As companhias de seguros permanecem divididas quanto à necessidade de estabelecer apólices específicas para cobrir os riscos associados à inteligência artificial (IA), especialmente diante do aumento de ataques cibernéticos realizados com o uso de IA por hackers. Essa divergência foi evidenciada durante o painel realizado na Cúpula de Risco Digital da NetDiligence, na terça-feira, 6 de novembro, na cidade de Filadélfia, nos Estados Unidos.
Participantes do evento discutiram se a exposição à IA deve ser tratada como uma questão estritamente digital, uma responsabilidade civil dos diretores e executivos ou um risco emergente ainda sem uma classificação clara dentro do setor de seguros. Gail Arkin, vice-presidente sênior e diretora jurídica da Berkley Cyber Risk Solutions, afirmou que muitas situações que envolvem riscos de IA extrapolam o âmbito eletrônico, sendo, na sua avaliação, uma questão de responsabilidade civil de altos executivos. Ela destacou que as apólices tradicionais de seguros digitais não cobrem aspectos como violações de direitos de terceiros, uso indevido de dados ou a incorporação de preconceitos nos algoritmos utilizados pelas empresas. Segundo Arkin, os conselhos de administração estão elaborando políticas específicas de uso de IA e formando equipes de monitoramento, o que demonstra que o tema transcende a tecnologia, passando a ser uma questão de responsabilidade corporativa.
Tim Nazzaro, gerente global de produtos digitais na Hartford Steam Boiler, dividiu os riscos da IA em três categorias distintas. A primeira refere-se a riscos de segurança e privacidade, como vazamento de dados pessoais por ferramentas de IA, para os quais ele afirmou que a responsabilidade recai sobre a seguradora, devendo tais riscos estar claramente contemplados em apólices de seguro eletrônico. A segunda categoria envolve riscos relacionados a outras linhas de seguro, como uma ferramenta de IA que possa discriminar na contratação de empregados, configurando uma prática passível de cobertura sob apólices de responsabilidade civil por práticas trabalhistas. A terceira categoria trata de riscos ainda indefinidos, que, segundo Nazzaro, não encontram um espaço adequado em contratos atuais e podem ser agravados pela tendência de ampliar coberturas sem uma avaliação adequada dos riscos. Ele alertou para o fato de que novas regulamentações sobre IA, além de multas por violações que não se enquadram em leis de privacidade, podem complicar a classificação desses riscos dentro das apólices existentes.
A especialista Danielle Roth, líder de prática e chefe de sinistros cibernéticos na AXA XL, reforçou a necessidade de tratar a IA de forma diferenciada, evitando uma abordagem generalista. Ela destacou que, em casos de violações envolvendo IA, muitas vezes é difícil determinar se a tecnologia foi realmente utilizada, o que exige uma análise cuidadosa do segurado, do sinistro e das cláusulas de exclusão. Roth recomendou que os segurados trabalhem em conjunto com seus corretores para avaliar seus riscos específicos, uma vez que a complexidade do tema exige uma abordagem personalizada.
Gail Arkin comparou a exposição à IA a um “risco cibernético silencioso”, salientando que essa ameaça já está presente em todas as apólices de seguro atualmente vigentes, embora ainda não seja evidente. Ela afirmou que, na prática, trata-se de uma vulnerabilidade que ainda não recebeu a devida atenção, mas que tende a se tornar uma preocupação constante.
Por sua vez, Michael Brunetti, vice-presidente de resposta a incidentes na MOXFIVE, destacou que sua empresa tem observado um aumento significativo na demanda por serviços de resposta a incidentes desde o início de julho. Ele explicou que, embora ataques tradicionais de ransomware e extorsão ainda sejam frequentes, os ataques a serviços em nuvem estão se tornando mais sofisticados e frequentes. Brunetti citou grupos como o ShinyHunters, que têm como alvo plataformas de software como serviço (SaaS), usando IA para vasculhar dados roubados e identificar informações sensíveis de forma mais rápida e eficiente. Segundo ele, esses criminosos não precisam mais invadir redes para criptografar dados, mas utilizam IA para acelerar buscas e criar mensagens de extorsão mais ameaçadoras, reduzindo o tempo necessário para executar esses ataques de dias ou semanas para minutos ou horas.
Roth também comentou sobre a atuação da AXA XL durante o verão, apontando que muitos ataques tiveram como alvo escritórios de advocacia, que substituíram o setor de saúde como principais vítimas. Ela ressaltou que a maioria desses ataques ainda se baseia em técnicas tradicionais de phishing, destacando que o maior ponto fraco das organizações continua sendo os funcionários, que muitas vezes representam a vulnerabilidade mais fácil de explorar.
