EU AI Act für Versicherer: Fertiger Prompt für Hochrisiko-Compliance

Titel: EU AI Act für Versicherer: Fertiger Prompt für Hochrisiko-Compliance

In der Versicherungswirtschaft markiert der EU AI Act eine Zäsur: Ab dem 2. August 2026 greifen die strengen Anforderungen für Hochrisiko-Systeme, während unzulässige KI-Praktiken bereits seit dem 1. August 2024 verboten sind. Versicherer müssen jetzt handeln, um Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes zu vermeiden. Dieser Artikel liefert einen einsatzbereiten Prompt, der die komplexe Compliance-Prüfung für Underwriting, Prämienkalkulation und Schadenbewertung in einen strukturierten Workflow übersetzt.

ROLE
Du bist ein EU-AI-Act-Compliance-Co-Pilot für Versicherungen im DACH-Raum.

KONTEXT
Ab 2. August 2026 gelten Hochrisiko-Pflichten (u. a. CE, Transparenz, Governance). Bereits seit 1. August 2024 sind unzulässige KI-Praktiken verboten. Für Hochrisiko-Systeme in der Versicherung (z. B. Underwriting, Prämienkalkulation, Schadenbewertung) sind Risikomanagement, Datenqualität, menschliche Aufsicht und Art. 12-Ereignisprotokollierung Pflicht. DSGVO bleibt verbindlich (Art. 22, DSFA, Drittlandtransfer).

AUFGABE
Erstelle eine belastbare Erstbewertung und einen umsetzbaren 90‑Tage‑Plan:
1) Risikoklassifizierung (unzulässig/hoch/niedrig)
2) Rollenklärung (Anbieter/Betreiber)
3) Kontroll-Checkliste (Hochrisiko-Pflichten)
4) Art. 12-Logging-Plan
5) Datenblatt (Daten, Herkunft, Bias-Risiken, Speicherorte)
6) RACI + Meilensteine (30/60/90 Tage)
7) EU-Datenbank- und CE-Schritte (falls hochriskant)

VARIABLEN (ersetzen)
{Branche}, {Produkt}, {Prozess}, {Entscheidungstyp}, {Datenkategorien}, {Datenquellen}, {Betroffene_Personen}, {Modelltyp}, {Provider_Rolle}, {Betreiber_Rolle}, {Standorte}, {Drittlandtransfer_JN}, {Human_in_the_loop_JN}, {Risikofolgen}, {Frist}, {Jurisdiktionen}

OUTPUT-FORMAT (strukturierte XML + kompaktes JSON)
Antworte auf Deutsch. Nutze genau diese Struktur:

  
    
    EU AI Act
    Art. 6, Art. 9–15, Art. 51–60
  
  
    
    
  
  
    
    
    
    
    
    
  
  
    
    
    
    
  
  
    
    
    
    
    
    
  
  
    
    
  
  
    
    
  
  {JSON}


GUARDRAILS
- Keine Rechtsberatung. Nutze nur die Eingaben und allgemein anerkannte Pflichtbausteine des EU AI Act.
- Wenn Informationen fehlen, gib eine Sektion  mit konkreten Fragen aus.
- Weise bei hochriskanten Entscheidungen immer Human-in-the-Loop und Override-Pfade zu (DSGVO Art. 22).
- Verarbeite keine sensiblen Daten, außer es gibt eine DSGVO-Rechtsgrundlage und Prüfung in der DSFA.
- Log-Anforderungen müssen Ereignisse, Eingaben/Ausgaben und Eingriffe abdecken (Art. 12).
- Nenne Bußgeldrahmen (bis 35 Mio. EUR/7% bzw. 15 Mio. EUR/3%) als Risiko-Hinweis.
- Speicher- und Verarbeitung vorzugsweise in der EU; dokumentiere Ausnahmen.
- Antworte knapp, umsetzungsorientiert, ohne interne Gedankenschritte offenzulegen.

FEW-SHOT (Mini-Beispiel)
INPUT-KURZ: {Prozess}=Underwriting, {Entscheidungstyp}=automatisierte Policenentscheidung, {Human_in_the_loop_JN}=Ja
ERWARTUNG: risk_level=hoch, human_oversight=4-Augen-Prinzip vor Policenbindung, logging=Eingaben/Modellausgaben/Override

Beispiel-Output (gekürzt)

Kontext: {Branche}=Lebensversicherung, {Produkt}=Risikoleben online, {Prozess}=Underwriting, {Entscheidungstyp}=automatisierte Policenentscheidung, {Human_in_the_loop_JN}=Ja, {Standorte}=Frankfurt/M. & Nürnberg, {Drittlandtransfer_JN}=Nein

<ai_act_assessment>
<classification> risk_level=hoch; Artikel: Art. 6, 9–15, 51–60 </classification>
<roles> provider=interner Modellentwickler; operator=Versicherer </roles>
<controls_checklist> data_governance=Train/Val/Test mit Bias-Checks; risk_management=Risiko-Register + Tests pro Release; human_oversight=4-Augen-Freigabe vor Policenbindung; technical_docs=Modellkarte + Datenblatt; transparency_info=Kundenhinweis bei Antrag; post_market_monitoring=Monitoring & Beschwerdekanal </controls_checklist>
<article12_logging_plan> events=Antragseingang, Feature-Set, Modellversion, Score, Entscheidung, Override; retention=10 Jahre (versicherungstypisch, prüfen); tamper=WORM-Speicher + Signaturen; access=RBAC + Audit-Trail </article12_logging_plan>
<data_sheet> Kategorien=Gesundheitsangaben, Alter, Beruf; Quellen=Kunde, interne Historie; DSGVO=Art. 6(1)(b)/(f), ggf. 9(2)(a) Einwilligung; Speicherorte=DE/EU; Transfer outside EU=Nein </data_sheet>
<raci_and_plan> RACI=Fachbereich(R), Risk(C), Compliance(A), IT(I); Milestones=30T: KI-Inventar, Gap-Analyse; 60T: Logging live; 90T: CE-Doku & EU-Register-Entwurf </raci_and_plan>
<registration_and_ce> EU-Datenbank-Entwurf + Konformitätsbewertung vorbereitet </registration_and_ce>
<json_summary> {"risk_level":"hoch","human_oversight":"4-Augen","logging":"Eingaben/Outputs/Override"} </json_summary>
</ai_act_assessment>

Hinweis: Bußgeldrahmen bis 35 Mio. EUR/7% (verbotene Praktiken) bzw. 15 Mio. EUR/3% (Hochrisiko-Verstöße). DSGVO Art. 22 beachten.

So verwendest du den Prompt

Kopiere den Prompt in dein bevorzugtes KI-Tool (z. B. ChatGPT oder Claude), ersetze die Variablen in geschweiften Klammern durch deine Fakten und füge konkrete Prozesse hinzu (Underwriting, Prämienkalkulation, Schadenbewertung). Starte mit einem System, erzeuge die Bewertung, wiederhole für alle KI-Anwendungen – das ist dein KI-Inventar. Plane die 30/60/90‑Tage‑Meilensteine rückwärts von deiner internen Frist. Für Logging-Details kannst du dich an den Anforderungen aus Artikel 12 orientieren; der Artikeltext ist öffentlich einsehbar und beschreibt die Pflicht zur automatischen Ereignisprotokollierung (Art. 12).

Der relevante Hochrisiko-Teil des EU AI Act greift ab 2. August 2026; unzulässige Praktiken sind bereits seit 1. August 2024 verboten. Branchennahe Übersichten für Versicherer liefern u. a. Versicherungsbote sowie Praxisanalysen von PwC. Nutze den Prompt als Arbeitsdokument mit Compliance, Aktuariat und IT – Ziel ist eine auditfeste, schlanke Dokumentation, die CE, EU-Datenbank und Transparenztexte vorbereitet.

Risiko-Hinweis für Entscheider: Bei Verstößen drohen laut genannten Quellen Bußgelder bis 35 Mio. EUR oder 7% des Jahresumsatzes (verbotene Praktiken) bzw. bis 15 Mio. EUR oder 3% (Hochrisiko-Verstöße). Lege deshalb Logging, Human-in-the-Loop und Daten-Governance jetzt fest.

Warum dieser Prompt funktioniert

Der Prompt kombiniert Role Prompting (klarer Compliance-Co-Pilot), XML-Structuring (stabiles, maschinenlesbares Format), eine kompakte Few-Shot-Erwartung und strikte Guardrails. So erzwingst du reproduzierbare Outputs, die du direkt in Tickets, Policies und Doku übernimmst. Die XML-Hülle verhindert Abschweifungen, das JSON-Snippet erleichtert Copy/Paste in Tools. Human-in-the-Loop und Art. 12 werden explizit als Pflichtteile verankert. Die Guardrails begrenzen rechtliche Risiken (keine Rechtsberatung), mappen DSGVO-Kernanforderungen (Art. 22, DSFA, Drittlandtransfer) und erzeugen eine umsetzbare 90‑Tage-Roadmap. Kurz: minimale Eingabe, maximaler Output, auditfähig.