Telekommunikationsanbieter setzen auf automatisierte Systeme, um die Ergebnisse für die Verbraucher zu steuern; doch angesichts der sich vereinheitlichenden Rahmenbedingungen für den Umgang mit künstlicher Intelligenz (KI) häufen diejenigen, die über keine integrierten, unternehmensweiten Kontrollmechanismen verfügen, regulatorische Verbindlichkeiten an, die die Aufsichtsbehörden in Kürze einfordern werden.
Weiterentwicklung der KI-Fähigkeiten: Der Schwerpunkt der Weiterqualifizierung hat sich von der Gestaltung von Dialogaufforderungen hin zur strategischen Kontextgestaltung verlagert
Die Versicherungsbranche hat sich in den Vereinigten Staaten zur Branche mit dem höchsten Einsatz von KI entwickelt gemessen an dem Kriterium, das am wichtigsten ist: der Häufigkeit automatisierter Entscheidungen, die einzelne Verbraucher betreffen.
Jeder Underwriting-Workflow, jede Preisberechnungs-Engine, jedes Modell zur Schadenweiterleitung und jedes Betrugserkennungssystem läuft in großem Maßstab und liefert Ergebnisse, die darüber entscheiden, ob Verbraucher Versicherungsschutz erhalten, zu welchem Preis und zu welchen Bedingungen. Die Risikomanagementprogramme, die diese Entscheidungen steuern, haben jedoch nicht Schritt gehalten, sodass Versicherer zunehmend mit erheblichen unternehmensweiten Auswirkungen konfrontiert sind, während die behördlichen Fristen für die Einhaltung der KI-Vorschriften immer näher rücken.
Bis vor kurzem war das Thema KI-Governance in der Versicherungsbranche eine Frage des Risikomanagements, die zwischen Compliance-Teams und Rechtsabteilungen erörtert wurde, doch dies ist mittlerweile nicht mehr der Fall.
Derzeit regeln drei unterschiedliche Rechtsrahmen die Frage der Unternehmensführung im Namen der Netzbetreiber, und die meisten sind auf keinen dieser Rahmen vorbereitet.
Drei regulatorische Zeitrahmen bestimmen die Einhaltung der Vorschriften im Bereich der KI
Die erste Uhr läuft ab.
Die kalifornischen Vorschriften zur Technologie für automatisierte Entscheidungsfindung (ADMT), das Teil des umfassenden Datenschutzrahmens des Bundesstaates ist, am 1. Januar 2027 in Kraft treten. Gemäß dem ADMT müssen Organisationen, darunter auch Versicherungsunternehmen, den Verbrauchern ein Widerspruchsrecht, eine aussagekräftige Überprüfung durch einen Menschen sowie dokumentierte Risikobewertungen für jedes automatisierte System gewähren, das wesentliche Verbraucherentscheidungen maßgeblich beeinflusst.
Für Versicherer gelten die Vorschriften in allen Segmenten der Privat- und Gewerbekundenversicherung. Sie gelten zudem für Regelwerke und Bewertungsmodelle, nicht nur für Systeme des maschinellen Lernens. Wichtig ist, dass sie Durchsetzungspflichten mit konkreten regulatorischen Konsequenzen beinhalten. Die kalifornische Datenschutzbehörde (CalPrivacy), die für die Durchsetzung zuständig ist, kann Geldbußen von bis zu $7.500 pro Verstoß verhängen, die pro Verbraucher bemessen werden. CalPrivacy hat bereits gezeigt, dass sie eher Strafen verhängt als Verwarnungen ausspricht, was sich in einer wachsenden Zahl von Durchsetzungsmaßnahmen zeigt, deren Höhe bei mehreren Hunderttausend beginnt und bis in den zweistelligen Millionenbereich reicht.
Die zweite Uhr schlägt früher. Das AI-Modell-Bulletin der National Association of Insurance Commissioners, nun von 25 Bundesstaaten übernommen, verpflichtet die Netzbetreiber zur Einrichtung eines schriftlichen KI-Governance-Programms, das die Entwicklung, Beschaffung, Prüfung, Überwachung und Kontrolle von KI-Systemen umfasst. Der erste Prüfungszyklus im Live-Betrieb beginnt im vierten Quartal, noch bevor die Durchsetzung durch die ADMT überhaupt einsetzt.
Die dritte Glocke hat bereits geschlagen. Rundschreiben Nr. 7 des New Yorker Finanzdienstleistungsministeriums (NYDFS) aus dem Jahr 2024, verpflichtet in New York tätige Versicherungsunternehmen, über ein schriftliches KI-Governance-Programm zu verfügen, für das die Unternehmensleitung die Verantwortung trägt. Versicherungsunternehmen, die in New York tätig sind und kein schriftliches KI-Governance-Programm vorweisen können, verstoßen bereits gegen die Vorschriften.
Diese Compliance-Programme weisen gemeinsame Infrastrukturanforderungen auf: eine dokumentierte Übersicht über automatisierte Entscheidungsprozesse, Modell- und data-Zuordnungen, Mechanismen zum Schutz der Verbraucherrechte, Nachweise zur Risikobewertung, Programme zur Überwachung von Lieferanten sowie schriftlich festgelegte Governance-Richtlinien. Versicherer, die jedes Rahmenwerk als isolierte Compliance-Vorgabe betrachten, verursachen redundante Kosten in ihren Betriebsabläufen und schaffen strukturelle Lücken in ihrer Governance, was mit hoher Wahrscheinlichkeit zu kostspieligen Nachbesserungen führen wird, sobald sich weitere Bundesstaaten dieser Initiative anschließen.
Der Umfang ist größer, als ihn die meisten Netzbetreiber erfasst haben
Das gefährlichste Missverständnis im Zusammenhang mit der KI-Governance in der Versicherungsbranche ist die Annahme, dass diese Rahmenwerke ausschließlich auf KI und maschinelles Lernen ausgerichtet sind. Dies ist jedoch nicht der Fall.
Jedes automatisierte System, das eine wesentliche Verbraucherentscheidung maßgeblich beeinflusst, fällt unter die ADMT. Dazu würde beispielsweise eine vor 15 Jahren entwickelte Regel-Engine gehören, sofern sie Auswirkungen auf die Preisgestaltung, die Anspruchsberechtigung oder den Versicherungsschutz hat. Ebenfalls dazu zählen Modelle zur Betrugsbewertung und Workflows zur Bearbeitung von Schadensfällen sowie eine Vielzahl wesentlicher Entscheidungsprozesse im gesamten Unternehmen. Entscheidend ist nicht die Technologie an sich, sondern die Frage, ob die jeweilige Entscheidung das Leben der Verbraucher maßgeblich beeinflusst.
Das NAIC-Rahmenwerk erweitert diese Anforderung noch weiter und umfasst nicht nur die Systeme, sondern auch die dahinterstehenden Anbieter und data-Beziehungen. Das NYDFS geht sogar noch einen Schritt weiter: Versicherer müssen sowohl ihre internen Modelle als auch die externen data-Anbieter, die zur Versorgung dieser Modelle herangezogen werden, regulieren. Für Schaden- und Unfallversicherungsunternehmen, die nutzungsabhängige Versicherungsprogramme auf Basis von Telematik und verhaltensbezogenen data-Daten von Drittanbietern betreiben, ist dies von großer Bedeutung. Das Rahmenwerk gilt für die gesamte data-Lieferkette, nicht nur für das Entscheidungssystem.
Versicherungsunternehmen, die diese Arbeit durchgeführt haben, stellen durchweg fest, dass das Compliance-Risiko größer ist, als sie erwartet hatten: veraltete Regelwerke, die noch aus der Zeit vor der Einführung formeller KI-Programme stammen, in Kernplattformen eingebettete Modelle von Drittanbietern sowie Arbeitsabläufe, die seit Jahren Ergebnisse für Verbraucher weiterleiten, ohne jemals offiziell als Entscheidungssysteme klassifiziert worden zu sein.
Die meisten haben diese Übung noch nicht durchgeführt, und genau darauf achten die Prüfer zunehmend.
Der Trend bei den Landesgesetzen hält unvermindert an
Der seit 2023 geltende Gesetzentwurf SB 21-169 des Bundesstaates Colorado schreibt vor, dass Lebensversicherungsgesellschaften Maßnahmen zur Gewährleistung der Fairness von Algorithmen dokumentieren und dem Versicherungsbeauftragten des Bundesstaates jährliche Bescheinigungen vorlegen müssen. Damals betrachtete die Versicherungsbranche dies als eine speziell auf Colorado bezogene Compliance-Anforderung. Dies war jedoch nicht der Fall. Es handelte sich vielmehr um ein Muster.
Das ADMT-Rahmenwerk Kaliforniens hat dieselbe Logik auf automatisierte Entscheidungen in allen Versicherungssparten ausgeweitet und umfasst dabei Verbraucherrechte, Erklärbarkeit und Rechenschaftspflicht. In New York gelten seit Anfang 2024 vergleichbare Anforderungen. Illinois, Maryland und Connecticut treiben derzeit analoge Rahmenwerke voran. Das NAIC-Bulletin hat mittlerweile 25 Bundesstaaten erreicht und findet weiterhin Verbreitung.
Das gefährlichste Missverständnis in KI-Governance im Versicherungswesen Der Unterschied besteht darin, dass diese Rahmenwerke ausschließlich auf KI und maschinelles Lernen ausgerichtet sind. Versicherer, die jede Entwicklung als isoliertes Ereignis betrachtet haben, haben von Bundesstaat zu Bundesstaat unterschiedliche, punktuelle Programme aufgebaut. Versicherer, die das Muster erkennen, entwickeln integrierte Programme, die darauf ausgelegt sind, neuen Anforderungen gerecht zu werden, sobald weitere Bundesstaaten nachziehen, ohne dass jedes Mal von Grund auf neu begonnen werden muss. Der Unterschied liegt nicht nur in den Kosten, sondern auch in der Wettbewerbsgeschwindigkeit. Wenn der nächste Bundesstaat Maßnahmen ergreift, muss ein Anbieter lediglich Anpassungen vornehmen, während andere von Grund auf neu beginnen müssen.
Der Unterschied liegt nicht nur in den Kosten, sondern auch in der Wettbewerbsgeschwindigkeit.
Was „bereit für den Einsatz“ voraussetzt
Das Ziel der KI-Governance im Versicherungswesen ist nicht die Einhaltung von Vorschriften um ihrer selbst willen. Es geht vielmehr um die Fähigkeit, automatisierte Entscheidungsprozesse in großem Maßstab einzusetzen – mit der Gewissheit, dass diese Prozesse erklärt, begründet und angepasst werden können, wenn Aufsichtsbehörden, Verbraucher oder geschäftliche Rahmenbedingungen dies erfordern. Versicherungsunternehmen, die diese Infrastruktur bereits jetzt aufbauen, bewältigen nicht nur regulatorische Risiken. Sie schaffen die operative Grundlage für Wettbewerbsvorteile in einem KI-intensiven Markt.
Folgende Voraussetzungen muss diese Infrastruktur erfüllen:
- Ein dokumentiertes Verzeichnis aller automatisierten Entscheidungen nach den Anwendungsbereichskriterien von ADMT, NAIC und NYDFS klassifiziert. Dabei handelt es sich nicht nur um KI-Systeme, sondern auch um Regel-Engines, Bewertungsmodelle und Profiling-Tools.
- Eine vollständige Übersicht über die data, die in diese Entscheidungen einfließt, einschließlich externer Quellen und Beiträge von Drittanbietern.
- Verbraucherhinweise und Widerspruchsmöglichkeiten, die in der Praxis funktionieren, nicht als politische Erklärungen, sondern als Mechanismen, die die Ergebnisse von Entscheidungen beeinflussen.
- Manuelle Prüfungsverfahren, bei denen die Prüfer über eine echte Entscheidungsbefugnis verfügen und ihre Begründungen so zu dokumentieren, dass sie für die Aufsichtsbehörden abrufbar sind.
- Formelle Risikobewertungen für jedes System zur Materialentscheidung: nachweisliche Belege dafür, dass der Beförderer die von seinen automatisierten Systemen ausgehenden Risiken bewertet, verstanden und unter Kontrolle hat.
All dies ist keine neue Theorie der Unternehmensführung. Aufsichtsbehörden in zahlreichen Ländern haben dies bereits gesetzlich verankert. Die Versicherungsunternehmen werden daran gemessen werden, wenn die Prüfer vor Ort erscheinen.
Das Zeitfenster für den Bau läuft ab
Der NAIC-Prüfungszyklus beginnt in diesem Herbst.
Die Durchsetzung der ADMT-Vorschriften beginnt am 1. Januar. Beides steht kurz bevor und erfordert eine funktionsübergreifende Koordination zwischen den Bereichen data, Technologie, Recht, Risikoprüfung und Schadenbearbeitung. Versicherer, die ohne ein schriftlich festgehaltenes AIS-Programm, ohne eine ADMT-Bereitschaftsprüfung und ohne ein NYDFS-konformes Governance-Rahmenwerk für KI in die zweite Hälfte des Jahres 2026 starten, bereiten sich nicht auf eine Prüfung vor – sie befinden sich bereits im Prüfungsraum.
Die gute Nachricht ist, dass die für alle drei Frameworks erforderliche Infrastruktur gemeinsame Elemente aufweist. Ein integriertes Programm, das einmalig entwickelt und darauf ausgelegt ist, die Anforderungen von ADMT, NAIC und NYDFS gleichzeitig zu erfüllen, ist kostengünstiger und sorgt für eine besser begründbare Unternehmensführung als drei parallele Compliance-Arbeitsstränge. Versicherer, die ein solches Programm bereits jetzt aufbauen, werden strukturelle Vorteile hinsichtlich der Prüfungsbereitschaft, der Einführungsgeschwindigkeit und des Managements der Beziehungen zu den Aufsichtsbehörden genießen, die ihre später einsteigenden Wettbewerber nicht schnell nachahmen können.
Transportunternehmen, die auf einen günstigeren Zeitpunkt für den Start warten, interpretieren ihren Zeitplan falsch.
Die automatisierten Entscheidungen werden bereits umgesetzt. Die Rahmenbedingungen sind in Kraft. Jeder Monat ohne ein KI-Governance-Programm bedeutet regulatorische Schulden, und der Tilgungsplan steht fest.
