EU AI Act: Anforderungen an Audit-Logging für Versicherungsunternehmen

Die EU-KI-Verordnung (Verordnung 2024/1689) trat am 1. August 2024 in Kraft. Für Versicherungsunternehmen, die KI in der Schadenbearbeitung, im Underwriting oder in der Betrugserkennung einsetzen, gelten die Hochrisiko-Bestimmungen ab August 2026. Diese Frist ist kein ferner Horizont mehr — sie ist die unmittelbare Zukunft, und die erforderliche Vorbereitungsarbeit ist erheblich.

Diese Verordnung lässt sich nicht mit einem Policy-Dokument und einer Checkbox-Übung erledigen. Der Rechtsakt legt spezifische technische Anforderungen fest: verpflichtende Logging-Architekturen, Fähigkeiten zur menschlichen Aufsicht, Standards für technische Dokumentation, Data-Governance-Anforderungen und Verpflichtungen zur Post-Market-Überwachung.

Überblick und Zeitplan

Die Verordnung verfolgt einen risikobasierten Ansatz: Die meisten KI-Systeme unterliegen minimalen Pflichten, aber Systeme, die als „hochriskant“ eingestuft werden, unterliegen umfangreichen Anforderungen vor dem Einsatz und während ihres gesamten operativen Lebens.

• Verbotene KI-Praktiken — seit Februar 2025 untersagt
• General-Purpose-KI-Modelle — Pflichten seit August 2025
• Hochrisiko-KI-Systeme — Anforderungen gelten ab August 2026
• Bestimmte Produktsicherheitsverpflichtungen — ab August 2027

Warum Versicherungs-KI wahrscheinlich Hochrisiko ist

Anhang III der Verordnung listet die automatisch als Hochrisiko klassifizierten Systemkategorien. Die für die Versicherung unmittelbar relevante Kategorie ist explizit: KI-Systeme, die zur Bestimmung der Anspruchsberechtigung und der Höhe von Leistungen, Diensten oder Produkten — einschließlich Versicherung — eingesetzt werden.

• Automatisierte Schadentriage-Systeme
• KI-Betrugserkennungssysteme
• Dokumentenverarbeitungssysteme, die Deckungsentscheidungen speisen
• Automatisierte Reservierungstools
• Underwriting-KI-Systeme, die das Risiko bewerten und die Preisgestaltung beeinflussen

Der umsichtige Ansatz: Jedes KI-System, das Schaden- oder Underwriting-Entscheidungen beeinflusst, als Hochrisiko einstufen und entsprechend Compliance sicherstellen — statt zu argumentieren, dass ein System außerhalb von Anhang III fällt, und später festzustellen, dass die Regulierungsbehörde anderer Meinung ist.

Artikel 12: Die Protokollierungsanforderungen im Detail

Artikel 12 verlangt, dass Hochrisiko-KI-Systeme automatisch Protokolle erzeugen, die mindestens erfassen:

• Die dem KI-System bereitgestellten Eingabedaten
• Die Ausgabe des KI-Systems — welche Entscheidung, Empfehlung, Bewertung oder Klassifizierung produziert wurde
• Datum und Uhrzeit der Operation
• Verwendete relevante Referenzdaten
• Anomalien oder andere vom Anbieter als relevant erkannte Informationen

Wo ein menschlicher Prüfer in eine KI-unterstützte Entscheidung eingreift — eine Empfehlung überschreibt, einen Fall zur weiteren Prüfung sendet oder eine KI-generierte Ausgabe modifiziert — muss dieser Eingriff protokolliert werden. Das Protokoll muss erfassen, was der Mensch geprüft, was die KI empfohlen und was der Mensch entschieden hat.

Die Regure-Audit-Trail-Plattform ist darauf ausgelegt, den vollständigen Protokoll-Trail KI-unterstützter Schadenentscheidungen in einem Format zu erfassen, das die Anforderungen von Artikel 12 erfüllt.

Artikel 14: Menschliche Aufsicht in der Praxis

Artikel 14 verlangt, dass Hochrisiko-KI-Systeme so konzipiert und betrieben werden, dass natürliche Personen während des Betriebs eine wirksame Aufsicht ausüben können. Die Unterscheidung liegt zwischen echter Aufsicht und Rubber-Stamping.

Für Schadenoperationen entstehen spezifische Anforderungen: Sachbearbeiter, die KI-Empfehlungen prüfen, müssen geschult sein, wie das System funktioniert, was es gut kann und wo es bekannte Limitationen oder Verzerrungen hat; das System muss seine Ausgaben mit ausreichendem Kontext für eine echte Bewertung präsentieren; der Workflow muss Overrides wirklich einfach machen; Override-Entscheidungen müssen mit Begründung protokolliert werden.

Bias-Monitoring und operative Implikationen

Der Rechtsakt verlangt, dass Systeme vor dem Einsatz auf Genauigkeit und Zuverlässigkeit getestet und während ihrer operativen Lebensdauer auf Bias überwacht werden. Für Versicherungs-KI hat Bias-Monitoring sowohl regulatorische als auch kommerzielle Dimensionen: Eine Schaden-KI, die systematisch niedrigere Vergleichsangebote für bestimmte Gruppen produziert, begründet Haftung unter dem EU AI Act, dem britischen Equality Act und den Consumer-Duty-Anforderungen.

Drittanbieter-KI und geteilte Verantwortung

Viele Versicherer bauen keine eigenen KI-Systeme, sondern nutzen Anbieterprodukte. Der EU AI Act erlaubt in diesen Fällen keine vollständige Delegation der Compliance-Pflichten an den Anbieter. Als Deployer ist ein Versicherer verantwortlich: für die anweisungsgemäße Nutzung des Systems; für die Implementierung menschlicher Aufsichtsmaßnahmen; für die nach Artikel 12 erforderlichen Protokolle; für die Meldung schwerer Vorfälle an den Anbieter.

Siehe die Claims-Automation-Plattform und die EU-Souveränitäts-Seite.