A las ocho de la mañana de un lunes cualquiera, la dirección general de una entidad de servicios financieros se reúne de urgencia. Tres semanas atrás, la compañía había desplegado con entusiasmo un agente de inteligencia artificial dotado de permisos operativos para atender reclamos, procesar solicitudes corporativas y autorizar desembolsos e indemnizaciones de menor cuantía, de forma totalmente automatizada, sin intervención humana. El objetivo estratégico de la medida consistía en reducir sensiblemente los tiempos operativos y elevar la experiencia general del usuario. Durante los primeros días de implementación, los indicadores de eficiencia mostraron un desempeño impecable. Sin embargo, en el transcurso del fin de semana, el sistema colapsó de manera silenciosa y masiva.

¿Qué ocurrió realmente en la infraestructura? Tras ejecutarse una actualización automática en el entorno del proveedor SaaS, el agente de AI interpretó de forma errónea una regla de elegibilidad interna. El sistema escaló este fallo de manera masiva, autorizando cientos de reembolsos improcedentes y transfiriendo fondos corporativos a cuentas bancarias de terceros de forma irreversible. Por si fuera poco, durante el mismo flujo de comunicación al confirmar las transferencias, el agente adjuntó expedientes que contenían datos personales confidenciales, historiales de pagos y documentos de identidad de otros clientes de la institución.

Ante el inminente impacto financiero y regulatorio, la alta dirección convocó de inmediato a sus asesores legales y de riesgos para activar las coberturas de seguro vigentes y exigir responsabilidades al proveedor tecnológico. Fue en ese preciso instante cuando la junta directiva descubrió una realidad incómoda: ninguna de las defensas económicas sobre las que respaldaban su operación funcionaría como esperaban.

Al intentar tramitar la reclamación, esta fue rechazada categóricamente por la compañía aseguradora. El argumento principal fue que la póliza cibernética vigente únicamente cubría intromisiones no autorizadas, secuestros de datos (ransomware) o ataques informáticos externos; la actuación del agente no derivó de un hackeo externo, sino de una decisión errónea tomada por un software interno plenamente autorizado con credenciales y permisos corporativos. Por su parte, el proveedor tecnológico SaaS se remitió a sus términos de servicio estandarizados, donde se estipulaba que su responsabilidad se limitaba estrictamente al monto acumulado de las licencias pagadas en los últimos tres meses, excluyendo explícitamente daños indirectos, lucros cesantes o pérdidas consecuenciales. Con los clientes afectados exigiendo indemnizaciones y presentando denuncias formales ante la autoridad de protección de datos, la empresa se vio obligada a asumir con recursos propios la brecha patrimonial generada por los desembolsos indebidos.

Este caso no constituye una anomalía improbable; es la representación exacta de la brecha que hoy separa la adopción acelerada de tecnología de la protección financiera real.

Del asistente que sugiere al agente que ejecuta: Con la llegada de la inteligencia artificial generativa, el mercado empresarial se acostumbró a interactuar con modelos que resumen información, analizan documentos complejos o redactan borradores que un profesional humano revisa y valida formalmente antes de su emisión.Sin embargo, los agentes de inteligencia artificial alteran radicalmente esa dinámica operativa, ya que es un sistema facultado para encadenar tareas complejas, consultar bases de datos operativas, comunicarse de forma directa con los clientes y desencadenar transacciones financieras finales bajo permisos delegados.

Esta diferencia conceptual transforma de forma sustancial el perfil de riesgo institucional, ya queun fallo algorítmico en un entorno de ejecución autónoma que no espera una revisión humana se replica a gran velocidad, genera cientos de ejecuciones defectuosas en minutos y afecta a múltiples destinatarios simultáneamente. En este caso, poderreconstruir la causalidad de un siniestro provocado por IA exige auditar la instrucción inicial (prompt), los datos de entrenamiento y contexto consultados, la versión exacta del modelo y los registros de la acción final. Si la organización no conserva esa evidencia, la trazabilidad del error resulta imposible.

El 16 de octubre, The Wall Street Journal identificó esta incertidumbre en materia de seguros como uno de los principales obstáculos para el despliegue a gran escala de la inteligencia artificial corporativa. Cuando ocurre un siniestro, la empresa usuaria, el desarrollador del modelo, la compañía aseguradora y los terceros afectados interpretan el mismo hecho bajo marcos conceptuales opuestos.

Un mercado asegurador en reestructuración y las tres zonas de incertidumbre: Las aseguradoras y reaseguradoras globales no han permanecido indiferentes ante esta transformación, pero el mercado aún carece de una respuesta uniforme. Gigantes del sector como Munich Re han desarrollado coberturas específicas (como la suite aiSure) orientadas a garantizar el rendimiento de los modelos y proteger contra desviaciones (drift), errores de precisión o bajo desempeño de los algoritmos. De igual manera, firmas especializadas como Armilla AI —respaldadas por suscriptores del mercado de Lloyd’s— anunciaron pólizas de responsabilidad civil con cobertura afirmativa para fallos derivados de aplicaciones de IA, agentes autónomos y violaciones involuntarias de privacidad.Esta incertidumbre explica por qué las aseguradoras están introduciendo exclusiones explícitas de «IA no supervisada», recortando sublímites o exigiendo auditorías profundas de gobernanza antes de emitir o renovar una póliza.

El contrato del proveedor y la asimetría regional: A la brecha del seguro se suma la trampa contractual de los proveedores tecnológicos. Gran parte del ecosistema corporativo adquiere herramientas de IA desarrolladas por multinacionales bajo contratos de adhesión estandarizados. Esas licencias suelen limitar la responsabilidad del proveedor, exigir arbitrajes en jurisdicciones remotas y declinar cualquier garantía sobre la precisión del contenido generado.

Esta asignación contractual sirve para proteger la ecuación económica del desarrollador, pero no extingue la responsabilidad de la empresa usuaria frente a terceros. Si el sistema causa un daño masivo, los tribunales locales exigirán cuentas a la entidad que operaba y comercializaba el servicio, independientemente de lo que diga el contrato firmado con el proveedor en el extranjero.

En América Latina, y de forma particular en El Salvador, esta asimetría adquiere un matiz crítico. Las empresas e instituciones locales contratan plataformas de IA internacionales bajo leyes extranjeras, mientras que sus programas de seguro se negocian en el mercado asegurador local. Aunque El Salvador ha avanzado desde 2025 en marcos normativos como la Ley de Fomento a la Inteligencia Artificial y Tecnologías —la cual enfatiza la gestión de riesgos y las salvaguardas operativas—, estas normativas no garantizan la cobertura automática en las pólizas vigentes. Cada condicionado debe ser auditado al detalle.

Conclusiones: La trazabilidad se convierte en la única defensa institucional efectiva ante este panorama. Una organización madura debe llevar un inventario riguroso de sus sistemas de inteligencia artificial. Necesita saber qué datos utilizan, qué decisiones toman, qué permisos tienen asignados y qué persona o rol tiene la facultad de desactivarlos en caso de emergencia. Ante un siniestro, la aseguradora exigirá pruebas detalladas del evento antes de indemnizar, y el proveedor alegará sus exenciones contractuales. Conservar evidencia técnica auditatoria —versiones del modelo, registros de instrucciones (prompt logs), fuentes de consulta, validaciones humanas y registros de auditoría— es el único camino para garantizar una respuesta institucional rápida, fundamentada y legalmente defendible.

De allí, nuestra insistencia en la gobernanza de la inteligencia artificial que permita asumir la tecnología con precisión, limites, responsabilidad y trazabilidad y criterio humano.

Dra. Mireya Rodriguez /Experta en gobernanza ética y transformación digital 

CEO de VORTEX AI Solutions S.A. de C.V.