Os seguros para agentes de IA começam a entrar na agenda das seguradoras à medida que as empresas concedem maior autonomia a sistemas capazes de aceder a redes, aplicações e dados empresariais. QBE, Beazley e MSIG estão entre as companhias que analisam a forma como as atuais apólices de risco informático respondem a incidentes provocados por agentes de inteligência artificial.
A questão ultrapassa a utilização da IA por grupos de cibercrime. Um agente autorizado por uma empresa pode causar perdas ao executar uma tarefa de forma autónoma, mesmo sem existir uma intrusão externa. Esta possibilidade coloca em causa algumas das definições tradicionais usadas nos contratos de seguro cibernético.
Quando não existe um atacante
As apólices de risco informático foram desenvolvidas, em grande parte, para responder a acontecimentos como ransomware, roubo de credenciais, acessos não autorizados, violações de dados ou interrupções causadas por ataques.
Os agentes de IA introduzem um cenário diferente. Uma empresa pode conceder legitimamente a um sistema acesso à sua infraestrutura para executar tarefas, corrigir vulnerabilidades, gerir aplicações ou modificar configurações. O problema surge se o agente toma uma decisão inesperada ou ultrapassa os limites definidos.
Uma investigação da Reuters publicada a 27 de agosto revela que seguradoras como QBE, Beazley e MSIG estão a rever a linguagem das respetivas apólices perante este tipo de risco.
Um dos exemplos utilizados para explicar o problema envolve um agente autorizado a procurar e corrigir vulnerabilidades. O sistema pode descobrir uma falha, explorá-la para prosseguir a tarefa e aceder posteriormente a áreas da rede que não deveriam fazer parte da operação inicial.
Há uma perda potencial, mas pode não existir um atacante externo ou um acesso inicialmente ilegítimo. A classificação do incidente passa, por isso, a ser determinante para saber qual a cobertura aplicável.
A dúvida torna-se ainda maior se o sistema não sofre qualquer comprometimento e apenas executa uma decisão autónoma com consequências negativas. O acontecimento pode ser interpretado como incidente cibernético, erro de software, falha operacional ou problema de responsabilidade profissional.
QBE já criou coberturas associadas à IA
A adaptação do setor não começou agora. Em julho de 2025, a QBE North America anunciou duas coberturas de risco informático associadas à inteligência artificial.
Uma das proteções destina-se a custos relacionados com o cumprimento de legislação sobre IA, com cobertura para determinadas multas, penalizações e despesas de defesa. A segunda aborda o chamado LLMjacking, ataque no qual credenciais roubadas permitem a terceiros utilizar modelos de linguagem alojados na cloud e os recursos computacionais associados.
Neste último cenário, a cobertura pode abranger custos adicionais de utilização dos serviços e despesas relacionadas com o treino posterior de modelos comprometidos.
A evolução dos agentes autónomos introduz, contudo, outra dimensão. Serene Davis, responsável global pela área de cyber da QBE, explicou à Reuters que a seguradora considera a inteligência artificial um fator capaz de ampliar riscos já existentes.
Se um acontecimento relacionado com IA resulta num incidente que corresponde às condições tradicionais de uma apólice cibernética, a cobertura pode continuar aplicável. O desafio surge se a atuação autónoma não corresponde às definições existentes.
A Beazley também indicou que os clientes pretendem integrar riscos associados à inteligência artificial nas coberturas de cibersegurança e confirmou que trabalha em proteção destinada a novas exposições ligadas à tecnologia.
Na MSIG, Ryan Kratz, responsável de cyber para a América do Norte, considera que o aumento da capacidade dos sistemas de IA para identificar vulnerabilidades e executar ações de forma autónoma obrigará as seguradoras a rever continuamente a linguagem das apólices.
Isto não significa que exista já uma cobertura uniforme para danos causados por agentes de IA. O setor ainda procura definir os limites entre cibersegurança, responsabilidade profissional e risco operacional.
Empresas terão de controlar a autonomia dos agentes
A discussão sobre seguros surge ao mesmo tempo que organismos de cibersegurança reforçam os alertas sobre a utilização de agentes com permissões elevadas.
O National Cyber Security Centre do Reino Unido publicou recomendações específicas para a gestão do risco cibernético associado à IA agêntica.
Entre as medidas propostas estão a limitação das permissões ao mínimo necessário, a utilização de ambientes isolados, a supervisão humana de operações de maior risco e a existência de mecanismos capazes de interromper uma ação caso o comportamento do agente se afaste do objetivo definido.
Os registos de atividade também assumem particular importância. Para além da resposta a incidentes, a capacidade de reconstruir as decisões e ações de um agente pode ajudar a determinar responsabilidades se existir uma perda.
Estes controlos poderão ganhar peso na avaliação das empresas pelas seguradoras. O mercado dos seguros cibernéticos já analisa elementos como autenticação multifator, proteção de endpoints, backups e capacidade de resposta a incidentes durante o processo de subscrição.
Os agentes de IA acrescentam novas variáveis: quais os sistemas a que podem aceder, que ações podem executar sem aprovação, durante quanto tempo mantêm credenciais e em que situações é necessária intervenção humana.
Falta de dados dificulta cálculo dos prémios
A maturidade limitada da tecnologia constitui outro problema para as seguradoras.
As companhias dispõem de dados históricos sobre ransomware, violações de dados e outras categorias de incidentes informáticos. O mesmo não acontece com perdas resultantes da atuação autónoma de agentes de IA.
Sem séries históricas suficientemente representativas, torna-se mais difícil estimar a frequência dos incidentes, a dimensão média das perdas e a possibilidade de um único problema afetar simultaneamente várias organizações.
A incerteza surge numa altura em que o mercado dos seguros cibernéticos continua a crescer.
Segundo a Global Cyber Risk and Insurance Survey 2026, da Munich Re, o mercado mundial de seguros cibernéticos atingiu quase 15 mil milhões de dólares em 2025.
A resseguradora prevê que o volume global de prémios alcance cerca de 28 mil milhões de dólares em 2030, o que corresponde a uma taxa média de crescimento anual de 15% entre 2020 e 2030.
A evolução dos agentes de IA pode alterar parte desse mercado. O risco deixa de estar associado apenas à possibilidade de alguém utilizar inteligência artificial para atacar uma empresa. Passa também a abranger as consequências das decisões tomadas pelos próprios sistemas que operam dentro das organizações.
Para seguradoras e empresas, a questão deixa assim de ser apenas saber se um agente pode sofrer um ataque. O problema passa a incluir aquilo que acontece se um sistema autorizado toma a decisão errada.
Outros artigos interessantes:
