L’assicurazione “intelligente” nella valutazione del rischio cyber

Negli ultimi anni gli attacchi informatici stanno diventando una delle principali minacce per società e aziende di ogni dimensione e i danni derivanti dalla perdita di dati sensibili o, ancora, dai blocchi operativi causati da c.d. ransomware, possono essere ingenti e molto costosi.

In un contesto in cui le minacce informatiche aumentano in numero, sofisticazione e impatto economico, un ruolo chiave viene rivestito dalle compagnie assicurative che, chiamate ad offrire una “copertura assicurativa” contro questi rischi, oggi più che mai si trovano dinanzi a una nuova sfida: come valutare il rischio cyber in continua evoluzione?

La risposta non è facile, soprattutto se consideriamo che il rischio cyber è sempre più dinamico, imprevedibile nonché intangibile e, a differenza di quello fisico, diventa di difficile quantificazione. Basti pensare che gli hacker diventano sempre più esperti, le vulnerabilità informatiche si moltiplicano e ogni azienda ha un profilo digitale unico.

Ed ecco che le compagnie assicurative stanno progressivamente ridefinendo il proprio approccio alla gestione del rischio cyber adottando sempre più spesso tecnologie basate sull’intelligenza artificiale (di seguito IA o AI) e sul machine learning (di seguito ML), che si stanno rilevando un punto di svolta per migliorare l’identificazione e la valutazione del rischio informatico.

Queste tecnologie, infatti, consentono alle compagnie assicurative di analizzare grandi quantità di dati provenienti da diverse fonti e prevedere comportamenti futuri, al fine di migliorare la valutazione del rischio, ottimizzare la prevenzione delle frodi e sviluppare prodotti più accurati e personalizzati

Quindi, se tradizionalmente le compagnie assicurative utilizzavano modelli per la valutazione del rischio statici e basati su dati storici, l’evoluzione digitale e l’aumento delle minacce informatiche stanno rendendo necessaria una revisione di questi approcci.

Non è infatti un caso che l’utilizzo dell’AI stia, innanzitutto, mutando il processo di underwriting (sottoscrizione): dalla compilazione di questionari e modelli valutativi standard a modelli di machine learning e Natural Language Processing (NLP) in grado di elaborare grandi quantità di dati e informazioni complesse sui clienti consentendo così di determinare in modo più accurato il profilo di rischio e personalizzare i premi assicurativi.

Inoltre, l’uso di modelli predittivi basati su Big Data Analytics sta aiutando le compagnie assicurative a personalizzare il pricing (prezzo) in base ai profili di rischio individuali. In particolare, modelli di deep learning permettono di analizzare dati provenienti da diverse fonti consentendo di implementare sistemi di pricing dinamici in cui il premio assicurativo viene calcolato in tempo reale sulla base del comportamento effettivo del cliente e non più basato su valutazioni statistiche.

Con l’ausilio dell’intelligenza artificiale, dunque, le compagnie assicurative stanno cambiando prospettiva, transitando da una logica di rimborso a quella della prevenzione: non solo quindi una copertura assicurativa ai propri clienti ma una collaborazione attiva con gli stessi per ridurre, e perché no, anche anticipare i rischi cyber.

In quest’ottica, infatti, l’utilizzo da parte delle assicurazioni di sistemi di monitoraggio basati sull’intelligenza artificiale e machine learning (ML) consentono di identificare la vulnerabilità dei sistemi IT degli assicurati e segnalare comportamenti sospetti prima che si trasformino in attacchi reali.

Anche il rispetto da parte degli assicurati delle normative di sicurezza e l’adozione di certificazioni riconosciute a livello internazionale rappresentano un ulteriore aspetto importante che incide sul costo e sulla struttura di una polizza cyber.

Infatti, un’azienda che si conforma al regolamento GDPR dimostra una opportuna premura verso la protezione dei dati personali e alla gestione dei rischi legali in caso di violazioni. Ancora, un’azienda che ha ottenuto una certificazione ISO o NIST Cybersecurity framework dimostra di aver adottato standard di sicurezza rigorosi; così pure l’adozione del Regolamento Dora o della normativa NIS 2, sono tutti elementi che fanno presagire maggior affidabilità, con conseguente percezione, da parte della compagnia assicurativa, di un rischio cyber più basso e, pertanto, condizioni di polizza più favorevoli e premi assicurativi ridotti.

In altri termini, un’azienda certificata dimostra di aver senz’altro un maggior livello di maturità nella gestione della sicurezza informatica e di aver implementato protocolli di prevenzione e risposta agli incidenti. Tutto questo si traduce per le compagnie assicurative in un rischio inferiore e quindi in premi più vantaggiosi o coperture più ampie. Così pure l’utilizzo da parte degli stessi assicurati di strumenti avanzati di intelligenza artificiale all’interno della loro organizzazione aziendale potrebbe portare a condizioni più favorevoli nelle polizze assicurative.  

Le aziende, quindi, in quest’ottica non solo migliorano la propria cyber resilience (resilienza informatica) ma ne traggono anche vantaggi economici concreti sul piano assicurativo.

È dunque innegabile che il progressivo utilizzo dell’AI anche nel settore assicurativo sta rivoluzionando la valutazione del rischio e, in particolare, quello cyber. Ma qual è il rovescio della medaglia?

Nonostante i benefici, l’uso dell’AI in ambito assicurativo presenta alcuni punti deboli, come il rischio di bias nei dati, la mancanza di trasparenza nei processi decisionali e la necessità di competenze specializzate. Se, infatti, i dati dovessero essere incompleti o distorti, l’AI potrebbe generare valutazioni errate e condurre a decisioni sbagliate e inique nella gestione del rischio.

Non è un caso che, nel contesto normativo europeo, l’Ai Act stabilisce requisiti stringenti per l’uso dell’intelligenza artificiale nei settori ad alto rischio come i servizi assicurativi, imponendo obblighi di monitoraggio e trasparenza.

Anche l’EIOPA (Autorità europea delle assicurazioni e delle pensioni aziendali e professionali) è intervenuta sottolineando l’importanza di garantire trasparenza, equità e supervisione “umana” nell’uso delle tecnologie “intelligenti”, al fine di evitare discriminazioni e proteggere i diritti degli assicurati.

In conclusione, per affrontare tutte queste sfide, è fondamentale sviluppare politiche di governance adeguate (conformi al GDPR) e monitorare costantemente l’impatto delle tecnologie sull’accesso adeguato ai servizi assicurativi.