Osiguranje — Usklađenost s EU AI Act-om

Obveze EU AI Act-a za AI u osiguranju: aktuarski modeli, preuzimanje rizika, procjena šteta i cjenovna AI za fizičke osobe. Obuhvaća kategoriju 5(b) Annexa III i interakciju sa Solvency II.

Osiguranje i EU AI Act — Aktuarski Izazov

EU AI Act (Uredba (EU) 2024/1689) nameće najveće obveze usklađenosti AI sustavima koji utječu na sposobnost fizičkih osoba da pristupe ključnim uslugama i financijskim proizvodima. Osiguranje je u središtu te brige. AI sustavi koji određuju može li fizička osoba dobiti automobilsko, zdravstveno, životno ili imovinsno osiguranje — i po kojoj cijeni — u mnogim konfiguracijama su visokorizični AI sustavi prema Annexu III, točki 5(b) Uredbe.

Ključni izazov za sektor osiguranja je aktuarski. Već više od jednog stoljeća određivanje premija osiguranja temelji se na statističkom modeliranju rizika u populacijskim kohortama. EU AI Act ne zabranjuje aktuarsku diferencijaciju, ali nameće suštinske obveze AI sustavima kroz koje se takva diferencijacija provodi kada ti sustavi djeluju na razini pojedinih fizičkih osoba. Pomak od tradicionalnih modela grupiranja prema AI-pogonjenoj individualnoj procjeni rizika — omogućenoj telematikom, tokovima zdravstvenih podataka i analitikom ponašanja — upravo je ono što aktivira visokorizični režim Uredbe.

Osiguratelji koji posluju u EU stoga moraju provesti sustavnu klasifikacijsku vježbu: koji od njihovih AI sustava proizvode individualizirane izlaze koji određuju ili bitno utječu na odluke o pokriću za fizičke osobe? Ta klasifikacijska vježba nije puka uskladbena formalnost. Njezin ishod određuje snosi li osiguratelj, kao primjenitelj prema Art. 26 (ili pružatelj prema Art. 16), obveze u pogledu upravljanja podacima, tehničke dokumentacije, ljudskog nadzora, ocjene sukladnosti i registracije u EU bazi podataka za visokorizičnu AI.

Primjena Uredbe na osiguranje dodatno je komplicirana gustoćom propisa koji već uređuju ovaj sektor. Direktiva Solvency II (2009/138/EZ), Direktiva o distribuciji osiguranja (IDD) (EU) 2016/97, GDPR i EIOPA-ina načelna smjernica o AI-u (2021.) svaka za sebe nameću zahtjeve u pogledu aktuarskog modeliranja, tretmana kupaca i korištenja podataka. Ti okviri preklapaju se s obvezama EU AI Act-a — ali ih ne zamjenjuju. Programi usklađenosti moraju istovremeno adresirati sve navedene okvire.

Visokorizični Slučajevi Korištenja AI-a u Osiguranju

Aktuarski Cjenovni Modeli za Fizičke Osobe

Annex III, točka 5(b) EU AI Act-a klasificira kao visokorizičan svaki AI sustav koji se koristi za procjenu kreditne sposobnosti fizičkih osoba ili za klasificiranje fizičkih osoba u pogledu njihovog profila rizika u svrhu pristupa uslugama osiguranja. To obuhvaća aktuarske AI sustave koji:

• Generiraju individualnu ocjenu rizika koja se koristi za određivanje premije automobilskog osiguranja imenovanom ugovaratelju police
• Klasificiraju zdravstveni status fizičke osobe ili rizik mortaliteta radi određivanja podobnosti za pokriće životnim osiguranjem ili iznosa premije
• Proizvode odluku o cijeni imovinskog osiguranja na temelju AI-procijenjenih čimbenika rizika pripisanih konkretnoj fizičkoj osobi

Ključni prag je utjecaj na pojedinim fizičkim osobama. Aktuarska AI primijenjena na pravne osobe — korporativna odgovornost, komercijalni teret, industrijska imovina — ne aktivira Annex III, kat. 5(b) osim ako fizičke osobe nisu zahvaćene na materijalno jednakovrjedan način. Osiguratelji koji pokrivaju i osobne i komercijalne rizike moraju klasificirati svaki AI sustav prema populaciji na koju djeluje.

Telematika za Automobilsko Osiguranje i Sustavi Plaćanja prema Načinu Vožnje

Telematički sustavi određivanja premije osiguranja koji prikupljaju podatke o ponašanju u vožnji — brzina, ubrzanje, obrasci kočenja, korištenje prema dobu dana — i koriste AI modele za generiranje individualne premije za imenovanog ugovaratelja koji je fizička osoba paradigmatski su visokorizičan slučaj korištenja AI-a u osiguranju. Ti sustavi ispunjavaju sve elemente Annexa III, kat. 5(b): procjenjuju pojedine fizičke osobe, proizvode izlaze koji određuju pristup osiguranju i njegovu cijenu, a njihova AI-pogonjena individualizacija upravo je ono što ih razlikuje od tradicionalnog aktuarskog grupiranja.

Pružatelji telematičkih mehanizama bodovanja — bilo razvijenih interno ili licenciranih od dobavljača trećih strana — moraju ispunjavati zahtjeve iz Art. 9 (upravljanje rizicima), Art. 10 (upravljanje podacima za skupove podataka za obuku i validaciju), Art. 11 u vezi s Annexom IV (tehnička dokumentacija), Art. 12 (evidentiranje), Art. 13 (transparentnost), Art. 14 (ljudski nadzor) i Art. 15 (točnost, robusnost, kibernetička sigurnost).

AI za Preuzimanje Rizika u Životnom i Zdravstvenom Osiguranju

AI sustavi koji se u preuzimanju rizika životnog osiguranja koriste za procjenu dugovječnosti ili rizika mortaliteta za pojedinačne podnositelje zahtjeva — određujući nudi li se pokriće i po kojoj premiji — visokorizični su prema Annexu III, kat. 5(b) kada proizvode individualiziranu procjenu za fizičke osobe. To uključuje AI sustave koji obrađuju odgovore na zdravstvene upitnike, medicinske zapise (gdje je zakonito dostupno) ili tokove podataka s nosljivih uređaja radi generiranja ocjene rizika koja utječe na odluke o preuzimanju rizika.

AI u zdravstvenom osiguranju koji segmentira pojedinačne podnositelje zahtjeva prema profilu zdravstvenog rizika u svrhu određivanja cijena ili podobnosti podliježe istoj klasifikaciji. Osiguratelji moraju obratiti pozornost na interakciju između GDPR Art. 9 (zdravstveni podaci kao posebna kategorija podataka) i zahtjeva upravljanja podacima iz Art. 10 AI Act-a: skupovi podataka za obuku koji sadrže zdravstvene podatke zahtijevaju izričitu pravnu osnovu prema GDPR Art. 9(2), koja mora biti dokumentirana u tehničkoj dokumentaciji propisanoj Annexom IV.

AI za Procjenu i Namiru Odštetnih Zahtjeva

Klasifikacija AI-a za odštetne zahtjeve ovisi o njegovoj funkcionalnoj ulozi u tijeku rada s odlukama o zahtjevima. Moraju se razlikovati dva scenarija:

• AI koji bitno utječe na ishod odštetnog zahtjeva za fizičku osobu: kada AI sustav procjenjuje zahtjev i njegov izlaz izravno rezultira umanjenjem, odbijanjem ili uvjetnom isplatom naknade za osiguranje fizičkoj osobi — čak i ako je nominalno pregledan od strane čovjeka — sustav je vjerojatno visokorizičan prema Annexu III, kat. 5(b), jer efektivno određuje pristup fizičke osobe naknadama iz osiguranja.
• AI koji označava zahtjeve za istragu od strane čovjeka: kada je izlaz AI-a jedan od nekoliko ulaza koje razmatra likvidator šteta koji donosi neovisnu suštinsku odluku, a likvidator ima ovlast i informacije da odstupi od procjene AI-a, sustav možda nije visokorizičan. Ova razlika mora biti dokumentirana i operativno stvarna, a ne nominalna.

Otkrivanje Prijevara u Osiguranju

AI sustavi koji se koriste za otkrivanje potencijalno lažnih odštetnih zahtjeva nalaze se na važnoj graničnoj liniji. Kada AI za otkrivanje prijevara pokreće automatsku štetnu radnju — suspenziju isplate, otkazivanje police — koja pogađa fizičku osobu bez suštinskog ljudskog pregleda, vjerojatno je visokorizičan. Kada AI samo generira oznaku rizika od prijevare koju zatim istražuje specijalizirani likvidator koji zadržava punu ovlast odlučivanja, možda nije. Osiguratelji trebaju detaljno dokumentirati tijek rada AI-a za prijevare i procijeniti je li operativni ljudski nadzor suštinski ili nominalan.

Pružatelj Nasuprot Primjenitelju u Osiguranju

Razlikovanje Uloga

EU AI Act nameće različite skupove obveza ovisno o tome je li organizacija pružatelj (razvija AI i stavlja ga na tržište) ili primjenitelj (koristi AI sustav treće strane u profesionalnom kontekstu). Za osiguratelje ova razlika ima komercijalni značaj:

• Osiguratelj koji razvija vlastiti telematički mehanizam bodovanja ili aktuarsku cjenovnu AI je pružatelj prema Art. 3(3) i snosi sve obveze pružatelja prema Art. 16: sustav upravljanja kvalitetom, tehnička dokumentacija, EU izjava o sukladnosti, CE oznaka, registracija u EU bazi podataka i praćenje na tržištu.
• Osiguratelj koji licencira aktuarski AI softver od dobavljača je primjenitelj prema Art. 3(4) i snosi obveze primjenitelja prema Art. 26: primjena u skladu s uputama pružatelja, ljudski nadzor, vođenje evidencija i prijavljivanje incidenata.
• Osiguratelj koji modificira licencirani AI sustav na način koji mijenja njegovu namijenjenu svrhu — primjerice, primjenom telematičkog modela na populaciju ugovaratelja izvan validiranog opsega — može biti reklasificiran kao pružatelj prema Art. 25(1) s punim obvezama pružatelja.

Dužna Pažnja Primjenitelja za Aktuarsku AI Dobavljača

Osiguratelji koji primjenjuju aktuarske AI sustave trećih strana moraju provoditi strukturiranu dužnu pažnju prije i nakon primjene:

Prije primjene: Provjeriti je li AI sustav registriran u EU bazi podataka za visokorizičnu AI prema Art. 49, nosi li CE oznaku i je li popraćen EU izjavom o sukladnosti. Zatražiti i pregledati sažetak tehničke dokumentacije, uključujući mjerne podatke o točnosti i pristranosti, opseg validiranog slučaja korištenja i izjavu o namijenjenom korištenju.

Ugovorna zaštita: Ugovori o nabavi s dobavljačima AI-a trebaju odrediti: obvezu dobavljača da obavijesti osiguratelja o značajnim ažuriranjima ili ponovnim procjenama; obvezu dobavljača da na zahtjev dostavi ažurirane podatke o praćenju na tržištu; te granice dopuštenog opsega primjene — s jasnim mehanizmom za osiguratelja da zatraži procjenu proširenja opsega umjesto da postupa jednostrano.

Tekuće praćenje: Prema Art. 26(5), primjenitelji moraju pratiti performanse visokorizičnih AI sustava u njihovom operativnom kontekstu. Za aktuarsku AI to znači praćenje performansi modela u odnosu na stvarne ishode odštetnih zahtjeva, praćenje distribucijskog pomaka između populacije za obuku i žive populacije ugovaratelja te eskalaciju materijalno značajnih odstupanja dobavljaču na istragu.

Interakcija sa Solvency II, IDD-om i GDPR-om

Solvency II — Sustav Upravljanja i ORSA

Zahtjevi Stupa II Direktive Solvency II uspostavljaju Sustav upravljanja nad aktuarskim i funkcijama upravljanja rizicima. Vlastita procjena rizika i solventnosti (ORSA) zahtijeva dokumentiranu identifikaciju rizika, stres testiranje i upravljanje internim modelima. Ti zahtjevi u velikoj mjeri se preklapaju sa sustavom upravljanja rizicima iz Art. 9 EU AI Act-a i komponentama validacije modela iz tehničke dokumentacije Annexa IV.

Osiguratelji trebaju provesti strukturiranu analizu jaza kako bi identificirali koji dokumenti upravljanja prema Solvency II mogu biti iskorišteni za usklađenost s AI Act-om i koji jazi ostaju. Ključni jazi obično uključuju: testiranje pristranosti i procjenu poštenja specifičnu za AI (nije obuhvaćeno Solvency II); dokumentaciju skupova podataka prema Art. 10 za podatke za obuku i validaciju (što nadilazi opseg validacije modela prema Solvency II); automatsko evidentiranje rada AI sustava prema Art. 12; te dizajn mehanizma ljudskog nadzora prema Art. 14. Tamo gdje interni model odobren prema Solvency II uključuje AI komponente, upravljački okvir za taj model mora biti proširen kako bi zadovoljio obveze AI Act-a prije nego što se sustav može zakonito primijeniti u okviru visokorizičnog režima.

Direktiva o Distribuciji Osiguranja — Poštenje i Transparentnost

IDD (EU) 2016/97 zahtijeva da se distribucija osiguranja provodi u interesu korisnika, s informacijama prikazanim na razumljiv način. Gdje se AI koristi u procesu distribucije — primjerice, u digitalnoj platformi koja generira personaliziranu preporuku proizvoda ili ponudu premije — IDD-ove obveze poštenja i objavljivanja informacija usklađuju se sa zahtjevima transparentnosti iz Art. 13 EU AI Act-a. Osiguratelji trebaju integrirati obveze objavljivanja iz AI Act-a u dokumente o informiranju o proizvodu iz IDD-a (IPID-ove) i Ključne informacijske dokumente, osiguravajući da je uloga AI-a u distribuciji ili cjenovnoj odluci priopćena jezikom dostupnim ugovaratelju osiguranja.

GDPR — Posebna Kategorija Podataka i Automatizirano Donošenje Odluka

GDPR Art. 9 klasificira zdravstvene podatke, genetske podatke i podatke koji se tiču fizičkog ili mentalnog zdravstvenog stanja osobe kao posebnu kategoriju podataka, čija je obrada zabranjena bez specifičnog izuzeća. Osiguratelji u životnom i zdravstvenom osiguranju koji koriste takve podatke u obuci ili bodovanju AI-a moraju identificirati i dokumentirati valjanu pravnu osnovu prema Art. 9(2) — najčešće izričiti pristanak prema Art. 9(2)(a) ili derogacija prema pravu države članice na temelju Art. 9(2)(b) — za svaku kategoriju podataka i svrhu obrade.

GDPR Art. 22 ograničava isključivo automatizirane odluke koje proizvode pravne ili slično značajne učinke za fizičke osobe. Odluka AI-a o preuzimanju rizika koja automatski odbija zahtjev za pokriće, ili odluka AI-a o odštetnom zahtjevu koja automatski umanjuje isplatu naknade, bez uključenosti čovjeka, predstavlja isključivo automatizirano donošenje odluka prema Art. 22. Ispitanik ima pravo na: ljudski pregled odluke; objašnjenje glavnih čimbenika koji su utjecali na automatiziranu odluku; i pravo osporiti ishod. Osiguratelji moraju ugraditi ta prava u procese okrenute prema klijentima i osigurati da su interni mehanizmi pregleda suštinski funkcionalni.

EIOPA-ine Smjernice o AI-u

EIOPA-ine načelne smjernice o korištenju AI-a u osiguranju (2021.) utvrdile su sektorska očekivanja u pogledu transparentnosti, nediskriminacije, kvalitete podataka i objašnjivosti modela prije stupanja na snagu AI Act-a. EIOPA razvija sektorski specifične upute za implementaciju EU AI Act-a, a osiguratelji trebaju pozorno pratiti EIOPA-ine izlaze. Nacionalni nadzornici — ACPR (Francuska), BaFin (Njemačka), IVASS (Italija), DNB (Nizozemska) — implementirat će nadzorna očekivanja u skladu s EIOPA-inim smjernicama, a sektorski specifične publikacije s pitanjima i odgovorima očekuju se tijekom implementacijskog razdoblja Uredbe.

Provedba — EIOPA i Nacionalni Nadzornici

Nadzorna Uloga EIOPA-e

EIOPA (Europsko nadzorno tijelo za osiguranje i strukovno mirovinsko osiguranje) nema izravne ovlasti provedbe prema EU AI Act-u, koji nacionalna nadzorna tijela određuje kao nadležna tijela prema Art. 70. Međutim, EIOPA koordinira nadzornu konvergenciju medu EU regulatorima osiguranja i donosi obvezujuće i neobvezujuće tehničke standarde. EIOPA-ina očekivanja o upravljanju AI-om — izražena putem smjernica, mišljenja i nadzornih izjava — oblikovat će način na koji nacionalni nadzornici implementiraju zahtjeve AI Act-a u kontekstu osiguranja. Osiguratelji trebaju tretirati EIOPA-ine izlaze kao mjerodajne sektorske smjernice čak i kada nisu pravno obvezujuće.

Nacionalni Nadzornici Osiguranja kao Nadležna AI Tijela

Nacionalni nadzornici osiguranja na glavnim EU tržištima pozicionirani su da obavljaju funkcije nadležnih tijela prema AI Act-u za AI sustave u osiguranju:

• ACPR (Autorité de contrôle prudentiel et de résolution) u Francuskoj, koji je objavio nadzorna očekivanja za AI u financijskim uslugama
• BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) u Njemačkoj, s etabliranim iskustvom u nadzoru algoritmičkog donošenja odluka
• IVASS (Istituto per la Vigilanza sulle Assicurazioni) u Italiji
• DNB (De Nederlandsche Bank) u Nizozemskoj

Ta tijela imaju ovlasti prema Art. 74 i Art. 75 za traženje pristupa podacima za obuku, tehničkoj dokumentaciji i evidencijama; za provođenje inspekcija na licu mjesta; za nalaganje korektivnih mjera; i za preporuku financijskih sankcija za neusklađenost. Kazne za stavljanje nesukladne visokorizične AI na tržište mogu doseći 30 milijuna eura ili 6% ukupnog godišnjeg prihoda, ovisno o tome što je veće.

Dvostruki Nadzor: AI Act i Sektorska Regulacija

Nadzornici osiguranja koji provode AI Act činit će to u kontekstu svojih širih prudencijalnih i poslovnih mandata. AI Act istraga pristrane aktuarske cjenovne politike može istovremeno aktivirati obveze izvještavanja prema Solvency II Stupu III, zahtjeve poslovnog ponašanja prema IDD-u i provedbu GDPR-a od strane tijela za zaštitu podataka. Osiguratelji trebaju pretpostaviti da će nadzorne intervencije biti međufunkcionalne i u skladu s tim osmisliti svoje programe usklađenosti.

Plan Usklađenosti za Osiguratelje

Korak 1: Inventar i Klasifikacija AI Sustava

Provesti sveobuhvatan inventar svih AI sustava koji se koriste u: određivanju premija; prihvatu ili odbijanju u preuzimanju rizika; procjeni ili isplati odštetnih zahtjeva; otkrivanju prijevara; bodovanju rizika korisnika; te distribuciji ili preporuci proizvoda. Za svaki sustav procijeniti proizvodi li izlaze koji određuju ili bitno utječu na ishode za pojedine fizičke osobe. Sustavi koji ispunjavaju ovaj prag zahtijevaju klasifikacijsku procjenu u odnosu na Annex III, kat. 5(b).

Korak 2: Određivanje Uloge Pružatelja/Primjenitelja

Za svaki visokorizičan AI sustav utvrditi je li osiguratelj pružatelj, primjenitelj ili — što je ključno — je li korištenje izvan validiranog opsega dobavljača pokrenulo reklasifikaciju kao pružatelja. Angažirati pravne savjetnike za procjenu graničnih konfiguracija, posebno tamo gdje su interni podaci ili populacije ugovaratelja korišteni za fino ugađanje ili proširenje licenciranog modela.

Korak 3: Analiza Jaza u Odnosu na Obveze AI Act-a

Mapirati postojeće upravljačke dokumente prema Solvency II, ORSA dokumentaciju i interne procese validacije modela u odnosu na zahtjeve AI Act-a prema Art. 9 (upravljanje rizicima), Art. 10 (upravljanje podacima), Art. 11 i Annexu IV (tehnička dokumentacija), Art. 12 (evidentiranje), Art. 13 (transparentnost), Art. 14 (ljudski nadzor) i Art. 15 (točnost, robusnost, kibernetička sigurnost). Dokumentirati identificirane jaze i dodijeliti odgovornost za sanaciju.

Korak 4: Upravljanje Podacima i Usklađivanje s GDPR-om

Za svaki visokorizičan AI sustav, auditirati skupove podataka za obuku i validaciju. Dokumentirati porijeklo podataka, metode prikupljanja, reprezentativnost u relevantnim demografskim skupinama ugovaratelja osiguranja i poznata ograničenja. Osigurati da su pravne osnove prema GDPR-u na snazi za sve osobne podatke i, gdje je primjenjivo, za posebnu kategoriju podataka. Integrirati dokumentaciju prema Art. 10 u tehničku datoteku prema Annexu IV.

Korak 5: Dizajn Mehanizma Ljudskog Nadzora

Osmisliti operativno realne mehanizme ljudskog nadzora za svaku visokorizičnu AI primjenu. Za AI u preuzimanju rizika to znači da kvalificirani preuzimatelj rizika ima informacije, ovlast i procesorsko vrijeme za pregled i odstupanje od preporuke AI-a prije nego što utječe na ugovaratelja police. Za AI u odštetnim zahtjevima to znači da likvidator šteta ima suštinsku ovlast pregleda — a ne nominalnu funkciju odobravanja. Dokumentirati dizajn nadzora i uključiti ga u tehničku dokumentaciju.

Korak 6: Dužna Pažnja prema Dobavljačima i Sanacija Ugovora

Za aktuarske AI sustave trećih strana, implementirati gore opisani postupak dužne pažnje prije primjene i pregledati postojeće ugovore s dobavljačima. Gdje ugovori ne sadrže odredbe koje obvezuju dobavljača na održavanje dokumentacije usklađenosti s AI Act-om, obavještavanje osiguratelja o značajnim promjenama i dopuštanje revizije performansi AI sustava, sanirati izmjenama ugovora ili ponovnim pregovaranjem. Uspostaviti interne postupke za praćenje performansi AI sustava u živoj populaciji ugovaratelja i prijavljivanje značajnih odstupanja dobavljačima te, gdje je potrebno, nadzornim tijelima.