AI Act in Lebens-/Krankenversicherung (Anhang III, 5)

Hauptartikel: Hochrisiko-KI Anhang III — Schritt-für-Schritt-Klassifizierung von KI-Systemen nach den acht Bereichen des Anhangs III, mit Entscheidungsbaum.

1. Anhang III Nr. 5 lit. c

Erfasst ist die 'Risikobewertung und Preisbildung in Bezug auf natürliche Personen im Fall von Lebens- und Krankenversicherungen.' (Anhang III Nr. 5 lit. c KI-VO; lit. b betrifft die Kreditwürdigkeitsprüfung/Bonitätsbewertung.) Nummer 5 des Anhangs III steht dabei im Oberbereich „Zugänglichkeit und Inanspruchnahme grundlegender privater und öffentlicher Dienste und Leistungen“, der unter anderem Kreditwürdigkeit, Kranken- und Lebensversicherung sowie Notrufe umfasst.

Rechtsfolge: KI-Systeme, die einem in Anhang III genannten Bereich zuzuordnen sind, gelten nach Art. 6 Abs. 2 KI-VO als hochriskant. Die Rückausnahme des Art. 6 Abs. 3 KI-VO greift nur, wenn das System kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt — und sie ist ausgeschlossen, wenn das System ein Profiling natürlicher Personen durchführt. Prüfen Sie deshalb je System dokumentiert: Was tut es genau, welche Eingaben verarbeitet es, welche Ausgabe erzeugt es, und beeinflusst diese Ausgabe die Antrags- oder Tarifentscheidung wesentlich?

Praxisempfehlung (keine Rechtspflicht): Art. 6 Abs. 3 eng auslegen und im Zweifel als Hochrisiko klassifizieren — eine zu hohe Einstufung kostet Aufwand, eine zu niedrige das Bußgeldrisiko nach Art. 99 Abs. 4 KI-VO.

2. Sondersensible Daten Art. 9 DSGVO

Gesundheitsdaten in Versicherung = Art. 9 DSGVO. Erforderlich: eine Ausnahme nach Art. 9 Abs. 2 DSGVO + KI-seitig Data Governance mit Bias-Prüfung als Anforderung an das Hochrisiko-System (Art. 10 KI-VO). Im Detail: Art. 9 Abs. 1 DSGVO untersagt die Verarbeitung von Gesundheitsdaten und genetischen Daten sowie von biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person grundsätzlich; geöffnet wird das Verbot nur über die Ausnahmen des Art. 9 Abs. 2 DSGVO, etwa die ausdrückliche Einwilligung. Daneben zählt Art. 6 Abs. 1 DSGVO die sechs Erlaubnistatbestände auf, auf die sich jede Verarbeitung stützen muss.

Was das operativ bedeutet: Stützt sich die Verarbeitung auf eine Einwilligung, muss der Verantwortliche nach Art. 7 Abs. 1 DSGVO nachweisen können, dass eingewilligt wurde. Nach Art. 7 Abs. 3 DSGVO kann die Einwilligung jederzeit widerrufen werden, und der Widerruf muss so einfach sein wie die Erteilung — der Widerrufsweg gehört damit in die Antragsstrecke und in den Bestandsprozess, nicht nur in die Datenschutzerklärung. Auf Anträge betroffener Personen nach Art. 15 bis 22 DSGVO ist nach Art. 12 Abs. 3 DSGVO unverzüglich, spätestens binnen eines Monats zu reagieren; in komplexen Fällen ist eine Verlängerung um zwei Monate möglich, über die innerhalb des ersten Monats unter Angabe der Gründe zu unterrichten ist. Werden Teile der Verarbeitung ausgelagert — Scoring-Dienstleister, Hosting, Modellbetrieb —, darf nach Art. 28 Abs. 1 DSGVO nur mit Auftragsverarbeitern gearbeitet werden, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; der Auftragsverarbeitungsvertrag muss den Mindestinhalt des Art. 28 Abs. 3 DSGVO abdecken (Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen, Pflichten und Rechte des Verantwortlichen). Auf der KI-Seite ist das Data-Governance-Konzept nach Art. 10 KI-VO eine der Anforderungen an Hochrisiko-KI-Systeme (siehe Abschnitt 7).

3. FRIA Pflicht

Anhang III Nr. 5 lit. c → FRIA verpflichtend. Risiko: Diskriminierung wegen Vorerkrankungen, genetischer Disposition. Die Grundrechte-Folgenabschätzung nach Art. 27 KI-VO trifft nicht jede Hochrisiko-KI und nicht jeden Betreiber: Sie gilt für öffentliche Stellen und für private Akteure mit öffentlichen Aufgaben sowie speziell für die Systeme nach Anhang III Nr. 5 lit. b (Kreditwürdigkeitsbewertung) und lit. c (Lebens-/Krankenversicherungs-Scoring). Für Lebens- und Krankenversicherer ist sie damit unmittelbar einschlägig. Die FRIA ist eine Betreiber-, keine Anbieterpflicht.

Inhaltlich verlangt Art. 27 KI-VO vier Bausteine: Beschreibung des KI-Einsatzes, Bestimmung der betroffenen Personen, Bewertung der Risiken für Grundrechte und Festlegung der Schutzmaßnahmen. Anwendungsbeginn für Anhang-III-Systeme ist der 2. Dezember 2027: Art. 27 KI-VO gehört zu Kapitel III Abschnitt 3, dessen Geltung die Verordnung (EU) 2026/1744 — in Kraft seit 27. Juli 2026 — auf diesen Termin festgelegt hat (Art. 113 Abs. 3 lit. c Ziff. i KI-VO n. F.; siehe Abschnitt 9).

Praxis-Beobachtung (Stand der Erstfassung, 02.05.2026): Banken bauen die FRIA-Methodik für das Kreditscoring bereits aktiv auf.

4. Verbote nach Art. 5

Art. 5 KI-VO verbietet bestimmte KI-Praktiken vollständig; für die gesundheitsbezogenen Risiken der Lebens-/Krankenversicherung ist er jedoch nicht die einschlägige Norm — sie werden über die Hochrisiko-Pflichten adressiert. Nach Art. 5 Abs. 1 lit. a KI-VO sind Techniken der unterschwelligen Beeinflussung außerhalb des Bewusstseins einer Person sowie absichtlich manipulative oder täuschende Techniken verboten, wenn sie das Verhalten wesentlich verändern und dadurch erheblichen Schaden zufügen (oder mit hinreichender Wahrscheinlichkeit zufügen werden). Art. 5 Abs. 1 lit. b KI-VO verbietet das Ausnutzen einer Vulnerabilität oder Schutzbedürftigkeit aufgrund des Alters, einer Behinderung oder einer bestimmten sozialen oder wirtschaftlichen Situation — eine Krankheit als solche ist dort nicht als Anknüpfungspunkt genannt. Gesundheitsbezogene Risiken der Lebens-/Krankenversicherung werden daher nicht über Art. 5, sondern über die Hochrisiko-Pflichten (Anhang III Nr. 5 lit. c i. V. m. Art. 8 ff., Art. 26, Art. 27 KI-VO) und über Art. 9 DSGVO adressiert.

Trotzdem gehört ein dokumentiertes Verbots-Screening in jedes KI-Inventar: Kapitel I und II der KI-VO — und damit Art. 5 — gelten nach Art. 113 KI-VO bereits seit dem 2. Februar 2025, und Verstöße gegen Art. 5 liegen mit bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes in der höchsten Bußgeldstufe (Art. 99 Abs. 3 KI-VO). Neben lit. a und b nennt Art. 5 Abs. 1 KI-VO unter anderem Social Scoring, die biometrische Kategorisierung zur Ableitung sensibler Merkmale und die Emotionserkennung am Arbeitsplatz.

5. Konformitätsbewertung Art. 43

Für Hochrisiko-KI-Systeme nach Anhang III Nr. 2 bis 8 — und damit auch für die Lebens-/Krankenversicherung nach Anhang III Nr. 5 lit. c — gilt nach Art. 43 Abs. 2 KI-VO das Konformitätsbewertungsverfahren auf der Grundlage einer internen Kontrolle gemäß Anhang VI, „das keine Beteiligung einer notifizierten Stelle vorsieht“. Eine notifizierte Stelle ist hier also gerade nicht vorgesehen: Der Anbieter führt die Bewertung selbst durch, stellt die EU-Konformitätserklärung aus (Art. 47 KI-VO), bringt die CE-Kennzeichnung an (Art. 48 KI-VO) und registriert sich und das System vor Inverkehrbringen bzw. Inbetriebnahme in der EU-Datenbank (Art. 49 Abs. 1 KI-VO).

Zur Registrierung nach Art. 49 KI-VO im Detail: Die Anbieterpflicht nach Abs. 1 gilt für alle Hochrisiko-KI-Systeme nach Anhang III mit der einzigen Ausnahme der Systeme nach Anhang III Nr. 2 (kritische Infrastruktur) — Anhang III Nr. 5 lit. c ist also erfasst. Nach Abs. 2 registrieren sich zusätzlich Anbieter, die für ihr System nach Art. 6 Abs. 3 KI-VO zu dem Schluss gelangen, es sei nicht hochriskant. Betreiberseitig trifft die Registrierungspflicht nach Abs. 3 nur Behörden sowie Organe, Einrichtungen und sonstige Stellen der Union; ein privatwirtschaftlicher Versicherer als reiner Betreiber fällt nicht darunter.

Davon zu trennen ist die Aufsicht: Marktüberwachungsbehörde für Hochrisiko-KI-Systeme beaufsichtigter Versicherer ist nach Art. 74 Abs. 6 KI-VO die für die Finanzaufsicht benannte Behörde — in Deutschland die BaFin (§ 2 Abs. 3 und 4 KI-MIG, in Kraft seit 29. Juli 2026). Österreich hat bis zum Stand dieses Artikels (17.08.2026) keine Marktüberwachungsbehörde nach Art. 70 KI-VO benannt; die KI-Servicestelle der RTR ist eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis. Die versicherungsaufsichtsrechtliche Zuständigkeit nach dem nationalen Versicherungsaufsichtsrecht (Solvency II, VAG) bleibt daneben unberührt.

Hinweis Österreich: Die KI-VO ist eine unmittelbar geltende EU-Verordnung — in Österreich gelten dieselben Artikel und dieselben Fristen (Art. 113 KI-VO in der Fassung der Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026), es gibt keine abweichenden Paragrafen. Bei der Aufsicht ist der Stand jedoch ein anderer: Nach Art. 74 Abs. 6 KI-VO gilt zwar jeweils die national für die Finanzaufsicht über diese Institute benannte Behörde als Marktüberwachungsbehörde; Österreich hat aber bis zum Stand dieses Artikels (17.08.2026) keine Behörde nach Art. 70 KI-VO benannt — die KI-Servicestelle der RTR ist eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis. Eine abweichende Benennung ist nur nach Art. 74 Abs. 7 KI-VO möglich. Datenschutzseitig gilt die DSGVO ebenfalls unverändert, nationale Aufsicht ist jedoch die Datenschutzbehörde mit dem DSG als Ergänzung (nicht die deutschen Landesdatenschutzbehörden mit dem BDSG).

6. Anbieter oder Betreiber — wer trägt welche Pflicht

Die Pflichtenlast hängt an der Rolle: Anbieter (Art. 3 Nr. 3 KI-VO) entwickeln ein KI-System oder bringen es in Verkehr und tragen Risikomanagement, technische Dokumentation, Konformitätsbewertung und EU-Datenbank-Eintrag; Betreiber (Art. 3 Nr. 4 KI-VO) verwenden es unter eigener Verantwortung und tragen Eingabedaten-, Log- und Informationspflichten sowie — im Fall von Anhang III Nr. 5 lit. b/c — die FRIA. Wer ein zugekauftes Tarifierungs- oder Antragsprüfungs-System einsetzt, ist zunächst Betreiber. Bei wesentlicher Änderung des Zwecks oder der Funktionalität oder bei Inverkehrbringen unter eigenem Namen wechselt die Rolle nach Art. 25 KI-VO in die des Anbieters — mit allen Anbieterpflichten.

7. Die Hochrisiko-Anforderungen im Überblick

Für Anhang-III-Hochrisiko-KI verlangt die KI-VO ein zusammenhängendes Pflichtenpaket, das über die reine Klassifizierung hinausgeht. Die folgende Übersicht listet die Anforderungen mit ihrer Fundstelle; jede Zeile ist eine gesetzliche Anforderung der KI-VO, keine Praxisempfehlung. Die zugehörigen Anwendungstermine stehen in Abschnitt 9.

Praxiseinschätzung: Für die Antrags- und Tarifierungsstrecke haben Art. 10 und Art. 14 KI-VO die größte Prozesswirkung — das Data-Governance-Konzept adressiert die Trainings- und Eingabedaten, die menschliche Aufsicht die Frage, an welcher Stelle eine Person die maschinelle Bewertung prüft.

8. Diskriminierungsrecht neben der KI-VO — DE und AT getrennt

Das Gleichbehandlungsrecht gilt unabhängig von den KI-VO-Fristen und ist in Deutschland und Österreich unterschiedlich zugeschnitten. In Deutschland ist eine Benachteiligung aus Gründen der Rasse oder ethnischen Herkunft, des Geschlechts, der Religion, einer Behinderung, des Alters oder der sexuellen Identität nach § 19 Abs. 1 AGG bei zivilrechtlichen Schuldverhältnissen unzulässig, die typischerweise ohne Ansehen der Person in einer Vielzahl von Fällen zustande kommen (Massengeschäfte) oder eine privatrechtliche Versicherung betreffen; für Rasse und ethnische Herkunft gilt das Verbot nach § 19 Abs. 2 AGG darüber hinaus umfassend. Prozessual gilt § 22 AGG: Beweist im Streitfall die eine Partei Indizien, die eine Benachteiligung wegen eines in § 1 AGG genannten Grundes vermuten lassen, trägt die andere Partei die Beweislast dafür, dass kein Verstoß vorlag.

In Österreich läuft der Zugang zu Gütern und Dienstleistungen nicht über das AGG, sondern über das Gleichbehandlungsgesetz: Nach § 31 GlBG (III. Teil) darf niemand auf Grund der ethnischen Zugehörigkeit unmittelbar oder mittelbar diskriminiert werden, unter anderem beim Zugang zu und der Versorgung mit Gütern und Dienstleistungen, die der Öffentlichkeit zur Verfügung stehen. Zuständige Unterstützungsstelle ist die Gleichbehandlungsanwaltschaft (GAW) nach § 3 GBK/GAW-Gesetz, in Deutschland die Antidiskriminierungsstelle des Bundes nach §§ 25, 27 AGG. Der deutsche § 19 AGG und der österreichische § 31 GlBG decken damit nicht denselben Merkmalskreis ab — eine Gleichsetzung beider Regime wäre falsch.

9. Zeitschiene: was ab wann gilt

Der Anwendungsfahrplan folgt Art. 113 KI-VO in der Fassung der Verordnung (EU) 2026/1744 (Digital-Omnibus KI), in Kraft seit dem 27. Juli 2026: Der allgemeine Geltungsbeginn 2. August 2026 bleibt unverändert (u. a. Art. 50), die Hochrisiko-Pflichten der Kapitel III Abschnitte 1–3 gelten für Anhang-III-Systeme jedoch erst ab dem 2. Dezember 2027 und für Anhang-I-Systeme ab dem 2. August 2028. Für Lebens- und Krankenversicherer nach Anhang III Nr. 5 lit. c ist damit der 2. Dezember 2027 der zentrale Stichtag.

Zur Digital-Omnibus-Verordnung (EU) 2026/1744: Sie geht auf den Kommissionsvorschlag vom 19.11.2025 zurück und ist in Kraft seit 27. Juli 2026. Sie verschiebt die Hochrisiko-Pflichten der Kapitel III Abschnitte 1–3 für Anhang-III-Systeme auf den 2. Dezember 2027 und für Anhang-I-Systeme auf den 2. August 2028 (Art. 113 Abs. 3 lit. c KI-VO n. F.). Erfasst ist damit auch Art. 27 KI-VO, der zu Kapitel III Abschnitt 3 gehört. Von der Verschiebung unberührt bleiben Art. 4, Art. 5, die GPAI-Pflichten und Art. 50; der allgemeine Geltungsbeginn 2. August 2026 bleibt bestehen. Es handelt sich um feste Kalenderdaten ohne Auslösemechanismus.

10. Sanktionen und Aufsicht

Verstöße werden nach zwei getrennten Regimen geahndet, die nebeneinander stehen. Nach Art. 99 KI-VO gilt eine dreistufige Staffel: bis 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes bei Verstößen gegen das Verbot der KI-Praktiken nach Art. 5 (Abs. 3); bis 15 Mio. EUR oder 3 % bei Verstößen gegen bestimmte andere Pflichten, unter anderem der Anbieter nach Art. 16, der Betreiber nach Art. 26 und der Transparenzpflichten nach Art. 50 (Abs. 4); bis 7,5 Mio. EUR oder 1 % bei falschen, unvollständigen oder irreführenden Informationen an Behörden (Abs. 5). Maßgeblich ist jeweils der höhere Betrag; nach Art. 99 Abs. 6 KI-VO wird bei KMU und Start-ups der niedrigere Wert angesetzt.

Daneben besteht das Sanktionsregime der DSGVO: bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bei Verstößen unter anderem gegen Art. 25 bis 39 DSGVO (Art. 83 Abs. 4) und bis 20 Mio. EUR oder 4 % bei Verstößen gegen die Verarbeitungsgrundsätze, die Einwilligungsbedingungen (Art. 5, 6, 7, 9 DSGVO) oder die Betroffenenrechte (Art. 12 bis 22 DSGVO) — Art. 83 Abs. 5 DSGVO. Ergänzend stellt in Deutschland § 43 Abs. 2 und 3 BDSG bestimmte Verstöße — die fehlerhafte Behandlung eines Auskunftsverlangens bzw. der Verbraucherunterrichtung nach § 30 BDSG — als Ordnungswidrigkeit unter eine Geldbuße bis zu 50.000 Euro; gegen Behörden und sonstige öffentliche Stellen werden keine Geldbußen verhängt. In Österreich begeht nach § 62 Abs. 1 DSG eine Verwaltungsübertretung mit Geldstrafe bis zu 50.000 Euro, wer sich vorsätzlich widerrechtlichen Zugang zu einer Datenverarbeitung verschafft oder Daten vorsätzlich in Verletzung des Datengeheimnisses (§ 6 DSG) übermittelt — allerdings nur, sofern die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht oder anderweitig strenger bedroht ist; zuständig ist die Datenschutzbehörde.

Zuständigkeiten sauber trennen: Die KI-VO-Marktüberwachung für beaufsichtigte Versicherer liegt in Deutschland seit dem 29. Juli 2026 bei der BaFin (Art. 74 Abs. 6 KI-VO, § 2 Abs. 3 und 4 KI-MIG); Österreich hat bis zum 17.08.2026 keine Behörde nach Art. 70 KI-VO benannt (siehe Abschnitt 5). Datenschutzaufsicht ist in Deutschland die jeweils nach Landesrecht zuständige Behörde für nichtöffentliche Stellen (§ 40 Abs. 1 BDSG), in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG).

11. Umsetzung: Reihenfolge und Praxis-Rhythmen

Gesetzlich vorgegeben ist das Was, nicht die Reihenfolge — die folgende Abfolge ist eine Praxisempfehlung und begründet keine eigene Rechtspflicht. Erstens: KI-Inventar je System mit Name und Anbieter, Use Case, Rolle (Anbieter/Betreiber/beides), Risikoklasse, verarbeiteten Datenarten einschließlich besonderer Kategorien nach Art. 9 DSGVO sowie den Verantwortlichen für Aufsicht und Eskalation. Zweitens: Rollenklärung je System nach Art. 3 Nr. 3 und Nr. 4 KI-VO, einschließlich der Frage, ob Art. 25 KI-VO die Anbieterrolle auslöst. Drittens: FRIA nach Art. 27 KI-VO für die Systeme nach Anhang III Nr. 5 lit. c und, getrennt davon, die Prüfung der DSFA-Auslöser nach Art. 35 DSGVO (siehe FAQ). Viertens: Nachweisführung nach Art. 26 Abs. 4 und Abs. 6 KI-VO.

Praxis-Rhythmen (Empfehlung, keine gesetzlichen Intervalle): Inventar und Rollenzuordnung bei jeder wesentlichen Systemänderung fortschreiben, FRIA und Bias-Betrachtung anlassbezogen bei Modellwechsel oder Tarifumstellung erneuern, Eskalationswege für die menschliche Aufsicht nach Art. 14 KI-VO regelmäßig testen. Diese Rhythmen sind Erfahrungswerte aus der Umsetzungspraxis und stützen sich nicht auf eine Fristenregelung der KI-VO.