Asigurări — Conformitate cu EU AI Act

Obligațiile EU AI Act pentru IA în asigurări: modele actuariale, subscriere, evaluarea daunelor și IA de tarifare pentru persoane fizice. Acoperă categoria 5(b) din Annex III și interacțiunea cu Solvency II.

Asigurări și EU AI Act — Provocarea Actuarială

EU AI Act (Regulamentul (UE) 2024/1689) impune cea mai ridicată sarcină de conformitate asupra sistemelor IA care afectează capacitatea persoanelor fizice de a accesa servicii esențiale și produse financiare. Asigurările se află în centrul acestei preocupări. Sistemele IA care determină dacă o persoană fizică poate obține asigurare auto, de sănătate, de viață sau de proprietate — și la ce cost — sunt, în multe configurații, sisteme IA cu risc ridicat în temeiul Annex III, punctul 5(b) din Act.

Provocarea definitorie pentru sectorul asigurărilor este cea actuarială. De peste un secol, tarifarea în asigurări s-a bazat pe modelarea statistică a riscurilor la nivelul cohortelor de populație. EU AI Act nu interzice diferențierea actuarială, dar impune obligații substanțiale sistemelor IA prin care se realizează această diferențiere atunci când acele sisteme operează la nivelul persoanei fizice individuale. Tranziția de la modelele tradiționale de grupare la punctarea individuală a riscului bazată pe IA — posibilă prin telematică, fluxuri de date de sănătate și analize comportamentale — este tocmai ceea ce declanșează regimul cu risc ridicat al Actului.

Asigurătorii care operează în UE trebuie, prin urmare, să efectueze un exercițiu sistematic de clasificare: care dintre sistemele lor IA produc rezultate individualizate ce determină sau influențează în mod semnificativ deciziile de acoperire pentru persoanele fizice? Acest exercițiu de clasificare nu este o simplă formalitate de conformitate. Rezultatul său determină dacă asigurătorul, în calitate de operator în temeiul Art. 26 (sau de furnizor în temeiul Art. 16), are obligații referitoare la guvernanța datelor, documentația tehnică, supravegherea umană, evaluarea conformității și înregistrarea în baza de date UE pentru IA cu risc ridicat.

Aplicarea Actului în domeniul asigurărilor este complicată în continuare de densitatea de reglementare existentă în sector. Directiva Solvency II (2009/138/CE), Directiva privind distribuția asigurărilor (IDD) (UE) 2016/97, GDPR și principiile EIOPA privind IA (2021) impun fiecare cerințe în materie de modelare actuarială, tratamentul clienților și utilizarea datelor. Aceste cadre se suprapun cu obligațiile din EU AI Act — dar nu le substituie. Programele de conformitate trebuie să le abordeze simultan pe toate.

Cazuri de utilizare IA cu risc ridicat în asigurări

Modele actuariale de tarifare pentru persoane fizice

Annex III, punctul 5(b) din EU AI Act clasifică drept cu risc ridicat orice sistem IA utilizat pentru evaluarea bonității persoanelor fizice sau pentru clasificarea acestora în funcție de profilul de risc, în scopul accesării serviciilor de asigurare. Aceasta acoperă sistemele IA actuariale care:

• Generează un scor individual de risc utilizat pentru stabilirea primei de asigurare auto pentru un asigurat nominalizat
• Clasifică starea de sănătate sau riscul de mortalitate al unei persoane fizice pentru a determina eligibilitatea pentru acoperire sau prima de asigurare de viață
• Produc o decizie de tarifare a asigurării de proprietate pe baza factorilor de risc evaluați de IA și atribuibili unei anumite persoane fizice

Pragul critic este impactul asupra persoanei fizice individuale. IA actuarială aplicată persoanelor juridice — răspundere corporativă, marfă comercială, proprietate industrială — nu declanșează Annex III cat 5(b) cu excepția cazului în care persoanele fizice sunt afectate într-un mod echivalent din punct de vedere material. Asigurătorii care subscriu atât linii personale, cât și comerciale trebuie să clasifice fiecare sistem IA în funcție de populația asupra căreia acționează.

Sisteme telematice de asigurare auto și pay-as-you-drive

Sistemele de tarifare a asigurărilor bazate pe telematică, care colectează date privind comportamentul la volan — viteză, accelerare, pattern-uri de frânare, utilizarea în funcție de ora din zi — și utilizează modele IA pentru a genera o primă individuală pentru o persoană fizică nominalizată, reprezintă cazul paradigmatic de utilizare a IA cu risc ridicat în asigurări. Aceste sisteme îndeplinesc toate elementele Annex III cat 5(b): evaluează persoane fizice individuale, produc rezultate care determină accesul la asigurare și tarifarea acesteia, iar individualizarea bazată pe IA este tocmai ceea ce le distinge de gruparea actuarială tradițională.

Furnizorii de motoare de punctare telematică — fie dezvoltate intern, fie licențiate de la un furnizor terț — trebuie să respecte Art. 9 (gestionarea riscurilor), Art. 10 (guvernanța datelor pentru seturile de date de instruire și validare), Art. 11 coroborat cu Annex IV (documentația tehnică), Art. 12 (înregistrare), Art. 13 (transparență), Art. 14 (supraveghere umană) și Art. 15 (acuratețe, robustețe, securitate cibernetică).

IA de subscriere în asigurările de viață și sănătate

Sistemele IA utilizate în subscrierea asigurărilor de viață pentru evaluarea riscului de longevitate sau mortalitate al solicitanților individuali — determinând dacă acoperirea este oferită și la ce primă — sunt cu risc ridicat în temeiul Annex III cat 5(b) acolo unde produc evaluări individualizate pentru persoane fizice. Aceasta include sistemele IA care procesează răspunsuri la chestionare medicale, dosare medicale (acolo unde sunt accesate în mod legal) sau fluxuri de date de la dispozitive purtabile pentru a genera un scor de risc ce influențează deciziile de subscriere.

IA de asigurare de sănătate care segmentează solicitanții individuali în funcție de profilul de risc de sănătate, în scopul tarifării sau al determinării eligibilității, face obiectul aceleiași clasificări. Asigurătorii trebuie să fie atenți la intersecția dintre Art. 9 din GDPR (datele de sănătate ca date din categorii speciale) și cerințele de guvernanță a datelor din Art. 10 din AI Act: seturile de date de instruire care conțin date de sănătate necesită o bază juridică explicită în temeiul Art. 9(2) din GDPR, iar aceasta trebuie documentată în documentația tehnică impusă de Annex IV.

IA de evaluare și soluționare a daunelor

Clasificarea IA pentru daune depinde de rolul funcțional al acesteia în fluxul de lucru de decizie privind daunele. Trebuie distinse două scenarii:

• IA care influențează în mod semnificativ un rezultat al daunei pentru o persoană fizică: acolo unde un sistem IA evaluează o daună și rezultatul său conduce în mod direct la reducerea, respingerea sau plata condiționată a unui beneficiu de asigurare către o persoană fizică — chiar dacă este revizuit în mod nominal de un operator uman — sistemul este probabil cu risc ridicat în temeiul Annex III cat 5(b), deoarece determină efectiv accesul persoanei fizice la beneficiile de asigurare.
• IA care semnalează daune pentru investigare umană: acolo unde rezultatul IA reprezintă unul dintre mai mulți factori luați în considerare de un operator de daune care ia o decizie substanțială independentă, iar operatorul are autoritatea și informațiile necesare pentru a se abate de la evaluarea IA, sistemul poate să nu fie cu risc ridicat. Această distincție trebuie documentată și să fie autentică din punct de vedere operațional, nu doar nominală.

Detectarea fraudelor în asigurări

Sistemele IA utilizate pentru detectarea daunelor potențial frauduloase se situează la o frontieră importantă. Acolo unde IA de detectare a fraudelor declanșează o acțiune adversă automată — suspendarea plății, anularea poliței — care afectează o persoană fizică fără o revizuire umană substanțială, aceasta este probabil cu risc ridicat. Acolo unde IA generează doar un semnal de risc de fraudă care este ulterior investigat de un operator specializat, care păstrează deplina autoritate de decizie, poate să nu fie cazul. Asigurătorii trebuie să documenteze în detaliu fluxul de lucru al IA de fraudă și să evalueze dacă supravegherea umană operațională este substanțială sau nominală.

Furnizor vs. Operator în asigurări

Distincția dintre roluri

EU AI Act impune seturi diferite de obligații în funcție de calitatea organizației: furnizor (dezvoltă și introduce pe piață sistemul IA) sau operator (utilizează un sistem IA al unui terț într-un context profesional). Pentru asigurători, această distincție are o importanță comercială semnificativă:

• Un asigurător care dezvoltă propriul motor de punctare telematică sau IA de tarifare actuarială este furnizor în temeiul Art. 3(3) și are toate obligațiile furnizorului conform Art. 16: sistem de management al calității, documentație tehnică, Declarație UE de conformitate, marcare CE, înregistrare în baza de date UE și monitorizare post-comercializare.
• Un asigurător care licențiază software IA actuarial de la un furnizor este operator în temeiul Art. 3(4) și are obligațiile operatorului conform Art. 26: implementare în conformitate cu instrucțiunile furnizorului, supraveghere umană, menținerea jurnalelor și raportarea incidentelor.
• Un asigurător care modifică un sistem IA licențiat în moduri care îi alterează scopul intenționat — de exemplu, aplicând un model telematic unei populații de asigurați în afara domeniului de aplicare validat — poate fi reclasificat drept furnizor în temeiul Art. 25(1), cu toate obligațiile aferente furnizorului.

Diligența necesară a operatorului pentru IA actuarială a furnizorilor

Asigurătorii care utilizează sisteme IA actuariale ale unor terți trebuie să exercite o diligență structurată înainte și după implementare:

Pre-implementare: Verificați că sistemul IA este înregistrat în baza de date UE pentru IA cu risc ridicat în temeiul Art. 49, poartă marcajul CE și este însoțit de o Declarație UE de conformitate. Solicitați și examinați rezumatul documentației tehnice, inclusiv măsurătorile de acuratețe și prejudecăți, domeniul de aplicare validat al cazului de utilizare și declarația privind scopul intenționat.

Protecții contractuale: Contractele de achiziție cu furnizorii de IA trebuie să specifice: obligația furnizorului de a notifica asigurătorul cu privire la actualizările semnificative sau reevaluările; obligația furnizorului de a furniza date actualizate de monitorizare post-comercializare la cerere; și limitele domeniului de implementare permis — cu un mecanism clar prin care asigurătorul poate solicita o evaluare a extinderii domeniului, mai degrabă decât să procedeze unilateral.

Monitorizare continuă: În temeiul Art. 26(5), operatorii trebuie să monitorizeze performanța sistemelor IA cu risc ridicat în contextul lor operațional. Pentru IA actuarială, aceasta înseamnă urmărirea performanței modelului față de rezultatele reale ale daunelor, monitorizarea pentru devieri distributive între populația de instruire și populația actuală de asigurați, și transmiterea abaterilor materiale către furnizor pentru investigare.

Interacțiunea cu Solvency II, IDD și GDPR

Solvency II — Sistemul de guvernanță și ORSA

Cerințele din Pilonul II al Directivei Solvency II stabilesc un sistem de guvernanță pentru funcțiile actuariale și de gestionare a riscurilor. Evaluarea Proprie a Riscurilor și Solvabilității (ORSA) impune identificarea documentată a riscurilor, testarea la stres și guvernanța modelelor interne. Aceste cerințe se suprapun substanțial cu sistemul de gestionare a riscurilor prevăzut de Art. 9 din EU AI Act și cu componentele de validare a modelelor din documentația tehnică din Annex IV.

Asigurătorii ar trebui să efectueze o analiză structurată a discrepanțelor pentru a identifica ce artefacte de guvernanță din Solvency II pot fi valorificate pentru conformitatea cu AI Act și ce lacune rămân. Lacunele tipice includ: testarea prejudecăților specifice IA și evaluarea echității (neabordate în Solvency II); documentarea seturilor de date conform Art. 10 pentru date de instruire și validare (care depășește domeniul de validare a modelelor din Solvency II); înregistrarea automată a funcționării sistemului IA conform Art. 12; și proiectarea mecanismelor de supraveghere umană conform Art. 14. Acolo unde un model intern aprobat în temeiul Solvency II incorporează componente IA, cadrul de guvernanță al acelui model trebuie extins pentru a satisface obligațiile din AI Act înainte ca sistemul să poată fi legal implementat în regimul cu risc ridicat.

Directiva privind distribuția asigurărilor — Echitate și transparență

IDD (UE) 2016/97 impune ca distribuția asigurărilor să se desfășoare în interesul clientului, cu informații prezentate într-un mod comprehensibil. Acolo unde IA este utilizată în procesul de distribuție — de exemplu, pe o platformă digitală care generează recomandări de produse personalizate sau oferte de prime — obligațiile IDD privind echitatea și divulgarea se aliniază cu cerințele de transparență din Art. 13 din EU AI Act. Asigurătorii trebuie să integreze obligațiile de divulgare din AI Act în documentele de informare a produselor IDD (IPID-uri) și în documentele de informații esențiale, asigurând că rolul IA în decizia de distribuție sau tarifare este comunicat într-un limbaj accesibil asiguratului.

GDPR — Date din categorii speciale și decizii automate

Art. 9 din GDPR clasifică datele de sănătate, datele genetice și datele privind starea fizică sau mentală a unei persoane drept date din categorii speciale, a căror prelucrare este interzisă în absența unei derogări specifice. Asigurătorii de viață și sănătate care utilizează astfel de date în instruirea sau punctarea IA trebuie să identifice și să documenteze o bază juridică valabilă conform Art. 9(2) — cel mai frecvent consimțământul explicit conform Art. 9(2)(a) sau o derogare din dreptul statului membru conform Art. 9(2)(b) — pentru fiecare categorie de date și scop de prelucrare.

Art. 22 din GDPR restricționează deciziile bazate exclusiv pe prelucrare automată care produc efecte juridice sau efecte semnificative similare pentru persoanele fizice. O decizie de subscriere IA care respinge automat o cerere de acoperire, sau o decizie IA privind daunele care reduce automat o plată de beneficii, fără implicare umană, constituie luare de decizii bazată exclusiv pe prelucrare automată în temeiul Art. 22. Persoana vizată are dreptul la: revizuirea umană a deciziei; o explicație a principalilor factori care au influențat decizia automată; și dreptul de a contesta rezultatul. Asigurătorii trebuie să integreze aceste drepturi în procesele destinate clienților și să se asigure că mecanismele de revizuire internă sunt funcționale în mod substanțial.

Ghidurile EIOPA privind IA

Ghidurile principiale ale EIOPA privind utilizarea IA în asigurări (2021) au stabilit așteptări sectoriale în materie de transparență, nediscriminare, calitate a datelor și explicabilitate a modelelor, anterior intrării în vigoare a AI Act. EIOPA elaborează ghiduri de implementare specifice sectorului pentru EU AI Act, iar asigurătorii trebuie să monitorizeze îndeaproape publicațiile EIOPA. Autoritățile de supraveghere naționale — ACPR (Franța), BaFin (Germania), IVASS (Italia), DNB (Țările de Jos) — vor implementa așteptările de supraveghere în conformitate cu ghidurile EIOPA, iar publicațiile de întrebări și răspunsuri specifice sectorului sunt așteptate în perioada de implementare a Actului.

Aplicare — EIOPA și autoritățile naționale de supraveghere

Rolul de supraveghere al EIOPA

EIOPA (Autoritatea Europeană de Asigurări și Pensii Ocupaționale) nu are autoritate directă de aplicare în temeiul EU AI Act, care desemnează autoritățile naționale de supraveghere drept autorități competente în temeiul Art. 70. Cu toate acestea, EIOPA coordonează convergența supraveghetorilor din cadrul autorităților de reglementare europene în domeniul asigurărilor și emite standarde tehnice obligatorii și neobligatorii. Așteptările EIOPA privind guvernanța IA — exprimate prin ghiduri, avize și declarații de supraveghere — vor modela modul în care autoritățile naționale de supraveghere implementează cerințele AI Act în contextul asigurărilor. Asigurătorii ar trebui să trateze publicațiile EIOPA ca ghiduri sectoriale cu autoritate, chiar și acolo unde nu sunt obligatorii din punct de vedere juridic.

Autoritățile naționale de supraveghere a asigurărilor ca autorități competente în domeniul IA

Autoritățile naționale de supraveghere a asigurărilor din principalele piețe ale UE sunt poziționate să exercite funcții de autoritate competentă în temeiul AI Act pentru sistemele IA din domeniul asigurărilor:

• ACPR (Autorité de contrôle prudentiel et de résolution) în Franța, care a publicat așteptări de supraveghere privind IA în serviciile financiare
• BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) în Germania, cu un istoric solid în supravegherea proceselor de decizie algoritmică
• IVASS (Istituto per la Vigilanza sulle Assicurazioni) în Italia
• DNB (De Nederlandsche Bank) în Țările de Jos

Aceste autorități au competențe în temeiul Art. 74 și Art. 75 de a solicita accesul la datele de instruire, documentația tehnică și jurnale; de a efectua inspecții la fața locului; de a ordona măsuri corective; și de a recomanda sancțiuni financiare pentru neconformitate. Amenzile pentru introducerea pe piață a IA cu risc ridicat neconformă pot ajunge la 30 de milioane EUR sau 6% din cifra de afaceri anuală globală, suma cea mai mare dintre acestea aplicându-se.

Dubla supraveghere: AI Act și reglementarea sectorială

Autoritățile de supraveghere a asigurărilor care aplică AI Act o vor face în contextul mandatelor lor mai largi prudențiale și de conduită. O investigație în temeiul AI Act privind un model actuarial de tarifare prejudiciat poate angaja simultan obligații de raportare din Pilonul III al Solvency II, cerințe de conduită IDD și aplicarea GDPR de către autoritatea de protecție a datelor. Asigurătorii trebuie să presupună că intervențiile de supraveghere vor fi interfuncționale și să-și proiecteze programele de conformitate în consecință.

Foaie de parcurs pentru conformitate — Asigurători

Pasul 1: Inventarul și clasificarea sistemelor IA

Efectuați un inventar cuprinzător al tuturor sistemelor IA utilizate în: tarifarea primelor; acceptarea sau respingerea în subscriere; evaluarea sau plata daunelor; detectarea fraudelor; punctarea riscului clienților; și distribuția sau recomandarea produselor. Pentru fiecare sistem, evaluați dacă produce rezultate care determină sau influențează în mod semnificativ rezultatele pentru persoane fizice individuale. Sistemele care ating acest prag necesită o evaluare de clasificare față de Annex III cat 5(b).

Pasul 2: Determinarea rolului de furnizor/operator

Pentru fiecare sistem IA cu risc ridicat, determinați dacă asigurătorul este furnizor, operator sau — în mod critic — dacă utilizarea în afara domeniului de aplicare validat al furnizorului a declanșat reclasificarea ca furnizor. Consultați consilieri juridici pentru a evalua configurațiile la limită, în special acolo unde datele interne sau populațiile de asigurați au fost utilizate pentru ajustarea sau extinderea unui model licențiat.

Pasul 3: Analiza discrepanțelor față de obligațiile din AI Act

Cartografiați artefactele de guvernanță existente din Solvency II, documentația ORSA și procesele de validare a modelelor interne față de cerințele AI Act din Art. 9 (gestionarea riscurilor), Art. 10 (guvernanța datelor), Art. 11 și Annex IV (documentația tehnică), Art. 12 (înregistrare), Art. 13 (transparență), Art. 14 (supraveghere umană) și Art. 15 (acuratețe, robustețe, securitate cibernetică). Documentați lacunele identificate și atribuiți responsabilitatea de remediere.

Pasul 4: Guvernanța datelor și alinierea cu GDPR

Pentru fiecare sistem IA cu risc ridicat, auditați seturile de date de instruire și validare. Documentați proveniența datelor, metodele de colectare, reprezentativitatea pentru grupuri demografice relevante ale asiguraților și limitările cunoscute. Asigurați că bazele juridice GDPR sunt stabilite pentru toate datele cu caracter personal și, acolo unde este cazul, pentru datele din categorii speciale. Integrați documentația conform Art. 10 în dosarul tehnic conform Annex IV.

Pasul 5: Proiectarea mecanismelor de supraveghere umană

Proiectați mecanisme de supraveghere umană operațional realiste pentru fiecare implementare de IA cu risc ridicat. Pentru IA de subscriere, aceasta înseamnă că un subscriitor calificat dispune de informațiile, autoritatea și timpul necesar în fluxul de lucru pentru a examina și a se abate de la recomandarea IA înainte ca aceasta să afecteze asiguratul. Pentru IA de daune, aceasta înseamnă că un operator de daune are autoritate de revizuire substanțială — nu o funcție de aprobare nominală. Documentați proiectul de supraveghere și includeți-l în documentația tehnică.

Pasul 6: Diligența necesară față de furnizori și remedierea contractelor

Pentru sistemele IA actuariale ale unor terți, implementați procesul de diligență pre-implementare descris mai sus și examinați contractele existente cu furnizorii. Acolo unde contractele nu conțin prevederi care să oblige furnizorul să mențină documentația de conformitate cu AI Act, să notifice asigurătorul cu privire la modificările semnificative și să permită auditarea performanței sistemului IA, remediați prin amendament contractual sau renegociere. Stabiliți proceduri interne pentru monitorizarea performanței sistemului IA în populația activă de asigurați și pentru raportarea abaterilor semnificative către furnizori și, acolo unde este necesar, către autoritățile de supraveghere.