KI in Tarifierung und Risikoprüfung: Versicherer unter dem Anhang III ab August 2026

Wer als Lebens- oder Krankenversicherer KI in Tarifierung und Risikoprüfung einsetzt, fällt ab dem 02.08.2026 unter die Hochrisiko-Pflichten aus Anhang III, Punkt 5c der KI-Verordnung. Das betrifft die Berechnung von Beiträgen, das Underwriting natürlicher Personen und algorithmische Risikoeinstufungen, die in die Tarifentscheidung einfließen. KFZ-, Sach- und gewerbliche Versicherungen sind explizit nicht erfasst. Stand der Recherche am 07.05.2026: Der EU-Trilog hat sich vorläufig auf eine Verschiebung der Anhang-III-Pflichten auf den 02.12.2027 geeinigt, die formale Bestätigung durch Rat und Parlament steht aber noch aus. Wir empfehlen, die Vorbereitung unabhängig vom Trilog-Ausgang fortzuführen.

Was Anhang III Punkt 5c regelt, und was nicht

Der Originalwortlaut von Anhang III, Punkt 5, Buchstabe c der Verordnung (EU) 2024/1689 erfasst „KI-Systeme, die bestimmungsgemäß zur Risikobewertung und Preisbildung in Bezug auf natürliche Personen im Fall von Lebens- und Krankenversicherungen verwendet werden sollen". Die Einstufung als Hochrisiko ist nicht an die Größe des Versicherers, an seinen Sitz oder an die konkrete Anwendung im Vertrieb gekoppelt. Sie greift, sobald ein KI-System in Tarifierung oder Underwriting für Lebens- oder Krankenversicherungsprodukte für natürliche Personen vorgesehen ist.

Der Geltungsbereich ist enger gefasst, als es die Insurance-Diskussionen oft suggerieren. KFZ-Versicherung, Hausrat, Haftpflicht, gewerbliche Sach- oder Rückversicherung sind in Anhang III 5c nicht enthalten. Auch die Schadenregulierung ist nicht vom Wortlaut erfasst. Erfasst ist die Berechnung des Risikos und die daran anknüpfende Preisbildung am Punkt der Antragsannahme oder Vertragsverlängerung.

Was nicht ausgenommen ist: das Risikoscoring im Vorfeld der Tarifentscheidung. Selbst wenn am Ende ein Aktuar oder Underwriter unterschreibt, gilt das KI-System als hochrisikorelevant, sobald es die Risikobewertung wesentlich vorbereitet oder beeinflusst. Diese Lesart deckt sich mit der Linie, die die EU-Kommission im Service Desk zur KI-Verordnung für Punkt 5b (Kreditscoring) bereits etabliert hat.

Die Klassifikation hat Konsequenzen entlang der gesamten Wertschöpfungskette. Anbieter, also Hersteller des KI-Modells, müssen Konformitätsbewertung, EU-Datenbank-Registrierung und ein Qualitätsmanagement nach Artikel 17 nachweisen. Betreiber, also Versicherer, die das Modell einsetzen, haften zusätzlich für die korrekte Verwendung im laufenden Betrieb, das Monitoring und die menschliche Aufsicht.

Bußgelder bei Verstößen liegen für Hochrisiko-Pflichtverletzungen bei bis zu 15 Mio Euro oder 3 Prozent des weltweiten Jahresumsatzes. Falsche Angaben gegenüber Behörden kosten bis zu 7,5 Mio Euro oder 1 Prozent.

Welche Pflichten für Lebens- und Krankenversicherer gelten

Die operativen Anforderungen aus Kapitel III der KI-Verordnung greifen vollständig. Sechs Bereiche stechen für Versicherer heraus.

Risikomanagement-System nach Artikel 9. Das Unternehmen muss einen kontinuierlichen Risikomanagement-Prozess für jedes Hochrisiko-KI-System einrichten. Identifikation absehbarer Risiken, Bewertung der Restrisiken nach Schutzmaßnahmen, Test des Systems unter realistischen Bedingungen vor Inbetriebnahme. Das ist mehr als das, was Aktuare bisher unter Modellvalidierung verstanden haben.

Daten-Governance nach Artikel 10. Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ, fehlerfrei und vollständig sein. Versicherer müssen dokumentieren, woher die Daten stammen, wie sie aufbereitet wurden und welche Bias-Prüfungen stattgefunden haben. Bei Lebens- und Krankenversicherung kommt erschwerend hinzu, dass historische Sterblichkeits- und Morbiditätsdaten geschlechts-, alters- und herkunftsbezogene Verzerrungen enthalten können, die im Modell fortgeschrieben werden. Eine MDPI-Studie aus 2025 zeigt, wie algorithmischer Bias in Life- und Health-Underwriting nicht nur diskriminierungsrechtlich, sondern auch kapitalseitig Probleme erzeugt.

Technische Dokumentation und Logs nach Artikel 11 und 12. Die Dokumentation muss so detailliert sein, dass eine Aufsichtsbehörde die Funktionsweise des Systems nachvollziehen kann. Logs müssen automatisch generiert werden und ermöglichen, einzelne Tarifierungsentscheidungen rückwirkend zu prüfen. Aufbewahrungsfristen aus § 257 HGB und den versicherungsspezifischen Aufbewahrungspflichten kommen on top.

Menschliche Aufsicht nach Artikel 14. Es muss möglich sein, dass eine geschulte Person die KI-Ausgabe versteht, Vertrauen kalibriert und im Zweifel überstimmt. Reines Abnicken reicht nicht. Die DSGVO verschärft das zusätzlich: Artikel 22 verbietet ausschließlich automatisierte Entscheidungen mit rechtlicher Wirkung, und eine Tarifablehnung oder ein deutlich erhöhter Risikozuschlag haben eine solche Wirkung.

Genauigkeit, Robustheit, Cybersicherheit nach Artikel 15. Das System muss seine Genauigkeitsmetriken im Realbetrieb halten. Modell-Drift, also schleichende Veränderung der Vorhersagequalität durch sich verändernde Datenmuster (etwa neue Krankheitsbilder oder Long-Covid-Effekte), muss erkannt werden. Adversarielle Angriffe auf Eingabedaten müssen abgewehrt werden.

Konformitätsbewertung und CE-Kennzeichnung nach Artikel 43. Vor Inbetriebnahme oder spätestens mit Wirksamkeit der Pflichten muss eine Konformitätsbewertung vorliegen. Bei vielen Hochrisiko-Systemen reicht eine interne Bewertung, in einzelnen Konstellationen ist eine benannte Stelle einzuschalten.

Hinzu kommt eine Anforderung, die für Versicherer politisch besonders heikel ist: die Grundrechte-Folgenabschätzung nach Artikel 27. Wenn der Versicherer als Stelle eingeordnet wird, die öffentliche Aufgaben wahrnimmt oder Dienstleistungen mit erheblicher Auswirkung auf Grundrechte erbringt, ist eine FRIA Pflicht. Die Frage, ob private Krankenversicherer darunter fallen, ist Stand Mai 2026 noch nicht abschließend geklärt. Aufsichtsrechtlich ist die sicherere Annahme, dass eine Pflicht besteht.

BaFin-Vorgaben (VAG Paragraph 23 und 26) und AI Act

Die BaFin reguliert das Risikomanagement der Versicherer seit Jahren über das Versicherungsaufsichtsgesetz und die Mindestanforderungen an die Geschäftsorganisation (MaGo). § 23 VAG verlangt eine angemessene Geschäftsorganisation, § 26 VAG ein wirksames Risikomanagementsystem, das alle wesentlichen Risiken erfasst. Bisher wurden KI-Modelle in Tarifierung und Underwriting darunter subsumiert.

Die VAIT (Versicherungsaufsichtliche Anforderungen an die IT) wurden am 17.01.2025 abgelöst und in das DORA-Regime (VO (EU) 2022/2554) überführt. DORA regelt seitdem IT-Risikomanagement, Sicherheitsvorfälle und Drittanbieter-Risiken in Versicherungs- und Finanzunternehmen. Wer KI als ausgelagertes Modell von einem externen Anbieter bezieht, fällt zusätzlich unter die DORA-Regelungen zu Drittanbieter-IKT-Risiken.

EIOPA hat 2021 sechs AI Governance Principles veröffentlicht, die als nicht-bindender Referenzrahmen weiterhin gelten: Verhältnismäßigkeit, Fairness und Nichtdiskriminierung, Transparenz und Erklärbarkeit, menschliche Aufsicht, DSGVO-Konformität sowie Robustheit und Performanz. Mit der Anhang-III-Wirksamkeit werden diese Grundsätze faktisch durch die KI-Verordnung verbindlich nachgeschärft.

Die Schnittmengen zur KI-Verordnung sind groß, aber nicht deckungsgleich. § 23 und § 26 VAG fordern Risikomanagement, EU-Recht ergänzt das um produktspezifische Hochrisiko-Pflichten für jedes einzelne KI-System. Praktisch heißt das: Ein Versicherer kann seine Risikomanagement-Funktion nicht einfach auf das KI-System ziehen, sondern muss die spezifischen Artikel-9-bis-15-Anforderungen pro System nachweisen. Die BaFin hat im April und Mai 2026 in mehreren Vorträgen klargestellt, dass sie eine koordinierte Anwendung von VAG, DORA und KI-Verordnung erwartet, ohne dass es zu Doppelpflichten kommt. Für Doppelarbeit gibt es trotzdem Felder, etwa bei der Drittanbieter-Bewertung von KI-Modellen.

Wer DSGVO Art. 22 ernst nimmt, hat parallel die zivilrechtliche Schiene zu beachten. Eine Krankenversicherung darf keinen Antrag rein algorithmisch ablehnen oder mit Risikozuschlag belegen, ohne menschliche Letztentscheidung anzubieten. Wer das im Vertrieb automatisiert, bekommt es mit Datenschutzbehörden und Verbraucherschutz parallel zur BaFin zu tun.

Praxis-Beispiel: Mittelstands-Lebensversicherer mit KI-Tarifierung

Ein deutscher Mittelstands-Lebensversicherer mit 200 Mio Euro Beitragseinnahmen und einem aktiven Bestand von 80.000 Risikolebens- und Berufsunfähigkeitsverträgen setzt seit 2024 ein KI-gestütztes Underwriting-System ein. Das System wertet Antragsdaten, externe Gesundheitsindikatoren und historische Schadensquoten aus und schlägt eine Risikoklasse mit Beitragszuschlag vor. Ein Aktuar gibt den Vorschlag final frei.

Das System fällt nach unserem Recherchestand klar unter Anhang III Punkt 5c. Drei Felder werden für den Versicherer Pflichtarbeit bis zur Wirksamkeit:

Bias-Audit der Trainingsdaten. Die historischen Bestandsdaten enthalten Verzerrungen aus Zeiten unterschiedlicher Tarifierungspraxis (etwa unisex-Pflicht erst seit 2012). Wenn das Modell diese Muster fortschreibt, ist ein Bias-Audit mit Mitigation-Plan Pflicht. Konkret bedeutet das: Statistische Tests auf systematische Über- oder Unterbewertung bestimmter Risikogruppen, Dokumentation der Befunde und der Gegenmaßnahmen.

Erklärbarkeit gegenüber Antragsteller und Aktuar. Wenn ein Antrag mit Risikozuschlag abgelehnt oder verteuert wird, muss der Aktuar nicht nur die Score-Ausgabe sehen, sondern auch die wesentlichen Treiber. Die DSGVO erlaubt dem Antragsteller zudem, die Logik der Entscheidung in verständlicher Form zu erfragen. Reine SHAP-Werte genügen oft nicht, der Versicherer muss die Erklärungen in eine Sprache übersetzen, die für Vertriebsmitarbeiter und Antragsteller verständlich ist.

Logging mit Eingabe, Ausgabe und Aktuarsentscheidung. Jeder einzelne Tarifierungsvorgang muss protokolliert werden, inklusive der Frage, ob der Aktuar dem KI-Vorschlag gefolgt ist. Diese Logs sind die Grundlage für interne Reviews, BaFin-Anfragen und für die Reaktion auf Beschwerden bei Datenschutzbehörden.

Zusätzlich muss das Unternehmen seine Mitarbeiter im Tarifierungs- und Vertriebsbereich schulen. Artikel 4 KI-Verordnung verpflichtet seit dem 02.02.2025 alle KI-einsetzenden Unternehmen, ausreichende KI-Kompetenz beim Personal sicherzustellen. Für einen Mittelstands-Lebensversicherer heißt das, dass nicht nur die Aktuare, sondern auch Sachbearbeiter, Antragssteller-Hotline und Compliance-Verantwortliche eine KI-Grundausbildung brauchen.

Wer das unterschätzt

In der Praxis sehen wir, dass viele Versicherer die KI-Verordnung als reine IT-Compliance-Übung behandeln. Das greift zu kurz. Die Pflichten greifen tief in Aktuariat, Underwriting, Vertrieb und Schadenmanagement und verlangen interdisziplinäre Teams aus Recht, Aktuariat, Data Science und Compliance. Wer das in der Linie der IT-Sicherheit aufhängt, ohne die Fachbereiche systematisch einzubinden, wird die Frist nicht halten oder hält sie auf dem Papier und scheitert beim ersten BaFin-Audit nach 02.08.2026 (oder, falls der Trilog-Aufschub zustande kommt, nach 02.12.2027). Die teuerste Lesart ist die, die nur die offensichtlichen Punkte adressiert und die Bias-, FRIA- und Logging-Pflichten als „später" markiert. Diese Punkte sind genau die, die Aufsicht und Verbraucherschutz priorisieren werden.

Häufige Fragen zu KI-Tarifierung unter Anhang III

Fällt KFZ-Versicherung unter Anhang III Punkt 5c?

Nein. Anhang III Punkt 5c erfasst ausdrücklich nur „Lebens- und Krankenversicherungen" für natürliche Personen. Tarifierung in der KFZ-Versicherung, Hausrat, Haftpflicht oder gewerblichen Versicherungen ist nicht erfasst. Andere Pflichten der KI-Verordnung wie Artikel 4 (KI-Kompetenz, seit 02.02.2025) gelten aber unabhängig von der Versicherungssparte.

Was passiert mit KI-Systemen, die schon vor August 2026 in Betrieb sind?

Hochrisiko-KI-Systeme, die vor dem 02.08.2026 in Verkehr gebracht oder in Betrieb genommen wurden, müssen die Anforderungen erst erfüllen, sobald sie nach diesem Stichtag wesentlich verändert werden. Bestandssysteme ohne wesentliche Änderung haben eine Übergangsfrist bis 02.08.2030. „Wesentlich" bedeutet substantielle Änderung am Modell, an den Trainingsdaten oder am Einsatzzweck. Reine Modell-Updates auf neue Daten gelten in der Regel nicht als wesentliche Änderung, wenn der Einsatzzweck unverändert bleibt.

Wie verhält sich der mögliche Trilog-Aufschub auf 02.12.2027?

Stand der Recherche 07.05.2026: Der EU-Trilog hat sich vorläufig auf eine Verschiebung der Hochrisiko-Pflichten aus Anhang III auf den 02.12.2027 geeinigt. Rat und Parlament müssen den Kompromiss noch formal bestätigen. Versicherer sollten unabhängig vom Ausgang die Vorbereitung jetzt fortsetzen. Ein Aufschub verschafft Zeit, hebt aber keine Pflicht auf, und die FRIA-Vorbereitung sowie Bias-Audits brauchen zwölf bis achtzehn Monate Vorlauf. Mehr dazu im Beitrag zur KI-Kreditvergabe unter Anhang III, wo wir die Trilog-Lage parallel verfolgen.

Reicht der Verweis auf den KI-Anbieter, wenn das Modell zugekauft ist?

Nein. Anbieter und Betreiber haben getrennte Pflichten. Der Versicherer als Betreiber muss zusätzlich Schulungen, menschliche Aufsicht, Eingangsdatenprüfung, Monitoring und Vorfallsmeldungen sicherstellen. Wer das KI-Modell von einem Drittanbieter bezieht, hat zudem DORA-Pflichten zur Drittanbieter-Steuerung. Eine reine Vertragsklausel „Anbieter haftet" reicht aufsichtsrechtlich nicht.

Zuletzt geprüft am 10. Mai 2026.

Stand der Recherche: 7. Mai 2026. Der EU-Trilog zur möglichen Verschiebung der Anhang-III-Pflichten auf 02.12.2027 hat eine vorläufige Einigung erzielt, die formale Bestätigung steht aus. Vor operativen Entscheidungen den aktuellen Stand bei BaFin, EIOPA und EU-Kommission prüfen.

Über den Autor

Dr. Jens Aichinger ist promovierter Wirtschaftspädagoge, Erwachsenenbildner und Geschäftsführer von SkillSprinters. Er bildet seit über 15 Jahren Berufstätige und Quereinsteiger weiter, davon 5 Jahre in der staatlich geförderten Weiterbildung mit AZAV-zertifizierten Maßnahmen. SkillSprinters ist DEKRA-zertifizierter Bildungsträger. Mehr als 70 Sachbücher zu Weiterbildung, KI und Karriere auf Amazon KDP.

Bereit für den nächsten Schritt? Wir zeigen dir in einem persönlichen Gespräch, wie dein Versicherungsunternehmen die Compliance-Anforderungen aus AI Act, VAG und DORA mit qualifizierten Mitarbeitern abdeckt. QCG fördert die KI-Weiterbildung deiner Aktuare, Underwriter und Compliance-Fachkräfte mit bis zu 100 Prozent. Termin buchen oder Kostenlos reinschnuppern.