Застраховане — съответствие с Регламента за ИИ на ЕС

Задължения по Регламента за ИИ на ЕС за застрахователен ИИ: актюерски модели, поемане на риск, оценка на щети и ценообразуване за физически лица. Обхваща категория 5(б) от Приложение III и взаимодействието с Платежоспособност II.

Застраховането и Регламентът за ИИ на ЕС — актюерското предизвикателство

Регламентът за ИИ на ЕС (Регламент (ЕС) 2024/1689) налага най-голямата тежест за съответствие върху системите с ИИ, засягащи способността на физическите лица да имат достъп до основни услуги и финансови продукти. Застраховането е в центъра на тази загриженост. Системите с ИИ, определящи дали физическо лице може да получи автомобилна, здравна, животозастрахователна или имуществена застраховка — и на каква цена — в много конфигурации са високорискови системи с ИИ по смисъла на Приложение III, точка 5(б) от Регламента.

Определящото предизвикателство за застрахователния сектор е актюерско. Повече от век застрахователното ценообразуване се основава на статистическо моделиране на риска в рамките на популационни групи. Регламентът за ИИ на ЕС не забранява актюерската диференциация, но налага съществени задължения върху системите с ИИ, чрез които се прилага такава диференциация, когато тези системи функционират на ниво отделно физическо лице. Преходът от традиционни модели за обединяване на рискове към индивидуализирано оценяване на риска с ИИ — обезпечено от телематика, потоци от здравни данни и поведенческа аналитика — е именно това, което задейства режима за високи рискове по Регламента.

Застрахователите, опериращи в ЕС, трябва следователно да извършат систематично класификационно упражнение: кои от техните системи с ИИ произвеждат индивидуализирани резултати, определящи или съществено влияещи върху решенията за покритие на физически лица? Това класификационно упражнение не е просто формалност за съответствие. Неговият резултат определя дали застрахователят като субект, прилагащ системата, по чл. 26 (или доставчик по чл. 16), носи задължения, свързани с управлението на данни, техническата документация, човешкия надзор, оценката на съответствието и регистрацията в базата данни на ЕС за високорискови системи с ИИ.

Приложението на Регламента към застраховането е допълнително усложнено от съществуващата регулаторна гъстота в сектора. Директива Платежоспособност II (2009/138/ЕО), Директивата за застрахователното разпространение (IDD) (ЕС) 2016/97, GDPR и принципно базираните насоки на EIOPA за ИИ (2021) всяка от тях налага изисквания относно актюерското моделиране, третирането на клиентите и използването на данни. Тези рамки се припокриват с — но не заместват — задълженията по Регламента за ИИ на ЕС. Програмите за съответствие трябва да отговарят на всички едновременно.

Случаи на употреба на високорисков ИИ в застраховането

Актюерски модели за ценообразуване за физически лица

Приложение III, точка 5(б) от Регламента за ИИ на ЕС класифицира като високорискови всякакви системи с ИИ, използвани за оценяване на кредитоспособността на физически лица или за класифициране на физически лица по техния рисков профил с цел достъп до застрахователни услуги. Това обхваща актюерски системи с ИИ, които:

• Генерират индивидуална оценка на риска, използвана за определяне на премия за автомобилно застраховане за поименен притежател на полица
• Класифицират здравното състояние или риска от смъртност на физическо лице, за да определят допустимостта за животозастрахователно покритие или премията
• Произвеждат решение за ценообразуване на имуществена застраховка въз основа на оценени с ИИ рискови фактори, приписвани на конкретно физическо лице

Критичният праг е въздействието върху отделното физическо лице. Актюерският ИИ, приложен към юридически лица — корпоративна отговорност, търговски товари, промишлено имущество — не задейства категория 5(б) от Приложение III, освен ако физически лица не са засегнати по материално еквивалентен начин. Застрахователите, обслужващи както лични, така и търговски рискове, трябва да класифицират всяка система с ИИ според популацията, върху която действа.

Телематика за автомобилно застраховане и системи „плащай колкото шофираш"

Телематичните системи за ценообразуване на застраховки, събиращи данни за поведението при шофиране — скорост, ускорение, модели на спиране, използване по часове на деня — и използващи ИИ модели за генериране на индивидуална премия за поименно физическо лице, са парадигматичният случай на употреба на високорисков застрахователен ИИ. Тези системи отговарят на всички елементи на категория 5(б) от Приложение III: оценяват отделни физически лица, произвеждат резултати, определящи достъпа до и ценообразуването на застраховката, а тяхната ИИ-базирана индивидуализация е именно това, което ги отличава от традиционното актюерско обединяване на рискове.

Доставчиците на телематични системи за оценяване — независимо дали разработени вътрешно или лицензирани от доставчик трета страна — трябва да спазват чл. 9 (управление на риска), чл. 10 (управление на данните за обучителни и валидационни набори), чл. 11 във връзка с Приложение IV (техническа документация), чл. 12 (регистриране), чл. 13 (прозрачност), чл. 14 (човешки надзор) и чл. 15 (точност, стабилност, киберсигурност).

ИИ за поемане на риск при животозастраховане и здравно застраховане

Системите с ИИ, използвани при поемане на риска в животозастраховането за оценяване на дълголетието или риска от смъртност на отделни кандидати — определяне дали покритието се предлага и при каква премия — са високорискови по категория 5(б) от Приложение III, когато произвеждат индивидуализирани оценки за физически лица. Това включва системи с ИИ, обработващи отговори на здравни въпросници, медицински записи (където е законно достъпно) или потоци от данни от носими устройства с цел генериране на оценка на риска, влияеща върху решенията за поемане на риск.

ИИ за здравно застраховане, сегментиращ отделни кандидати по здравен рисков профил с цел ценообразуване или определяне на допустимост, подлежи на същата класификация. Застрахователите трябва да бъдат внимателни към пресечната точка на чл. 9 от GDPR (здравните данни като данни от специална категория) и изискванията за управление на данните по чл. 10 от Регламента за ИИ: обучителните набори, съдържащи здравни данни, изискват изрично правно основание по чл. 9(2) от GDPR, което трябва да бъде документирано в техническата документация, изисквана от Приложение IV.

ИИ за оценяване и уреждане на щети

Класифицирането на ИИ за щети зависи от неговата функционална роля в работния процес за вземане на решения по щети. Трябва да се разграничат два сценария:

• ИИ, съществено влияещ върху резултата по щета за физическо лице: когато система с ИИ оценява щета и нейният резултат директно води до намаляване, отхвърляне или условно изплащане на застрахователно обезщетение на физическо лице — дори и ако номинално е преразгледан от служител — системата вероятно е високорискова по категория 5(б) от Приложение III, тъй като на практика определя достъпа на физическото лице до застрахователни обезщетения.
• ИИ, маркиращ щети за разследване от служител: когато резултатът от ИИ е един от няколко входни данни, разглеждани от служител по щети, който взема независимо съществено решение, и служителят разполага с правомощия и информация да се отклони от оценката на ИИ, системата може да не е високорискова. Това разграничение трябва да е документирано и реално оперативно, а не номинално.

Откриване на застрахователни измами

Системите с ИИ, използвани за откриване на потенциално измамни щети, заемат важна гранична позиция. Когато ИИ за откриване на измами задейства автоматично неблагоприятно действие — спиране на плащане, отказ на полица — засягащо физическо лице без съществено преразглеждане от човек, той вероятно е високорисков. Когато ИИ генерира само маркер за риск от измама, след което специализиран служител провежда разследване и запазва пълните правомощия за вземане на решения, той може да не е такъв. Застрахователите следва подробно да документират работния процес на ИИ за измами и да преценят дали оперативният човешки надзор е съществен или номинален.

Доставчик срещу субект, прилагащ системата, в застраховането

Разграничаване на ролите

Регламентът за ИИ на ЕС налага различни набори от задължения в зависимост от това дали дадена организация е доставчик (разработва и пуска ИИ на пазара) или субект, прилагащ системата (използва система с ИИ на трета страна в професионален контекст). За застрахователите това разграничение е от търговско значение:

• Застраховател, разработващ собствена телематична система за оценяване или актюерски ценообразувателен ИИ, е доставчик по смисъла на чл. 3(3) и носи пълните задължения на доставчик по чл. 16: система за управление на качеството, техническа документация, EU декларация за съответствие, маркировка CE, регистрация в базата данни на ЕС и наблюдение след пускане на пазара.
• Застраховател, лицензиращ актюерски ИИ софтуер от доставчик, е субект, прилагащ системата, по смисъла на чл. 3(4) и носи задълженията на прилагащия субект по чл. 26: прилагане в съответствие с инструкциите на доставчика, човешки надзор, поддържане на дневници и докладване на инциденти.
• Застраховател, модифициращ лицензирана система с ИИ по начин, изменящ нейното предназначение — например чрез прилагане на телематичен модел към популация от притежатели на полици извън валидирания обхват — може да бъде прекласифициран като доставчик по чл. 25(1) с пълни задължения на доставчик.

Дължима грижа на прилагащия субект при актюерски ИИ на доставчик

Застрахователите, прилагащи актюерски системи с ИИ на трети страни, трябва да упражняват структурирана дължима грижа преди и след прилагането:

Преди прилагането: Проверете дали системата с ИИ е регистрирана в базата данни на ЕС за високорисков ИИ по чл. 49, носи маркировка CE и е придружена от EU декларация за съответствие. Поискайте и прегледайте резюмето на техническата документация, включително показателите за точност и предубеденост, валидирания обхват на случаите на употреба и декларацията за предназначение.

Договорна защита: Договорите за доставка с доставчици на ИИ следва да определят: задължението на доставчика да уведомява застрахователя за значителни актуализации или преоценки; задължението на доставчика да предоставя актуализирани данни за наблюдение след пускане на пазара при поискване; и границите на разрешения обхват на прилагане — с ясен механизъм, позволяващ на застрахователя да поиска оценка за разширяване на обхвата, вместо да действа едностранно.

Текущо наблюдение: По чл. 26(5), субектите, прилагащи системата, трябва да наблюдават ефективността на високорисковите системи с ИИ в тяхното оперативно обкръжение. За актюерски ИИ това означава проследяване на ефективността на модела спрямо реалните резултати по щети, наблюдение за разпределителни промени между обучителната популация и живата популация от притежатели на полици и ескалиране на съществени отклонения към доставчика за разследване.

Взаимодействие с Платежоспособност II, IDD и GDPR

Платежоспособност II — Система за управление и ORSA

Изискванията на Стълб II от Директива Платежоспособност II установяват Система за управление върху актюерските и рисковите управленски функции. Собствената оценка на риска и платежоспособността (ORSA) изисква документирана идентификация на рисковете, стрес тестване и вътрешно управление на моделите. Тези изисквания се припокриват съществено с системата за управление на риска по чл. 9 от Регламента за ИИ на ЕС и компонентите за валидиране на модели от техническата документация по Приложение IV.

Застрахователите следва да извършат структуриран анализ на пропуските, за да установят кои артефакти на управление по Платежоспособност II могат да се използват за съответствие с Регламента за ИИ и кои пропуски остават. Ключовите пропуски обикновено включват: специфично за ИИ тестване за предубеденост и оценка на справедливостта (не е разгледано в Платежоспособност II); документация за набори от данни по чл. 10 за обучителни и валидационни данни (надхвърляща обхвата на валидиране на модели по Платежоспособност II); автоматично регистриране на работата на системата с ИИ по чл. 12; и проектиране на механизъм за човешки надзор по чл. 14. Когато вътрешен модел, одобрен по Платежоспособност II, включва компоненти с ИИ, управленската рамка за този модел трябва да бъде разширена, за да отговори на задълженията по Регламента за ИИ, преди системата да може законно да бъде приложена в режима за високи рискове.

Директива за застрахователното разпространение — Справедливост и прозрачност

IDD (ЕС) 2016/97 изисква застрахователното разпространение да се осъществява в най-добрия интерес на клиента, с информация, представена по разбираем начин. Когато ИИ се използва в процеса на разпространение — например в цифрова платформа, генерираща персонализирани препоръки за продукти или ценови оферти — задълженията за справедливост и разкриване на информация по IDD се съгласуват с изискванията за прозрачност по чл. 13 от Регламента за ИИ на ЕС. Застрахователите следва да интегрират задълженията за разкриване на информация по Регламента за ИИ в документите за разкриване на продукти по IDD (IPID) и Ключовите информационни документи, като гарантират, че ролята на ИИ в решението за разпространение или ценообразуване се съобщава на език, достъпен за притежателя на полица.

GDPR — Данни от специална категория и автоматизирано вземане на решения

Чл. 9 от GDPR класифицира здравните данни, генетичните данни и данните, засягащи физическото или психическото здравословно състояние на лице, като данни от специална категория, чието обработване е забранено без конкретна дерогация. Застрахователите на животозастраховане и здравно застраховане, използващи такива данни при обучение или оценяване с ИИ, трябва да идентифицират и документират валидно правно основание по чл. 9(2) — най-често изрично съгласие по чл. 9(2)(а) или дерогация по законодателство на държава членка по чл. 9(2)(б) — за всяка категория данни и цел на обработване.

Чл. 22 от GDPR ограничава изцяло автоматизираните решения, произвеждащи правни или по сходен начин значителни последици за физически лица. Решение за поемане на риск с ИИ, автоматично отхвърлящо заявление за покритие, или решение по щета с ИИ, автоматично намаляващо изплащане на обезщетение, без човешка намеса представлява изцяло автоматизирано вземане на решения по чл. 22. Субектът на данни има право на: преразглеждане от човек на решението; обяснение на основните фактори, влияещи върху автоматизираното решение; и право да оспори резултата. Застрахователите трябва да включат тези права в своите клиентски процеси и да гарантират, че вътрешните механизми за преразглеждане са функционално работещи по същество.

Насоки на EIOPA за ИИ

Принципно базираните насоки на EIOPA относно употребата на ИИ в застраховането (2021) установиха секторните очаквания относно прозрачността, недискриминацията, качеството на данните и обяснимостта на моделите преди влизането в сила на Регламента за ИИ. EIOPA разработва секторно специфични насоки за прилагане на Регламента за ИИ на ЕС, и застрахователите следва да следят внимателно публикациите на EIOPA. Националните надзорни органи — ACPR (Франция), BaFin (Германия), IVASS (Италия), DNB (Нидерландия) — ще прилагат надзорните очаквания в съответствие с насоките на EIOPA, а секторните публикации с въпроси и отговори се очакват в периода на прилагане на Регламента.

Правоприлагане — EIOPA и национални надзорни органи

Надзорната роля на EIOPA

EIOPA (Европейски орган за застраховане и професионално пенсионно осигуряване) няма пряко правоприлагащо правомощие по Регламента за ИИ на ЕС, който определя националните надзорни органи като компетентни органи по чл. 70. Въпреки това EIOPA координира надзорното сближаване между застрахователните регулатори на ЕС и издава задължителни и незадължителни технически стандарти. Очакванията на EIOPA относно управлението на ИИ — изразени чрез насоки, становища и надзорни изявления — ще определят начина, по който националните надзорни органи прилагат изискванията на Регламента за ИИ в контекста на застраховането. Застрахователите следва да третират публикациите на EIOPA като авторитетни секторни насоки, дори когато не са правно обвързващи.

Национални застрахователни надзорни органи като компетентни органи по ИИ

Националните застрахователни надзорни органи на основните пазари на ЕС са позиционирани да упражняват функции на компетентен орган по Регламента за ИИ за застрахователни системи с ИИ:

• ACPR (Autorité de contrôle prudentiel et de résolution) във Франция, публикувал надзорни очаквания относно ИИ във финансовите услуги
• BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) в Германия, с установена история в надзора на алгоритмичното вземане на решения
• IVASS (Istituto per la Vigilanza sulle Assicurazioni) в Италия
• DNB (De Nederlandsche Bank) в Нидерландия

Тези органи разполагат с правомощия по чл. 74 и чл. 75 да изискват достъп до обучителни данни, техническа документация и дневници; да провеждат проверки на място; да разпореждат коригиращи мерки; и да препоръчват финансови санкции за несъответствие. Глобите за пускане на несъответстващ високорисков ИИ на пазара могат да достигнат 30 милиона евро или 6% от общия годишен оборот в световен мащаб, в зависимост от това кое е по-голямо.

Двоен надзор: Регламент за ИИ и секторно регулиране

Застрахователните надзорни органи, провеждащи правоприлагане по Регламента за ИИ, ще го правят в контекста на своите по-широки пруденциални и поведенчески мандати. Разследване по Регламента за ИИ относно предубеден актюерски ценообразувателен модел може едновременно да ангажира задълженията за отчитане по Стълб III на Платежоспособност II, изискванията за поведение по IDD и правоприлагане по GDPR от страна на органа за защита на данните. Застрахователите следва да приемат, че надзорните намеси ще бъдат крос-функционални и да проектират своите програми за съответствие по съответния начин.

Пътна карта за съответствие за застрахователите

Стъпка 1: Инвентаризация и класификация на системите с ИИ

Извършете всеобхватна инвентаризация на всички системи с ИИ, използвани в: ценообразуване на премии; приемане или отхвърляне при поемане на риск; оценяване или изплащане на щети; откриване на измами; оценяване на риска на клиентите; и разпространение или препоръчване на продукти. За всяка система преценете дали произвежда резултати, определящи или съществено влияещи върху последиците за отделни физически лица. Системите, отговарящи на този праг, изискват оценка за класификация спрямо категория 5(б) от Приложение III.

Стъпка 2: Определяне на ролята доставчик/прилагащ субект

За всяка високорискова система с ИИ определете дали застрахователят е доставчик, прилагащ субект или — критично — дали употребата извън валидирания обхват на доставчика е задействала прекласификация като доставчик. Потърсете съвет от правен съветник за оценяване на гранични конфигурации, особено когато вътрешни данни или популации от притежатели на полици са използвани за допълнително обучение или разширяване на лицензиран модел.

Стъпка 3: Анализ на пропуските спрямо задълженията по Регламента за ИИ

Нанесете съществуващите артефакти на управление по Платежоспособност II, документацията по ORSA и вътрешните процеси за валидиране на модели спрямо изискванията на Регламента за ИИ по чл. 9 (управление на риска), чл. 10 (управление на данните), чл. 11 и Приложение IV (техническа документация), чл. 12 (регистриране), чл. 13 (прозрачност), чл. 14 (човешки надзор) и чл. 15 (точност, стабилност, киберсигурност). Документирайте установените пропуски и разпределете отговорността за отстраняването им.

Стъпка 4: Управление на данните и съгласуване с GDPR

За всяка високорискова система с ИИ одитирайте обучителните и валидационните набори от данни. Документирайте произхода на данните, методите за събиране, представителността в рамките на съответните демографски групи на притежателите на полици и известните ограничения. Гарантирайте наличието на правни основания по GDPR за всички лични данни и, когато е приложимо, за данни от специална категория. Интегрирайте документацията по чл. 10 в техническото досие по Приложение IV.

Стъпка 5: Проектиране на механизъм за човешки надзор

Проектирайте оперативно реалистични механизми за човешки надзор за всяко прилагане на високорисков ИИ. За ИИ при поемане на риск това означава, че квалифициран актюер или поемател на риск разполага с информацията, правомощията и работното време, за да прегледа и да се отклони от препоръката на ИИ, преди тя да засегне притежателя на полица. За ИИ при щети това означава, че служителят по щети разполага с реални правомощия за преразглеждане — а не с номинална функция за подписване. Документирайте проекта на надзора и го включете в техническата документация.

Стъпка 6: Дължима грижа към доставчиците и поправка на договорите

За актюерски системи с ИИ на трети страни приложете описания по-горе процес на дължима грижа преди прилагането и прегледайте съществуващите договори с доставчици. Когато договорите не съдържат разпоредби, задължаващи доставчика да поддържа документация за съответствие с Регламента за ИИ, да уведомява застрахователя за значителни промени и да разрешава одит на ефективността на системата с ИИ, отстранете това чрез изменение или прекоговаряне на договора. Установете вътрешни процедури за наблюдение на ефективността на системата с ИИ в живата популация от притежатели на полици и за докладване на значителни отклонения на доставчиците и, когато се изисква, на надзорните органи.