Artículo de prensa : El ciberseguro alcanza un punto de inflexión a medida que la IA amplifica el riesgo

A pesar del aumento de la siniestralidad, de la creciente dependencia digital y de las mayores exposiciones regulatorias y relacionadas con la inteligencia artificial, las tarifas del ciberseguro en Europa continúan suavizándose, afirma Oliver Delvos, responsable de Cyber & Tech E&O para Europa en Liberty Specialty Markets (LSM).

Publicado por primera vez en Global Reinsurance y reproducido con la amable autorización de la redacción.

En un momento en el que el riesgo cibernético se intensifica debido a las amenazas impulsadas por la inteligencia artificial (IA), la expansión de las dependencias digitales y la evolución de los marcos regulatorios, el mercado sigue suavizándose. Las primas continúan disminuyendo, la competencia sigue siendo intensa y el alcance de las coberturas aumenta. Esta desconexión entre la evolución del riesgo y la fijación de precios indica que el sector se aproxima a un punto de inflexión crítico.

Durante el último año, el mercado europeo de ciberseguros ha experimentado un proceso continuado de ablandamiento. La abundante capacidad disponible, unida a la consideración del negocio cyber como una atractiva oportunidad de crecimiento, ha provocado la caída de las primas y la ampliación de las coberturas. Sin embargo, esto no debe interpretarse como una mejora de los fundamentos del riesgo. Al contrario, la actividad siniestral sigue evolucionando tanto en frecuencia como en severidad.

Esta dinámica contrasta con los primeros indicios de cambio observados en el mercado estadounidense, donde los precios se han estabilizado y, en algunos casos, han vuelto a registrar incrementos. Al mismo tiempo, la disciplina de suscripción se mantiene en gran medida intacta. Esta divergencia genera una imagen global incoherente que podría desembocar en una mayor volatilidad.

A medida que la capacidad disponible se desvincula cada vez más de los riesgos subyacentes, el mercado parece acercarse a un suelo tarifario. La historia demuestra que esto podría ir seguido de una corrección del mercado, aunque aún está por ver si alcanzará la magnitud del endurecimiento observado en 2020.

A esta incertidumbre se suma la posibilidad de una consolidación entre aseguradoras y un aumento de las inversiones en tecnología aplicada al seguro. A medida que los márgenes se estrechan, solo aquellas entidades capaces de combinar escala y sofisticadas capacidades de evaluación de riesgos podrán seguir siendo competitivas.

La inteligencia artificial no introduce amenazas cibernéticas completamente nuevas; más bien amplifica y acelera las existentes. No obstante, la verdadera novedad reside en la transición de la automatización a la autonomía. Los actores maliciosos utilizan cada vez más la IA para incrementar significativamente la velocidad, escala y eficiencia de sus ataques, por ejemplo identificando vulnerabilidades y automatizando parte de los procesos de explotación.

Las herramientas impulsadas por IA prueban puntos de entrada y ejecutan ataques cada vez con menor intervención humana. Son capaces de encadenar múltiples vulnerabilidades de bajo nivel para crear una ruta de ataque explotable y conectada. Esta evolución reduce el coste de los ataques y las barreras de entrada para la ciberdelincuencia, permitiendo que actores menos sofisticados operen con una eficacia sin precedentes.

Las implicaciones son profundas. Escenarios de pérdidas que antes afectaban principalmente a grandes corporaciones se están convirtiendo rápidamente en riesgos habituales para empresas medianas y pymes a medida que estas herramientas se vuelven más accesibles. Con la democratización de la IA, la superficie de ataque no solo aumenta en tamaño, sino también en accesibilidad.

El perfil de las pérdidas cibernéticas también está cambiando. Los incidentes tradicionales, como las interrupciones de sistemas o las brechas de datos, se complementan cada vez más o incluso son sustituidos por pérdidas derivadas de la compromisión de cuentas legítimas de usuarios. Esto puede traducirse en accesos no autorizados, exfiltración de datos, fraude y fallos de gobernanza.

Al mismo tiempo, los atacantes están recuperando y modernizando tácticas antiguas. Los casos en los que se utilizan credenciales comprometidas para ejecutar cargas de computación intensivas en la infraestructura de las víctimas están resurgiendo bajo nuevas formas. Estos ataques pueden generar pérdidas financieras significativas debido al incremento de los costes energéticos y tecnológicos, rememorando anteriores olas de explotación.

También observamos métodos de ataque cada vez más sofisticados, incluyendo la suplantación de identidad impulsada por inteligencia artificial, la manipulación documental y los ataques dirigidos a la autenticación multifactor mediante mecanismos de restablecimiento. Todo ello supone un reto adicional para los controles de seguridad tradicionales. Como consecuencia, será aún más importante contar con controles eficaces y correctamente implementados. Asimismo, los ciclos de actualización y parcheado deberán seguir reduciéndose para minimizar las ventanas de vulnerabilidad.

Paralelamente, la regulación continúa intensificándose, especialmente en Europa. Nuevos marcos normativos se están convirtiendo en un motor fundamental, y a menudo infravalorado, de las inversiones en resiliencia tecnológica y seguridad de la cadena de suministro.

Una ola de iniciativas legislativas, entre ellas el Reglamento Europeo de Inteligencia Artificial (AI Act), el Cyber Resilience Act, la Directiva NIS2, el Reglamento sobre Resiliencia Operativa Digital (DORA) y las actualizaciones de la Directiva de Responsabilidad por los Productos Defectuosos, está transformando profundamente el panorama de la gobernanza y la responsabilidad.

Al mismo tiempo, el Reglamento General de Protección de Datos (RGPD) está llamado a recuperar protagonismo, ya que las herramientas basadas en IA facilitan la identificación, tramitación e incluso automatización de reclamaciones. A medida que los tribunales desarrollan una jurisprudencia cada vez más amplia y cuantifican con mayor claridad los daños, es probable que aumenten las exposiciones a responsabilidad tanto en el ámbito cyber como en el de la responsabilidad profesional tecnológica (Errors & Omissions). Esto tendrá importantes implicaciones en materia de incumplimiento normativo y costes de defensa.

Tal y como DORA ya exige para las entidades financieras, la cuestión de la resiliencia se extiende plenamente a los proveedores externos de servicios informáticos y a las empresas de servicios gestionados, dado que constituyen puntos críticos de fallo. El riesgo de la cadena de suministro ya no se limita a los proveedores digitales, sino que abarca también a suministradores físicos y dependencias operativas. Un incidente cibernético que afecte a un único eslabón puede propagarse a múltiples organizaciones y provocar interrupciones generalizadas tanto en entornos digitales como físicos.

Las coberturas aseguradoras han evolucionado para reflejar esta realidad. Sin embargo, una mayor amplitud de cobertura implica también una mayor complejidad. Los aseguradores deben ir más allá de la evaluación individual de riesgos y desarrollar una visión más profunda de las dependencias y exposiciones sistémicas de sus carteras, considerando distintos escenarios relacionados con la cadena de suministro.

Como se ha señalado anteriormente, uno de los desarrollos más significativos de los últimos años ha sido la aparición del riesgo ciberfísico. Los incidentes cibernéticos son cada vez más capaces de provocar daños tangibles, desde destrucción de activos hasta interrupciones operativas, incluyendo la paralización de entornos de producción integrados y sistemas robóticos.

Esta realidad es especialmente evidente en entornos donde la tecnología operativa (OT) está integrada con sistemas informáticos. Las pérdidas por interrupción de negocio derivadas de incidentes cyber son cada vez más frecuentes y, a menudo, más severas.

Sin embargo, la suscripción de riesgos ciberfísicos plantea desafíos específicos. Existe poca información histórica, las metodologías de valoración difieren según la línea de negocio y las fronteras tradicionales entre los seguros cyber, de daños materiales e incluso energéticos se están difuminando. La conclusión es clara: el riesgo cibernético ya no puede analizarse de forma aislada. Debe entenderse como parte de un ecosistema de riesgos más amplio. Para gestionarlo eficazmente, las aseguradoras necesitan monitorización continua, visibilidad en tiempo real y análisis avanzados.

La selección de riesgos es fundamental. Algunas de las principales aseguradoras están invirtiendo de forma significativa en herramientas propias, análisis de vulnerabilidades impulsados por IA y capacidades integradas de ingeniería de riesgo cibernético para mejorar la toma de decisiones. La capacidad de combinar datos, tecnología y experiencia será el factor que defina la excelencia en suscripción durante los próximos años.

Una de las cuestiones más complejas y todavía en evolución para el sector se refiere al impacto de la inteligencia artificial en las carteras aseguradoras. Del mismo modo que el mercado tuvo que enfrentarse al fenómeno del «silent cyber» hace una década, la atención empieza a centrarse en cómo los riesgos relacionados con la IA pueden influir en otras líneas de negocio.

Las responsabilidades derivadas de la IA podrían estar acumulándose ya en múltiples ramos de seguro, a menudo sin un reconocimiento explícito ni una adecuada tarificación. Esto plantea interrogantes más amplios sobre cómo identificar y gestionar dichas exposiciones.

Aunque sigue siendo un ámbito en desarrollo y aún no existe una postura definitiva del mercado, esta situación pone de manifiesto la necesidad de una mayor claridad sobre la interacción entre las tecnologías emergentes y las coberturas aseguradoras tradicionales.

A medida que el mercado se aproxima a un posible punto de inflexión, la disciplina y los fundamentos serán cada vez más importantes. Los asegurados deben priorizar una sólida higiene cibernética, una robusta gestión de identidades y accesos, una política eficaz de parcheado, la supervisión de dispositivos perimetrales y una adecuada gestión del cambio.

Para las aseguradoras, el futuro no estará determinado por la cantidad de capacidad desplegada, sino por la inteligencia con la que comprendan, valoren y asignen el riesgo. Esto implica anticipar amenazas emergentes, gestionar la complejidad regulatoria e invertir en las herramientas y el talento necesarios para mantenerse a la vanguardia.

El mercado europeo de ciberseguros está entrando en un periodo de creciente incertidumbre. Sin embargo, dentro de esa incertidumbre también existen oportunidades para quienes estén preparados para adaptarse. En un mundo marcado por la inteligencia artificial, los sistemas interconectados y la evolución de las responsabilidades, el éxito dependerá de la claridad, la agilidad y, sobre todo, de una comprensión profunda del riesgo en todas sus formas.