Líderes de setor de seguros estão divididos sobre responsabilidade por riscos da IA

Por Mia MacGregor

6 Out (The Insurer) - As seguradoras estão divididas quanto às apólices ​que deveriam cobrir os riscos relacionados à inteligência artificial, mesmo com hackers utilizando IA para ataques, afirmaram os participantes do painel na Cúpula de Risco Digital da NetDiligence, realizada nesta terça-feira.

Os palestrantes da cúpula, realizada na Filadélfia, nos Estados Unidos, discordaram sobre se a exposição à IA é principalmente uma questão digital, uma questão de responsabilidade civil de diretores e executivos ou um novo risco para o qual o setor ainda não encontrou uma recomendação adequada.

“Há tantas coisas que podem dar errado e que vão além da área eletrônica que, basicamente, cheguei à conclusão de que se trata de uma questão de responsabilidade civil de diretores e executivos”, disse Gail Arkin, vice-presidente sênior e diretora jurídica da Berkley Cyber Risk Solutions.

Arkin afirmou que a cobertura de seguro sobre questões digitais não aborda questões como se uma empresa está infringindo os direitos de terceiros, utilizando dados que não tem o direito de ⁠usar ou incorporando preconceitos em ⁠seus programas. Os conselhos de administração estão elaborando políticas ​de IA e ‌contratando equipes para monitorar como ela é utilizada, disse ela, o que torna isso “mais do que uma questão tecnológica, honestamente, e definitivamente mais do que uma questão cibernética”.

Tim Nazzaro, gerente global de produtos digitais da Hartford Steam Boiler, dividiu os riscos da IA em três categorias.

Primeiro, riscos relacionados à segurança e à privacidade, como o vazamento de dados pessoais por uma ferramenta de IA. Ele afirmou que a ⁠empresa é responsável por isso e que “isso deve estar claramente contemplado em uma apólice de segurança eletrônica”.

A segunda categoria ​diz respeito a outras linhas de seguro, por exemplo, uma ferramenta de IA que discrimine na contratação se enquadraria em uma apólice ​de responsabilidade civil por práticas trabalhistas.

A terceira categoria abrange novos riscos que “não têm um ‌lugar definido”, disse Nazzaro. Ele alertou ​o setor ⁠de segurança digital contra o hábito de optar por “ampliar a cobertura, simplesmente incluir o risco, sem fazer a subscrição”.

“Acho que isso poderia ser incluído em uma apólice cibernética, mas, se for o caso, precisamos garantir que estamos avaliando esses riscos”, disse ele. Ele citou as novas regulamentações sobre IA. Multas por violação ​de regras que não sejam leis de privacidade podem não se enquadrar em uma apólice cibernética, afirmou.

Danielle Roth, líder de prática e chefe de sinistros cibernéticos para a América do Norte na Axa XL, disse que as seguradoras não devem tratar a IA como “um monólito”. Em vez disso, afirmou ela, devem voltar à análise básica da cobertura: quem é o segurado, qual é o sinistro, se ele aciona algum acordo de seguro e se ​há exclusões aplicáveis.

“Talvez nem saibamos, em caso de violação, se a IA foi usada ou não. Podemos especular, mas talvez nunca venhamos a descobrir”, disse Roth. Ela defendeu que os segurados trabalhem com seus corretores para avaliar seus próprios riscos.

Arkin, da Berkley, comparou a situação a um “risco cibernético silencioso”, observando que “a exposição à IA estará presente em todas as apólices de seguro existentes. No momento, trata-se apenas de uma IA silenciosa”.

EXPLOSÃO DE ATAQUES

Michael Brunetti, vice-presidente de resposta a incidentes da MOXFIVE, disse que sua empresa está mais ocupada desde por volta de 4 de julho do que nunca. O ransomware tradicional e a dupla extorsão ainda são comuns, mas os ataques a serviços de computação em nuvem são onde “as coisas estão mudando”, afirmou ele. Ele ​citou grupos como o ShinyHunters, que têm como alvo aplicativos de software como serviço (SaaS).

Esses grupos não precisam mais invadir uma rede e criptografar tudo, disse Brunetti. ‌Em vez disso, eles usam IA para vasculhar dados roubados ⁠em busca do material mais sensível, escrevem mensagens de extorsão que fazem a ameaça “parecer muito mais assustadora” e criam rapidamente perfis de executivos. Um trabalho que costumava levar dias ou semanas agora leva minutos ou horas, afirmou ele.

Roth disse que a Axa XL também teve um verão bastante ⁠agitado e observou que grande parte disso se deveu a ataques a escritórios de advocacia, que, ⁠segundo ela, substituíram o setor de saúde como alvo preferido. A ⁠maioria dos ataques se baseou em ⁠phishing, ​em vez de novas técnicas de IA, disse ela, e os funcionários continuam sendo o maior ponto forte ou o elo mais fraco de uma empresa.