Sind die Versicherer bereit für die KI-Regulierung?

Der EU AI Act wird die Professionalisierung der Versicherungsbranche im Bereich künstliche Intelligenz stärken. Sein risikobasierter Ansatz legt nahe, dass viele Anwendungsfälle der Branche unter die Kategorien „Limited Risk“ bis „High Risk“ fallen werden – auch solche, die mit Scoring und Pricing eine Kernkompetenz der Branche betreffen. Vor diesem Hintergrund sind einige Artikel des aktuellen Entwurfs besonders relevant.

Risikomanagementsystem und Data Governance

Bei KI mit hohen Risiken wird mit Artikel 9 des AI Acts Risikomanagement Pflicht. Solche KI-Risikomanagementsysteme sind bei Versicherungen bislang kaum im Einsatz. Kurzfristig kann ein regelmäßiges Risikomanagement auf Ebene einzelner Anwendungen eine Lösung sein. Langfristig lohnt sich die Einbettung auf Prozessebene. Ein solch integriertes Risikomanagement greift in allen Phasen der KI-Entwicklung, bei Planung und Konzeption, Datenbeschaffung, Entwicklung oder Wartung und Monitoring.

Artikel 10 erklärt, dass Trainings-, Validierungs- und Testdatensätze relevant, repräsentativ, fehlerfrei und vollständig sein müssen. Die EU fordert hierzu die Einrichtung einer entsprechenden Daten-Governance. Unternehmen müssen also die Rollen, Zuständigkeiten und Prozesse definieren, die sie künftig hierfür brauchen. Dabei können ihnen verschiedene Data Governance Frameworks helfen.

Mehr zum Thema

Digitalisierung

Wie Versicherer Künstliche Intelligenz einsetzen

„Versicherer haben große Lust auf neue Technologien“

Wie bedrohlich ist künstliche Intelligenz für menschliche Arbeit?

Netzkriminalität

„Künstliche Intelligenz erhöht das Tempo bei den Cyber-Attacken“

Digitalisierung

Wie Versicherer Künstliche Intelligenz einsetzen

„Versicherer haben große Lust auf neue Technologien“

Wie bedrohlich ist künstliche Intelligenz für menschliche Arbeit?

Netzkriminalität

„Künstliche Intelligenz erhöht das Tempo bei den Cyber-Attacken“

Technische Dokumentation

Artikel 11 fordert die technische Dokumentation von Hochrisiko-KI-Systemen, ehe diese in Verkehr gebracht oder in Betrieb genommen werden. Sie muss fest im Unternehmen verankert werden. Es ist sinnvoll, hierfür Technologien zu nutzen, die eine solche Dokumentation unterstützen oder (teil-) automatisieren. Doch auch in der Organisation sollte das Thema etwa durch die Etablierung eines Documentation Stewards personell verankert werden.

Neben der Dokumentation der Systeme empfiehlt sich eine solche der verwendeten Datensätze. Um jederzeit nachvollziehen zu können, welches Modell mit welchem Datensatz trainiert wurde, helfen Versionierungs-Tools wie DVC (Data Version Control), Neptune oder Git LFS. Sie erlauben, Fehler zurückzuverfolgen und zu eliminieren.

Aufzeichnungspflichten und Transparenz

Gemäß Artikel 12 sollen sämtliche In- und Outputs von Hochrisiko-KI-Systemen aufgezeichnet und zu einem späteren Zeitpunkt einsehbar sein. Nur wenige aktuell eingesetzte oder erhältliche KI-Systeme verfügen über eine solche Funktionalität. Sie muss nachträglich implementiert oder alternativ Systeme neu aufgesetzt werden. Bis entsprechende Systeme erhältlich sind, müssen Unternehmen diese selbst entwickeln oder entwickeln lassen.

Darüber hinaus stellen sich eine Reihe organisatorischer Fragen: Wo werden Daten, die bei der Protokollierung entstehen, gespeichert? Wem sind sie zugänglich? Wer übernimmt ihre Kontrolle?

Artikel 13 fordert Transparenz im Betrieb von KI, sodass Nutzerinnen und Nutzer ihre Outputs interpretieren können. Zudem sind Anbieter von Hochrisiko-KI-Systemen verpflichtet, Nutzerinnen und Nutzern ihrer Produkte Gebrauchsanweisungen für diese zur Verfügung zu stellen. Darin müssen das Maß an Genauigkeit, Robustheit und Cybersicherheit beschrieben sein, ebenso wie bekannte oder vorhersehbare Umstände, die zu Risiken für Gesundheit, Sicherheit oder Grundrechte der Nutzerinnen und Nutzer führen können.

Überwachung durch den Menschen

Schließlich verlangt Artikel 14, KI so zu konzipieren und zu entwickeln, dass Menschen sie überwachen können, um Risiken für die Gesundheit, Sicherheit und Grundrechte zu minimieren. Bislang sind nur wenige KI-Systeme auf menschliche Kontrolle hin angelegt. Sie müssen nachgerüstet oder neu entwickelt werden. Darüber hinaus müssen Unternehmen in die Weiterbildung beziehungsweise den Gewinn von Mitarbeitenden investieren, die für eine solche Überwachung ausgebildet sind.

Personal, das KI in einer Tiefe versteht, das ihm erlaubt, ihre Operationen nachzuvollziehen, verfügt meist über einen MINT-Hintergrund, aber nur selten über die Expertise, sich mit den gesellschaftlichen oder gesundheitlichen Folgen ihres Einsatzes auseinanderzusetzen. Kandidaten, die hierzu in der Lage sind (wie Geisteswissenschaftler und Psychologen), fehlt dagegen oft das technologische Know-how. Es wird also neue, interdisziplinäre Teams und Weiterbildungsmaßnahmen brauchen, um Mitarbeitende entsprechend zu qualifizieren.

Herausforderung und Chance

Viele Versicherungen müssen Zeit und Geld investieren, um den Anforderungen des AI Acts gerecht zu werden. Wer KI aus Scheu vor der kommenden Gesetzgebung dagegen nicht nutzt, ist schlecht beraten. Ihr Potenzial für Versicherungen bleibt groß. Unternehmen, die entschlossen vorangehen, können damit rechnen, effizienter zu werden, neue Geschäftsmodelle zu etablieren und Marktanteile zu gewinnen.

Über den Autor

Sebastian Bluhm ist Geschäftsführer der Technologieberatung PLAN D aus Berlin.