Pojišťovnictví — soulad s nařízením EU o umělé inteligenci

Povinnosti pojišťoven vyplývající z EU AI Act: pojistně-matematické modely, upisování, posuzování pojistných událostí a oceňovací AI pro fyzické osoby. Zahrnuje kategorii 5(b) přílohy III a interakci se Solventností II.

Pojišťovnictví a EU AI Act — pojistně-matematická výzva

EU AI Act (nařízení (EU) 2024/1689) ukládá nejvyšší zátěž v oblasti souladu systémům AI, které ovlivňují schopnost fyzických osob získat přístup k základním službám a finančním produktům. Pojišťovnictví stojí v centru tohoto zájmu. Systémy AI, které určují, zda fyzická osoba může získat pojištění motorových vozidel, zdravotní, životní nebo majetkové pojištění — a za jakou cenu — jsou v mnoha konfiguracích vysoce rizikovými systémy AI podle přílohy III bodu 5(b) nařízení.

Klíčovou výzvou pro pojišťovací sektor je pojistně-matematická oblast. Po více než století je oceňování pojistného založeno na statistickém modelování rizika napříč populačními kohortami. EU AI Act nezakazuje pojistně-matematickou diferenciaci, ukládá však podstatné povinnosti systémům AI, prostřednictvím nichž je tato diferenciace prováděna, pokud tyto systémy fungují na úrovni jednotlivé fyzické osoby. Přechod od tradičních modelů sdružování k AI řízenému individuálnímu hodnocení rizik — umožněnému telematickými systémy, datovými toky o zdravotním stavu a behaviorální analytikou — je přesně tím, co spouští vysoce rizikový režim nařízení.

Pojišťovny působící v EU proto musí provést systematické klasifikační cvičení: které z jejich systémů AI produkují individualizované výstupy, jež určují nebo podstatně ovlivňují rozhodnutí o krytí fyzických osob? Toto klasifikační cvičení není pouhá formální povinnost. Jeho výsledek určuje, zda pojišťovna jako provozovatel podle čl. 26 (nebo poskytovatel podle čl. 16) nese povinnosti týkající se správy dat, technické dokumentace, lidského dohledu, posouzení shody a registrace v databázi EU pro vysoce rizikové AI.

Uplatnění nařízení na pojišťovnictví je dále komplikováno stávající hustotou sektorové regulace. Směrnice Solventnost II (2009/138/ES), Směrnice o distribuci pojištění (IDD) (EU) 2016/97, GDPR a principiální pokyny EIOPA pro AI (2021) každý ukládají požadavky na pojistně-matematické modelování, nakládání se zákazníky a využívání dat. Tyto rámce se překrývají s povinnostmi EU AI Act — nemohou je však nahradit. Programy pro dosažení souladu musí řešit všechny současně.

Vysoce rizikové případy použití AI v pojišťovnictví

Pojistně-matematické oceňovací modely pro fyzické osoby

Příloha III bod 5(b) EU AI Act klasifikuje jako vysoce rizikové jakýkoli systém AI používaný k hodnocení úvěruschopnosti fyzických osob nebo ke klasifikaci fyzických osob podle jejich rizikového profilu za účelem přístupu k pojišťovacím službám. To zahrnuje pojistně-matematické systémy AI, které:

• Generují individuální rizikové skóre použité ke stanovení pojistného za pojištění motorových vozidel pro jmenovitě uvedeného pojistníka
• Klasifikují zdravotní stav nebo riziko mortality fyzické osoby za účelem určení přijatelnosti pro životní pojištění nebo výše pojistného
• Vydávají rozhodnutí o ceně majetkového pojištění na základě rizikových faktorů posouzených AI a přiřazených konkrétní fyzické osobě

Rozhodujícím prahem je dopad na jednotlivou fyzickou osobu. Pojistně-matematické AI aplikované na právnické osoby — pojištění podnikatelské odpovědnosti, komerční náklady, průmyslový majetek — nespouštějí kategorii 5(b) přílohy III, pokud fyzické osoby nejsou dotčeny způsobem, který je věcně rovnocenný. Pojišťovny upisující jak osobní, tak komerční rizika musí klasifikovat každý systém AI podle populace, na niž působí.

Telematika motorových vozidel a systémy pay-as-you-drive

Telematické systémy oceňování pojistného, které shromažďují data o chování při řízení — rychlost, zrychlení, vzorce brzdění, využití v různých denních dobách — a využívají modely AI k vygenerování individuálního pojistného pro jmenovitě uvedenou fyzickou osobu, jsou paradigmatickým vysoce rizikovým případem použití pojistného AI. Tyto systémy splňují všechny prvky kategorie 5(b) přílohy III: hodnotí jednotlivé fyzické osoby, produkují výstupy, které určují přístup k pojištění a jeho cenu, a jejich AI řízená individualizace je přesně tím, co je odlišuje od tradičního pojistně-matematického sdružování.

Poskytovatelé telematických oceňovacích enginů — ať vyvinutých interně nebo licencovaných od dodavatele třetí strany — musí splňovat požadavky čl. 9 (řízení rizik), čl. 10 (správa dat pro trénovací a validační datové sady), čl. 11 ve spojení s přílohou IV (technická dokumentace), čl. 12 (protokolování), čl. 13 (transparentnost), čl. 14 (lidský dohled) a čl. 15 (přesnost, robustnost, kybernetická bezpečnost).

AI pro upisování životního a zdravotního pojištění

Systémy AI používané při upisování životního pojištění k posouzení rizika dlouhověkosti nebo mortality jednotlivých žadatelů — s cílem určit, zda je krytí nabídnuto a za jaké pojistné — jsou vysoce rizikové podle kategorie 5(b) přílohy III, pokud produkují individualizovaná posouzení fyzických osob. Zahrnuje to systémy AI, které zpracovávají odpovědi na zdravotní dotazníky, lékařské záznamy (kde jsou zákonně přístupné) nebo datové toky z nositelných zařízení za účelem generování rizikového skóre ovlivňujícího rozhodnutí o upisování.

AI pro zdravotní pojištění, která segmentuje jednotlivé žadatele podle zdravotního rizikového profilu za účelem stanovení ceny nebo přijatelnosti, podléhá stejné klasifikaci. Pojišťovny musí věnovat pozornost průniku čl. 9 GDPR (zdravotní data jako zvláštní kategorie údajů) a požadavkům na správu dat podle čl. 10 AI Act: trénovací datové sady obsahující zdravotní data vyžadují výslovný právní základ podle čl. 9 odst. 2 GDPR, a tento základ musí být zdokumentován v technické dokumentaci vyžadované přílohou IV.

AI pro posuzování a likvidaci pojistných událostí

Klasifikace AI pro pojistné události závisí na její funkční roli v postupu rozhodování o pojistných událostech. Je třeba rozlišit dva scénáře:

• AI, která podstatně ovlivňuje výsledek pojistné události pro fyzickou osobu: pokud systém AI posoudí pojistnou událost a jeho výstup přímo vede ke snížení, odmítnutí nebo podmíněné výplatě pojistného plnění fyzické osobě — i kdyby byl nominálně přezkoumán člověkem — je systém pravděpodobně vysoce rizikový podle kategorie 5(b) přílohy III, protože fakticky určuje přístup fyzické osoby k pojistným dávkám.
• AI, která označuje pojistné události k prošetření člověkem: pokud je výstup AI jedním z několika vstupů zvažovaných likvidátorem, který přijímá nezávislé věcné rozhodnutí, a likvidátor má pravomoc a informace k odchýlení se od posouzení AI, systém nemusí být vysoce rizikový. Toto rozlišení musí být zdokumentováno a operativně skutečné, nikoli pouze nominální.

Odhalování pojistných podvodů

Systémy AI používané k odhalování potenciálně podvodných pojistných událostí zaujímají důležitou hraniční pozici. Tam, kde AI pro odhalování podvodů spouští automatické nepříznivé opatření — pozastavení platby, zrušení pojistné smlouvy — dotýkající se fyzické osoby bez věcného přezkumu člověkem, je pravděpodobně vysoce riziková. Tam, kde AI pouze generuje příznak rizika podvodu, který následně vyšetřuje specialista zachovávající plnou rozhodovací pravomoc, nemusí být. Pojišťovny by měly podrobně zdokumentovat postup pro AI při odhalování podvodů a posoudit, zda je operativní lidský dohled věcný nebo pouze nominální.

Poskytovatel vs. provozovatel v pojišťovnictví

Rozlišení rolí

EU AI Act ukládá různé sady povinností podle toho, zda je organizace poskytovatelem (vyvíjí AI a uvádí ji na trh) nebo provozovatelem (využívá systém AI třetí strany v profesionálním kontextu). Pro pojišťovny má toto rozlišení obchodní význam:

• Pojišťovna, která vyvíjí vlastní telematický oceňovací engine nebo pojistně-matematické AI, je poskytovatelem podle čl. 3 odst. 3 a nese plné povinnosti poskytovatele podle čl. 16: systém řízení kvality, technická dokumentace, EU prohlášení o shodě, označení CE, registrace v databázi EU a postmarketingové sledování.
• Pojišťovna, která licencuje pojistně-matematický AI software od dodavatele, je provozovatelem podle čl. 3 odst. 4 a nese povinnosti provozovatele podle čl. 26: implementace v souladu s pokyny poskytovatele, lidský dohled, vedení protokolů a hlášení incidentů.
• Pojišťovna, která modifikuje licencovaný systém AI způsoby, které mění jeho zamýšlený účel — například uplatněním telematického modelu na pojistnou populaci mimo validovaný rozsah — může být překlasifikována na poskytovatele podle čl. 25 odst. 1 s plnými povinnostmi poskytovatele.

Náležitá péče provozovatele při AI od pojistně-matematických dodavatelů

Pojišťovny nasazující pojistně-matematické systémy AI třetích stran musí před nasazením i po něm provádět strukturovanou náležitou péči:

Před nasazením: Ověřte, že systém AI je registrován v databázi EU pro vysoce rizikové AI podle čl. 49, nese označení CE a je doprovázen EU prohlášením o shodě. Vyžádejte si a přezkoumejte shrnutí technické dokumentace, včetně metrik přesnosti a zaujatosti, rozsahu validovaných případů použití a prohlášení o zamýšleném účelu.

Smluvní ochrana: Smlouvy o nákupu se dodavateli AI by měly specifikovat: povinnost dodavatele informovat pojišťovnu o významných aktualizacích nebo přehodnoceních; povinnost dodavatele poskytovat aktualizovaná data postmarketingového sledování na vyžádání; a hranice povoleného rozsahu nasazení — s jasným mechanismem umožňujícím pojišťovně požádat o posouzení rozšíření rozsahu, spíše než postupovat jednostranně.

Průběžné sledování: Podle čl. 26 odst. 5 musí provozovatelé sledovat výkonnost vysoce rizikových systémů AI v jejich provozním kontextu. V případě pojistně-matematické AI to znamená sledování výkonnosti modelu ve srovnání se skutečnými výsledky pojistných událostí, monitorování distribučního posunu mezi trénovací populací a živou pojistnou populací a hlášení podstatných odchylek dodavateli k prošetření.

Interakce se Solventností II, IDD a GDPR

Solventnost II — systém správy a řízení a ORSA

Požadavky Pilíře II směrnice Solventnost II zavádějí systém správy a řízení pojistně-matematických funkcí a funkcí řízení rizik. Vlastní posouzení rizik a solventnosti (ORSA) vyžaduje zdokumentovanou identifikaci rizik, zátěžové testování a správu interních modelů. Tyto požadavky se podstatně překrývají se systémem řízení rizik podle čl. 9 EU AI Act a složkami validace modelů zahrnutými v technické dokumentaci podle přílohy IV.

Pojišťovny by měly provést strukturovanou analýzu mezer, aby identifikovaly, které dokumenty správy a řízení podle Solventnosti II lze využít pro soulad s AI Act a které mezery přetrvávají. Klíčové mezery obvykle zahrnují: testování zaujatosti a posouzení spravedlnosti specifické pro AI (Solventností II neřešené); dokumentaci datových sad podle čl. 10 pro trénovací a validační data (která přesahuje rozsah validace modelů podle Solventnosti II); automatické protokolování provozu systému AI podle čl. 12; a návrh mechanismů lidského dohledu podle čl. 14. Tam, kde interní model schválený podle Solventnosti II zahrnuje složky AI, musí být rámec správy a řízení tohoto modelu rozšířen tak, aby splňoval povinnosti AI Act dříve, než může být systém zákonně nasazen v rámci vysoce rizikového režimu.

Směrnice o distribuci pojištění — spravedlnost a transparentnost

IDD (EU) 2016/97 vyžaduje, aby byla distribuce pojištění prováděna v nejlepším zájmu zákazníka, přičemž informace musí být prezentovány srozumitelným způsobem. Tam, kde je AI využívána v distribučním procesu — například v digitální platformě generující personalizovaná doporučení produktů nebo cenové nabídky — povinnosti IDD týkající se spravedlnosti a sdělování informací jsou v souladu s požadavky na transparentnost podle čl. 13 EU AI Act. Pojišťovny by měly integrovat povinnosti sdělování informací podle AI Act do dokumentů o pojistných produktech (IPID) a Klíčových informačních dokumentů podle IDD, přičemž musí zajistit, aby role AI v distribuci nebo oceňovacím rozhodnutí byla sdělena v jazyce přístupném pojistníkovi.

GDPR — zvláštní kategorie dat a automatizované rozhodování

Čl. 9 GDPR klasifikuje zdravotní data, genetické údaje a údaje týkající se fyzického nebo duševního zdravotního stavu osoby jako zvláštní kategorie osobních údajů, jejichž zpracování je zakázáno, pokud neexistuje konkrétní výjimka. Pojišťovny životního a zdravotního pojištění využívající taková data při trénování nebo hodnocení AI musí pro každou kategorii dat a účel zpracování identifikovat a zdokumentovat platný právní základ podle čl. 9 odst. 2 GDPR — nejčastěji výslovný souhlas podle čl. 9 odst. 2 písm. a) nebo výjimka stanovená právem členského státu podle čl. 9 odst. 2 písm. b).

Čl. 22 GDPR omezuje výhradně automatizovaná rozhodnutí, která mají pro fyzické osoby právní nebo obdobně závažné účinky. Rozhodnutí AI o upisování, které automaticky odmítne žádost o krytí, nebo rozhodnutí AI o pojistné události, které automaticky snižuje výplatu pojistného plnění bez zapojení člověka, představuje výhradně automatizované rozhodování ve smyslu čl. 22. Subjekt údajů má právo na: přezkum rozhodnutí člověkem; vysvětlení hlavních faktorů ovlivňujících automatizované rozhodnutí; a právo napadnout výsledek. Pojišťovny musí tato práva zabudovat do svých postupů vůči zákazníkům a zajistit, aby interní mechanismy přezkumu byly věcně funkční.

Pokyny EIOPA pro AI

Principiální pokyny EIOPA pro využívání AI v pojišťovnictví (2021) stanovily sektorová očekávání v oblasti transparentnosti, nediskriminace, kvality dat a vysvětlitelnosti modelů ještě před vstupem AI Act v platnost. EIOPA vypracovává sektorově specifická implementační vodítka pro EU AI Act a pojišťovny by měly výstupy EIOPA pečlivě sledovat. Národní dohledové orgány — ACPR (Francie), BaFin (Německo), IVASS (Itálie), DNB (Nizozemsko) — budou realizovat dohledová očekávání v souladu s pokyny EIOPA a v průběhu implementačního období nařízení se očekává zveřejnění sektorově specifických odpovědí na otázky a odpovědi (Q&A).

Vymáhání — EIOPA a národní dohledové orgány

Dohledová úloha EIOPA

EIOPA (Evropský orgán pro pojišťovnictví a zaměstnanecké penzijní pojištění) nemá přímou pravomoc k vymáhání podle EU AI Act, který v čl. 70 určuje národní dohledové orgány jako příslušné orgány. EIOPA však koordinuje sbližování dohledu napříč pojišťovacími regulátory EU a vydává závazné i nezávazné technické normy. Očekávání EIOPA v oblasti správy AI — vyjádřená prostřednictvím pokynů, stanovisek a dohledových prohlášení — budou určovat, jak národní dohledové orgány implementují požadavky AI Act v pojišťovacím kontextu. Pojišťovny by měly výstupy EIOPA považovat za autoritativní sektorové vodítko i v případech, kdy nejsou právně závazné.

Národní pojišťovací dohledové orgány jako příslušné orgány pro AI

Národní pojišťovací dohledové orgány na hlavních trzích EU jsou připraveny vykonávat funkce příslušného orgánu podle AI Act v oblasti pojišťovacích systémů AI:

• ACPR (Autorité de contrôle prudentiel et de résolution) ve Francii, která zveřejnila dohledová očekávání ohledně AI ve finančních službách
• BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) v Německu se zavedenou zkušeností v oblasti dohledu nad algoritmickým rozhodováním
• IVASS (Istituto per la Vigilanza sulle Assicurazioni) v Itálii
• DNB (De Nederlandsche Bank) v Nizozemsku

Tyto orgány mají na základě čl. 74 a čl. 75 pravomoc požadovat přístup k trénovacím datům, technické dokumentaci a protokolům; provádět kontroly na místě; nařizovat nápravná opatření; a doporučovat finanční sankce za nesoulad. Pokuty za uvedení neshodného vysoce rizikového AI na trh mohou dosáhnout 30 milionů EUR nebo 6 % celosvětového ročního obratu, podle toho, která částka je vyšší.

Dvojí dohled: AI Act a sektorová regulace

Pojišťovací dohledové orgány vykonávající vymáhání AI Act tak budou činit v kontextu svých širších pravomocí v oblasti obezřetnostního dohledu a dohledu nad chováním. Šetření AI Act týkající se zaujatého pojistně-matematického oceňovacího modelu může současně zahrnout povinnosti výkaznictví podle Pilíře III Solventnosti II, požadavky IDD na chování a vymáhání GDPR ze strany orgánu pro ochranu osobních údajů. Pojišťovny by měly počítat s tím, že dohledové intervence budou průřezové, a svůj program zajišťování souladu tomu přizpůsobit.

Plán dosažení souladu pro pojišťovny

Krok 1: Inventář a klasifikace systémů AI

Proveďte komplexní inventář všech systémů AI používaných při: oceňování pojistného; akceptaci nebo odmítnutí upisování; posuzování nebo výplatě pojistných událostí; odhalování podvodů; hodnocení rizika zákazníků; a distribuci nebo doporučování produktů. U každého systému posuzujte, zda produkuje výstupy, které určují nebo podstatně ovlivňují výsledky pro jednotlivé fyzické osoby. Systémy splňující tento práh vyžadují klasifikační posouzení podle kategorie 5(b) přílohy III.

Krok 2: Určení role poskytovatele/provozovatele

Pro každý vysoce rizikový systém AI určete, zda je pojišťovna poskytovatelem, provozovatelem, nebo — kriticky — zda použití mimo validovaný rozsah dodavatele nezpůsobilo překlasifikaci na poskytovatele. Zapojte právní poradenství k posouzení hraničních konfigurací, zejména tam, kde byla interní data nebo pojistné populace použity k doladění nebo rozšíření licencovaného modelu.

Krok 3: Analýza mezer vůči povinnostem AI Act

Zmapujte stávající dokumenty správy a řízení podle Solventnosti II, dokumentaci ORSA a procesy validace interních modelů vůči požadavkům AI Act podle čl. 9 (řízení rizik), čl. 10 (správa dat), čl. 11 a přílohy IV (technická dokumentace), čl. 12 (protokolování), čl. 13 (transparentnost), čl. 14 (lidský dohled) a čl. 15 (přesnost, robustnost, kybernetická bezpečnost). Zdokumentujte zjištěné mezery a přidělte odpovědnost za jejich odstranění.

Krok 4: Správa dat a soulad s GDPR

Pro každý vysoce rizikový systém AI proveďte audit trénovacích a validačních datových sad. Zdokumentujte původ dat, metody jejich sběru, reprezentativnost napříč relevantními demografickými skupinami pojistné populace a známá omezení. Zajistěte, aby pro všechny osobní údaje a tam, kde je to relevantní, pro zvláštní kategorie údajů existovaly právní základy podle GDPR. Integrujte dokumentaci podle čl. 10 do technického souboru podle přílohy IV.

Krok 5: Návrh mechanismů lidského dohledu

Navrhněte operativně realistické mechanismy lidského dohledu pro každé nasazení vysoce rizikové AI. V případě AI pro upisování to znamená, že kvalifikovaný upisovatel má informace, pravomoc a čas v pracovním postupu k přezkumu doporučení AI a odchýlení se od něj dříve, než ovlivní pojistníka. V případě AI pro pojistné události to znamená, že likvidátor má věcnou pravomoc přezkumu — nikoli pouze nominální schvalovací funkci. Zdokumentujte návrh dohledu a zahrňte jej do technické dokumentace.

Krok 6: Náležitá péče vůči dodavatelům a náprava smluv

Pro pojistně-matematické systémy AI třetích stran implementujte výše popsaný proces náležité péče před nasazením a přezkoumejte stávající smlouvy s dodavateli. Tam, kde smlouvy neobsahují ustanovení vyžadující po dodavateli vedení dokumentace souladu s AI Act, informování pojišťovny o významných změnách a umožnění auditu výkonnosti systému AI, proveďte nápravu prostřednictvím dodatku ke smlouvě nebo nového sjednání. Zaveďte interní postupy pro sledování výkonnosti systému AI v živé pojistné populaci a pro hlášení podstatných odchylek dodavatelům a tam, kde je to vyžadováno, dohledovým orgánům.