Die Frist steht fest. Die Vorbereitung fehlt in den meisten Häusern.

Der EU AI Act betrifft Versicherer direkt, und die entscheidende Frist ist der 2. August 2026: Ab diesem Tag müssen Hochrisiko-KI-Systeme die Vorgaben der KI-Verordnung erfüllen, darunter die Risiko- und Preisbewertung in der Lebens- und Krankenversicherung. Die folgenden Fragen beantworten, was bis dahin steht.

Gilt der EU AI Act überhaupt für Versicherer?

Ja. Die KI-Verordnung der Europäischen Union ordnet KI-Systeme zur Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen ausdrücklich als hochriskant ein. Anhang III der Verordnung führt diese Anwendungen namentlich auf. Ein Versicherer, der solche Systeme einsetzt, fällt damit unter die strengsten Pflichten des Gesetzes. Nicht jede KI im Haus ist betroffen, aber die Systeme, die über Annahme und Preis entscheiden, sind es fast immer. Die pauschale Entwarnung, KI sei im Versicherungsbetrieb unkritisch, ist damit falsch.

Ab wann müssen Hochrisiko-Systeme konform sein?

Der Stichtag ist der 2. August 2026. Ab diesem Datum müssen Hochrisiko-KI-Systeme die Anforderungen der KI-Verordnung erfüllen. Die restlichen Systeme folgen am 2. August 2027. Wer die Einstufung seiner Systeme erst kurz vor der Frist beginnt, verliert die Zeit, die für Dokumentation und Nachweise nötig ist.

Was gilt schon heute?

Seit dem 2. Februar 2025 sind KI-Systeme mit unvertretbarem Risiko verboten. Seit demselben Tag gilt zudem eine Pflicht zur KI-Kompetenz: Unternehmen müssen sicherstellen, dass Beschäftigte, die KI einsetzen, über ausreichendes Wissen dafür verfügen. Der EU AI Act ist also kein Thema für 2026, sondern eines, das bereits läuft.

Welche Systeme im Versicherungsbetrieb sind Hochrisiko?

Im Kern die Systeme, die über Zugang und Preis entscheiden. Dazu zählt die automatisierte Risikoprüfung und Tarifierung in der Lebens- und Krankenversicherung. Ein KI-gestützter Chatbot im Service oder ein Werkzeug zur Textzusammenfassung fällt in der Regel nicht in diese Kategorie. Die saubere Trennung ist der erste Schritt jeder Umsetzung.

Was bedeutet Hochrisiko an konkreten Pflichten?

Hochrisiko-Systeme brauchen ein Risikomanagement über den gesamten Lebenszyklus, eine geprüfte Datenbasis, technische Dokumentation, menschliche Aufsicht und nachvollziehbare Transparenz gegenüber den Betroffenen. Das ist kein einmaliger Nachweis, sondern ein Dauerprozess, der in die Governance des Hauses gehört. Wer ein solches System zukauft, bleibt in der Pflicht: Die Verantwortung für den konformen Einsatz liegt beim Versicherer, nicht allein beim Anbieter.

Wer im Haus ist verantwortlich?

Die Verordnung adressiert das Unternehmen, nicht die IT-Abteilung. Damit ist die Geschäftsführung in der Verantwortung, auch wenn die Umsetzung in Fachbereichen und IT stattfindet. KI-Compliance ist eine Führungsaufgabe, die Recht, Datenschutz, IT und Fachbereich zusammenbringt. Wo diese Rollen nicht geklärt sind, bleibt die Umsetzung liegen, bis eine Prüfung sie erzwingt.

Was droht bei Verstößen?

Die KI-Verordnung sieht empfindliche Bußgelder vor, gestaffelt nach Schwere des Verstoßes und Umsatz des Unternehmens. Für einen Versicherer wiegt der Reputationsschaden oft schwerer als das Bußgeld. Ein System, das Kunden nachweislich benachteiligt oder intransparent über Zugang und Preis entscheidet, trifft den Kern des Vertrauensverhältnisses, auf dem das Geschäft ruht. Die Frist ist damit kein reines Rechtsthema, sondern eine Frage der Glaubwürdigkeit.

Was ist der erste Schritt?

Ein vollständiges Inventar aller eingesetzten KI-Systeme und ihre Einstufung nach Risikoklasse. Ohne diese Übersicht bleibt jede Compliance-Diskussion abstrakt. Erst wenn klar ist, welches System in welche Klasse fällt, lässt sich der Aufwand priorisieren und die Frist bis August 2026 realistisch planen. Wer wissen will, wo im eigenen Haus KI heute schon entscheidet, sollte auch die Schatten-KI im Haus mitdenken, denn nicht freigegebene Werkzeuge tauchen in keinem offiziellen Inventar auf.