Hvert lovkrav, besvart med deres egne protokoller.
Hver regel tilsynsmyndigheten bruker på KI i forsikring, er koblet til de forseglede protokollene som dokumenterer etterlevelsen. En revisor kan følge linjen fra lovartikkelen til beslutningen, grunnlaget den bygget på, og personen som signerte den.
Noen regler gjelder nå. De neste har fått en dato.
DORA gjelder allerede for forsikringsselskaper. De reviderte Solvens II-reglene og høyrisikoreglene i KI-forordningen (AI Act) følger etter. Dokumentasjonen som kreves, er den samme: hvem som besluttet, på hvilket grunnlag og etter hvilken regel.
til reglene i KI-forordningen (EU AI Act) for høyrisiko-KI gjelder for risikovurdering og prissetting innen livs- og helseforsikring, 2. desember 2027.
DORA gjelder allerede for forsikringsselskaper i dag, og Solvens II og IDD krever det samme: bevis. HONESTAS sikrer dette beviset fra første skadesak.
Velg en dato på tidslinjen. Klokken teller ned til en regel trer i kraft, og teller deretter dagene den har vært gjeldende.
Datoer for KI-forordningen (AI Act) som endret ved forordning (EU) 2026/1744, Digital Omnibus, kunngjort i Den europeiske unions tidende 24. juli 2026. Revisjon av Solvens II: direktiv (EU) 2025/2, som gjelder fra 30. januar 2027. Dette er ikke juridisk rådgivning.
Hva hver regel krever, og protokollen som svarer på kravet.
Én forseglet protokoll kan oppfylle flere regelverkskrav samtidig. Nedenfor er hver forpliktelse beskrevet i klart språk, etterfulgt av hva HONESTAS lagrer for å dokumentere den.
EUs KI-forordning (EU AI Act) · Forordning (EU) 2024/1689
- RisikostyringArtikkel 9Et risikostyringssystem for hvert høyrisiko KI-system, som drives og gjennomgås så lenge systemet er i bruk.Besvares medValideringskjøringer, funn fra utfordrermodeller og driftsavviksvarsler (drift alerts), alt lagret sammen med modellversjonen som ble testet.
- Loggføring og dokumentasjonArtikkel 12Høyrisiko KI-systemer må registrere hendelser automatisk gjennom hele levetiden, slik at driften kan spores.Besvares medDen forseglede beslutningsprotokollen: inndata, regler og modellversjoner, hvert argument, signaturen og et eksternt tidsstempel.
- Åpenhet overfor brukereArtikkel 13De som bruker systemet, må kunne forstå utdataene og bruke dem riktig.Besvares medHvert KI-svar viser hva det er basert på, og hva som ble holdt tilbake. Hver KI-knapp viser hvilken modell og versjon den kjører.
- Menneskelig kontrollArtikkel 14Mennesker må kunne føre tilsyn med systemet, forstå dets begrensninger, velge å ikke bruke resultatet og stoppe det.Besvares medEn navngitt leder i hvert beslutningsrom, en utfordrerrolle, en sekundærmodell som kan stoppe beslutningen, og en person som signerer.
- Plikter for idriftsettereArtikkel 26Overlat tilsynet til personer med nødvendig kompetanse, opplæring og fullmakt, overvåk systemet, oppbevar loggene i minst seks måneder og informer de berørte.Besvares medUnderskrivere hvis fullmakt kontrolleres før de signerer, logger som lagres i protokollarkivet så lenge dere bestemmer, og brev som opplyser om at KI har bistått.
- Prising av liv- og helseforsikringVedlegg III punkt 5 bokstav cKI som brukes til risikovurdering og prising av fysiske personer innen liv- og helseforsikring, er høyrisiko. Reglene for dette gjelder fra 2. desember 2027.Besvares medHver underwriting- og prisbeslutning innen liv og helse rutes til et beslutningsrom og forsegles, helt fra første tilbud.
Forsikringstilsyn
- Solvens II · styringssystemDirektiv 2009/138/EF · Artikkel 41 til 49Klare ansvarsforhold, risikostyring, internkontroll og skriftlige retningslinjer, der utkontrakterte funksjoner holdes under forsikringsselskapets kontroll.Besvares medFullmaktsgrenser lagret som versjonsstyrte dokumenter, fire-øyne-prinsipp ved hver endring, og en oversikt over hvem som hadde hvilken fullmakt på den aktuelle dagen.
- Solvens II · modellvalideringDirektiv 2009/138/EF · Artikkel 124En fast syklus for validering av interne modeller, som tester resultater og sentrale forutsetninger.Besvares medValideringskjøringer som kan gjentas nøyaktig likt, forseglet med dataene, koden og modellversjonene som ble brukt.
- Forsikringsdistribusjonsdirektivet (IDD)Direktiv (EU) 2016/97 · Artikkel 17, 20, 25Opptre ærlig, redelig og i kundens beste interesse, ivareta kundens krav og behov, og styr hvert produkt mot den tiltenkte målgruppen.Besvares medHvert tilbud lagrer dokumentene kunden så før betaling. Hvert produkt lagrer hver godkjente versjon av forsikringsvilkårene.
- EIOPA-uttalelse om KIKI-styring og risikostyring · 6. august 2025Hvordan Solvens II og IDD gjelder for KI som ikke er høyrisiko: styring, data, dokumentasjon, rimelighet, forklarbarhet, menneskelig kontroll og cybersikkerhet.Besvares medDen samme forseglede protokollen for hver beslutning der KI er involvert, uansett om den er høyrisiko eller ikke.
- DORAForordning (EU) 2022/2554 · siden 17. januar 2025Styr IKT-risiko, rapporter alvorlige hendelser, før et register over IKT-leverandører og ha utkontrakterings- og avviklingsplaner (exit-planer) for leverandører som støtter kritiske eller viktige funksjoner.Besvares medVåre opplysninger klare for registeret deres, tidslinjer for hendelser fra første varsel, og full eksport i et åpent format.
- Lloyd'sPrinsipp 4, skadebehandling · MS14-valideringRask og rettferdig skadebehandling med tilsyn over delegerte skadeoppgjør, og uavhengig validering av interne modeller minst én gang i året.Besvares medForseglede skadebeslutninger som en managing agent kan gjennomgå, beslutninger hos coverholder og TPA som er åpne for kapasitetsgiveren, og valideringskjøringer som kan spilles av på nytt.
Kunder og deres data
- GDPR · automatiserte avgjørelserForordning (EU) 2016/679 · Artikkel 22 og 15(1)(h)Enkeltpersoner har rett til ikke å bli gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling og som i betydelig grad påvirker dem, og kan be om relevant informasjon om den underliggende logikken. I sak C-203/22, 27. februar 2025, slo EU-domstolen fast at dette betyr å forklare prosedyren og prinsippene som faktisk ble anvendt.Besvares medIngen avslag fattes av en modell alene. En navngitt person signerer, og loggen oppgir i klarspråk hvilke data som ble brukt og hvordan.
- Central Bank of IrelandConsumer Protection Code · S.I. 80 and 81 of 2025Siden 24. mars 2026: handle i kundenes beste interesse, gi tydelig informasjon i klarspråk, gjøre digitale kanaler enkle å bruke og støtte kunder i sårbare situasjoner.Besvares medHvert kundebrev sjekkes for klarspråk og lesbarhetsnivå før det sendes, med dokumentasjon av hva hver kunde ble fortalt.
- FCA Consumer DutyPrinciple 12 · PRIN 2A · siden 31. juli 2023Lever gode resultater for privatkunder: produkter og tjenester, pris og verdi, kundeforståelse og kundestøtte.Besvares medEn forseglet begrunnelse bak hver pris- og skadebeslutning, ordene kunden så, og støtten de fikk i hver samtale.
Sertifisering er en sak mellom dere og revisor. HONESTAS tar vare på dokumentasjonen; systemet sertifiserer dere ikke. Ikke juridisk rådgivning.
Tilsynsmyndigheten spør om én enkelt beslutning. Dere svarer i fire steg.
Regelen, beslutningen og dokumentasjonen kobles sammen når beslutningen tas, og må ikke lappes sammen når noen spør.
Regelen
Hver regel dere er underlagt lagres i versjoner, med datoen den gjaldt og retningslinjene som satte den ut i livet.
Beslutningen
Hver forseglet beslutning oppgir reglene, vilkårene, tariffene og fullmakten den ble fattet under, i versjonen som gjaldt på tidspunktet.
Dokumentasjonen
Posten inneholder alle inndata, kilden og alderen, og sier tydelig hva som manglet da beslutningen ble tatt.
Lesetilgangen
Revisor eller tilsynsmyndighet får en lesetilgang til nettopp disse postene, eller et Decision Passport de kan sjekke uten brukerkonto.
Om regelverket.
Gjør HONESTAS at vi etterlever regelverket?
Ingen produkter kan det. HONESTAS tar vare på dokumentasjonen hver regel krever, fortløpende mens beslutningene tas, slik at compliance-teamet, revisor og tilsynet kan gjøre seg opp sin egen mening. Sertifisering er en sak mellom dere og revisor.
Hvilke av våre bruksområder er høyrisiko under KI-forordningen?
Vedlegg III punkt 5(c) dekker KI brukt til risikovurdering og prissetting for fysiske personer innen livs- og helseforsikring. Annen bruk, som bilskade eller næringslivs-underwriting, faller inn under EIOPA-uttalelsen og eksisterende plikter under Solvens II og IDD. HONESTAS fører samme dokumentasjon for begge, slik at en endret klassifisering ikke endrer bevisgrunnlaget.
Hva endret Digital Omnibus?
Forordning (EU) 2026/1744 flyttet fristen for KI-forordningens høyrisikoregler for bruk under vedlegg III fra 2. august 2026 til 2. desember 2027. Den fjernet ikke pliktene for disse bruksområdene. Dokumentasjon som lagres fra i dag vil allerede dekke perioden tilsynet spør om.
Gjelder reglene i Storbritannia og Lloyd's også?
Hvis dere tegner forsikring i Storbritannia, gjelder FCA Consumer Duty for privatkunder, og Lloyd's setter egne prinsipper for managing agents. HONESTAS fører én logg og knytter den opp mot hvert enkelt regelverk dere er underlagt.
Hvor lenge lagres postene?
Så lenge dere bestemmer, per type post. KI-forordningen krever at brukere lagrer logger i minst seks måneder; skade- og underwriting-dokumentasjon lagres vanligvis langt lenger. Et rettslig pålegg om bevaring (legal hold) stopper sletting inntil det oppheves, og begge deler loggføres.
Er denne siden juridisk rådgivning?
Nei. Det er vår praktiske lesning av regelverket, med kildehenvisninger slik at deres egne rådgivere kan sjekke dem.
Gå dypere
Ta med regelen som bekymrer dere mest.
Fortell oss hvilken artikkel tilsynet spurte om sist. Vi viser dere postene som gir svaret.