Seguro cibernético e inteligência artificial: cobertura mais clara, mas riscos ainda complexos
A inteligência artificial já faz parte de operações empresariais, produtos digitais e ferramentas de segurança. Com isso, seus efeitos deixaram de ser apenas uma questão técnica: podem envolver privacidade, responsabilidade civil, propriedade intelectual, continuidade dos negócios e cobertura de seguros. Embora algumas seguradoras comecem a explicar melhor como tratam incidentes relacionados à IA, ainda não há uma resposta única para a pergunta central: quando uma perda ligada a essa tecnologia está coberta?
O ponto decisivo costuma estar na forma como a apólice define o incidente, a perda e a tecnologia envolvida. Uma redação mais explícita pode reduzir dúvidas, mas não transforma automaticamente qualquer prejuízo relacionado à IA em sinistro coberto. Limites, franquias, exclusões, prazos de comunicação e demais condições contratuais continuam valendo.
Quando a IA é usada em um ataque
Em 17 de setembro de 2026, a Beazley anunciou linguagem afirmativa para riscos de IA em determinadas apólices de seguro cibernético e de erros e omissões em tecnologia (Technology E&O). A proposta é esclarecer que um ataque cibernético não deixa de estar coberto apenas porque o criminoso usou inteligência artificial para agir com mais rapidez, escala ou eficiência.
Na prática, um ataque de ransomware, uma invasão de sistemas, o roubo de credenciais ou uma fraude por engenharia social ainda pode ser enquadrado como evento cibernético mesmo que ferramentas de IA tenham ajudado a executar alguma etapa da ofensiva. A participação da tecnologia, por si só, não deve ser confundida com uma mudança automática na natureza do incidente.
Isso não significa, porém, que todas as perdas envolvendo IA estejam incluídas. A própria cobertura depende dos termos da apólice emitida. O segurado ainda precisa verificar quais eventos estão contemplados, quais exclusões podem se aplicar e que requisitos precisam ser cumpridos para comunicar um sinistro.
A IA também pode ser a origem do prejuízo
É importante separar duas situações: o criminoso que usa IA para atacar uma empresa e a própria organização que sofre uma perda decorrente do uso de seus sistemas de IA. Um modelo ou agente automatizado pode, por exemplo, divulgar dados indevidamente, produzir conteúdo que viole direitos de terceiros ou executar uma ação errada. Esses casos podem envolver riscos e coberturas diferentes dos de uma invasão convencional.
Por isso, tratar “risco de IA” como uma categoria única é um erro. A tecnologia pode aparecer como ferramenta do atacante, componente de um produto, apoio a decisões internas ou serviço fornecido por uma empresa externa. Cada cenário pode levantar questões distintas de segurança, responsabilidade e interpretação contratual.
O quadro geral do mercado permanece desigual. Em relatório publicado em 16 de setembro de 2026, os pesquisadores Sasha Romanosky e Celine Robinson, da RAND Corporation, analisaram incidentes, ações judiciais, leis estaduais e registros de seguros nos Estados Unidos. A avaliação aponta três respostas entre seguradoras: algumas afirmam cobertura para certos riscos; outras adotam exclusões abrangentes; e várias ainda não incluem nem excluem claramente essas exposições. Quando a apólice não é explícita, a interpretação pode ser discutida depois do incidente.
A pesquisa também indica que os impactos da IA generativa não se limitam a ataques cibernéticos. Entre os incidentes públicos examinados pela RAND, 84% estavam associados a desinformação ou deepfakes. Esse dado evidencia como o uso da tecnologia pode gerar danos reputacionais e operacionais, além de perdas diretamente ligadas a sistemas invadidos.
O risco de acumulação merece atenção
A IA pode ampliar a escala de um incidente. Uma ferramenta capaz de automatizar tarefas pode ajudar um atacante a atingir mais pessoas ou organizações em menos tempo. Para seguradoras, isso levanta a possibilidade de que um mesmo evento, fornecedor ou falha tecnológica provoque perdas simultâneas em diversas empresas seguradas.
Esse fenômeno, conhecido como acumulação de risco, não é exclusivo da inteligência artificial, mas pode se tornar mais difícil de estimar quando uma tecnologia comum está integrada a muitos setores e operações. Assim, a avaliação não deve se limitar à probabilidade de um incidente isolado: também importa compreender quantas áreas, sistemas, clientes e fornecedores podem ser afetados ao mesmo tempo.
Seguro não substitui segurança
Uma apólice pode ajudar a administrar as consequências financeiras de determinados incidentes, mas não impede uma invasão nem elimina responsabilidades. A prevenção continua dependendo de controles técnicos e organizacionais adequados ao modo como a empresa utiliza IA.
Entre as medidas importantes estão identificar ferramentas aprovadas e não aprovadas, limitar o acesso a dados sensíveis e definir quais informações podem ser inseridas em sistemas externos. Também é necessário revisar permissões de agentes automatizados, testar mudanças antes de colocá-las em produção e manter supervisão humana para ações com impacto relevante.
A gestão de fornecedores é outro ponto essencial. Organizações que contratam plataformas de IA precisam entender como os dados são armazenados e processados, quais controles de segurança são aplicados e como o prestador comunica incidentes. Essas informações ajudam tanto a prevenir problemas quanto a demonstrar diligência durante a análise de um sinistro.
O que conferir antes de contratar ou renovar
A revisão da apólice deve considerar diferentes formas de participação da IA no incidente. Vale confirmar se a cobertura trata de ataques realizados com auxílio de IA e se existem exclusões relacionadas ao uso de sistemas automatizados, à falha de fornecedores ou a decisões tomadas por modelos. Também é importante verificar quais perdas financeiras e responsabilidades podem ser cobertas.
Além da redação sobre IA, devem ser examinados limites, franquias, sublimites, condições de notificação e obrigações de segurança. Uma cobertura aparentemente ampla pode ter restrições relevantes em outras cláusulas. Dúvidas precisam ser esclarecidas com a seguradora ou o corretor antes da contratação, e não apenas depois que uma reclamação for apresentada.
A documentação interna também pode fazer diferença. Manter inventário de ferramentas, registros de acesso, procedimentos de resposta e informações sobre fornecedores facilita a investigação de um incidente. Esses elementos ajudam a determinar o que ocorreu, quais sistemas foram afetados e se as condições previstas no contrato foram atendidas.
Um mapa de risco compartilhado
A empresa precisa conectar sua estratégia de segurança, a governança de IA e a gestão de seguros. Equipes técnicas, jurídicas, de privacidade, compras e riscos devem trabalhar com informações compatíveis sobre os sistemas utilizados e as possíveis consequências de uma falha.
A maior clareza oferecida por algumas seguradoras é um avanço, mas não elimina a fragmentação do mercado nem a complexidade dos incidentes. A cobertura depende da linguagem contratual e das circunstâncias específicas de cada caso. Para reduzir surpresas, organizações devem mapear como usam IA, fortalecer controles, avaliar a exposição de fornecedores e revisar suas apólices com atenção às diferenças entre um ataque potencializado por IA e uma perda provocada pelo próprio uso da tecnologia.