AI & Framväxande Teknik

Cyberförsäkringsbolag har svårt att prissätta en risk som änny inte går att mäta

15 juni 2026 6 min läsning

Insurers Are Pulling Back on AI Coverage as Agentic Risk Grows

När företag snabbt integrerar AI i sina verksamheter svarar försäkringsbolagen med undantag, begränsningar i försäkringsskyddet och mer ingående frågor vid förnyelse. Anledningen är inte att AI-relaterade skadeärenden är vanliga, utan för att den skadehistorik som krävs för att sätta premier inte finns i någon meningsfull omfattning.

Oron handlar heller inte främst om att AI-system blir hackade. Den handlar om att de agerar. Gerry Glombicki, chef för cyberrisk på Fitch Ratings, uttryckte det tydligt:

-Agentbaserad AI medför ännu större risker. Den allvarligaste risken är om en agent utför en åtgärd som den inte skulle ha gjort, till exempel raderar data, godkänner felaktiga åtgärder eller orsakar andra typer av affärsförluster.

Det är en viktig distinktion. Hotbilden kring agentbaserad AI handlar inte om ett intrång i traditionell mening. Det är ett autonomt system som gör fel i stor skala, snabbare än en människa hinner ingripa.

Ingen skadehistorik – ingen tillförlitlig prissättning

Försäkringsprissättning bygger på aktuariella tabeller. Aktuariella tabeller bygger på skadehistorik. AI-ansvar har nästan ingen sådan historik. Enligt Geneva Associations rapport från oktober 2025 om generativa AI-risker för försäkringssektorn gör kombinationen av begränsad skadedata och asymmetrisk information mellan försäkringsgivare och försäkringstagare att AI-risk i nuläget är genuint svår att försäkra. Det är inte bara kommersiellt obekvämt, utan tekniskt olösligt med dagens data.

Informationsasymmetrin är dessutom betydande. Företaget som använder ett AI-system vet betydligt mer om hur det beter sig, vilken data det hanterar och hur dess resultat påverkar affärsbeslut än någon försäkringsgivare som ställer frågor vid förnyelse. Försäkringsgivare kan inte granska en modells beteende på samma sätt som de kan granska en brandväggskonfiguration.

I maj 2025 rapporterade Dark Reading att försäkringsbolag svarar på två sätt: antingen genom att undanta AI-relaterade förluster från befintliga cyberförsäkringar eller genom att försöka bedöma och prissätta AI-exponering som ett separat försäkringsmoment.

Ingen av modellerna är dock etablerad. Undantagsmodellen riskerar att skapa försäkringsluckor som företag upptäcker först när ett skadeärende avslås. Modellen med separat prissättning kräver samtidigt data som ännu inte finns i tillräcklig omfattning för att möjliggöra tillförlitliga riskbedömningar.

Autonoma åtgärder är försäkringsrisk som företag bör bevaka

Traditionell cyberförsäkring byggdes kring en igenkännbar händelse: ett system komprometterades, data exfiltrerades eller krypterades och en ersättningsbar förlust uppstod. Agentbaserad AI utmanar denna model.

En AI-agent som autonomt genomför en finansiell transaktion, ändrar en databas, säger upp leverantörsavtal eller skickar kommunikation för ett företags räkning behöver ingen angripare. Förlusten kan helt orsakas av att systemet agerar utanför förväntade ramar på grund av en bristfällig prompt, korrupt träningsdata eller ett fel i en nedströmsintegration. Det är inte en cyberincident i traditionell mening. Beroende på jurisdiktion och hur försäkringsvillkoren är formulerade ligger det närmare ett krav kopplat till professionsansvar eller produktansvar.

Partiskhet är den andra exponeringen som försäkringsbolag börjar ta på större allvar. Ett AI-system som används vid rekrytering, kreditbedömning eller kundprissättning och som ger diskriminerande resultat skapar regulatoriskt ansvar, potentiella rättsprocesser och ryktesrisk. Inget av detta passar särskilt tydligt in i en standardiserad cyberförsäkring. EU AI-förordning, som trädde i kraft i augusti 2024, skapar särskilda skyldigheter för högrisk-AI-system inom just dessa kategorier. Enligt detta regelverk kan företag som använder icke-kompatibla högrisk-AI-system få böter på upp till 30 miljoner euro eller 6 procent av den globala årsomsättningen.

Vad företag faktiskt bör göra innan nästa försäkringsförnyelse

Det ärligt talade svaret är att de flesta företag inte har kartlagt sina AI-implementeringar tillräckligt detaljerat för att kunna besvara de frågor som en kompetent försäkringsgivare kommer att ställa. Den bristen spelar redan roll. Förnyelsediskussioner pågår och företag som inte kan beskriva vad deras AI-system är behöriga att göra, och vilka kontroller som hindrar dem från att göra mer än så, kommer att möta högre premier, bredare undantag eller båda delarna.

Tre praktiska åtgärder inför nästa förnyelsesamtal. För det första: inventera alla AI-system som kan utföra en åtgärd, inklusive att skicka e-post, genomföra en transaktion, ändra en post eller kommunicera externt. Ha kontroll över vilken data varje system hanterar och vilka behörigheter det har. För det andra: dokumentera kontrollerna kring autonoma åtgärder, särskilt om mänskligt godkännande krävs innan någon oåterkallelig åtgärd genomförs. Försäkringsgivare börjar uttryckligen fråga om detta. För det tredje: granska hur er nuvarande cyberförsäkring hanterar AI-relaterade förluster. Leta efter undantag som lagts till vid den senaste förnyelsen. Många försäkringstagare har inte läst dessa tillräckligt noggrant.

Iowa Bar Blog noterade 2025 att AI-undantag successivt införs i försäkringsvillkor generellt, men att cyberförsäkringar hittills har påverkats mindre än andra försäkringsområden. Det kommer sannolikt inte att bestå. När användningen av agentbaserade AI-lösningar ökar och de första större AI-relaterade affärsförlusterna börjar skapa rättspraxis kommer cyberförsäkringsbolag snabbt att skärpa sina villkor.

Geneva Associations ståndpunkt, tydligt uttryckt i deras rapport från 2025, är att försäkringsbranschen behöver bygga upp skadedata redan nu genom noggrann riskbedömning av tidiga AI-risker, snarare än genom generella undantag. Annars kommer branschen inte att ha de verktyg som krävs för att prissätta nästa generation av AI-implementeringar över huvud taget. Det är ett rimligt långsiktigt argument. Det hjälper däremot inte ett företag som ska förnya sin försäkring inom de kommande 90 dagarna.