KI-Verordnung: Pflichten, Fristen und was sich für Versicherungen ändert

Regulatorisches Faktenblatt · Stand 1. November 2026 · von cybercoverinsurance

Die Verordnung (EU) 2024/1689, die KI-Verordnung, ist das erste allgemeine Gesetz über künstliche Intelligenz. Sie ist seit dem 1. August 2024 in Kraft und gilt stufenweise bis 2028 (Gibson Dunn). Sie stuft KI-Systeme nach Risiko ein und legt unterschiedliche Pflichten für Entwickler und Anwender fest.

Für Risikoträger zählt die KI-Verordnung aus drei Gründen. In Italien begründet ein Verstoß gegen sie eine Vermutung des Kausalzusammenhangs in einem Schadensersatzprozess. Sie betrifft Versicherer unmittelbar, weil Systeme zur Tarifierung von Lebens- und Krankenversicherungen Hochrisiko-Systeme sind. Und sie schafft überprüfbare Pflichten, die in den Risikofragebogen gehören.

Im Text bezeichnet „Artikel“ eine verbindliche Regel; „Erwägungsgrund“ bezeichnet die einleitenden Absätze, die erklären, wie sie zu lesen ist.

Wer betroffen ist

Die KI-Verordnung unterscheidet vor allem zwei Rollen:

• Anbieter: wer ein KI-System entwickelt und unter eigenem Namen in Verkehr bringt;
• Betreiber: wer ein KI-System in seiner beruflichen Tätigkeit einsetzt, etwa ein Unternehmen mit einer Software zur Personalauswahl oder ein Versicherer mit einem Tarifierungsmodell.

Sie gilt auch für Anbieter außerhalb der EU, wenn ihre Systeme in Europa genutzt werden. Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also der großen Modelle, auf denen andere Systeme aufbauen, haben eigene Pflichten.

Die vier Risikoklassen

Verbotene Praktiken

Seit dem 2. Februar 2025 sind bestimmte als unannehmbar geltende Anwendungen verboten (Artikel 5), darunter Social Scoring von Personen, Manipulation unter Ausnutzung von Schwächen und Emotionserkennung am Arbeitsplatz und in Schulen. Ab dem 2. Dezember 2026 kommt das Verbot von Systemen hinzu, die nicht einvernehmliche intime Bilder oder Darstellungen sexuellen Kindesmissbrauchs erzeugen (FPF).

Hochrisiko-Systeme

Es gibt zwei Arten. Die Systeme nach Anhang III sind nach Einsatzbereich aufgeführt: Personalauswahl und -verwaltung, Kreditwürdigkeitsprüfung, Zugang zu wesentlichen Diensten, Bildung, Justiz, Migration. Dazu gehören Systeme zur Risikobewertung und Preisgestaltung in der Lebens- und Krankenversicherung (EIOPA). Die Systeme nach Anhang I sind Sicherheitskomponenten bereits regulierter Produkte, etwa Medizinprodukte, Maschinen und Fahrzeuge.

Der Anbieter muss Risiken steuern, die Datenqualität sichern, eine technische Dokumentation erstellen, den Betrieb protokollieren und eine Konformitätsbewertung bestehen. Der Betreiber muss das System gemäß der Gebrauchsanweisung nutzen, die Aufsicht kompetenten Personen übertragen, es überwachen und die Protokolle aufbewahren (Artikel 26).

Transparenz

Seit dem 2. August 2026 muss, wer Systeme einsetzt, die mit Menschen interagieren, etwa einen virtuellen Assistenten, offenlegen, dass es sich um KI handelt; erzeugte oder manipulierte Inhalte, einschließlich Deepfakes, sind zu kennzeichnen (Artikel 50) (Gibson Dunn).

Minimales Risiko

Alle übrigen Systeme haben keine besonderen Pflichten. Anbieter und Betreiber müssen jedoch die KI-Kompetenz ihres Personals fördern (Artikel 4), eine Pflicht, die durch die Änderungen von 2026 abgeschwächt wurde (FPF).

Fristen

Die Verordnung (EU) 2026/1744, veröffentlicht im Amtsblatt der EU am 24. Juli 2026, hat einige Termine verschoben (FPF, Orrick):

• 2. Februar 2025: verbotene Praktiken und KI-Kompetenz;
• 2. August 2025: Modelle mit allgemeinem Verwendungszweck und Sanktionsregelung;
• 2. August 2026: Transparenzpflichten nach Artikel 50;
• 2. Dezember 2027: Hochrisiko-Systeme nach Anhang III, einschließlich der Tarifierung in Leben und Gesundheit (zuvor 2. August 2026);
• 2. August 2028: Hochrisiko-Systeme nach Anhang I (zuvor 2. August 2027).

Sanktionen

Artikel 99 sieht drei Stufen vor: bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes für verbotene Praktiken; bis zu 15 Millionen oder 3 % für Verstöße gegen andere Pflichten; bis zu 7,5 Millionen oder 1 % für falsche Angaben gegenüber Behörden. Für kleine und mittlere Unternehmen gilt der jeweils niedrigere Betrag.

In Italien

Das Gesetz Nr. 132 vom 23. September 2025, in Kraft seit dem 10. Oktober 2025, ergänzt die KI-Verordnung (Cleary Gottlieb):

• die Nationale Agentur für Cybersicherheit (ACN) ist Marktüberwachungsbehörde mit Prüf- und Sanktionsbefugnissen; die Agentur für das digitale Italien (AgID) beaufsichtigt die Konformitätsbewertungsstellen; Banca d'Italia, Consob und IVASS bleiben für ihre Sektoren zuständig;
• Freiberufler dürfen KI nur als Hilfsmittel einsetzen und müssen ihre Mandanten darüber informieren (Artikel 13);
• die Verbreitung von Deepfakes, die einen ungerechtfertigten Schaden verursachen, ist eine Straftat (Artikel 612-quater des Strafgesetzbuchs), die mit einem bis fünf Jahren Freiheitsstrafe bedroht ist.

Das Gesetzesdekret Nr. 160 vom 9. September 2026, in Kraft seit dem 30. September 2026, vervollständigt das Bild (PG Legal, Lavorosì):

• werden Pflichten aus der KI-Verordnung verletzt, wird der Kausalzusammenhang mit dem Schaden vermutet, sofern nicht das Gegenteil bewiesen wird (Artikel 18);
• die Konformität mit der KI-Verordnung schließt die Haftung auch bei Zertifizierung nicht für sich allein aus (Artikel 19);
• der Geschädigte kann den Verantwortlichen fragen, ob eine Haftpflichtpolice besteht, und den Versicherer direkt verklagen (Artikel 20);
• das Unterlassen von Sicherheitsmaßnahmen oder menschlicher Aufsicht bei Hochrisiko-Systemen wird zur Straftat (Artikel 437-bis des Strafgesetzbuchs) und begründet die Haftung des Unternehmens nach dem Gesetzesdekret 231/2001.

Was sich für die Policen ändert

Haftpflicht und Berufshaftpflicht. In Italien begründet ein Verstoß gegen die KI-Verordnung eine Vermutung des Kausalzusammenhangs, und der Geschädigte kann den Versicherer direkt verklagen. Betreiberpflichten wie menschliche Aufsicht und Aufbewahrung von Protokollen werden zur Verteidigungslinie des Versicherungsnehmers und damit des Versicherers. Das Thema wird in der Analyse zur Zivilhaftung für künstliche Intelligenz vertieft.

Sanktionen. Die Obergrenzen der KI-Verordnung liegen über denen von NIS2. Wie bei anderen Gesetzen ist die Deckung von Verwaltungsbußgeldern „soweit gesetzlich versicherbar“ nicht selbstverständlich.

D&O und Unternehmenshaftung. Die neue Straftat nach Artikel 437-bis und die Unternehmenshaftung nach dem Gesetzesdekret 231/2001 bringen die KI-Governance in den Bereich der D&O und der Compliance-Programme.

Cyber. Die KI-Verordnung verlangt für Hochrisiko-Systeme ein angemessenes Maß an Cybersicherheit. Ein Angriff, der ein Modell verändert, etwa durch Vergiftung der Trainingsdaten, ist zugleich ein Cybervorfall und ein möglicher Verstoß gegen die KI-Verordnung.

Versicherer als Betreiber. Ab dem 2. Dezember 2027 sind Tarifierungs- und Risikobewertungsmodelle in der Lebens- und Krankenversicherung Hochrisiko-Systeme. In der Schaden- und Unfallversicherung, einschließlich Cyber, stuft die KI-Verordnung sie nicht als Hochrisiko ein, doch IVASS und EIOPA erwarten dennoch Governance, Fairness und Erklärbarkeit der eingesetzten Modelle.

Auswirkung für VersichererHoch

Die KI-Verordnung legt überprüfbare Pflichten für Entwickler und Anwender von KI fest, und in Italien begründet ihre Verletzung eine Vermutung des Kausalzusammenhangs in einem Schadensersatzprozess.

Quellen

• Gibson Dunn, Einigung zum KI-Omnibus
• FPF, der Zeitplan der KI-Verordnung nach dem Omnibus
• Orrick, Digital-Omnibus und KI-Verordnung
• EIOPA, Stellungnahme zu KI-Governance und Risikomanagement
• Cleary Gottlieb, das italienische KI-Gesetz
• PG Legal, das Gesetzesdekret 160/2026 und der Versicherungsmarkt
• Lavorosì, Gesetzesdekret Nr. 160 vom 9. September 2026