Seguros ciber: lo que no cubren los ataques con IA

Imagina que tu empresa recibe una transferencia urgente por email del CEO. Los gestos en el vídeo adjunto son suyos, la voz es idéntica. Pero ni el CEO ha enviado ese mensaje ni tu banco podrá revertir el millón de euros que acabas de mandar a una cuenta en el extranjero. Y cuando llamas a tu aseguradora de ciberriesgos, la respuesta te hiela la sangre: «Los fraudes generados por deepfake están excluidos de su póliza».

Qué está pasando con las pólizas de ciberseguridad

En los últimos dos años, las aseguradoras han silenciado un cambio que puede dejar a miles de negocios con el culo al aire. Las pólizas de ciberriesgos, que antes cubrían casi cualquier incidente digital, están añadiendo cláusulas que excluyen de forma expresa los ataques donde la inteligencia artificial actúa como vector principal. Hablamos de phishing hiperpersonalizado con lenguaje natural, malware que muta para esquivar antivirus, o suplantaciones de identidad mediante deepfake. Si el atacante usó IA, el siniestro no está cubierto. Así de simple.

No es una leyenda urbana: aseguradoras como AXA, Allianz o Beazley ya han incorporado este tipo de exclusiones en sus renovaciones de 2025. El argumento es que la IA permite ataques de una sofisticación imposible de predecir con los modelos actuariales clásicos. Y si no pueden medir el riesgo, no lo asumen.

Exclusiones por IA: el nuevo estándar silencioso

Las pólizas tradicionales incluían cobertura para delitos cibernéticos, ingeniería social y pérdidas por transferencia fraudulenta. Pero desde 2024, muchas han añadido subcláusulas que especifican que esos delitos no estarán cubiertos cuando el atacante haya empleado sistemas de IA o aprendizaje automático para engañar a los empleados o vulnerar los sistemas.

Algunas redacciones son ambiguas a propósito: «Quedan excluidos los siniestros derivados de ataques que utilicen tecnología de inteligencia artificial generativa o adaptativa». ¿Quién decide si un phishing fue generado por IA? En la práctica, basta con que el perito de la aseguradora sospeche que hubo IA de por medio para denegar el siniestro. Y tú, a pleitear.

Casos reales que encienden las alarmas

El pasado enero, una empresa de logística de Barcelona sufrió un ataque de ransomware que cifró todos sus servidores. El malware analizó el sistema durante semanas y solo se activó cuando encontró la copia de seguridad aislada, comportamiento típico de un malware adaptativo apoyado en IA. Aunque la póliza inicial cubría ransomware, la aseguradora rechazó el pago alegando que el código había sido generado por una herramienta de inteligencia artificial. La empresa perdió 340.000 euros y está litigando.

En Reino Unido, el bufete de abogados Pinsent Masons confirmó a finales de 2024 que varios de sus clientes habían visto denegada la cobertura de fraudes por email tras comprobarse que los mensajes habían sido creados con modelos de lenguaje como GPT-4. La sofisticación del texto —ausencia de errores gramaticales, tono corporativo perfecto— se usó como prueba de intervención de IA.

También empiezan a verse denegaciones en casos de deepfake en videollamada. Un directivo financiero de una multinacional autorizó pagos tras una reunión por Teams donde supuestamente participaban el CEO y un proveedor. Ambos eran deepfakes. La aseguradora consideró que el fraude fue facilitado por IA y, por tanto, excluido.

¿Por qué las aseguradoras están recortando coberturas?

La respuesta es puramente actuarial. Un siniestro de ciberriesgos tradicional —un ransomware estándar, un robo de datos sin IA— se puede modelizar y tarificar. Pero cuando el atacante usa IA generativa, los costes se disparan y la frecuencia se vuelve impredecible.

Según la consultora CyberCube, los ataques apoyados en IA aumentaron un 340% en 2024. El coste medio de un siniestro cibernético con IA ronda los 4,2 millones de dólares, frente al 1,1 millones de un ataque sin IA. Las aseguradoras han optado por cortar por lo sano: si no pueden calcular el riesgo, lo excluyen.

Además, el reaseguro aprieta. Las grandes reaseguradoras como Swiss Re o Munich Re están exigiendo a las aseguradoras directas que limiten las coberturas vinculadas a IA so pena de no renovar los contratos de reaseguro. La cadena se contagia de arriba abajo.

Cómo negociar una póliza que mire de frente a la IA

La situación no es desesperada. Existen formas de blindar tu póliza si sabes qué pedir y dónde apretar. Esto es lo que, según corredurías especializadas como Howden y Lockton, debería incluir una póliza integral en la era de la IA generativa:

• Cobertura expresa para ingeniería social con IA: La póliza debe mencionar de forma explícita que cubre fraudes cometidos mediante deepfake, phishing automatizado y cualquier otra técnica que emplee inteligencia artificial. Si solo habla de «ingeniería social» genérica, no es suficiente.
• Cláusula de «actos maliciosos sin intervención humana directa»: Debe cubrir ataques autónomos, donde el malware se propaga y toma decisiones sin un humano al teclado.
• Definición clara de «IA» en la póliza: No vale con un término vago. La póliza debe acotar qué considera IA (por ejemplo, modelos generativos) y dejar claro que eso NO es motivo de exclusión.
• Sublímites para transferencias fraudulentas adaptados a IA: Muchas pólizas limitan la cobertura a 100.000 o 250.000 euros. Con ataques de IA, las pérdidas pueden ser mucho mayores. Negocia un sublímite de al menos 500.000 euros o un límite agregado más alto.
• Asistencia en la respuesta al incidente que incluya análisis forense de IA: Si hay un siniestro, necesitas peritos capaces de distinguir un ataque con IA de uno sin ella. Que la aseguradora ponga a tu disposición esa capacidad es clave para evitar denegaciones.

Por supuesto, todo esto cuesta. Una póliza con las coberturas adaptadas a IA suele ser entre un 20% y un 40% más cara que una estándar. Pero si manejas datos sensibles o dependes de transferencias electrónicas, ese sobrecoste puede ser un gran seguro de vida para tu negocio.

Preguntas frecuentes

¿Todas las aseguradoras están excluyendo los ataques con IA?
No todas, pero la tendencia es clara. Las grandes aseguradoras y muchas medianas están incorporando exclusiones. Las más pequeñas o especializadas pueden ofrecer coberturas más amplias, pero hay que leer la letra pequeña.

¿Puede un perito determinar si un ataque usó IA?
Sí, existen herramientas forenses que analizan el código del malware o las trazas del phishing para identificar patrones generados por IA. El problema es que esa determinación la hace la propia aseguradora, y a menudo con criterios discutibles.

¿Los seguros de responsabilidad civil de administradores y directivos (D&O) cubren estos fraudes?
Generalmente no, porque estos fraudes no suelen considerarse un error de gestión, sino un delito externo. Además, muchas pólizas D&O también están incluyendo exclusiones similares cuando hay IA de por medio.

¿Qué estándares existen para saber si mi póliza es buena frente a IA?
Por ahora, no hay un sello oficial. Lo más fiable es acudir a un corredor especializado en ciberriesgos que pueda comparar las condiciones de varias aseguradoras y traducirte la jerga legal.