Warum viele Versicherer vor einer doppelten Herausforderung stehen
KI ist in Unternehmen angekommen, aber ohne übergreifende Steuerung. Copilot-Lizenzen sind ausgerollt, im Schadenmanagement laufen erste automatisierte Prozesse und HR-Abteilungen erproben KI-gestützte Recruiting-Tools. Wie der EU AI-Act genau diese Praxis regulatorisch einholt und welchen Ausweg technologiegestützte Compliance-Lösungen bieten, zeigt Rüdiger Lang im aktuellen Fachbeitrag „Regulatorik: Zwischen Innovation und Compliance“ im Themendossier der Versicherungsforen Leipzig.
Der EU AI-Act reguliert dabei nicht in erster Linie Technologien, sondern deren Verwendungszweck. Ein und dieselbe Software kann je nach Einsatzszenario unkritisch oder hochriskant sein. Setzen Versicherer KI-Systeme zur Risikobewertung und Tarifierung in der Kranken- oder Lebensversicherung ein, unterstützen sie Entscheidungen über Leistungsauszahlungen oder tragen sie zur Betrugserkennung bei, klassifiziert Anhang III des EU AI-Acts diese Systeme explizit als hochriskant. Das betrifft keine Randphänomene, sondern Kernprozesse der Branche mit umfangreichen Dokumentations-, Bewertungs- und Meldepflichten.
Hinzu kommt ein strukturelles Problem. In vielen Häusern ist unklar, welche KI-Systeme überhaupt im Einsatz sind. Fachbereiche beschaffen eigenständig, die IT hat keinen vollständigen Überblick und Compliance war bislang nicht systematisch eingebunden. Eine mittelgroße Versicherung, die KI in der Tarifierung, Schadensbearbeitung, HR und im Kundenservice einsetzt, hat schnell sechs bis zehn potenzielle Hochrisiko-Systeme im Einsatz. Ohne vollständiges KI-Inventar lässt sich jedoch keine Risikoklassifizierung vornehmen. Ohne Klassifizierung bleibt jede Compliance-Maßnahme lückenhaft, unabhängig davon, wie viele Schulungen zuvor durchgeführt wurden.
Was der EU AI-Act für Versicherer konkret bedeutet
Für jedes Hochrisiko-System schreibt der EU AI-Act eine vollständige technische Dokumentation vor: Zweck, Funktionsweise, eingesetzte Daten, Leistungsgrenzen und bekannte Risiken. Hinzu kommen die Konformitätsbewertung vor dem produktiven Einsatz, die Registrierung in der EU-Datenbank für KI-Systeme sowie im laufenden Betrieb lückenlose Auditierbarkeit gegenüber Aufsichtsbehörden wie der BaFin. Seit dem 2. August 2026 ist zudem die Transparenzpflicht nach Artikel 50 wirksam. Wer jetzt mit dem Inventar beginnt, hat noch die Chance, strukturiert vorzugehen. Wer wartet, wird unter Druck dokumentieren, und das sieht man den Ergebnissen dann meistens an.
RegTech als Antwort auf strukturelle Komplexität
Genau hier liegt der Ansatzpunkt für technologiegestützte Compliance-Lösungen, kurz RegTech. Statt manuelle Prüfprozesse hochzuskalieren, überwachen moderne Plattformen regulatorische Anforderungen kontinuierlich, gleichen interne Dokumente und Prozesse automatisch mit dem aktuellen Regelwerk ab und überführen identifizierte Lücken in strukturierte Handlungsempfehlungen. Gap-Analysen, die manuell Wochen dauern würden, lassen sich so in Stunden durchführen. Lösungen wie der Consileon Compliance Manager adressieren diese Anforderungen bereits für Rahmenwerke wie DORA, MaRisk und NIS-2, ein spezifisches Modul für den EU AI-Act befindet sich in der Entwicklung. RegTech ersetzt dabei nicht die strategische Entscheidung, das Thema als unternehmensweite Managementaufgabe anzugehen; es macht den operativen Aufwand jedoch beherrschbar.
Wie verschaffen sich Versicherer einen vollständigen Überblick über ihre KI-Systeme? Welche Rolle spielt RegTech dabei, den Aufwand beherrschbar zu machen? Und wie gelingt der Übergang von punktuellen Maßnahmen zu einer echten KI-Governance? Mehr dazu lesen Sie im Artikel.
