KI datenschutzkonform einführen: Was Versicherer 2026 beachten müssen

KI datenschutzkonform einführen: Wie gelingt Versicherern der Start?

Viele KI-Vorhaben in Versicherungen beginnen im Fachbereich und enden in der Rechtsabteilung. Das kostet Zeit, Budget und internes Vertrauen. Versicherer führen KI datenschutzkonform ein, indem sie vor dem ersten Datensatz Zweck, Rechtsgrundlage und Risikoklasse klären, automatisierte Entscheidungen mit erheblicher Wirkung durch echte menschliche Prüfung absichern und den Einsatz lückenlos dokumentieren. Datenschutz bremst KI damit nicht, er entscheidet darüber, ob ein System in den Regelbetrieb geht.

Welche Regeln treffen KI in der Versicherung gleichzeitig?

Drei Regelwerke greifen ineinander. Die Datenschutz-Grundverordnung regelt jede Verarbeitung personenbezogener Daten, also auch Training und Betrieb von KI-Systemen. Die KI-Verordnung, Verordnung (EU) 2024/1689, stuft bestimmte Systeme als hochriskant ein und verlangt seit dem 2. August 2026 Transparenz, wenn Menschen mit einer KI interagieren. Hinzu kommt das Versicherungsaufsichtsrecht, das die europäische Aufsicht EIOPA in ihrer Stellungnahme vom 6. August 2025 für KI ausgelegt hat: risikobasiert und verhältnismäßig, mit Anforderungen an Datengovernance, Dokumentation, Fairness, Erklärbarkeit und menschliche Aufsicht.

Die Aufsicht über die KI-Verordnung im Finanzsektor liegt seit dem 29. Juli 2026 bei der BaFin. Die Behörde nennt Diskriminierungsfreiheit und fairen Zugang zu Finanzdienstleistungen als zentrale Ziele. Datenschutz und KI-Regulierung verfolgen damit an vielen Stellen dasselbe Ziel und lassen sich in einem gemeinsamen Prozess bearbeiten.

Welche Rechtsgrundlage braucht KI in der Versicherung?

Jede Verarbeitung personenbezogener Daten durch ein KI-System braucht eine Rechtsgrundlage nach der DSGVO, und zwar für jeden Zweck gesondert. In Betracht kommen vor allem die Vertragserfüllung, ein berechtigtes Interesse oder eine Einwilligung. Gesundheitsdaten in der Kranken- und Lebensversicherung gehören zu den besonderen Kategorien personenbezogener Daten und verlangen eine zusätzliche Erlaubnis.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder hat am 6. Mai 2024 die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ veröffentlicht. Das Papier stellt die Festlegung von Einsatzfeldern und Zwecken an den Anfang, weil nur gegen einen vorab bestimmten Zweck geprüft werden kann, ob die Verarbeitung erforderlich ist. Werden personenbezogene Daten zum Training verwendet, braucht auch dieser Zweck eine eigene Rechtsgrundlage. Wie sich das beim Modelltraining konkret auswirkt, vertieft der Beitrag DSGVO trifft KI-Modelle.

Was bedeutet Artikel 22 DSGVO für automatisierte Entscheidungen?

Nach Artikel 22 DSGVO hat jede Person das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine automatisch abgelehnte Antragsstrecke, eine automatisierte Leistungsablehnung oder eine vollautomatische Prämienfestsetzung fallen genau in diesen Bereich. Ausnahmen gelten, wenn die Entscheidung für einen Vertrag erforderlich ist, gesetzlich erlaubt wird oder auf ausdrücklicher Einwilligung beruht; dann sind Schutzmaßnahmen wie das Recht auf menschliches Eingreifen und auf Anfechtung vorzusehen.

Die Datenschutzaufsicht legt den Maßstab für den Menschen im Prozess hoch. Erarbeitet eine KI Vorschläge mit Rechtswirkung, muss der entscheidende Mensch laut DSK-Orientierungshilfe einen tatsächlichen Entscheidungsspielraum haben. Personalmangel, Zeitdruck oder fehlende Transparenz über den Weg der KI-Vorarbeit dürfen nicht dazu führen, dass Ergebnisse ungeprüft übernommen werden; eine lediglich formelle Beteiligung eines Menschen reicht nicht aus. Wie sich Prüfprozesse so gestalten lassen, dass sie wirksam statt nur formal sind, zeigt der Beitrag Menschliche Prüfung bei KI.

Warum gilt KI in Lebens- und Krankenversicherung als Hochrisiko?

Weil die KI-Verordnung es ausdrücklich so festlegt. Anhang III Nummer 5 Buchstabe c nennt KI-Systeme, die für die Risikobewertung und Preisbildung in Bezug auf natürliche Personen in der Lebens- und Krankenversicherung verwendet werden sollen. Nach der Verschiebung durch die Änderungsverordnung (EU) 2026/1744 gelten die Pflichten dafür ab dem 2. Dezember 2027: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht und, für Betreiber solcher Systeme, eine Abschätzung der Auswirkungen auf die Grundrechte nach Artikel 27.

Die Einstufung entscheidet über den gesamten Prüfumfang und gehört deshalb an den Anfang jedes Vorhabens. Wer den regulatorischen Rahmen für KI früh in die Architektur einbaut, statt ihn nachträglich draufzusetzen, spart am Ende Monate. Was Versicherer zur KI-Verordnung insgesamt wissen sollten, bündelt der Beitrag EU AI Act für Versicherer.

Wie viele Daten darf die KI überhaupt nutzen?

Weniger, als die meisten Modelle gern hätten. Die DSGVO verlangt Datenminimierung und Zweckbindung: Verarbeitet werden darf, was für den festgelegten Zweck erforderlich ist. Für Versicherer bedeutet das eine unbequeme Übung. Bestandsdaten dürfen nicht ohne Weiteres für neue Zwecke weiterverwendet werden. Ein Modell, das auf Schadendaten trainiert wurde, darf nicht stillschweigend in die Vertriebssteuerung wandern; eine Zweckänderung braucht eine eigene Prüfung.

Ergänzend gilt die Pflicht zur Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt. Die Datenschutzkonferenz hält fest, dass dies beim Einsatz von KI-Anwendungen vielfach der Fall sein wird.

Welche technischen Maßnahmen sichern KI-Systeme ab?

Recht allein reicht nicht. Datenschutzkonforme KI braucht technische und organisatorische Maßnahmen: Rollen- und Rechtekonzepte, Pseudonymisierung oder Anonymisierung von Trainingsdaten, verschlüsselte Verarbeitung, Protokollierung der Zugriffe und getrennte Umgebungen für Entwicklung und Produktion. Die Datenschutzkonferenz hat dazu im Juni 2025 eine eigene Orientierungshilfe zu technischen und organisatorischen Maßnahmen bei Entwicklung und Betrieb von KI-Systemen veröffentlicht.

Eine der wirksamsten Weichenstellungen betrifft den Ort der Verarbeitung. Wer sensible Gesundheits- und Vertragsdaten in Cloud-Dienste außerhalb der eigenen Kontrolle gibt, vergrößert Angriffsfläche und Nachweispflichten. Für viele Anwendungsfälle sind lokale statt cloudbasierte KI-Modelle die datensparsamere Wahl. Die Entscheidung über die Betriebsform ist damit eine Datenschutzentscheidung und keine reine IT-Frage.

Wer trägt im Unternehmen die Verantwortung?

Die Gesamtverantwortung liegt beim Management. EIOPA ordnet sie ausdrücklich dem Leitungsorgan zu, das wissen muss, wie KI im Unternehmen eingesetzt wird und welche Risiken entstehen. Der Datenschutzbeauftragte prüft, ob personenbezogene Daten rechtskonform verarbeitet werden, Compliance und Revision prüfen die Einhaltung aller Vorschriften. Jedes KI-System gehört ins Verzeichnis der Verarbeitungstätigkeiten und braucht vor dem Produktivbetrieb eine dokumentierte Freigabe.

Eine benannte verantwortliche Rolle, ein früh eingebundener Datenschutzbeauftragter und eine dokumentierte Freigabe sind kein Bürokratieaufwand, sondern der Beleg, dass das Unternehmen seine Systeme beherrscht. Projekte, die diese Fragen vorn klären, brechen hinten nicht ein.

Was das Management vor dem nächsten KI-Vorhaben festlegen sollte

1. Zweck und Rechtsgrundlage zuerst klären, für Betrieb und Training getrennt, und Gesundheitsdaten gesondert prüfen.

2. Die Risikoklasse nach der KI-Verordnung bestimmen, bevor Modell und Anbieter ausgewählt werden.

3. Datenauswahl nach dem Grundsatz der Minimierung treffen und jede Zweckänderung eigens prüfen.

4. Für Entscheidungen mit erheblicher Wirkung einen echten menschlichen Kontrollpunkt einbauen, mit Zeit, Information und Entscheidungsspielraum.

5. Datenschutz-Folgenabschätzung, Verzeichniseintrag und Freigabe als feste Schritte vor dem Produktivbetrieb verankern.

Häufige Fragen

Braucht jedes KI-Projekt in der Versicherung eine Datenschutz-Folgenabschätzung?
Nicht jedes, aber viele. Die Folgenabschätzung ist nach Artikel 35 DSGVO Pflicht, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt. Laut Datenschutzkonferenz wird das beim Einsatz von KI vielfach der Fall sein.

Reicht es, wenn ein Mensch die KI-Entscheidung abzeichnet?
Nein. Nach der DSK-Orientierungshilfe muss der entscheidende Mensch einen tatsächlichen Entscheidungsspielraum haben. Eine lediglich formelle Beteiligung reicht nicht aus.

Ab wann gelten die Hochrisiko-Pflichten für Tarifierung in Leben und Kranken?
Ab dem 2. Dezember 2027. Datenschutzpflichten aus der DSGVO gelten dagegen schon heute für jede Verarbeitung personenbezogener Daten.

Weitere Beiträge zu Datenschutz, KI-Verordnung und Aufsicht bündelt das Dossier Regulierung & Resilienz.

Ob ein KI-Vorhaben die Rechtsabteilung als Partner oder als letzte Hürde erlebt, entscheidet sich meist in den ersten Wochen des Projekts. Zu diesem Thema freuen wir uns über ein erstes Gespräch.