KI in der Versicherung: EU AI Act für Versicherer und Makler

Versicherer arbeiten seit jeher mit Daten und Wahrscheinlichkeiten, also mit genau dem Stoff, aus dem KI gemacht ist. Entsprechend breit ist der Einsatz: Tarifierung, Schadenbearbeitung, Betrugsabwehr, Kundenkommunikation. Der EU AI Act zieht durch dieses Feld eine überraschend schmale Linie. Hochriskant im Sinne von Anhang III sind nur zwei Sparten, und auch dort nur eine bestimmte Tätigkeit.

Seit dem 2. August 2026 gelten die Hochrisiko-Vorschriften. Dieser Beitrag zeigt, wo die Grenze verläuft und was diesseits und jenseits davon zu tun ist.

Nur zwei Sparten stehen in Anhang III

Anhang III Nummer 5 Buchstabe c benennt KI-Systeme, die bestimmungsgemäß für die Risikobewertung und Preisbildung in Bezug auf natürliche Personen im Fall von Lebens- und Krankenversicherungen verwendet werden sollen. Diese Formulierung ist enger, als sie beim ersten Lesen wirkt, und jedes ihrer Merkmale zählt.

Die Erwägungsgründe erklären den Grund für die Auswahl. Fehlerhafte Tarifierung in diesen beiden Sparten kann schwerwiegende Folgen für Leben und Gesundheit haben, bis hin zu finanzieller Ausgrenzung und Diskriminierung. Bei einer Kaskoversicherung sah der Gesetzgeber diese Eingriffstiefe nicht.

Warum das für Sachversicherer keine Freistellung ist

Die schmale Grenzziehung wird leicht als Entwarnung gelesen. Das greift zu kurz, aus drei Gründen.

Erstens gilt die Kompetenzpflicht aus Artikel 4 unabhängig von der Risikostufe. Sie trifft jeden professionellen KI-Einsatz, in jeder Sparte, in jeder Betriebsgröße.

Zweitens ist Anhang III nicht die einzige Stelle, an der ein System hochriskant werden kann. Wer KI im eigenen Haus für Personalauswahl oder Leistungsbeurteilung einsetzt, landet in Nummer 4 desselben Anhangs. Der Beitrag zu KI im Personalwesen geht darauf ein.

Drittens gelten unabhängig vom AI Act weiter die Vorschriften zum Datenschutz und zur automatisierten Entscheidungsfindung. Die Verordnung lässt sie ausdrücklich unberührt.

Wann die Bagatell-Ausnahme nicht greift

Artikel 6 Absatz 3 kennt eine Erleichterung für Systeme ohne erhebliches Risiko. Für die Tarifierung ist sie meist verschlossen, und zwar wegen des Schlusssatzes der Vorschrift: Ein Anhang-III-System gilt immer dann als hochriskant, wenn es ein Profiling natürlicher Personen vornimmt. Individuelle Risikobewertung in Leben und Kranken ist regelmäßig genau das.

Praktisch bedeutet das eine Umkehr der üblichen Prüfreihenfolge. Nicht „ist das Risiko gering genug", sondern zuerst „profiliert das System Personen". Fällt die zweite Antwort mit Ja aus, erübrigt sich die erste.

Versicherer und Makler: wer ist Betreiber

Die Verordnung unterscheidet Anbieter und Betreiber. Anbieter entwickeln ein System oder bringen es auf den Markt. Betreiber setzen es unter eigener Verantwortung ein. Für die meisten Häuser und praktisch alle Maklerbetriebe ist die zweite Rolle einschlägig.

Diese Zuordnung ist keine Formsache, denn an ihr hängt der Pflichtenkatalog aus Artikel 26. Er verlangt vom Betreiber die bestimmungsgemäße Verwendung nach Betriebsanleitung, die menschliche Aufsicht durch Personen mit der erforderlichen Kompetenz und Befugnis, geeignete und repräsentative Eingabedaten sowie die Aufbewahrung der Systemprotokolle. Die Einzelheiten dieses Katalogs stehen im Beitrag zu Hochrisiko-KI-Systemen.

Zwei Punkte daraus treffen die Versicherung besonders und werden weiter unten vertieft: die Datenqualität und die Frage, wer die Aufsicht tatsächlich ausübt.

Für Maklerbetriebe ist die Abgrenzung im Einzelfall zu prüfen. Wer ein Vergleichs- oder Tarifierungswerkzeug lediglich abfragt, das ein Versicherer betreibt, ist nicht ohne Weiteres selbst Betreiber dieses Systems. Wer eigene KI im Bestand einsetzt, ist es. Die Kompetenzpflicht aus Artikel 4 greift in beiden Fällen.

Die Grundrechte-Folgenabschätzung

Für die beiden erfassten Sparten kommt eine Pflicht hinzu, die außerhalb des Hochrisiko-Bereichs unbekannt ist. Artikel 27 verlangt vor der Inbetriebnahme eine Abschätzung der Auswirkungen auf die Grundrechte. Sie trifft neben öffentlichen Stellen ausdrücklich die Betreiber von Systemen nach Anhang III Nummer 5 Buchstaben b und c. Buchstabe c ist die Tarifierung in Leben und Kranken.

Die Abschätzung erfasst unter anderem die Verfahren, in denen das System verwendet wird, Zeitraum und Häufigkeit der Nutzung, die betroffenen Personengruppen und die spezifischen Schadensrisiken.

Diskriminierung ist der Kern der Sache

Die Erwägungsgründe machen deutlich, worum es dem Gesetzgeber ging. Eine Tarifierungs-KI, die auf verzerrten Daten beruht, kann Personengruppen systematisch benachteiligen und historische Muster fortschreiben. Genau darauf zielt Artikel 26 Absatz 4 mit der Anforderung an repräsentative Eingabedaten.

Der Stichtag trifft Bestandsmodelle nicht automatisch

Viele Tarifierungsmodelle laufen seit Jahren. Für sie enthält Artikel 111 Absatz 2 eine Übergangsregel: Erfasst werden Hochrisiko-Systeme, die vor dem 2. August 2026 in Betrieb genommen wurden, erst dann, wenn ihre Konzeption danach erheblich verändert wird. Der Stichtag allein zwingt also zu keinem Umbau.

Für die Praxis verschiebt das die eigentliche Frage auf den Änderungsprozess. Wer sein Modell neu trainiert, um Merkmale erweitert oder auf eine andere Architektur hebt, sollte vorher bewerten, ob das eine erhebliche Änderung der Konzeption ist. Ab diesem Moment gilt der volle Pflichtenkatalog.

Von alldem unberührt bleibt Artikel 4. Die Kompetenzpflicht gilt seit dem 2. Februar 2025 und kennt weder Übergangsfrist noch Bestandsschutz.

Sanktionen

Für Maklerbetriebe ist vor allem eine Regel wichtig: Verstöße gegen die Betreiberpflichten aus Artikel 26 fallen unter Artikel 99 Absatz 4, und für kleine und mittlere Unternehmen greift nach Absatz 6 jeweils der niedrigere der beiden dort genannten Werte. Die Zahlen und die Systematik erklärt der Beitrag zu Bußgeldern und Sanktionen, die parallele Lage bei Banken der Beitrag zu KI in der Finanzbranche.

Für Artikel 4 selbst sieht die Verordnung keine eigene EU-Geldbuße vor. Sanktionen richten sich dort nach nationalem Recht.

Die KI-Kompetenz im Versicherungsbetrieb

Artikel 4 gilt für alle, die mit den Systemen arbeiten: in der Tarifierung, der Schadenbearbeitung, der Betrugsabwehr und der Beratung. Im Hochrisiko-Bereich kommt Artikel 26 Absatz 2 hinzu, der für die Aufsichtspersonen ausdrücklich Kompetenz und Ausbildung verlangt.

Für den Alltag heißt das: Wer eine Tarifentscheidung freigibt oder eine Schadenempfehlung übernimmt, muss verstehen, wie das Ergebnis zustande kommt und wann es nicht ungeprüft übernommen werden darf.

Was Versicherer und Makler jetzt tun sollten

Die Reihenfolge ist wichtiger als die Vollständigkeit. Beginnen Sie mit der Spartenfrage, denn sie entscheidet über alles Weitere.

1. Sparte prüfen. Betrifft die KI die Risikobewertung oder Preisbildung gegenüber natürlichen Personen in Leben oder Kranken? Nur dann greift Anhang III Nr. 5 Buchst. c.
2. Rolle klären. Betreiben Sie das System selbst, oder fragen Sie das eines Versicherers ab? Davon hängt ab, ob Artikel 26 Sie unmittelbar trifft.
3. Grundrechte-Folgenabschätzung ansetzen, falls Schritt 1 und 2 zu Hochrisiko führen. Sie gehört vor die Inbetriebnahme.
4. Aufsichtspersonen benennen und prüfen, ob sie geschult und befugt sind.
5. Eingabedaten bewerten, soweit sie Ihrer Kontrolle unterliegen.
6. Änderungsprozess festlegen, damit erhebliche Konzeptionsänderungen an Bestandsmodellen nicht unbemerkt die volle Regelung auslösen.
7. Kompetenzaufbau dokumentieren, spartenübergreifend und unabhängig von der Risikostufe.

Den Rahmen der Kompetenzpflicht erklärt der Leitfaden zu Artikel 4. Für die Umsetzung im Team hilft KI-Schulung für Mitarbeiter.

Quelle: Verordnung (EU) 2024/1689, insbesondere Art. 4, Art. 6, Art. 26, Art. 27, Art. 99, Art. 111, Art. 113 und Anhang III Nr. 5.