Jede regulatorische Pflicht – beantwortet aus Ihren Protokollen.
Jede Vorgabe, die Ihre Aufsichtsbehörde an den KI-Einsatz in Versicherungen stellt, ist direkt mit den versiegelten Protokollen verknüpft, die deren Einhaltung belegen. Ein Prüfer kann die Linie vom Gesetzesartikel über die Entscheidung und die zugrunde liegenden Beweismittel bis zur Person nachverfolgen, die gezeichnet hat.
Einige Vorschriften gelten schon heute. Für die nächsten steht das Datum fest.
DORA gilt bereits für Versicherer. Die überarbeiteten Solvency-II-Vorschriften und die Hochrisiko-Regeln der KI-Verordnung folgen. Der geforderte Nachweis ist immer derselbe: Wer hat auf welcher Grundlage und nach welcher Regel entschieden.
bis die Vorgaben der KI-Verordnung (EU AI Act) für Hochrisiko-KI am 2. Dezember 2027 auf die Risikobewertung und Tarifierung in der Lebens- und Krankenversicherung Anwendung finden.
DORA gilt für Versicherer bereits heute, und auch Solvency II sowie die IDD verlangen im Kern dasselbe: belastbare Nachweise. HONESTAS sichert diese Nachweise ab dem ersten Schadenfall.
Wählen Sie ein beliebiges Datum auf der Zeitleiste. Die Uhr zählt die Tage bis zum Geltungsbeginn einer Vorschrift herunter – und danach die Tage, seit denen sie gilt.
Fristen der KI-Verordnung in der durch die Verordnung (EU) 2026/1744 (Digitaler Omnibus) geänderten Fassung, veröffentlicht im Amtsblatt am 24. Juli 2026. Solvency-II-Review: Richtlinie (EU) 2025/2, anzuwenden ab 30. Januar 2027. Keine Rechtsberatung.
Was jede Vorschrift verlangt – und der Nachweis, der sie erfüllt.
Ein einziger versiegelter Datensatz kann mehrere Vorschriften zugleich abdecken. Nachstehend ist jede Pflicht im Klartext beschrieben, gefolgt von dem, was HONESTAS dafür aufbewahrt.
EU-KI-Verordnung (AI Act) · Verordnung (EU) 2024/1689
- RisikomanagementArtikel 9Ein Risikomanagementsystem für jedes Hochrisiko-KI-System, das über die gesamte Nutzungsdauer betrieben und überprüft wird.Abgedeckt durchValidierungsläufe, Challenger-Befunde und Drift-Warnungen – jeweils zusammen mit der getesteten Modellversion gespeichert.
- AufzeichnungspflichtenArtikel 12Hochrisiko-KI-Systeme müssen Ereignisse während ihrer gesamten Lebensdauer automatisch protokollieren, damit ihre Funktionsweise nachvollziehbar bleibt.Abgedeckt durchDie versiegelte Entscheidungsakte: Eingabedaten, Regel- und Modellversionen, jedes Argument, die Signatur und ein externer Zeitstempel.
- Transparenz für BetreiberArtikel 13Die Personen, die das System nutzen, müssen dessen Ergebnisse verstehen und sachgerecht verwenden können.Abgedeckt durchJede KI-Antwort führt auf, welche Daten ausgewertet und welche zurückgehalten wurden. Jede KI-Schaltfläche zeigt das verwendete Modell samt Version.
- Menschliche AufsichtArtikel 14Menschen müssen in der Lage sein, das System zu beaufsichtigen, seine Grenzen zu verstehen, sich gegen sein Ergebnis zu entscheiden und es zu stoppen.Abgedeckt durchEin benannter Vorsitz in jedem Entscheidungsraum, ein Challenger-Sitz, ein zweites Modell, das die Entscheidung stoppen kann, und eine Person, die unterzeichnet.
- Pflichten der BetreiberArtikel 26Die Aufsicht Personen mit der nötigen Kompetenz, Schulung und Befugnis übertragen, das System überwachen, Protokolle mindestens sechs Monate aufbewahren und Betroffene informieren.Abgedeckt durchUnterzeichner, deren Vollmacht vor der Signatur geprüft wird, Protokolle, die für den von Ihnen festgelegten Zeitraum im Archiv verbleiben, und Schreiben, die den KI-Einsatz offenlegen.
- Tarifierung in Leben und KrankenAnhang III, Nummer 5 Buchstabe cKI-Systeme, die zur Risikobewertung und Tarifierung bei natürlichen Personen in der Lebens- und Krankenversicherung eingesetzt werden, gelten als Hochrisiko-KI-Systeme. Die entsprechenden Vorschriften gelten ab dem 2. Dezember 2027.Abgedeckt durchJede Underwriting- und Pricing-Entscheidung in Leben und Kranken wird ab dem ersten Angebot einem Entscheidungsraum zugewiesen und versiegelt.
Versicherungsaufsicht
- Solvency II · Governance-SystemRichtlinie 2009/138/EG · Artikel 41 bis 49Klare Zuständigkeiten, Risikomanagement, internes Kontrollsystem und schriftliche Leitlinien – wobei ausgegliederte Funktionen unter der Kontrolle des Versicherers bleiben.Abgedeckt durchZeichnungs- und Regulierungsvollmachten als versionierte Instrumente, Vier-Augen-Prinzip bei jeder Änderung und ein Nachweis darüber, wer an welchem Tag welche Befugnis hatte.
- Solvency II · ModellvalidierungRichtlinie 2009/138/EG · Artikel 124Ein regelmäßiger Validierungszyklus für interne Modelle, der Ergebnisse und zentrale Annahmen überprüft.Abgedeckt durchValidierungsläufe, die sich exakt reproduzieren lassen – versiegelt mit den verwendeten Daten, dem Code und den Modellversionen.
- Versicherungsvertriebsrichtlinie (IDD)Richtlinie (EU) 2016/97 · Artikel 17, 20, 25Ehrlich, redlich und im bestmöglichen Interesse des Kunden handeln, dessen Wünsche und Bedürfnisse erfüllen und jedes Produkt für seinen Zielmarkt steuern.Abgedeckt durchJedes Angebot bewahrt die Dokumente auf, die der Kunde vor dem Abschluss gesehen hat. Jedes Produkt speichert jede freigegebene Version seines Wordings.
- EIOPA-Stellungnahme zu KIKI-Governance und Risikomanagement · 6. August 2025Wie Solvency II und die IDD auf KI anzuwenden sind, die nicht als Hochrisiko gilt: Governance, Daten, Aufzeichnungspflichten, Fairness, Erklärbarkeit, menschliche Aufsicht und Cybersicherheit.Abgedeckt durchDerselbe versiegelte Datensatz für jede KI-gestützte Entscheidung – ob Hochrisiko oder nicht.
- DORAVerordnung (EU) 2022/2554 · seit 17. Januar 2025IKT-Risiken steuern, schwerwiegende Vorfälle melden, ein Informationsregister über IKT-Drittdienstleister führen und Ausstiegsstrategien für Dienstleister bereithalten, die kritische oder wichtige Funktionen unterstützen.Abgedeckt durchUnsere Angaben für Ihr Informationsregister, Vorfalls-Chronologien ab der ersten Warnung und ein vollständiger Datenexport in einem offenen Format.
- Lloyd'sPrinciple 4, Schadenmanagement · Validierung nach MS14Zügige und faire Schadenregulierung mit überwachter Auslagerung (Delegated Authority) sowie mindestens jährliche, unabhängige Validierung interner Modelle.Abgedeckt durchVersiegelte Schadenentscheidungen zur Prüfung durch den Managing Agent, für den Kapazitätsgeber einsehbare Entscheidungen von Coverholdern und TPAs sowie reproduzierbare Validierungsläufe.
Kunden und ihre Daten
- DSGVO · Automatisierte EntscheidungenVerordnung (EU) 2016/679 · Artikel 22 und 15 Absatz 1 Buchstabe hBetroffene Personen haben das Recht, keiner ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die sie erheblich beeinträchtigt, und können aussagekräftige Informationen über die involvierte Logik verlangen. In der Rechtssache C-203/22 hat der Europäische Gerichtshof am 27. Februar 2025 entschieden, dass dies bedeutet, das tatsächlich angewandte Verfahren und die Grundsätze zu erläutern.Abgedeckt durchKeine Ablehnung erfolgt allein durch ein Modell. Eine namentlich benannte Person unterzeichnet, und die Akte erläutert im Klartext, welche Daten wie verwendet wurden.
- Central Bank of IrelandConsumer Protection Code · S.I. 80 und 81 von 2025Seit 24. März 2026: im besten Interesse der Kunden handeln, klare Informationen in verständlicher Sprache bereitstellen, digitale Kanäle nutzerfreundlich gestalten und schutzbedürftige Kunden unterstützen.Abgedeckt durchJedes Kundenschreiben wird vor dem Versand auf klare Sprache und Lesbarkeit geprüft – samt Nachweis darüber, was jedem Kunden mitgeteilt wurde.
- FCA Consumer DutyPrinciple 12 · PRIN 2A · seit 31. Juli 2023Gute Ergebnisse für Privatkunden erzielen: bei Produkten und Services, Preis und Gegenwert, Kundenverständnis sowie Kundenbetreuung.Abgedeckt durchEine versiegelte Begründung hinter jeder Preis- und Schadenentscheidung, der genaue Wortlaut, den der Kunde gesehen hat, und die dokumentierte Unterstützung in jedem Gespräch.
Die Zertifizierung bleibt Sache zwischen Ihnen und Ihrem Prüfer. HONESTAS bewahrt die Nachweise auf, zertifiziert Sie jedoch nicht. Keine Rechtsberatung.
Die Aufsicht fragt nach einer einzelnen Entscheidung. Sie antworten in vier Schritten.
Vorschrift, Entscheidung und Nachweis werden bereits im Moment der Entscheidung miteinander verknüpft – und nicht erst mühsam zusammengesucht, wenn jemand nachfragt.
Die Vorschrift
Jede Vorschrift, der Sie unterliegen, wird als versioniertes Element geführt – mit Gültigkeitsdatum und den internen Richtlinien, die sie umsetzen.
Die Entscheidung
Jede versiegelte Entscheidung nennt die Vorschriften, Wordings, Tariftabellen und Vollmachten, unter denen sie getroffen wurde, in der jeweils gültigen Version.
Die Nachweise
Die Akte enthält jeden Eingabewert samt Quelle und Alter und benennt klar, was zum Zeitpunkt der Entscheidung fehlte.
Der Lesezugang
Ihr Wirtschaftsprüfer oder Ihre Aufsichtsbehörde erhält einen Lesezugang für genau diese Akten – oder einen Decision Passport, der sich ganz ohne Nutzerkonto prüfen lässt.
Zu den Vorschriften.
Macht HONESTAS uns compliant?
Das kann kein Produkt. HONESTAS sichert laufend die Nachweise, die jede Vorschrift verlangt, sobald Entscheidungen fallen. So können sich Ihr Compliance-Team, Ihr Wirtschaftsprüfer und Ihre Aufsicht ein eigenes Urteil bilden. Die Zertifizierung bleibt Sache zwischen Ihnen und Ihrem Prüfer.
Welche unserer Anwendungsfälle gelten nach der KI-Verordnung als Hochrisiko?
Anhang III Nummer 5 Buchstabe c erfasst KI zur Risikobewertung und Tarifierung natürlicher Personen in der Lebens- und Krankenversicherung. Andere Anwendungen, etwa in der Kfz-Schadenregulierung oder im gewerblichen Underwriting, fallen unter die EIOPA-Stellungnahme sowie Ihre bestehenden Pflichten aus Solvency II und IDD. HONESTAS führt für beides exakt dieselbe Akte – ändert sich die Einstufung, ändert sich an Ihrer Nachweisführung nichts.
Was hat sich durch den Digitalen Omnibus geändert?
Mit der Verordnung (EU) 2026/1744 wurde der Geltungsbeginn für die Hochrisiko-Vorschriften der KI-Verordnung für Anwendungsfälle nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Die Pflichten für diese Anwendungsfälle wurden damit nicht aufgehoben. Ab heute geführte Aufzeichnungen decken bereits den Zeitraum ab, nach dem eine Aufsichtsbehörde fragen wird.
Gelten auch die britischen Vorschriften und die Regeln von Lloyd's?
Wenn Sie Geschäft im Vereinigten Königreich zeichnen, gilt für das Privatkundengeschäft die FCA Consumer Duty, und Lloyd's gibt eigene Grundsätze für Managing Agents vor. HONESTAS führt einen einzigen Datensatz und ordnet ihn jedem Aufsichtsregime zu, dem Sie unterliegen.
Wie lange werden die Akten aufbewahrt?
So lange, wie Sie es für jede Art von Nachweis festlegen. Die KI-Verordnung verlangt von Betreibern, Protokolle mindestens sechs Monate lang aufzubewahren; Schaden- und Underwriting-Akten werden in der Regel deutlich länger aufbewahrt. Eine Aufbewahrungssperre (Legal Hold) verhindert die Löschung bis zu ihrer Aufhebung – wobei sowohl die Sperre als auch die Aufhebung protokolliert werden.
Ist diese Seite eine Rechtsberatung?
Nein. Es ist unsere verständliche Lesart der Vorschriften – samt Quellenangaben, damit Ihre eigenen Berater sie prüfen können.
Mehr erfahren
Nennen Sie uns die Vorschrift, die Ihnen am meisten Sorgen bereitet.
Sagen Sie uns, nach welchem Artikel Ihre Aufsichtsbehörde zuletzt gefragt hat. Wir zeigen Ihnen die Nachweise, die darauf antworten.