KI in der Versicherungswirtschaft: Ist Regulierung nur ein Hindernis?

Einfache Kfz-Schäden werden heute vollautomatisch bewertet und reguliert, oft in Minuten statt Tagen. Algorithmen erkennen manipulierte Schadensmeldungen, bevor ein Sachbearbeiter den Vorgang öffnet. Im Kundenservice sortieren KI-Systeme Anfragen selbstständig nach Dringlichkeit. Künstliche Intelligenz ist im Versicherungsgeschäft längst kein Pilotprojekt mehr.

Gleichzeitig bewegt sich die Branche in einem der strengst regulierten Umfelder Europas. Der EU AI Act stuft KI-Systeme zur Risikobewertung in der Lebens- und Krankenversicherung als Hochrisiko ein. Das bringt erhebliche Dokumentations- und Prüfpflichten mit sich.

Die übliche Erzählung lautet: Innovation gegen Regulierung, Tempo gegen Prüfpflicht. Diese Erzählung greift zu kurz. Wer die Regeln früh ernst nimmt, kann sie zum Vorteil machen. Dieser Artikel zeichnet nach, wo KI in der Versicherungswirtschaft steht, was die Regulierung wirklich verlangt und warum die Branche, die Vertrauen verkauft, auch bei KI mit Vertrauen gewinnen kann.

Wo Versicherer KI heute einsetzen

Die Anwendungsfälle reichen über die gesamte Wertschöpfung:

• Schadenregulierung: KI analysiert Schadenfotos, gleicht sie mit Schadendatenbanken ab und schlägt Erstattungsbeträge vor. Einfache Kfz-Schäden laufen damit weitgehend automatisch durch.
• Risikomodellierung: Geoinformationssysteme wie ZÜRS berechnen Hochwasserrisiken auf Gebäudeebene. Mehr Gebäude in Deutschland sind heute gegen Naturgefahren versicherbar als je zuvor.
• Betrugsabwehr: Algorithmen erkennen Muster, die auf manipulierte Schadensmeldungen hindeuten. Das geht schneller und konsistenter als die manuelle Prüfung.
• Kundenkommunikation: KI-gestützte Systeme erkennen, ob eine Anfrage einfach ist oder menschliche Beratung braucht, und leiten entsprechend weiter.
• Tarifierung und Underwriting: Mit ausreichenden Trainingsdaten analysieren Modelle Risiken genauer und verbessern Preisstrukturen sowie versicherungsmathematische Modelle.

Die Erfolge sind messbar. Nach Angaben des GDV lassen sich fehlerhafte und zeitintensive Zuweisungen von Kundenanfragen um bis zu 40 % reduzieren. Bei Risikovoranfragen sinkt die Bearbeitungszeit ebenfalls um bis zu 40 %. Über 50 % der CEOs erwarten, dass sich Investitionen in generative KI in drei bis fünf Jahren amortisieren; der Markt für KI in der Branche soll bis 2032 auf 79 Milliarden US-Dollar wachsen.

Vom Schadenausgleich zur Risikoprävention

Das GDV-Positionspapier „Künstliche Intelligenz in der Versicherungswirtschaft“ (2026) beschreibt einen Wandel, der über Effizienz hinausgeht: Versicherer entwickeln sich vom Regulierer von Schäden zum proaktiven Partner für Risikoprävention. KI-gestützte Analysen warnen frühzeitig vor Risiken, etwa durch Wetterwarnungen zum Schutz des Eigentums oder Hinweise zur Gesundheitsvorsorge. Das schützt den Einzelnen und senkt die Kosten für die gesamte Risikogemeinschaft.

Zugleich benennt der GDV eine Grenze: Individualisierung soll Beratung und Produktauswahl verbessern, aber nicht dazu führen, Risiken immer weiter zu vereinzeln. Versicherung bleibt ein Kollektivprinzip. Drei Prinzipien setzen die Maßstäbe: Der Mensch steht im Mittelpunkt, KI soll spürbaren Mehrwert schaffen, und die finale Verantwortung bleibt in menschlicher Hand.

Regulierung: Last oder Hebel?

Was der AI Act konkret verlangt

Der AI Act ist seit August 2024 in Kraft. Die ersten Pflichten gelten seit Februar 2025, weitere Anforderungen greifen schrittweise bis 2027. Systeme zur Risikobewertung einzelner Personen und zur Festlegung von Versicherungsprämien in der Lebens- und Krankenversicherung fallen in die Hochrisiko-Kategorie. Damit gelten Pflichten für Risikomanagement, Daten-Governance, Dokumentation, menschliche Aufsicht und laufende Überwachung.

Der GDV hält diese Einstufung für unverhältnismäßig, da Versicherer bereits in einem der strengst regulierten Sektoren Europas agieren, und richtet weitere Forderungen an den Gesetzgeber:

• Regulierung vereinfachen statt ausbauen: Anforderungen aus KI-Verordnung, DSGVO und DORA überschneiden sich teilweise und führen zu doppelten Dokumentations- und Meldepflichten. Vor neuen Regelungen sollte die Wirkung der bestehenden evaluiert werden.
• DSGVO-Auslegung bei Gesundheitsdaten überdenken: Faire, diskriminierungsfreie KI braucht eine vielfältige Datengrundlage. Eine Zahnarztrechnung in dieselbe Risikoklasse wie eine Krebsdiagnose zu stellen, hält der GDV für nicht sachgerecht.
• Automatisierte Einzelfallentscheidungen ermöglichen: Vollautomatische Entscheidungen sollten bei standardisierten, regelgebundenen und risikoarmen Vorgängen zulässig sein. Die frei werdenden Kapazitäten kämen Kunden mit komplexen Schadenfällen zugute.

Diese Kritik ist berechtigt. Sie ändert aber nichts an der Situation der einzelnen Unternehmen: Die Pflichten gelten jetzt, parallel zu Solvency II und Datenschutzrecht.

Die Chance hinter den Pflichten

Hier setzt das zweite Argument dieses Artikels an. Für eine Branche, deren wichtigste Währung Vertrauen ist, sind Nachvollziehbarkeit, Fairness und Datenhoheit keine Belastungen, sondern Produktmerkmale. Ein Versicherer, der dokumentieren kann, wie seine Tarifierung entscheidet, dass Modelle bias-frei geprüft sind und Kundendaten in europäischen Rechenzentren bleiben, hat etwas in der Hand, das im Vertrieb etwas zählt: belegbares Vertrauen.

Die BaFin-Kontrolle fairer Preisbildung macht das konkret. Risikobasierte Preisbildung ist keine Diskriminierung, sondern das Fundament fairer Versicherung, sofern die Kriterien nachvollziehbar, gesetzlich geprüft und frei von unzulässigen Merkmalen sind. Wer diese Nachweise automatisiert und systematisch erbringt, kann schneller regulieren und gleichzeitig bei Aufsicht, Prüfern und Kunden punkten. Mit der neuen EU-Produkthaftungsrichtlinie (2024/2853) kommt eine weitere Ebene hinzu: Wer Risikomanagement und kontinuierliche Auditierung ohnehin im Betrieb verankert hat, ist auf die neuen Haftungsfragen vorbereitet.

Kurz: Compliance-Aufwand, der einmal geleistet wird, wird zum Nutzungsvorteil. Wer ihn nur als Kostenposten sieht, zahlt ihn doppelt.

Was andere regulierte Branchen bereits zeigen

Die Versicherung ist nicht die einzige Branche, die KI nur unter Verschwiegenheitspflichten einsetzen kann. Die Anwaltskanzleien stehen vor einer strukturell ähnlichen Lage, nur mit anderen Paragrafen. §203 StGB schützt die Vertraulichkeit besonderer Vertrauensverhältnisse, darunter die anwaltliche Verschwiegenheit. §43 BRAO verpflichtet Rechtsanwältinnen und Rechtsanwälte zur Verschwiegenheit über das, was ihnen in der Ausübung ihres Berufs anvertraut wird. Mandantendaten in ein beliebiges Cloud-KI-Tool zu laden, das in den USA gehostet wird, ist damit keine Option.

Die Konsequenz im Legal-Bereich ist dieselbe wie in der Assekuranz: Nicht die Frage „KI ja oder nein“ entscheidet, sondern die Frage, ob das eingesetzte Werkzeug mit den Berufs- und Datenschutzpflichten vereinbar ist. Kanzleien prüfen KI-Lösungen deshalb nach Kriterien wie Datenhoheit, Verschlüsselung, Nachvollziehbarkeit der Antworten und standortgebundenem Hosting.

Dazu kommt eine zweite, oft unterschätzte Ebene: die vertragliche Absicherung der gesamten Kette. Die anwaltliche Verschwiegenheit endet nicht an der Tür zum Dienstleister. Wer eine KI-Lösung einsetzt, muss die Pflichten mit jedem Beteiligten vertraglich vereinbaren, vom Anbieter über Subunternehmer und Rechenzentrumsbetreiber bis zum Support. Für Kanzleien heißt das konkret: ein Vertragswerk, das Verschwiegenheit, Datenhoheit, Löschkonzepte und Kontrollrechte über alle Ebenen festschreibt. Für Versicherer gilt dasselbe Muster über Auftragsverarbeitungsverträge (Art. 28 DSGVO) und die Zuständigkeits- und Kontrollpflichten des AI Act, die auch gegenüber Dritt-Anbietern erfüllt werden müssen. In beiden Branchen gilt: Wer die Kette nicht vertraglich geschlossen hat, hat die Pflichten nicht erfüllt, sondern nur verlagert.

Für Versicherer lohnt der Blick über den Tellerrand, weil daraus ein Markt entstanden ist: Werkzeuge, die für die strengsten Anforderungen gebaut sind, erfüllen die Anforderungen der Versicherungswirtschaft meist nebenbei. Wie das Zusammenspiel aus Regulierung, Datenintegrität und KI-Einsatz in einer anderen stark regulierten Branche funktioniert, zeigt unser Artikel Künstliche Intelligenz in der Pharmaindustrie. Grundlegend dafür ist ein stabiles KI-Governance-Framework.

Werkzeugauswahl: Wo die richtigen Systeme helfen

Ob KI-Projekte die Umsetzungsphase erreichen, entscheidet sich häufig bei der Toolauswahl. Das verbreitetste Muster in der Praxis: Ein Werkzeug überzeugt im Fachbereich, scheitert aber an Datenschutz, Nachvollziehbarkeit oder Aufsichtsanforderungen. Das Projekt kommt nie in Betrieb und Vertrieb an.

Ein Beispiel für den anderen Weg ist aiuno (appoco GmbH), eine retrieval-basierte KI-Lösung für Dokumenten- und Informationsmanagement aus Deutschland, die für regulierte Umgebungen entwickelt wurde. An ihr lassen sich die Auswahlkriterien durchdeklinieren, die sowohl für Versicherer als auch für Kanzleien gelten:

• Datenhoheit: Verarbeitung und Speicherung in europäischen, bevorzugt deutschen Rechenzentren, keine Übermittlung in die USA, mehrfache Verschlüsselung. Im Legal-Bereich ist das die Grundlage für die Vereinbarkeit mit §203 StGB und §43 BRAO; für Versicherer mit Gesundheitsdaten und Finanzinformationen oft die Voraussetzung für jede Freigabe.
• Nachvollziehbare Antworten: Retrieval-basierte KI arbeitet mit Verweisen auf die zugrunde liegenden Quellen statt frei generierter Antworten. Diese Erklärbarkeit fordern BaFin und AI Act bei der Tarifierung und Leistungsentscheidung. In Kanzleien entspricht sie der Pflicht, Ergebnisse prüfbar aufzubereiten.
• Integration in die Systemlandschaft: Über 70 Standard-Konnektoren und offene Schnittstellen binden die Plattform in Bestandssysteme ein. Schadenakten, Vertragsunterlagen und Gesundheitsdaten bleiben so in kontrollierten Prozessen statt in frei gewählten Consumer-Tools der Mitarbeitenden. Das ist der wirksamste Schutz gegen Schatten-KI.
• Flexible Betriebsmodelle: Cloud in Deutschland, eigene Private Cloud oder on-premise, je nach Anforderungsprofil des Unternehmens.
• Ausgewiesene Konformität: Für den Kanzleibetrieb ist aiuno BRAK-konform ausgestaltet. Das zeigt das Muster, das auch für Versicherer gilt: Wer Systeme nach Berufs- und Branchenrecht auswählt, dokumentiert Compliance nicht erst im Nachhinein, sondern durch die Beschaffung selbst.
• Vertraglich geschlossene Kette: Die Pflichten aus §203 StGB und §43 BRAO müssen mit allen Beteiligten der Verarbeitungskette vereinbart sein. Bei aiuno ist die gesamte Prozesskette vertraglich und physisch auf den europäischen Wirtschaftsraum begrenzt, der Betrieb erfolgt über definierte Vertragspartner. Ein Versicherer prüft an dieser Stelle dieselbe Frage, nur mit anderen Paragrafen: Sind Auftragsverarbeitung, Subunternehmer und Rechenzentrum vertraglich erfasst und kontrollierbar?

Ein solches Werkzeug ersetzt keine KI-Governance und keine Rechtsprüfung. Es adressiert aber die häufigste Umsetzungshürde: Projekte scheitern an Datenschutz- und Nachvollziehbarkeitsanforderungen, bevor sie Nutzen stiften.

Empfehlungen für Versicherer

1. Bestand aufnehmen: Welche KI-Systeme laufen bereits, auch in Fachabteilungen, ohne dass die IT sie kennt?
2. Risikoklassifizierung durchführen: Welche Systeme fallen unter die Hochrisiko-Kategorie des AI Act? Wo greifen DSGVO, Solvency II, künftiges Produkthaftungsrecht?
3. Governance verankern: Verantwortlichkeiten, Freigabeprozesse und Dokumentation etablieren, von der Modellentwicklung bis zum Monitoring.
4. Die Vertragskette prüfen: Sind Auftragsverarbeitungsverträge, Subunternehmer und Rechenzentrumsstandorte vollständig erfasst und kontrollierbar? Ohne geschlossene Kette bleiben Pflichten nur verlagert, nicht erfüllt.
5. Compliance als Produktmerkmal begreifen: Nachvollziehbarkeit und Datenhoheit nicht nur intern prüfen, sondern im Kundenkontakt nutzbar machen.
6. Mitarbeitende einbinden: Weiterbildung und transparente Kommunikation senken Akzeptanzhürden und verhindern Schatten-KI.
7. Werkzeuge nach Compliance-Kriterien auswählen: EU-Hosting, Nachvollziehbarkeit, Integration und Betriebsmodell prüfen, nicht nur den Funktionsumfang. Orientierung bieten dabei Systeme, die bereits strengere Berufsregeln erfüllen.

FAQ

Fazit

KI verändert, was Versicherung leisten kann: schnellere Regulierung, genauere Risikomodelle, besseren Service. Die Regulierung, die dabei als Hindernis gilt, ist tatsächlich etwas anderes: der Rahmen, in dem eine Vertrauensbranche KI überhaupt verantworten kann. Die Branche kann bei der Umsetzung von einer Nachbarbranche lernen, die unter ähnlichen Verschwiegenheitspflichten längst Werkzeuge einsetzt, die Datenschutz und Nachvollziehbarkeit mitdenken. Versicherer, die Regulierung als Gestaltungsraum nutzen, Governance aufbauen und Werkzeuge nach Compliance-Kriterien auswählen, können beides: schneller regulieren und Vertrauen systematisch verdienen.

Quellen

• Gesamtverband der Deutschen Versicherungswirtschaft (GDV): „Dossier: Künstliche Intelligenz“ – gdv.de
• GDV: „Künstliche Intelligenz in der Versicherungswirtschaft“, Positionspapier 2026 – gdv.de
• Taylor Wessing: „Künstliche Intelligenz in der Versicherungsbranche“ – taylorwessing.com
• KPMG AG Wirtschaftsprüfungsgesellschaft: „Künstliche Intelligenz im Versicherungswesen: Innovation gestalten“ – kpmg.com
• appoco GmbH: „aiuno – AI-Lösung für Dokumente & Informationen“ – aiuno.io