Seguro para erros de agentes de IA: o que perguntar ao corretor

Comece perguntando ao seu corretor se as apólices atuais respondem a um erro cometido por um agente de IA, e peça a resposta por escrito. A resposta honesta depende do texto de cada apólice, não da tecnologia, e costuma se dividir entre responsabilidade civil profissional, seguro cibernético, responsabilidade civil geral e cobertura contra fraude e crime. Você terá uma resposta mais útil se chegar com uma descrição clara do que o agente faz e uma lista de perguntas preparada.

Principais pontos

• O seguro responde ao texto da apólice, não a rótulos. Uma apólice que nunca menciona IA pode cobrir ou excluir uma perda causada por IA, então peça confirmação por escrito em vez de presumir.
• Um único erro do agente pode atingir várias apólices. Liste os danos possíveis (informação errada a um cliente, dados enviados à pessoa errada, pagamento feito por engano) e pergunte qual apólice responde a cada um.
• As seguradoras se importam com a forma como o agente é controlado. Permissões, etapas de aprovação e registros de atividade são evidências que você pode preparar antes da reunião.
• Exclusões e condições pesam tanto quanto a cobertura principal. Procure cláusulas sobre sistemas automatizados, práticas de segurança exigidas, promessas contratuais e incidentes repetidos.
• O seguro fica atrás dos controles, não no lugar deles. Aprovação humana, acesso limitado e registro do que o agente fez reduzem tanto a chance de perda quanto o atrito de um sinistro.

Por que o erro de um agente de IA não se encaixa em uma única apólice?

As apólices foram escritas pensando em pessoas, produtos e software convencional. Um agente de IA é uma mistura: age a partir de instruções, usa ferramentas, lê dados da empresa e às vezes conversa com clientes. Quando erra, o dano pode cair em mais de uma categoria, e cada categoria pertence a uma apólice diferente, com condições diferentes.

Pense primeiro no dano, não na tecnologia. Estas são as formas típicas que uma perda pode assumir:

• Uma informação ou recomendação errada dada a um cliente, o que normalmente aponta para responsabilidade civil profissional ou cobertura de erros e omissões.
• Dados confidenciais ou pessoais expostos, enviados ao destinatário errado ou extraídos por uma instrução maliciosa, o que normalmente aponta para o seguro cibernético.
• Um pagamento, reembolso ou pedido emitido por engano, que pode envolver cobertura de crime ou perda financeira, muitas vezes com condições sobre como a transação foi autorizada.
• Lesão ou dano material ligado a instruções que o agente deu, o que aponta para a responsabilidade civil geral.
• Um prazo perdido ou um serviço não entregue conforme o contrato com o cliente, o que levanta questões de responsabilidade contratual.

O erro também pode começar fora da sua empresa: no modelo, em um serviço de hospedagem ou em uma integração. Saber quem responde por cada camada ajuda a explicar o risco ao corretor, e a avaliação de segurança de fornecedor de IA é um bom ponto de partida para montar esse mapa.

O que levar para a reunião com o corretor?

O corretor só consegue avaliar o que você descreve. Uma frase vaga como usamos IA no atendimento convida a uma resposta vaga, ou a uma exclusão ampla. Uma descrição de uma página para cada agente dá à conversa algo concreto.

Prepare estes itens para cada agente que toca clientes, dinheiro ou dados sensíveis:

• A função em uma frase: que trabalho o agente faz e para quem.
• Se ele atende clientes e parceiros ou trabalha só internamente.
• Os sistemas de onde ele pode ler e os sistemas que ele pode alterar.
• As ações que ele pode executar sozinho e as que exigem aprovação prévia de uma pessoa identificada.
• Os tipos de dados que ele trata, como dados pessoais, dados de pagamento ou termos contratuais.
• Quem revisa o trabalho dele, com que frequência e o que acontece com o resultado rejeitado.
• Que registros existem: entradas, saídas, chamadas de ferramentas e aprovações, e por quanto tempo são guardados.
• Quais fornecedores participam: o modelo, a hospedagem e eventuais serviços conectados.
• As promessas contratuais feitas a clientes sobre precisão, confidencialidade ou prazo.

Se um fornecedor externo opera o agente para você, o documento de escopo já deve reunir boa parte disso. Um escopo de trabalho para implantação de agente de IA bem escrito é a fonte mais fácil e também mostra ao corretor onde fica cada responsabilidade.

Quais perguntas fazer, apólice por apólice?

Leve perguntas, não conclusões. Faça cada uma e peça ao corretor que confirme a resposta por escrito, citando a cláusula da apólice.

Para responsabilidade civil profissional ou erros e omissões:

• A apólice cobre erros nos serviços que entregamos quando um agente de IA produziu ou ajudou a produzir o trabalho?
• Existe alguma exclusão, endosso ou definição que mencione inteligência artificial, sistemas automatizados ou conteúdo gerado por software?
• A cobertura depende de uma pessoa revisar o resultado antes de ele chegar ao cliente?
• Quem é considerado o profissional quando o trabalho foi redigido por um sistema?

Para o seguro cibernético:

• A apólice cobre exposição de dados causada por um agente que nós configuramos, por exemplo uma mensagem enviada ao destinatário errado?
• Se um texto hostil escondido em um e-mail ou documento manipula o agente e o faz vazar dados, isso é um evento de segurança coberto? (É o problema de injeção de prompt descrito na orientação da OWASP, citada mais adiante.)
• Os custos de investigação, notificação e recuperação estão incluídos?
• Se o provedor do modelo ou da hospedagem tiver uma queda ou uma violação, a apólice responde às nossas perdas decorrentes?

Para crime e perda financeira:

• Se um agente envia um pagamento ou altera dados bancários por causa de instruções manipuladas, isso é coberto ou fica excluído porque um sistema autorizado iniciou a operação?
• A cobertura exige etapas de verificação, como confirmação por telefone ou dupla aprovação?
• Erros são tratados de forma diferente de fraude?

Para responsabilidade civil geral e contratos:

• A responsabilidade civil geral responde se instruções de um agente contribuem para uma lesão ou dano material, ou danos ligados a tecnologia são excluídos?
• As indenizações e promessas de serviço dos nossos contratos com clientes vão além do que nossas apólices pagariam?

Como exclusões e condições mudam a resposta?

Uma cobertura pode parecer ampla e ser reduzida por uma condição mais adiante. Esses são os pontos em que vale insistir, porque decidem se um sinistro será pago.

• Condições de segurança ou controle: a seguradora exige práticas específicas, e o descumprimento de uma delas reduz ou anula a cobertura?
• Ferramentas não aprovadas: se um funcionário conecta uma ferramenta de IA não autorizada aos dados da empresa, a perda resultante continua coberta?
• Agregação: se uma única instrução falha e causa o mesmo erro com muitos clientes, isso conta como um sinistro ou vários, e como isso afeta franquias e limites?
• Base de reclamações (claims-made): se o erro acontece agora e é descoberto depois, qual período da apólice e qual data retroativa se aplicam?
• Responsabilidade contratual: promessas feitas em contratos com clientes ficam excluídas da cobertura?
• Comunicação de mudanças: é preciso avisar a seguradora ao implantar um agente ou alterar de forma relevante o que ele faz?

O último ponto costuma passar despercebido. Propostas e renovações perguntam sobre as operações, e um novo agente que envia comunicações a clientes é uma mudança nas operações. Pergunte ao corretor se e quando informar, e registre a resposta.

O que um cenário ilustrativo mostra sobre lacunas de cobertura?

Cenário ilustrativo: uma distribuidora usa um agente para redigir respostas a pedidos de cotação. O agente lê uma tabela de preços. Um arquivo desatualizado permanece na base de conhecimento, e um rascunho cota um preço menor que o pretendido. Um funcionário ocupado envia sem conferir, e o cliente aceita.

Ao percorrer esse caso com o corretor, várias perguntas aparecem:

• Um erro de preço é uma reclamação de terceiro ou apenas um prejuízo do negócio que a empresa absorve? Muitas apólices não pagam o custo de honrar o próprio preço errado.
• A responsabilidade civil profissional se aplicaria, ou uma exclusão de promessa contratual a afasta?
• Se o cliente tivesse sofrido uma perda posterior e processado a empresa, a origem assistida por IA mudaria a resposta?

A lição útil é que algumas perdas, na prática, não são seguráveis e precisam ser evitadas. Aqui, três controles teriam importado mais que qualquer apólice: um responsável único pela fonte de preços, uma etapa de aprovação antes de qualquer cotação sair da empresa e um registro mostrando qual arquivo o agente usou. A conversa com o seguro fica mais fácil quando você consegue mostrar que esses controles existem.

Quais controles facilitam a conversa?

Corretores e subscritores avaliam a probabilidade de uma perda e o quanto você consegue demonstrar o que aconteceu. Você não precisa de uma certificação para se preparar, mas precisa de evidências atuais e específicas.

• Permissões delimitadas: o agente alcança apenas o que sua função exige. Uma revisão regular, apoiada em identidade e contas próprias para o agente de IA, é a prova mais clara disso.
• Limites de aprovação: ações com impacto financeiro, jurídico ou sobre o cliente exigem a decisão de uma pessoa identificada.
• Registros de atividade: entradas, saídas, chamadas de ferramentas e aprovações são guardadas para que um incidente possa ser reconstituído. Ter clareza sobre quem supervisiona um agente de IA na empresa ajuda a definir o que registrar e quem lê esses registros.
• Avaliação recorrente: alguém testa o agente com casos conhecidos e registra os resultados.
• Um procedimento de incidente: quem é avisado, quem pode desligar o agente e como o cliente é informado.

Como referência de gestão de riscos que seguradoras e conselhos costumam reconhecer, o NIST AI Risk Management Framework oferece um vocabulário comum para mapear e tratar esses riscos, e o OWASP Top 10 para aplicações com LLMs lista os modos de falha que vale discutir com a equipe técnica.

A Be Human projeta e opera agentes com esses controles embutidos: cada agente tem função definida, permissões delimitadas, limites de aprovação e registros de atividade, e a operação gerenciada inclui revisão de permissões, avaliações recorrentes e resposta a incidentes. Isso gera documentação concreta que você pode entregar ao corretor. A Be Human não vende seguros nem oferece aconselhamento jurídico, e nenhum registro garante que uma apólice responderá.

O que fazer depois da reunião?

Trate a conversa com o corretor como o início de um projeto curto, com responsável e ponto de chegada.

• Passo um: escreva a descrição de uma página de cada agente e peça que a pessoa responsável por ele confirme que está correta.
• Passo dois: envie a lista de perguntas ao corretor antes da reunião, para que as respostas sejam pesquisadas, não improvisadas.
• Passo três: peça respostas por escrito que citem as cláusulas da apólice, e também qualquer endosso ou exclusão que mencione IA ou sistemas automatizados.
• Passo quatro: liste as lacunas, isto é, os danos que nenhuma apólice cobre com clareza, e decida para cada uma se vai contratar cobertura, mudar um contrato, adicionar um controle ou aceitar o risco.
• Passo cinco: confira nos contratos com clientes as promessas que excedem a sua cobertura e envolva seu advogado quando houver.
• Passo seis: defina um gatilho de revisão, como um novo agente, um novo tipo de dado, um novo fornecedor ou cada renovação, para que a conversa se repita quando os fatos mudarem.

Guarde as respostas do corretor junto com seus demais registros de governança. Uma revisão trimestral de IA na empresa enxuta pode reunir esses documentos em um só lugar sem virar um grande programa.

Perguntas frequentes

As apólices empresariais comuns cobrem erros de IA? Às vezes, mas sem garantia. A cobertura depende do texto da apólice, do tipo de dano e de eventuais condições ou exclusões, então uma apólice que não menciona IA ainda pode responder ou pode excluir a perda. Peça ao corretor que confirme por escrito como cada apólice trata um erro cometido por um sistema automatizado.

Existe seguro específico para IA? Algumas seguradoras incluem cláusulas específicas de IA, ampliando ou restringindo a cobertura, e os detalhes variam por seguradora e mudam com o tempo. Pergunte ao corretor o que está disponível hoje e compare com as lacunas que você identificou, em vez de comprar um produto antes de conhecer a lacuna.

Quem responde se o erro do provedor do modelo causar a perda? Depende dos seus contratos com o provedor e com os seus clientes. Os provedores costumam limitar a própria responsabilidade, o que pode deixar a perda com você, então leia os limites e pergunte ao corretor se suas apólices respondem a uma falha do provedor.

Precisamos avisar a seguradora de que usamos um agente de IA? Pergunte ao corretor, porque propostas e renovações costumam perguntar sobre operações e mudanças relevantes. Deixar de informar algo que a seguradora perguntou pode gerar problemas em um sinistro, então obtenha a orientação sobre comunicação por escrito e envolva seu advogado se a resposta não for clara.

Orientação editorial Be Human. Exemplos são ilustrativos, salvo atribuição explícita. Fontes oferecem contexto; a implementação depende do seu processo.