AI Act Audit-Prompt: JSON-Report für Versicherungs-Automatisierungen

ROLE:
Du agierst als EU‑AI‑Act-Assessor für Versicherungsunternehmen im DACH-Raum.

KONTEXT:
Du erhältst eine Systembeschreibung eines bestehenden Automatisierungs- oder KI-Systems.

AUFGABE:
Erzeuge einen belastbaren JSON-Audit-Report zum EU AI Act: Risikoklasse, festgestellte Pflichten, DSGVO-Flags und eine priorisierte Umsetzungs-Roadmap bis August 2026. Prüfe verbotene Praktiken, Hochrisiko-Tatbestände, GPAI-Nutzung sowie Transparenzpflichten.

VARIABLEN (in Klammern einsetzen):
- (branche)  
- (system_name)  
- (prozess)  
- (einsatzland)  
- (personenbezogene_daten: ja/nein)  
- (biometrie: ja/nein)  
- (entscheidungsart: unterstützend/vollautomatisiert)  
- (menschliche_aufsicht: ja/nein)  
- (gpai_modelle: ja/nein)  
- (produktregulierung: ja/nein)  
- (hr_bezug: ja/nein)  
- (anbieterliste)  
- (lieferant_sitz)  
- (datenarten)  
- (dsb_kontakt)

OUTPUT-FORMAT (strikt einhalten):
Gib ausschließlich folgendes JSON-Objekt aus:
{
  "metadata": {"generated_at": "ISO-8601", "system_name": "", "branche": "", "einsatzland": "", "sources": ["https://artificial-intelligence.ec.europa.eu/eu-ai-act_en", "https://www.consilium.europa.eu/en/press/press-releases/2024/05/21/artificial-intelligence-act-council-gives-final-approval/"]},
  "ai_act_assessment": {
    "risk_class": "unannehmbar | hoch | eingeschränkt | minimal",
    "reasoning": "kurze Begründung",
    "prohibited_practices_detected": ["…"],
    "high_risk_basis": ["Anhang- oder Use-Case-Bezug, falls zutreffend"],
    "gpai_usage": "ja/nein/unklar",
    "obligations": ["Risikomanagement", "Daten-Governance", "Technische Doku", "Transparenz", "Menschliche Aufsicht", "Registrierung (falls hoch)", "Post-Market Monitoring"]
  },
  "gdpr_flags": {
    "personenbezogene_daten": "ja/nein",
    "dpia_erforderlich": "ja/nein/abhängig", 
    "art22_risiko": "niedrig/mittel/hoch",
    "hinweise": "kurze DSGVO-Notizen (z.B. Drittlandtransfer, Rechtsgrundlage)"
  },
  "roadmap": {
    "phase_0_immediate": [{"task": "", "owner_role": "", "due_date": "YYYY-MM-DD", "notes": ""}],
    "phase_1_30_tage": [{"task": "", "owner_role": "", "due_date": "YYYY-MM-DD", "notes": ""}],
    "phase_2_60_90_tage": [{"task": "", "owner_role": "", "due_date": "YYYY-MM-DD", "notes": ""}],
    "phase_3_bis_2026_08": [{"task": "", "owner_role": "", "due_date": "YYYY-MM-DD", "notes": ""}]
  },
  "risks": ["konkrete Risikoaussagen"],
  "open_questions": ["fehlende Angaben, die der Fachbereich liefern muss"]
}

GUARDRAILS:
- Keine Rechtsberatung. Ergebnis ist ein Arbeitsdokument für Compliance/Legal.
- EU AI Act Deadlines beachten: Verbote & KI-Literacy seit Feb 2025; GPAI-Regeln seit Aug 2025; Hauptteil (u.a. Hochrisiko) ab Aug 2026; weitere Fristen ggf. später.  
- Bußgelder: je nach Verstoß bis zu 35 Mio. EUR oder 7% Umsatz (und weitere Staffelungen).  
- DSGVO: Wenn personenbezogene Daten verarbeitet oder Entscheidungen vollautomatisiert sind, weise auf DSFA (Art. 35) und Art. 22-Risiken hin.  
- Keine Annahmen erfinden: Unbekanntes mit "unklar" kennzeichnen; nur aus Eingaben ableiten.  
- Keine personenbezogenen Daten im Output.  
- Begründungen prägnant, deutsch, faktenbasiert.  
- Falls (einsatzland) außerhalb EU, extraterritoriale Wirkung des AI Act anmerken, sofern Nutzung in der EU erfolgt.

ARBEITSSCHRITTE (knapp halten – Chain-of-Thought nur intern denken, nicht ausgeben):
1) Eingaben auf verbotene Praktiken/biometrische Bezüge scannen. 2) Risikoklasse zuordnen und begründen. 3) GPAI-Betreff prüfen. 4) DSGVO-Flags setzen. 5) Roadmap mit klaren Fristen bis 2026-08-02 priorisieren.

FEW-SHOT HINWEIS (Format, kein echtes Beispiel):
Input: Prozess mit PII, unterstützend, kein Biometrieeinsatz → Risiko: eingeschränkt/hoch je nach Use Case; DSFA wahrscheinlich; Transparenzpflichten aktiv; Roadmap mit Dokumentation, Aufsicht, Tests, Registrierung (falls hoch).

Prompt anzeigen

Kopieren

{
  "metadata": {
    "generated_at": "2026-04-17T09:00:00Z",
    "system_name": "Schadensprüfung KFZ",
    "branche": "Versicherung",
    "einsatzland": "DE",
    "sources": [
      "https://artificial-intelligence.ec.europa.eu/eu-ai-act_en",
      "https://www.consilium.europa.eu/en/press/press-releases/2024/05/21/artificial-intelligence-act-council-gives-final-approval/"
    ]
  },
  "ai_act_assessment": {
    "risk_class": "eingeschränkt",
    "reasoning": "Unterstützende Entscheidung, keine Biometrie, PII vorhanden → Transparenzpflichten, ggf. hoch bei sicherheitskritischen Komponenten nicht gegeben.",
    "prohibited_practices_detected": [],
    "high_risk_basis": [],
    "gpai_usage": "ja",
    "obligations": ["Risikomanagement", "Daten-Governance", "Technische Doku", "Transparenz", "Menschliche Aufsicht", "Post-Market Monitoring"]
  },
  "gdpr_flags": {
    "personenbezogene_daten": "ja",
    "dpia_erforderlich": "wahrscheinlich",
    "art22_risiko": "mittel",
    "hinweise": "Rechtsgrundlage prüfen; Auftragsverarbeitung mit Cloud-Anbieter (Sitz: Irland/USA) und Drittlandtransfer bewerten."
  },
  "roadmap": {
    "phase_0_immediate": [{
      "task": "Prozessinventar & Datenarten vollständig erfassen",
      "owner_role": "Process Owner",
      "due_date": "2026-04-30",
      "notes": "Einbindung DSB München; Log-Policy ergänzen"
    }],
    "phase_1_30_tage": [{
      "task": "Transparenzhinweise für Kunden aktualisieren (DE, EUR-weit nutzbar)",
      "owner_role": "Legal/Comms",
      "due_date": "2026-05-17",
      "notes": "Klarer Hinweis auf unterstützende KI; Opt-out prüfen"
    }],
    "phase_2_60_90_tage": [{
      "task": "Risikomanagement & Testpläne dokumentieren",
      "owner_role": "Produkt/QA",
      "due_date": "2026-06-30",
      "notes": "Bias-Checks auf Trainingsdaten; Monitoring-KPIs festlegen"
    }],
    "phase_3_bis_2026_08": [{
      "task": "Konformitätsdokumentation finalisieren & Go-Live-Gates einführen",
      "owner_role": "Compliance",
      "due_date": "2026-08-02",
      "notes": "Audit-Ready JSON exportieren; Post-Market Monitoring etablieren"
    }]
  },
  "risks": ["Drittlandtransfer", "Halluzinationsrisiko bei GPAI"],
  "open_questions": ["Lieferantenliste vollständig?", "Menschliche Aufsicht konkret definiert?"]
}

So verwendest du den Prompt

Einfügen, Variablen ersetzen, ausführen. Du gibst die Systembeschreibung in 5–10 Sätzen an und füllst die Variablen. Die KI liefert dir einen kompakten JSON-Audit-Report mit Risikoklasse, Pflichten und Roadmap bis August 2026. Für rechtliche Eckdaten referenziert der Prompt die offiziellen Seiten der EU-Kommission und des Rates. Diese nennen die gestaffelten Anwendungsdaten (u.a. Hauptteil ab August 2026) sowie mögliche Bußgelder bis zu 35 Mio. Euro oder 7% des weltweiten Jahresumsatzes.

• Minimalinput: (system_name), (prozess), (personenbezogene_daten), (entscheidungsart), (gpai_modelle)
• Präziser machen: (datenarten), (anbieterliste), (lieferant_sitz), (menschliche_aufsicht)
• DSGVO-Shortcut: Markiere Art. 22-Risiken bei Vollautomatisierung und plane eine DSFA (Art. 35) ein.
• Export: Der Output ist sofort auditierbar, maschinenlesbar und lässt sich in GRC-Tools übernehmen.

Offizielle Hintergründe: Die EU beschreibt Ziele, Pflichten und Meilensteine des AI Act auf ihrer Themenseite (EU AI Act). Der Rat dokumentiert den finalen Beschluss vom Mai 2024 in seiner Pressemitteilung (Final Approval).

Warum dieser Prompt funktioniert

Der Prompt kombiniert drei bewährte Techniken: Role Prompting (klare Prüferrolle), Structured Output (fixes JSON-Schema) und Guardrails (rechtliche Leitplanken + No-Guessing). Dadurch erzielst du reproduzierbare, prüfbare Ergebnisse, die sich direkt in Compliance-Workflows übertragen lassen.

Die Kette ist bewusst kurz: Scan der Risiken, Einstufung, DSGVO-Flags, dann Roadmap mit knappen Deadlines. Das stärkt Entscheidbarkeit statt langer Textgutachten. Durch die harte JSON-Validierung vermeidest du Abschweifungen. Die Verweise auf die offiziellen EU-Seiten binden faktenbasierte Eckwerte ein – insbesondere Fristen (u.a. ab August 2026 für Hauptpflichten) und Bußgeldrahmen (bis 35 Mio. Euro oder 7%).

Für DACH-Versicherer ist die Extraterritorialität relevant: Auch wenn Anbieter außerhalb der EU sitzen, greift der AI Act bei Nutzung in der EU. Der Prompt zwingt die Nennung von Anbieterstandorten und macht Drittlandtransfers als DSGVO-Risiko sichtbar. Ergebnis: Ein kompaktes, handlungsfähiges Artefakt, das Compliance, IT und Fachbereich gemeinsam nutzen können – ohne Vorlauf.