoría se arma con dos bloques.

Daños propios, lo que le cuesta a tu empresa el incidente:

• La respuesta inicial: peritos informáticos que investigan qué pasó, cómo y qué datos salieron.
• La recuperación de sistemas y datos.
• La pérdida de ingresos mientras los sistemas no funcionan.
• La extorsión, cuando alguien secuestra los datos y pide un rescate, con condiciones muy estrictas.
• La asesoría legal y de comunicación para avisar a clientes y autoridades.

Responsabilidad frente a terceros, lo que te reclaman otros por el incidente:

• Reclamos de clientes o de las personas cuyos datos se expusieron.
• Los gastos de defensa en esos reclamos.
• En algunas pólizas, los procedimientos ante autoridades administrativas, con límites y según lo que permita la ley.

La Ley 19.678 da dos reglas que conviene tener presentes al leer. La cobertura sólo ampara los riesgos descriptos en la póliza, con sus limitaciones y exclusiones, y no se extiende a otras contingencias que causen daños parecidos (artículo 15). Y los riesgos excluidos tienen que informarse en forma clara, precisa y suficiente, en caracteres destacados y fácilmente legibles (artículo 16); lo mismo las cláusulas que limitan la cobertura o liberan al asegurador (artículo 26). Si una exclusión no se ve, preguntá por ella.

Lo que una póliza cubre o no se decide en las definiciones. Si «incidente» o «violación de datos» se define sólo como un acceso no autorizado por un tercero, una fuga causada por un trabajador puede quedar fuera. Si se define de forma amplia, como cualquier divulgación no autorizada de datos personales, puede entrar. Esa es la primera línea que tenés que leer.

Si un trabajador pega datos en ChatGPT: el caso concreto

Pongamos un caso común. Una administrativa del área comercial quiere ordenar una lista de clientes para una campaña. Copia la planilla con nombres, correos y celulares, la pega en ChatGPT con su cuenta personal y le pide que la ordene por barrio. Nadie la atacó. No hay virus ni rescate. Pero los datos de cientos de clientes ya están en el servidor de un tercero, con una cuenta que la empresa no controla.

¿Es un siniestro? Depende de tres cosas:

1. La definición. Si la póliza cubre la «divulgación no autorizada de información personal» sin exigir que venga de un tercero, el caso puede entrar. Si exige un «ataque» o un «acceso no autorizado a los sistemas del asegurado», probablemente no.
2. Las exclusiones. Algunas pólizas excluyen los actos intencionales de empleados, otras los actos de empleados en general, y otras los cubren con un sublímite. Una trabajadora que pega datos para hacer su trabajo no actúa con intención de dañar, pero la redacción de la exclusión es la que decide.
3. Lo que declaraste al contratar. Si en el formulario dijiste que tenés una política sobre el uso de herramientas externas y no la tenías, el problema ya no es la IA: es la declaración.

Hay además un punto práctico: en un caso así, el daño no siempre es evidente. Puede que nunca sepas si alguien vio esos datos. Pero si un cliente se entera y reclama, o si la empresa tiene que comunicarlo a la URCDP, aparecen los costos. Y no pasa sólo en las áreas comerciales: en una inmobiliaria, esa misma lista lleva los datos de inquilinos, garantes y propietarios.

Lo que dice la Ley 19.678 sobre el dolo y la culpa grave

Para el caso de la IA importa el artículo 37 de la Ley 19.678: el asegurador no está obligado por los siniestros causados con dolo del tomador, el asegurado o el beneficiario, o con dolo de las personas por las que ellos deben responder, salvo pacto en contrario. Y el asegurador puede establecer en el contrato la culpa grave del tomador, asegurado o beneficiario como causa de exclusión. Es decir, la culpa grave sólo excluye la cobertura si la póliza lo dice. Por eso conviene buscar en tus condiciones si hay una cláusula así.

¿Pegar datos en un chat es culpa grave? En el ejemplo de arriba, la que pegó los datos fue una trabajadora, no la empresa asegurada, y lo hizo para hacer su trabajo. No conocemos casos uruguayos que lo hayan resuelto, y no vamos a adelantar una respuesta. Pero la pregunta que se haría cualquier liquidador es razonable: ¿la empresa sabía que su gente pegaba datos de clientes en herramientas externas y no hizo nada? Una política escrita, una herramienta para tapar los datos y una capacitación con fecha cambian mucho la respuesta.

Lo que declarás al contratar: la reticencia

Antes de emitir la póliza, la aseguradora te pide completar una solicitud o un cuestionario sobre tu empresa: cuántos trabajadores, qué datos manejás, qué medidas de seguridad tenés. Lo que respondés ahí no es un trámite.

La Ley 19.678 pone dos reglas juntas. La primera: el tomador tiene que proporcionar antes del contrato no sólo la información del cuestionario, sino todas las circunstancias por él conocidas que puedan influir en la valoración del riesgo, y actuar de buena fe sin transgredir el deber de informar (artículo 33, literales A y D). La segunda, más dura: toda declaración falsa o toda reticencia de circunstancias conocidas del asegurado, aun hechas de buena fe, que a juicio de peritos hubiese impedido el contrato o modificado sus condiciones, hace nulo el seguro (artículo 46).

Fijate en «aun hechas de buena fe». No hace falta mentir para perder la cobertura: alcanza con no contar algo que habría cambiado las condiciones. Y la ley no se limita a lo que pregunta el formulario.

En las solicitudes de seguro cyber las preguntas sobre IA son cada vez más frecuentes: si la empresa tiene una política de uso de herramientas de IA, qué herramientas usan y con qué cuenta, si se ingresan datos de clientes. Respondé lo que puedas mostrar. Si la respuesta todavía es «no», decilo: un «no» declarado es un riesgo que la aseguradora aceptó; un «sí» que no era cierto es un argumento para discutir el siniestro.

Si tu empresa todavía no tiene política, hay un modelo para copiar en política de uso de IA en empresas. Y si la tenés, guardá la versión vigente en la fecha en que completaste la solicitud. La ley te da derecho a pedir copia de las declaraciones que formulaste para celebrar el contrato (artículo 8): conviene tenerla.

Agravamiento del riesgo y avisos: los plazos que corren

La póliza se contrata con la empresa que eras ese día. Si después cambia algo importante, por ejemplo empezás a usar una herramienta de IA que procesa datos de todos tus clientes, eso puede ser un agravamiento del riesgo: toda circunstancia que, si hubiese existido al contratar, lo habría impedido o modificado sus condiciones (artículo 18).

Las reglas de la Ley 19.678 son estas:

• El agravamiento se comunica al asegurador inmediatamente de conocido; y si se debe al propio tomador o asegurado, la comunicación tiene que hacerse antes de que se produzca (artículo 18).
• Si el agravamiento se debe a un hecho del tomador o asegurado, la cobertura queda suspendida desde que se produce (artículo 19).
• Si pasan quince días corridos desde que se declaró el agravamiento sin que se acuerde modificar el contrato ni el asegurador decida rescindirlo, el contrato sigue en las condiciones iniciales (artículo 19).
• Si no se denunció el agravamiento y sobreviene un siniestro provocado por esas circunstancias, el asegurador queda liberado (artículo 20).

Incorporar una herramienta de IA a un proceso con datos de clientes es una decisión de la empresa. Si tu póliza o tus declaraciones tocaban ese punto, conviene hablarlo con tu corredor antes de empezar, no después.

El aviso del siniestro tiene sus propios plazos (artículo 34): hay que informar la ocurrencia en forma inmediata y formalizar la denuncia dentro de los cinco días corridos de ocurrido o de conocido, salvo que la póliza fije un plazo más amplio. Dentro de los quince días corridos siguientes al siniestro hay que mandar por escrito la información necesaria para verificar el siniestro y su extensión (artículo 36). Si no se denuncia en plazo, se pierde el derecho a la indemnización (artículo 48), y lo mismo si se incumple el deber de informar, salvo causa extraña no imputable o fuerza mayor (artículo 49). La regla práctica: ante la duda, avisá el mismo día y por escrito, aunque todavía no sepas el alcance del incidente.

Del otro lado, el asegurador tiene treinta días corridos desde la denuncia para aceptar o rechazar el siniestro, y si no contesta se lo tiene por aceptado (artículo 35); aceptado, tiene sesenta días corridos para liquidar el daño (artículo 39).

Lo que la ley te pide igual, tengas o no seguro

Un seguro paga costos; no cumple las obligaciones legales por vos. Con o sin póliza, la Ley 18.331 y el Decreto 64/020 te piden lo mismo:

• Iniciar dentro de las primeras 24 horas los procedimientos para minimizar el impacto del incidente (artículo 3 del decreto).
• Comunicar la vulneración a la URCDP en un máximo de 72 horas de conocida (artículo 4).
• Avisar en lenguaje claro a los titulares con afectación significativa y, una vez solucionado, mandar a la URCDP un informe pormenorizado (artículo 4).

Esos plazos corren aunque todavía estés esperando la respuesta de la aseguradora. Por eso conviene que el plan de respuesta de la empresa y el aviso al seguro arranquen juntos, el mismo día. Qué hacer paso a paso está en la guía de filtración de datos personales.

Y en el fondo de todo está el artículo 10 de la Ley 18.331, que pide las medidas necesarias para garantizar la seguridad y confidencialidad de los datos. Una póliza no es una de esas medidas: es lo que paga cuando las medidas fallan. La URCDP, además, puede sancionar con independencia de lo que pague el seguro (artículo 35 de la ley).

Cuando los datos que salen son sensibles

No todas las fugas pesan lo mismo. La Ley 18.331 da la protección más alta a los datos sensibles: los que revelan origen racial o étnico, preferencias políticas, convicciones religiosas o morales, afiliación sindical, salud o vida sexual (artículo 4). En una oficina uruguaya aparecen sobre todo en certificados médicos, en la historia clínica y en los recibos de sueldo con descuento de cuota sindical.

Esto importa para el seguro por dos razones. La primera: con datos sensibles, la afectación significativa de los titulares es mucho más probable, y con ella la obligación de avisarles. La segunda: los reclamos de terceros por datos sensibles suelen ser más altos, y algunas pólizas los tratan con sublímites propios. Si tu empresa es una policlínica, un estudio contable o un área de recursos humanos, preguntá específicamente por eso. Qué entra en la categoría, con ejemplos, está en datos sensibles según la Ley 18.331.

Si la fuga ocurre en el proveedor de IA

Otro caso: los datos no los filtró tu equipo, sino que el proveedor de IA sufrió un incidente y se expusieron conversaciones de usuarios, entre ellas las de tu empresa. Acá la pregunta para la póliza es si cubre los incidentes en sistemas de terceros que tratan tus datos: proveedores en la nube, servicios contratados. Algunas pólizas lo cubren con condiciones; otras sólo cubren los sistemas propios.

Pero la mejor respuesta a este caso no está en la póliza. Si a la herramienta de IA no le llegaron nombres, correos ni celulares, porque se cambiaron por etiquetas antes de pegar, una filtración en el proveedor expone mucho menos a tus clientes: lo que se filtra es un texto con [PERSONA_1] y [CORREO_1].

Un ataque clásico: lo que dice la Ley 20.327

Cuando el incidente sí es un ataque, la Ley 20.327, de 2024, agregó al Código Penal varios ciberdelitos. Entre ellos, el acceso ilícito a datos informáticos (artículo 297-BIS), la interceptación ilícita de datos en transmisiones no públicas (artículo 297-TER) y la vulneración de datos, que castiga a quien accede, se apodera, usa o modifica datos confidenciales de terceros sin autorización y, con pena mayor, a quien los difunde o revela (artículo 297-QUATER). Si sufrís un ataque, la denuncia penal es un paso más; revisá también si tu póliza la pide como condición.

Lo que esa ley no resuelve es el caso de la IA. Cuando una trabajadora pega datos en un chat para hacer su trabajo, nadie accedió ilícitamente a nada: los datos salieron por la puerta, con la mejor intención. Por eso conviene que la póliza no dependa sólo de que exista un delito.

Cómo comparar dos pólizas, en ocho preguntas

Si tu corredor de seguros te trae dos o tres propuestas, estas preguntas ayudan a compararlas por lo que importa y no sólo por el premio:

1. ¿Cómo se define el incidente? ¿Exige un ataque externo o cubre cualquier divulgación no autorizada de datos?
2. ¿Qué pasa con los errores de empleados? ¿Están cubiertos, excluidos o con sublímite? ¿Y los actos intencionales? ¿Hay una cláusula de culpa grave?
3. ¿Cubre datos en sistemas de terceros? Nube, proveedores de software, herramientas de IA.
4. ¿Qué gastos de respuesta incluye? Peritos, abogados, comunicación con clientes, la comunicación a la URCDP.
5. ¿Qué deducible y qué sublímites tiene? Sobre todo para extorsión y para reclamos de terceros.
6. ¿Qué medidas de seguridad exige como condición? Contraseñas, doble factor, copias de respaldo, política de uso de IA.
7. ¿En qué plazo hay que avisar un siniestro y a quién? La ley da cinco días corridos para formalizar la denuncia, salvo que la póliza dé más.
8. ¿Es en base a ocurrencias o a reclamos? La Ley 19.678 permite contratar la responsabilidad civil de las dos formas (artículo 78): en base a ocurrencias cubre hechos ocurridos durante la vigencia; en base a reclamos, hechos del período convenido siempre que el reclamo se notifique durante la vigencia. Con incidentes que se descubren meses después, la diferencia pesa.

Pedí las respuestas por escrito, con referencia a la cláusula de la póliza. Una respuesta de palabra del ejecutivo comercial no sirve el día del siniestro.

Seguro cyber y responsabilidad civil profesional

Si sos abogado, contador, médico, escribano o corredor, conviene revisar cómo se relaciona la póliza cyber con tu seguro de responsabilidad civil profesional. Un error al usar la IA puede caer en cualquiera de las dos: una fuga de datos de un cliente se parece a un incidente cyber, pero un consejo equivocado que salió de un chat es un error profesional. Algunas pólizas de responsabilidad profesional excluyen los incidentes cibernéticos, y algunas pólizas cyber excluyen los errores profesionales. El riesgo es que el caso caiga justo entre las dos y ninguna lo cubra.

Para los estudios jurídicos, el tema se cruza además con el secreto profesional, como explicamos en secreto profesional del abogado e IA.

Y si en el estudio ya usan IA con los expedientes, conviene contárselo al cliente desde el inicio, con una cláusula de IA en el contrato de servicios profesionales.

Para los corredores de seguros, que manejan pólizas, siniestros y datos de salud de sus clientes, hay una página propia de IA para corredores de seguros.

Qué guardar desde hoy por si un día tenés que reclamar

El día del siniestro, la aseguradora va a pedir pruebas de lo que declaraste y de lo que hiciste, y la Ley 19.678 te obliga a darle la información y la documentación necesarias para verificarlo (artículo 36). Conviene tener a mano, desde hoy:

• La política de uso de IA vigente, con su fecha y las firmas del personal.
• La lista de herramientas aprobadas y con qué cuenta se usan.
• La copia de la solicitud del seguro tal como la completaste.
• Un registro simple de capacitaciones: quién recibió la explicación de la política y cuándo.
• La configuración de las herramientas instaladas para tapar datos, si las tenés.
• El procedimiento ante incidentes, con el nombre de la persona responsable y el registro de vulneraciones.

No es burocracia: es lo que separa un reclamo que se paga de uno que se discute. Y si para el trámite te piden la copia del pasaporte del representante, conviene tapar los datos del pasaporte que el trámite no necesita.

Prevenir es más barato que reclamar

Ninguna póliza devuelve la confianza de un cliente cuyos datos terminaron en un chat, ni la de un paciente cuya información salió del consultorio. La póliza paga costos, con deducibles, sublímites y meses de trámite. La prevención evita el incidente.

En el caso de la IA, prevenir es sencillo: que los datos de las personas no lleguen a la herramienta. Para eso hicimos Nonimo, una app para Windows y Mac. Antes de pegar, cambia por etiquetas los nombres, correos, celulares y teléfonos con el +598, direcciones, el pasaporte y el número de historia clínica. Lo ves todo: cada dato tapado se marca en pantalla y se deshace con un clic. Si un dato queda a la vista (por ejemplo, la cédula o el RUT), seleccionalo y hacé clic en Tapar. Tu texto se tapa en tu computadora; a Nonimo no le llega.

Así queda la denuncia que un área de administración quiere redactar con ayuda de la IA. Antes:

Asegurado: Rubén de León Pereyra
Correo: cliente@example.com
Celular: +598 99 000 000
Redactá la denuncia de siniestro para la aseguradora: el martes una trabajadora pegó una lista de clientes en un chat de IA con su cuenta personal.

Y lo que le llega al chat, tal como sale de Nonimo:

Asegurado: [PERSONA_1]
Correo: [CORREO_1]
Celular: [TELEFONO_1]
Redactá la denuncia de siniestro para la aseguradora: el martes una trabajadora pegó una lista de clientes en un chat de IA con su cuenta personal.

Cuando copiás la respuesta y presionás la misma tecla, los datos vuelven a su lugar. Y si el área de informática quiere aplicarlo a toda la empresa, la extensión de navegador se instala por política.

Para los archivos que se comparten con terceros, como el informe que pide el perito o el listado que va al corredor, las herramientas web tapan los datos de un PDF, un Word o un Excel antes de mandarlo.

Lo que dice la normativa uruguaya sobre la IA en general está en inteligencia artificial y protección de datos.

Errores frecuentes al contratar

• Comparar pólizas sólo por el premio, sin leer la definición de incidente.
• Completar la solicitud con lo que la empresa «piensa hacer» y no con lo que hace, olvidando que la reticencia anula el seguro aun de buena fe.
• No avisar a la aseguradora cuando cambian cosas importantes: más trabajadores con acceso a datos, una herramienta nueva que procesa información de clientes.
• Creer que la póliza cyber cubre los errores profesionales, o al revés.
• Avisar el siniestro tarde porque «todavía no se sabe si es grave», cuando la ley da cinco días corridos para formalizar la denuncia.

Para llevarse

Un seguro de ciberseguridad tiene sentido para muchas empresas uruguayas, y cada vez más clientes lo piden. Pero la fuga más probable hoy no es un ataque sofisticado: es un trabajador apurado que pega datos en un chat. Antes de contratar, preguntá cómo trata la póliza ese caso. Y desde hoy, hacé que ese caso sea difícil que ocurra. Más en nuestra página de seguridad.

Fuentes

Consultadas el 24 de octubre de 2026 en IMPO.

• Ley 19.678, del contrato de seguro, Documento Actualizado. Texto en IMPO. Artículos 1, 8, 15, 16, 18 a 20, 26, 33 a 37, 39, 46, 48, 49, 78 y 122.
• Ley 18.331, de Protección de Datos Personales. Texto en IMPO. Artículos 4, 10 y 35.
• Decreto 64/020. Texto en IMPO. Artículos 3 y 4.
• Ley 20.327, de prevención y represión de la ciberdelincuencia. Texto en IMPO. Código Penal, artículos 297-BIS, 297-TER y 297-QUATER.

Lo de arriba resume normas uruguayas y no reemplaza la lectura de tu póliza ni la opinión de un abogado o de tu corredor sobre tu caso concreto.