En noviembre de 2025, el Financial Times reportó que tres grandes aseguradoras estadounidenses —AIG, Great American y W. R. Berkley— pidieron a los reguladores autorización para excluir de sus pólizas corporativas todos los daños causados por el uso de IA. La justificación es simple e inquietante para quien entiende de seguros: nadie sabe, en realidad, cuál es el riesgo.
El sector de seguros vive de calcular riesgo. Pero con la IA es distinto. Una falla en un modelo de lenguaje puede afectar simultáneamente a miles de empresas clientes a la vez. Un algoritmo que "alucina" puede generar una acusación falsa y desatar una demanda por difamación en cascada. Google lo descubrió en la práctica: su AI Overview generó una acusación falsa contra una empresa de energía solar que terminó en una demanda de USD 110 millones. Air Canada tuvo que honrar un descuento que su chatbot inventó. Una empresa de ingeniería estuvo a punto de perder USD 25 millones cuando unos estafadores usaron un deepfake en una videollamada.
Mientras tanto, startups como Armilla —financiada por el acelerador Y Combinator— crearon en 2025 pólizas especializadas para errores de IA, suscritas en Lloyd's. La empresa ofrece cobertura cuando un modelo de IA rinde peor de lo esperado: si un chatbot cae de 95% de precisión a 85%, la póliza cubre los daños.
Pero para conseguir una de esas coberturas —y para que las pólizas normales no dejen tus errores de IA sin cobertura— existe un requisito que las aseguradoras ahora exigen: hay que probar que se tiene control sobre cómo se usó esa IA.
Por qué las aseguradoras empezaron a decir que no
Una aseguradora clasifica un riesgo como "no asegurable" cuando no puede responder tres preguntas. Con la IA, fallamos en las tres.
La primera es: ¿cuál es la pérdida máxima posible? Con un riesgo tradicional (un incendio en una fábrica, un robo a un banco), el seguro puede imaginar el peor escenario. Con la IA, un error del modelo puede afectar al mismo tiempo a clientes de cientos de empresas. La pérdida potencial es incalculable porque es sistémica.
La segunda es: ¿cuál es el patrón de costo? Los casos recientes van de poco más de CAD 800 —lo que la Justicia obligó a pagar a Air Canada por el descuento que inventó su chatbot— a USD 1.500 millones, el acuerdo que cerró Anthropic en una demanda por derechos de autor. Seis órdenes de magnitud de diferencia, según un análisis del CSIS. Un seguro necesita un patrón: distribución de probabilidad, historial de siniestros. La IA todavía no tiene el historial suficiente para eso.
La tercera es: ¿cómo saber que el cliente dice la verdad? Con una fábrica, un perito va y ve cuánto se quemó. Con la IA, ¿cómo verifica la aseguradora cómo estaba usando el modelo esa empresa en realidad? El cliente puede ocultar, a propósito o no, cuántos experimentos fallidos tuvo, cuánta gente tuvo acceso, si alguien revisaba las respuestas. Es lo que el sector llama asimetría de información: la empresa sabe mucho más sobre su propio riesgo de lo que la aseguradora puede llegar a verificar.
Por eso AIG, Great American y W. R. Berkley pidieron formalmente a los reguladores estadounidenses el derecho de vender pólizas con una exclusión amplia para cualquier daño ligado al uso de IA generativa, desde chatbots hasta agentes autónomos. AIG declaró después que no piensa aplicar esas exclusiones de inmediato, pero el pedido ya está hecho: el mercado se está posicionando para el peor escenario antes de poder ponerle precio.
Prohibir el uso no funciona, y la aseguradora lo sabe
La reacción obvia de una empresa es prohibir la IA. Pero la aseguradora ya sabe que la prohibición no reduce el uso: reduce su visibilidad.
Cuando una startup de 5 personas necesita decidir si redacta un contrato, resume un informe anual o responde un correo a mano, la mayoría elige usar IA aunque la política diga "prohibido". Entre incumplir una regla y entregar tarde, la mayoría rompe la regla. Lo que cambia es que nadie se lo reporta al área de TI.
Los estudios muestran un patrón constante: cuando una política prohíbe la IA, una fracción importante de los empleados la esquiva de todos modos, porque el beneficio de usar la herramienta supera el costo de desobedecer. En la práctica, buena parte de las conexiones a herramientas de IA ocurre desde cuentas personales, fuera del control de la empresa.
Para el seguro, la pregunta es otra: si un resultado salió de una IA no autorizada, con datos que no debieron usarse, ¿quién responde por la falla? Si la empresa decía "IA prohibida" pero el trabajo se hizo con IA de todos modos, la cobertura puede negarse por "violación de política" o "falta de divulgación del riesgo real".
Lo que tiene que existir en la práctica
Cuando una aseguradora decide cubrir el uso de IA —o se niega a excluirlo— necesita estar convencida de que la empresa opera esa herramienta con gobernanza. Hay cuatro mecanismos verificables.
Identidad corporativa conectada al directorio. Quien usa IA entra con el mismo usuario del Active Directory. Cuando a un empleado lo desvinculan, el acceso a la IA se corta junto con todo lo demás, sin depender de que alguien se acuerde de revocar una cuenta. Todo queda registrado, todo es rastreable.
Acceso función por función. Cada persona ve solo lo que su rol autoriza. Un gerente de RR. HH. no ve datos de desarrollo de producto. Un desarrollador no ve la nómina. El permiso se otorga función por función, y cada una queda auditada, porque sí, la aseguradora puede pedir verla.
Aprobación según el riesgo. ¿Un resumen de un correo? Pasa directo. ¿Un contrato que va al cliente? Se detiene y pide la confirmación de una persona antes de salir. Un documento crítico —una norma interna, un procedimiento de cumplimiento— pasa por revisión y aprobación en dos etapas, con quien lo escribió separado de quien lo aprueba. Eso responde la pregunta que antes nadie podía contestar: ¿quién autorizó que este contenido se convirtiera en información oficial que la IA va a usar?
Registro de auditoría detallado. Crear un agente, cambiar un permiso, ejecutar una acción sensible, aprobar un documento: todo queda registrado. Modelo y versión usados, cuál fue la entrada, el tiempo transcurrido, quién hizo clic en qué, cuál fue el resultado. En una auditoría o en la investigación de un incidente, esa es la diferencia entre reconstruir lo ocurrido en minutos o pasar meses tratando de entenderlo. Los reguladores (la Unión Europea, el NIST, la ISO/IEC 42001) convergen: el registro de auditoría ya es obligatorio.
Así fue diseñada Skyller: ingreso con identidad corporativa, acceso por rol, aprobación según el riesgo, registro de auditoría como estándar.
Del improviso a lo que la aseguradora puede defender
Cuando todo pasa por una cuenta personal o sin registro, lo que se logra queda atrapado en quien lo descubrió. ¿Ese prompt perfecto que llevó semanas afinar? Solo existe en el historial de esa persona.
En un entorno con gobernanza, los agentes, las instrucciones, las conversaciones y los flujos se pueden reutilizar, con un alcance definido por rol y permiso. Alguien del equipo crea; la empresa entera avanza. Y, lo más importante para el seguro: todo queda documentado. Si una acción generó un error, la aseguradora puede reconstruir por qué se aprobó de esa manera, quién la autorizó y sobre qué información.
También hay una ganancia presupuestaria. Sin gobernanza, cada quien compra su propia licencia de IA: sobran suscripciones subutilizadas de un lado y gente al límite del otro. Los créditos compartidos resuelven eso: visibilidad del consumo, sin desperdicio.
Tres preguntas para llevar a la próxima reunión con la aseguradora
Antes de renovar la póliza, vale la pena responder estas tres con el área de TI:
-
Si hoy se desvincula a un colaborador, ¿a cuántas herramientas de IA podrá entrar mañana? Si la respuesta depende de que alguien se acuerde de cancelar una cuenta, la aseguradora va a verlo como un riesgo sin control.
-
Cuando la IA produce algo —un resumen, una recomendación, una decisión—, ¿de dónde salió ese contenido y quién autorizó que se usara así? Sin un registro, la aseguradora no puede defender la cobertura ante una disputa.
-
¿Qué sabe la empresa sobre quién usó IA, con qué dato y en qué contexto durante el último trimestre? Si la respuesta es "nada", el riesgo no es menor. Solo quedó invisible, y eso es peor para el seguro.
