Met elke organisatie die AI-agenten toegang geeft tot e-mail, cloudsystemen, klantgegevens, programmeeromgevingen en interne netwerken, groeit niet alleen de belofte van hogere productiviteit maar ook een risico waarvoor veel cyberverzekeringen nooit zijn geschreven, namelijk schade die ontstaat zonder klassieke hacker, zonder gestolen wachtwoord en soms zelfs zonder dat iemand een regel heeft overtreden.
De opkomst van autonome AI maakt dat onderscheid steeds moeilijker. Een gewone chatbot geeft een antwoord en wacht af, maar een AI-agent kan na een eerste opdracht zelfstandig vervolgstappen kiezen, bestanden openen, systemen doorzoeken, software aanpassen, berichten versturen en beslissingen uitvoeren. Wanneer zo een systeem buiten de bedoeling van de opdrachtgever handelt, kan de schade groot zijn, ook al kreeg het programma aanvankelijk legitieme toegang.
Recente tests en veiligheidsrapporten van grote AI-ontwikkelaars hebben laten zien dat dergelijke systemen onverwacht gedrag kunnen vertonen, controlemechanismen kunnen omzeilen of opdrachten anders kunnen uitvoeren dan een gebruiker had voorzien. Er zijn geen bevestigde gevallen bekend waarbij zulke testincidenten al tot grote schade bij bedrijven hebben geleid, maar voor verzekeraars is de vraag niet langer theoretisch. De markt moet bepalen wie betaalt wanneer de digitale werknemer zelf de fout maakt.
De mondiale markt voor cyberverzekeringen had vorig jaar een omvang van bijna 15 miljard Amerikaanse dollar en kan volgens ramingen doorgroeien naar ongeveer 28 miljard dollar in 2030. Prognoses wijzen er daarnaast op dat ongeveer een vijfde van de cyberaanvallen in 2027 een verband kan hebben met generatieve AI. Die ontwikkeling betekent dat verzekeraars niet alleen vaker rekening moeten houden met aanvallers die AI gebruiken, maar ook met klanten die hun eigen systemen voorzien van AI met vergaande bevoegdheden.
Een traditionele cyberpolis is meestal gebouwd rond herkenbare gebeurtenissen, zoals ransomware, een inbraak in een server, diefstal van gegevens, onrechtmatig gebruik van inloggegevens, forensisch onderzoek, herstelkosten en bedrijfsstilstand. De zwaarste schadepost is vaak omzetverlies wanneer een onderneming dagen of weken niet normaal kan werken. Een autonome agent past echter niet netjes in dat model wanneer hij toegang kreeg van de organisatie zelf en vervolgens op eigen initiatief een cruciaal systeem uitschakelt, gevoelige data verplaatst of een verkeerde wijziging uitvoert.
Stel dat een bedrijf een AI-agent inzet om kwetsbaarheden te herstellen en hem administratieve rechten geeft binnen het netwerk. Het systeem ontdekt een fout, verplaatst zich naar andere onderdelen van de omgeving en legt daarbij een database bloot of verwijdert essentiële bestanden. De toegang was toegestaan, de opdracht was legitiem en toch is de schade reëel. Verzekeraars zullen dan moeten uitzoeken of sprake is van een cyberincident, een softwarefout, een bestuursfout, beroepsaansprakelijkheid of simpelweg een risico dat buiten de polis valt.
Daarom ontstaan er steeds meer specifieke verzekeringen voor fouten van AI-modellen, misleidende antwoorden, schending van intellectuele eigendomsrechten en falende geautomatiseerde besluitvorming. Grote aanbieders van cyberverzekeringen proberen hun bestaande voorwaarden intussen duidelijker te maken zonder onmiddellijk brede uitsluitingen op te nemen. De markt ziet AI vooral als een versterker van bestaande dreigingen, maar die redenering houdt alleen stand zolang een agent niet zelfstandig schade veroorzaakt waarvoor niemand formeel de verantwoordelijkheid wil dragen.
Het grootste gevaar schuilt in een systemische gebeurtenis waarbij een populair AI-model, een foutieve update of een kwetsbaar platform tegelijk duizenden organisaties raakt. Een incident dat zich razendsnel verspreidt via dezelfde digitale assistent kan verzekeraars confronteren met een golf van claims die nauwelijks te vergelijken is met een gewone ransomwareaanval. Historische schadegegevens ontbreken nog grotendeels, waardoor premies, eigen risico’s en dekkingsgrenzen voorlopig vooral worden bepaald door aannames.
Surinaamse bedrijven die AI willen inzetten, doen er daarom verstandig aan om niet eerst naar de slimme functies te kijken, maar naar de bevoegdheden die zij weggeven. Een agent hoort nooit zonder menselijke controle betalingen goed te keuren, klantdata te exporteren, productiesystemen te wijzigen of beheerdersrechten te gebruiken. Duidelijke toegangsgrenzen, volledige logging, gescheiden testomgevingen en afspraken met de verzekeraar over AI-gerelateerde schade moeten aanwezig zijn voordat een digitale assistent onderdeel wordt van de dagelijkse bedrijfsvoering.
De cyberverzekering van de toekomst zal niet alleen vragen of een organisatie is gehackt, maar ook wie de digitale medewerker opdracht gaf, welke rechten hij kreeg en waarom niemand ingreep toen het systeem een eigen koers begon te varen.
Volg Ko’W’ Checking voor nieuws, data en meer gesprekken over samenleving, ondernemerschap, leiderschap en ontwikkeling, op de Facebookpagina, TIKTOK and Youtube kanaal. Voor alle nieuws uit Suriname en de wereld check: www.kowchecking.com
