Seit dem 2. August 2026 verlangt der EU AI Act, dass ein Chatbot auf einer Versicherungswebsite als KI erkennbar ist. Die strengen Regeln für KI in der Tarifierung von Lebens- und Krankenversicherungen greifen dagegen erst am 2. Dezember 2027.
Für Versicherer beginnt der EU AI Act also an der Kundenschnittstelle, nicht in der Tarifierung. Hinzu kommt: Seit Juli 2026 hat sich der Zeitplan verschoben, und die BaFin hat neue Aufgaben bekommen. Was im Herbst 2024 über das Gesetz geschrieben wurde, stimmt deshalb nur noch teilweise.
In diesem Beitrag ordnen wir ein, welche Pflichten für Versicherer heute gelten, welche ab Dezember 2027 dazukommen und wo Du jetzt ansetzen kannst.
Das Wichtigste in Kürze
- Der EU AI Act stuft KI-Systeme nach Risiko ein. Für Versicherer sind vor allem die Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung als hochriskant eingestuft.
- Durch den Digital Omnibus gelten die Hochrisiko-Pflichten dafür erst ab dem 2. Dezember 2027 statt ab August 2026.
- Schon heute gelten die Verbote, die Pflicht zur KI-Kompetenz und die Transparenzpflichten, etwa der KI-Hinweis bei Chatbots.
- In Deutschland überwacht die BaFin KI, die direkt mit regulierter Versicherungstätigkeit zusammenhängt. Für andere Anwendungen ist die Bundesnetzagentur zuständig.
- Ein guter erster Schritt ist eine Übersicht aller eingesetzten KI-Systeme, wie sie auch die BaFin empfiehlt.
Was ist der EU AI Act?
Der EU AI Act, auch KI-Verordnung genannt, legt EU-weit Regeln für den Einsatz künstlicher Intelligenz fest. Dabei gilt: Je höher das Risiko einer KI-Anwendung, desto strenger die Anforderungen.
Die Verordnung ist seit dem 1. August 2024 in Kraft. Ihre Vorgaben werden schrittweise wirksam. Mit der Digital-Omnibus-Verordnung hat die EU im Juli 2026 einige Fristen und Regelungen angepasst.
Die KI-Verordnung unterscheidet im Kern vier Risikoklassen:
- Verbotene Praktiken (Art. 5)zum Beispiel manipulative Techniken oder das Ausnutzen von Schutzbedürftigkeit.
- Hochrisiko-KI-Systeme (Art. 6 mit den Anhängen I und III)für die umfangreiche Pflichten gelten.
- KI-Systeme mit Transparenzpflichten (Art. 50)etwa Chatbots oder KI-erzeugte Inhalte.
- Alle übrigen KI-Systemefür die vor allem die Pflicht zur KI-Kompetenz gilt.
Zusätzlich gibt es eigene Regeln für KI-Modelle mit allgemeinem Verwendungszweck. Dazu gehören große Sprachmodelle wie GPT von OpenAI, die beispielsweise bei ChatGPT zum Einsatz kommen. Diese Regeln richten sich vor allem an die Anbieter der Modelle.
Anbieter oder Betreiber: Welche Rolle hat ein Versicherer?
Die Pflichten hängen davon ab, welche Rolle ein Unternehmen hat. Anbieter entwickeln ein KI-System und bringen es in Verkehr. Betreiber verwenden ein KI-System „in eigener Verantwortung“, so definiert es Art. 3 Nr. 4 der Verordnung.
Ein Versicherungsunternehmen, das ein KI-System einkauft und einsetzt, ist in der Regel Betreiber. Das kann sich ändern: Nach Art. 25 gilt ein Betreiber selbst als Anbieter eines Hochrisiko-KI-Systems, wenn er es unter eigenem Namen anbietet, es wesentlich verändert oder seine Zweckbestimmung so ändert, dass es hochriskant wird.
Welche KI-Anwendungen bei Versicherern gelten als hochriskant?
Hochriskant sind laut Anhang III Nr. 5 Buchstabe c KI-Systeme, die für die Risikobewertung und Preisbildung in Bezug auf natürliche Personen bei Lebens- und Krankenversicherungen bestimmt sind. Andere Sparten wie Kfz-, Sach- oder Haftpflichtversicherung nennt diese Nummer ebenso wenig wie Schadenbearbeitung oder Betrugserkennung.
Entscheidend ist die Zweckbestimmung, also wofür ein System bestimmt ist. Art. 6 Abs. 3 enthält zudem Ausnahmen: Ein in Anhang III genanntes System gilt unter bestimmten Bedingungen nicht als hochriskant, etwa wenn es nur eine eng gefasste Verfahrensaufgabe übernimmt und das Ergebnis der Entscheidung nicht wesentlich beeinflusst.
Die folgende Tabelle zeigt typische Einsatzfelder und die Stelle der Verordnung, die sie regelt:
|
Einsatzfeld |
Regelung in der KI-Verordnung |
Gilt seit bzw. ab |
|
Manipulative Techniken, Ausnutzen von Schutzbedürftigkeit |
verbotene Praktiken (Art. 5) |
2. Februar 2025 |
|
KI-Kompetenz der Mitarbeitenden, die KI nutzen |
Art. 4, seit 27. Juli 2026 neu gefasst |
2. Februar 2025 |
|
Chatbot im Kundenservice oder auf der Website |
Transparenzpflicht (Art. 50 Abs. 1) |
2. August 2026 |
|
KI-erzeugte Bilder, Töne oder Videos, die als Deepfake gelten |
Offenlegungspflicht für Betreiber (Art. 50 Abs. 4) |
2. August 2026 |
|
Risikobewertung und Preisbildung, Leben und Kranken, natürliche Personen |
Hochrisiko (Anhang III Nr. 5 c) |
2. Dezember 2027 |
Wichtig: Ob eine konkrete Anwendung hochriskant ist, hängt von ihrer Zweckbestimmung und vom Einzelfall ab. Die Tabelle gibt die Systematik der Verordnung wieder und ersetzt keine Prüfung im eigenen Haus.
Was gilt seit wann? Der Zeitplan nach dem Digital Omnibus
Die Pflichten des EU AI Act gelten gestaffelt: Verbote und KI-Kompetenz seit Februar 2025, Transparenzpflichten seit August 2026, die Hochrisiko-Pflichten für Versicherer ab Dezember 2027.
Ursprünglich sollten die Hochrisiko-Pflichten aus Anhang III ab dem 2. August 2026 gelten. Mit der Digital-Omnibus-Verordnung (EU) 2026/1744 haben Parlament und Rat diesen Termin verschoben. Die Begründung steht in der Verordnung selbst: Normen und nationale Behörden waren nicht rechtzeitig verfügbar. Die Änderung ist seit dem 27. Juli 2026 in Kraft.
Die wichtigsten Daten im Überblick (Art. 113 und Art. 111 der KI-VO):
- 1. August 2024Der EU AI Act tritt in Kraft.
- 2. Februar 2025Allgemeine Bestimmungen, darunter die KI-Kompetenz, und die Verbote gelten.
- 2. August 2025Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Governance und Sanktionen gelten.
- 2. August 2026Allgemeiner Geltungsbeginn, unter anderem für die Transparenzpflichten nach Art. 50.
- 2. Dezember 2026Anbieter generativer KI-Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, müssen KI-erzeugte Inhalte maschinenlesbar kennzeichnen (Art. 111 Abs. 4).
- 2. Dezember 2027Hochrisiko-Pflichten für Systeme aus Anhang III, also auch für Risikobewertung und Preisbildung in Leben und Kranken.
- 2. August 2028Hochrisiko-Pflichten für KI in regulierten Produkten nach Anhang I, etwa Maschinen oder Medizinprodukte.
Die Verschiebung ist ein Aufschub, keine Entwarnung. Die Pflichten selbst sind geblieben, nur der Termin hat sich geändert.
Welche Pflichten haben Versicherer schon heute?
Einige Anforderungen des EU AI Act gelten bereits. Dazu gehören die Verbote bestimmter KI-Anwendungen nach Art. 5 sowie Vorgaben zur KI-Kompetenz (Art. 4) und Transparenz (Art. 50). Besonders die letzten beiden Bereiche sind für den Einsatz von KI im digitalen Versicherungsvertrieb relevant.
KI-Kompetenz: Was Versicherer beachten müssen
Artikel 4 wurde mit der Digital-Omnibus-Verordnung neu gefasst. Anbieter und Betreiber müssen jetzt Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten. Dabei zählen Vorwissen, Erfahrung und der Kontext, in dem die Systeme eingesetzt werden.
Neu ist die Klarstellung, dass Unternehmen nicht für ein bestimmtes Kompetenzniveau einzelner Personen einstehen müssen. Die EU-Kommission soll dazu praktische Beispiele veröffentlichen. Die BaFin empfiehlt, das bestehende Schulungskonzept um KI-spezifische Inhalte zu ergänzen.
Transparenz: KI muss für Kunden erkennbar sein
Nach Art. 50 Abs. 1 müssen Menschen erkennen können, wenn sie mit einem KI-System interagieren, sofern dies nicht ohnehin offensichtlich ist. Versicherer, die Chatbots einsetzen, sollten deshalb prüfen, ob der KI-Hinweis gut sichtbar und spätestens bei der ersten Interaktion vorhanden ist (Art. 50 Abs. 5).
Der Hinweis muss auch den geltenden Barrierefreiheitsanforderungen entsprechen, beispielsweise für Screenreader zugänglich sein. Hier überschneiden sich die Anforderungen der KI-Verordnung mit denen des BFSG.
Auch für Marketing-Teams gibt es Vorgaben: KI-generierte oder manipulierte Inhalte, die als Deepfakes gelten, müssen nach Art. 50 Abs. 4 entsprechend gekennzeichnet werden.
Praxisbeispiel: Ein KI-Assistent beantwortet in der Abschlussstrecke Fragen zum Tarif. Der Hinweis „Du chattest mit einer KI“ steht sichtbar am Anfang des Dialogs, ist für Screenreader lesbar und verschwindet nicht nach der ersten Nachricht. Die Information ist damit Teil der Nutzerführung.
Wo ein Chatbot oder KI-Assistent in Rechner und Formulare eingebunden ist, gehört der Hinweis deshalb schon in die Konzeption der Abschlussstrecke. Ähnlich wie bei der elektronischen Widerrufsfunktion wird die Pflicht so Teil einer verständlichen Strecke.
Was kommt ab Dezember 2027 auf Versicherer zu?
Ab dem 2. Dezember 2027 müssen Versicherer, die KI zur Risikobewertung und Preisbildung in Leben und Kranken einsetzen, die Betreiberpflichten für Hochrisiko-KI-Systeme erfüllen. Die wichtigsten Anforderungen stehen in Art. 26, 27 und 86.
Betreiberpflichten nach Art. 26
- Vorgaben einhalten: Das System wird so eingesetzt, wie es die Betriebsanleitung des Anbieters vorsieht.
- Menschliche Aufsicht sicherstellen: Der Betreiber überträgt die menschliche Aufsicht Personen mit der nötigen Kompetenz, Ausbildung und Befugnis.
- Datenqualität prüfen: Der Betreiber sorgt dafür, dass Eingabedaten, die er kontrolliert, zur Zweckbestimmung passen und ausreichend repräsentativ sind. Datenqualität ist damit auch Sache des Betreibers.
- Betrieb überwachen: Der Betreiber überwacht den Betrieb. Bei Risiken oder schwerwiegenden Vorfällen informiert er Anbieter und Behörden.
- Protokolle aufbewahren: Automatisch erzeugte Protokolle werden mindestens sechs Monate aufbewahrt, soweit sie der Kontrolle des Betreibers unterliegen und kein anderes Recht etwas anderes bestimmt.
- Betroffene informieren: Menschen, über die ein solches System entscheidet oder bei deren Entscheidung es unterstützt, werden darüber informiert (Art. 26 Abs. 11).
Grundrechte-Folgenabschätzung nach Art. 27
Betreiber von Hochrisiko-KI-Systemen nach Anhang III Nr. 5 b und c müssen vor dem Einsatz abschätzen, wie sich das System auf die Grundrechte der Betroffenen auswirken kann. Die Lebensversicherung und die Krankenversicherung sind damit ausdrücklich erfasst. International heißt das Instrument Fundamental Rights Impact Assessment, kurz FRIA.
Der Digital Omnibus erleichtert das: Liegt aus dem Datenschutz bereits eine Folgenabschätzung nach DSGVO vor, können Teile davon übernommen oder in Bezug genommen werden. Zudem soll das europäische Büro für Künstliche Intelligenz einen Musterfragebogen bereitstellen.
Recht auf Erläuterung nach Art. 86
Wer von einer Entscheidung auf Grundlage eines Hochrisiko-KI-Systems aus Anhang III betroffen ist, kann unter bestimmten Voraussetzungen eine klare und aussagekräftige Erläuterung verlangen. Gemeint sind die Rolle des KI-Systems im Entscheidungsprozess und die wichtigsten Elemente der Entscheidung.
Für die Kommunikation mit Kund:innen heißt das: Wer KI in der Tarifierung einsetzt, braucht Erklärungen, die Kund:innen verstehen. Technische Dokumentation allein reicht dafür nicht.
Wer überwacht den EU AI Act in Deutschland?
In Deutschland sind vor allem zwei Behörden für die KI-Aufsicht relevant: die Bundesnetzagentur und die BaFin. Die Bundesnetzagentur übernimmt zentrale Aufgaben der Marktüberwachung. Die BaFin ist für KI-Systeme zuständig, die unmittelbar mit der regulierten Tätigkeit von Versicherern, Banken und anderen beaufsichtigten Finanzunternehmen zusammenhängen.
Grundlage dafür ist das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das laut Bundesministerium für Digitales und Staatsmodernisierung am 29. Juli 2026 in Kraft getreten ist.
Die Marktüberwachung der BaFin umfasst dabei verbotene KI-Praktiken, Transparenzpflichten und Hochrisiko-KI-Systeme. KI-Anwendungen außerhalb der regulierten Versicherungstätigkeit, beispielsweise im Personalmanagement, fallen grundsätzlich in den Zuständigkeitsbereich der Bundesnetzagentur.
Die BaFin richtet ihren Blick besonders auf zentrale Versicherungsprozesse wie Risikoprüfung, Preisgestaltung und Schadenregulierung. Das betonte Julia Wiens, Exekutivdirektorin der Versicherungsaufsicht, in einer Rede im Mai 2026. Versicherer sollten ihre eingesetzten KI-Systeme deshalb in einem KI-Register erfassen und nach Risiken einordnen.
Auch die europäische Versicherungsaufsicht EIOPA hat sich mit dem Einsatz von KI beschäftigt. In ihrer Stellungnahme zu Governance und Risikomanagement erklärt sie, wie bestehende Vorschriften wie Solvency II und die Versicherungsvertriebsrichtlinie (IDD) auf KI-Anwendungen anzuwenden sind, die nicht als hochriskant oder verboten gelten. Neue gesetzliche Pflichten entstehen dadurch nicht.
Bußgelder: Art. 99 sieht für verbotene Praktiken Geldbußen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes vor. Für Verstöße gegen Betreiberpflichten nach Art. 26 und Transparenzpflichten nach Art. 50 sind es bis zu 15 Millionen Euro oder 3 %. Maßgeblich ist jeweils der höhere Betrag.
Was sollten Versicherer jetzt tun?
Der wichtigste Schritt ist eine vollständige Übersicht der eingesetzten KI-Systeme mit ihrer Einstufung nach der KI-Verordnung. Darauf bauen alle weiteren Schritte auf.
- KI-Systeme erfassenWelche Systeme laufen wo, mit welchem Zweck, von welchem Anbieter? Die BaFin empfiehlt, die KI-Verordnung frühzeitig in Governance, Risikomanagement und Compliance zu berücksichtigen, und nennt das DORA-Informationsinventar als mögliche Orientierung.
- Jede Anwendung einstufenWelche Risikoklasse der KI-VO trifft zu: verboten, hochriskant, transparenzpflichtig oder sonstige? Halte Zweckbestimmung und Rolle (Anbieter oder Betreiber) fest.
- Kundenschnittstellen prüfenChatbots, KI-Assistenten in Rechnern, KI-erzeugte Bilder in Kampagnen: Ist der KI-Hinweis vorhanden, verständlich und barrierefrei?
- KI-Kompetenz aufbauenErgänze Schulungen um KI-Inhalte, passend zu den Rollen im Haus.
- Verträge mit Anbietern anpassenKläre, wer Betriebsanleitung, Kennzeichnung und Protokolle liefert.
- Hochrisiko-Anwendungen vorbereitenVerzahne die Grundrechte-Folgenabschätzung mit bestehenden Datenschutz-Folgenabschätzungen, plane die Information der Kund:innen und lege fest, wie Du die Einhaltung der Betreiberpflichten nachweist.
Fehlt diese Übersicht bei Dir noch? Dann ist jetzt ein guter Zeitpunkt für den Anfang. Dokumentation, Prozesse und Schulungen für Hochrisiko-Anwendungen entstehen nicht in wenigen Wochen.
Bei Website, Chatbot und Abschlussstrecke ist die Umsetzung greifbar. Ob ein KI-Hinweis gut platziert und barrierefrei ist, entscheidet sich in Gestaltung und Entwicklung.
Fazit: Der EU AI Act beginnt nicht erst 2027
Die Verschiebung der Hochrisiko-Pflichten auf den 2. Dezember 2027 verschafft Versicherungen Zeit für Tarifierung und Risikobewertung in Leben und Kranken. An der Kundenschnittstelle gilt der EU AI Act aber schon heute: KI-Kompetenz, Verbote und der KI-Hinweis bei Chatbots sind Pflicht, und die BaFin überwacht sie.
Wer jetzt eine Übersicht der eigenen KI-Systeme aufbaut, erfüllt eine Erwartung der Aufsicht und schafft die Grundlage für alles, was 2027 kommt. Der EU AI Act ist für Versicherer kein Projekt für später, sondern eine Ordnungsaufgabe für jetzt.
Dieser Beitrag ersetzt keine Rechtsberatung.
Möchtest Du das Thema weiter vertiefen oder im Kontext Deiner Website einordnen?
Wir freuen uns auf den Austausch.