As seguradoras estão divididas quanto às apólices que deveriam cobrir os riscos relacionados à inteligência artificial, mesmo com hackers utilizando IA para ataques, afirmaram os ​participantes do painel na Cúpula de Risco Digital da NetDiligence, realizada nesta terça-feira (6).

Os ​palestrantes da cúpula, realizada na Filadélfia, nos Estados Unidos, discordaram sobre se a exposição à IA é principalmente uma questão digital, uma questão de responsabilidade civil de diretores e executivos ou um novo risco para o qual o setor ainda não encontrou uma recomendação adequada.

“Há tantas coisas que podem dar errado e que vão além da área eletrônica que, basicamente, cheguei à conclusão de que se trata de uma questão de responsabilidade civil de diretores e executivos”, disse Gail Arkin, vice-presidente sênior e diretora jurídica da Berkley Cyber Risk Solutions.

Arkin afirmou que a cobertura de seguro sobre questões digitais não aborda questões como se uma empresa ⁠está infringindo os direitos de terceiros, utilizando dados que não ​tem o direito de usar ou incorporando preconceitos em seus programas. Os conselhos de administração estão elaborando políticas de IA e contratando ​equipes para monitorar como ela é utilizada, disse ela, o que torna isso “mais do que uma questão tecnológica, honestamente, e definitivamente mais do que uma ⁠questão cibernética”.

Tim Nazzaro, gerente global de produtos digitais da Hartford Steam Boiler, ⁠dividiu os riscos da IA em três categorias.

Primeiro, riscos relacionados à segurança e à privacidade, como o vazamento de dados ​pessoais ‌por uma ferramenta de IA. Ele afirmou que a empresa é responsável por isso e que “isso deve estar claramente contemplado em uma apólice de segurança eletrônica”.

A ⁠segunda categoria diz respeito a outras linhas de seguro, por exemplo, uma ferramenta de IA que discrimine na contratação se enquadraria em uma apólice de responsabilidade civil por práticas trabalhistas.

A terceira categoria abrange novos riscos que “não têm um lugar definido”, disse Nazzaro. Ele alertou o setor de segurança digital contra o hábito de optar por “ampliar ‌a cobertura, ⁠simplesmente incluir o risco, sem ‌fazer a subscrição”.

“Acho que isso poderia ser incluído em uma apólice cibernética, mas, se for o caso, precisamos garantir que estamos avaliando esses riscos”, disse ele. Ele citou as novas regulamentações sobre IA. Multas por violação de regras que não sejam leis de privacidade podem não se enquadrar em uma apólice cibernética, afirmou.

Danielle Roth, ⁠líder de prática e chefe de sinistros cibernéticos para a América do Norte na ⁠Axa XL, disse que as seguradoras não devem tratar a IA como “um monólito”. Em vez disso, afirmou ela, devem voltar à análise básica da cobertura: quem é o segurado, qual é o ‌sinistro, se ele aciona algum acordo de seguro e se há exclusões aplicáveis.

“Talvez nem saibamos, em caso de violação, se a IA foi usada ou não. Podemos especular, mas talvez nunca venhamos a descobrir”, disse Roth. Ela defendeu que os segurados trabalhem com seus corretores para avaliar seus próprios riscos.

Arkin, da Berkley, comparou a situação a um “risco cibernético silencioso”, observando que “a exposição à IA estará presente em todas as apólices de seguro existentes. No momento, ‌trata-se apenas de uma IA silenciosa”.

Explosão de ataques

Michael Brunetti, vice-presidente de resposta a incidentes da MOXFIVE, disse que sua empresa está mais ocupada desde por volta de 4 de julho do que nunca. O ransomware tradicional e a dupla extorsão ainda são comuns, mas os ataques a serviços de computação ⁠em nuvem são onde “as coisas estão mudando”, afirmou ele.

Ele citou grupos como o ShinyHunters, que têm como alvo aplicativos de software como serviço (SaaS).

Esses grupos não precisam mais invadir uma rede e criptografar tudo, disse Brunetti. Em vez disso, eles usam IA para vasculhar dados roubados em busca do material mais sensível, escrevem mensagens ​de extorsão que fazem a ameaça “parecer muito mais assustadora” e criam rapidamente perfis de executivos.

Um trabalho que costumava levar dias ou semanas agora leva minutos ou ​horas, afirmou ele.

Roth disse que a Axa XL também teve um verão bastante agitado e observou que grande parte disso se deveu a ataques a escritórios de advocacia, que, segundo ela, substituíram o setor de saúde como alvo preferido.

A maioria dos ataques se baseou em phishing, em vez de novas técnicas de IA, disse ela, e os funcionários continuam sendo o maior ponto forte ou ‌o elo mais fraco de uma empresa.