Versicherungen

Für Versicherer zieht die KI-Verordnung eine klare Linie: Hochriskant ist KI zur Risikobewertung und Preisbildung für natürliche Personen in der Lebens- und Krankenversicherung (Anhang III Nr. 5 c). Fast alles andere, von der Schadenbearbeitung über die Betrugserkennung bis zum Kundenservice, ist nicht hochriskant, fällt aber unter DORA, die Governance-Anforderungen nach VAG und die Erwartungen von EIOPA.

Was die Aufsicht erwartet

EIOPA beschreibt in ihrer Stellungnahme zu KI-Governance und Risikomanagement vom 6. August 2025, wie die bestehenden Anforderungen aus Solvency II und Vertriebsrecht auf KI außerhalb der Hochrisiko-Fälle anzuwenden sind, ohne neue Anforderungen aufzustellen: risikobasiert und verhältnismäßig, mit Fairness, Daten-Governance, Dokumentation, Erklärbarkeit, menschlicher Aufsicht und Robustheit. Die BaFin ordnet KI-Systeme in ihrer Orientierungshilfe vom 18. Dezember 2025 als Netzwerk- und Informationssysteme im Sinne von Art. 3 Nr. 2 DORA ein. DORA gilt für Versicherer seit dem 17. Januar 2025.

Umsetzung

1. Tarifierungssysteme abgrenzen

   Welche Modelle wirken auf Risikoeinschätzung und Prämie natürlicher Personen in Leben und Kranken? Dazu gehören auch Bausteine in eingekauften Bestands- und Antragssystemen.

2. Diskriminierungsrisiken prüfen

   Gesundheits- und Lebensstildaten sind besonders sensibel. Prüfen Sie Merkmale und Ersatzmerkmale auf mittelbare Benachteiligung und halten Sie das Ergebnis fest (Art. 10, Art. 27; für die Datenverarbeitung Art. 4a und DSGVO).

3. Grundrechte-Folgenabschätzung

   Vor Inbetriebnahme (Art. 27 Abs. 1), verbunden mit der Datenschutz-Folgenabschätzung (Art. 27 Abs. 4), Ergebnis an die BaFin (Art. 27 Abs. 3).

4. Kunden informieren und erklären können

   Information über die Mitwirkung des Systems (Art. 26 Abs. 11) und Erläuterung auf Verlangen (Art. 86), neben Art. 22 DSGVO.

5. Übrige KI über DORA und EIOPA steuern

   Schadenbearbeitung, Betrugserkennung, Chatbots: Inventar, Risikoanalyse, Drittanbieter, Tests, Transparenz nach Art. 50 bei Kundenkontakt.

Für Banken und Zahlungsinstitute siehe Finanzsektor; die Gegenüberstellung von KI-Verordnung und DORA gilt für Versicherer entsprechend.