KI datenschutzkonform einführen: Wie gelingt Versicherern der Start 2026?

Viele Versicherer starten ihre KI-Projekte im Fachbereich und beerdigen sie später in der Rechtsabteilung. Das kostet Zeit, Budget und internes Vertrauen. Versicherer führen KI datenschutzkonform ein, indem sie vor dem ersten Datensatz die Rechtsgrundlage, den Zweck und die Risikoklasse klären, automatisierte Entscheidungen mit erheblicher Wirkung durch menschliche Kontrolle absichern und den gesamten Einsatz lückenlos dokumentieren. Datenschutz ist hier kein Bremsklotz. Er ist die Bedingung dafür, dass ein KI-System überhaupt in den Regelbetrieb geht.

Wo stehen Versicherer beim KI-Einsatz?

Der Druck ist messbar. In der Studie SHUK 5.0 der PPI AG, für die 26 Versicherer befragt wurden, sehen 81 Prozent der Institute eine strategische Bedeutung von KI in Bestandsverwaltung und Schadenmanagement. Gleichzeitig nennen dieselben Befragten den EU AI Act nach der Digital Operational Resilience Act (DORA) als relevanteste regulatorische Herausforderung für ihre IT-Strategie. Die Technik ist also gewollt, die Regulatorik gefürchtet.

Dass sich der Aufwand lohnt, zeigt der Gesamtverband der Deutschen Versicherer (GDV) an einem konkreten Beispiel: Bei der ERGO Group prüft ein KI-System Zahnkostenrechnungen mit einer Treffgenauigkeit von 90 bis 95 Prozent und senkte die Bearbeitungszeit von rund anderthalb Stunden auf etwa zehn Minuten. Der Hebel ist real. Die eigentliche Frage lautet nicht, ob KI kommt, sondern wie sauber sie eingeführt wird.

Welche Rechtsgrundlage braucht KI in der Versicherung?

Jede Verarbeitung personenbezogener Daten durch ein KI-System braucht eine Rechtsgrundlage nach der Datenschutz-Grundverordnung (DSGVO). Wer diese Frage erst nach dem Training stellt, hat sie zu spät gestellt. Für Versicherer relevant sind vor allem die Vertragserfüllung, ein berechtigtes Interesse oder die ausdrückliche Einwilligung. Gesundheitsdaten in der Kranken- und Lebensversicherung sind besondere Kategorien personenbezogener Daten und verlangen eine zusätzliche Erlaubnis.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz, DSK) hat dazu am 6. Mai 2024 die Orientierungshilfe "Künstliche Intelligenz und Datenschutz" veröffentlicht. Sie benennt als zentrale Kriterien unter anderem die Zweckbestimmung, Transparenzpflichten, Betroffenenrechte und die Richtigkeit der Ergebnisse. Diese Punkte gehören in die Projektplanung, nicht in die Nachbesserung.

Was bedeutet Artikel 22 DSGVO für automatisierte Entscheidungen?

Nach Artikel 22 DSGVO hat jede betroffene Person das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine abgelehnte Antragsstrecke, eine automatisierte Leistungsablehnung oder eine vollautomatische Prämienfestsetzung fällt genau in diesen Bereich.

Artikel 22 DSGVO lässt solche Entscheidungen zu, wenn sie für einen Vertrag erforderlich sind, gesetzlich erlaubt werden oder auf ausdrücklicher Einwilligung beruhen. In diesen Fällen verlangt die DSGVO angemessene Schutzmaßnahmen, darunter das Recht auf ein menschliches Eingreifen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. Praktisch heißt das: Ein Mensch muss die KI-Entscheidung prüfen und überstimmen können, und dieser Schritt muss dokumentiert sein.

Warum gilt KI in Lebens- und Krankenversicherung als Hochrisiko?

Der EU AI Act (Verordnung (EU) 2024/1689) stuft bestimmte KI-Systeme als Hochrisiko ein. Anhang III nennt ausdrücklich "KI-Systeme, die bestimmungsgemäß für die Risikobewertung und Preisbildung in Bezug auf natürliche Personen im Fall von Lebens- und Krankenversicherungen verwendet werden sollen". Wer KI in Underwriting oder Tarifierung dieser Sparten einsetzt, betreibt damit ein Hochrisiko-System und trägt die entsprechenden Pflichten.

Dazu gehören ein Risikomanagement, eine Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht und ein Qualitätsmanagement. Das klingt nach viel und ist es auch. Wer den den regulatorischen Rahmen für KI früh in die Architektur einbaut, statt ihn nachträglich draufzuschrauben, spart am Ende Monate. Die Einstufung entscheidet über den gesamten Prüfumfang und gehört deshalb an den Anfang jedes Vorhabens.

Wie viele Daten darf die KI überhaupt nutzen?

Weniger, als die meisten Modelle gerne hätten. Die DSGVO verlangt Datenminimierung und Zweckbindung. Die DSK-Orientierungshilfe formuliert das für KI klar: Es sind nur so viele Daten zu verwenden, wie tatsächlich nötig sind, und jeder Verarbeitungsschritt sowie jede Datenquelle sind zu dokumentieren.

Für Versicherer bedeutet das eine unbequeme Übung. Trainingsdaten aus dem Bestand dürfen nicht ohne Weiteres für neue Zwecke weiterverwendet werden. Wer ein Modell auf Schadendaten trainiert, darf es nicht stillschweigend für Vertriebssteuerung einsetzen. Zweckänderung braucht eine eigene Prüfung. Diese Disziplin schützt nicht nur den Kunden, sie hält das Projekt auch prüfungsfest.

Welche technischen Maßnahmen sichern KI-Systeme ab?

Recht allein reicht nicht. Datenschutzkonforme KI braucht technische und organisatorische Maßnahmen: Rollen- und Rechtekonzepte, Pseudonymisierung oder Anonymisierung von Trainingsdaten, verschlüsselte Verarbeitung, Protokollierung der Zugriffe und klar getrennte Umgebungen für Entwicklung und Produktion.

Eine der wirksamsten Weichenstellungen betrifft den Ort der Verarbeitung. Wer sensible Gesundheits- und Vertragsdaten in fremde Cloud-Dienste außerhalb der eigenen Kontrolle gibt, vergrößert die Angriffsfläche und die Nachweispflichten. Für viele Anwendungsfälle sind lokale statt cloudbasierte KI-Modelle die datenschutzärmere und oft auch aufsichtsfreundlichere Wahl. Die Entscheidung über die Betriebsform ist eine Datenschutzentscheidung, keine reine IT-Frage.

Wer trägt die Verantwortung? Governance und Verzeichnis

KI ohne Governance ist ein Risiko mit Systemcharakter. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat bereits in ihrem Prinzipienpapier "Big Data und künstliche Intelligenz" vom 15. Juni 2021 klare Erwartungen formuliert: nachvollziehbare Prozesse, klare Verantwortlichkeiten und menschliche Kontrolle über algorithmische Entscheidungen. Diese Linie gilt weiter und wird durch den EU AI Act verschärft.

Konkret gehört jedes KI-System in das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO. Für risikoreiche Verarbeitungen verlangt die DSGVO in Artikel 35 zusätzlich eine Datenschutz-Folgenabschätzung. Eine benannte verantwortliche Rolle, ein eingebundener Datenschutzbeauftragter und eine dokumentierte Freigabe vor dem Produktivbetrieb sind kein Bürokratie-Overhead, sondern der Beleg, dass das Haus seine eigenen Systeme beherrscht.

Der Fahrplan für die datenschutzkonforme KI-Einführung

Bringen Sie die Reihenfolge in Ordnung. Zuerst der Zweck und die Rechtsgrundlage, dann die Risikoklasse nach dem EU AI Act, dann die Datenauswahl nach dem Grundsatz der Minimierung. Erst danach folgen Modellwahl, Betriebsform und Integration. Automatisierte Entscheidungen mit erheblicher Wirkung bekommen von Anfang an einen menschlichen Kontrollpunkt, jedes System einen Eintrag im Verarbeitungsverzeichnis und eine dokumentierte Freigabe.

Dieser Weg wirkt langsamer und ist am Ende schneller. Projekte, die Rechtsgrundlage und Governance vorne klären, brechen hinten nicht ein. Sie skalieren.

Nächster Schritt: KI-Potenzial und Datenschutz in einem Aufwasch klären

Sie wollen wissen, welche KI-Anwendung in Ihrem Haus den größten Hebel bietet und zugleich datenschutzkonform umsetzbar ist? Genau das klären wir in einem Sotica-Workshop zur KI-Potenzialanalyse: Wir priorisieren Ihre Anwendungsfälle nach Nutzen und Risikoklasse, prüfen Rechtsgrundlage und Governance und liefern einen belastbaren Fahrplan bis zum Produktivbetrieb. KI wird bei uns zum Hebel, nicht zur Überschrift. Vereinbaren Sie ein Erstgespräch mit Sotica.