Poisťovníctvo — súlad s nariadením EU AI Act

Povinnosti podľa EU AI Act pre AI systémy v poisťovníctve: poistno-matematické modely, upisovanie rizík, posudzovanie škôd a oceňovanie poistenia pre fyzické osoby. Zahŕňa kategóriu 5(b) Annex III a interakciu so Solvency II.

Poisťovníctvo a EU AI Act — poistno-matematická výzva

EU AI Act (nariadenie (EÚ) 2024/1689) ukladá najvyššiu záťaž súladu AI systémom, ktoré ovplyvňujú schopnosť fyzických osôb získať prístup k základným službám a finančným produktom. Poisťovníctvo leží v centre tohto záujmu. AI systémy, ktoré určujú, či fyzická osoba môže získať motorové, zdravotné, životné alebo majetkové poistenie — a za akú cenu — sú v mnohých konfiguráciách vysoko rizikovými AI systémami podľa Annex III, bodu 5(b) nariadenia.

Kľúčovou výzvou pre poisťovnícky sektor je poistno-matematická problematika. Viac ako storočie bolo oceňovanie poistenia založené na štatistickom modelovaní rizika v rámci populačných skupín. EU AI Act nezakazuje poistno-matematickú diferenciáciu, ale ukladá podstatné povinnosti AI systémom, prostredníctvom ktorých sa takáto diferenciácia vykonáva, keď tieto systémy pôsobia na úrovni jednotlivej fyzickej osoby. Prechod od tradičných modelov združovania rizík k individuálnemu hodnoteniu rizika pomocou AI — umožnený telematiku, dátovými tokmi zo zdravotných zariadení a behaviorálnou analytikou — je práve to, čo spúšťa režim vysokého rizika podľa nariadenia.

Poisťovatelia pôsobiaci v EÚ musia preto vykonať systematické klasifikačné cvičenie: ktoré z ich AI systémov produkujú individualizované výstupy, ktoré určujú alebo podstatne ovplyvňujú rozhodnutia o poistnom krytí pre fyzické osoby? Toto klasifikačné cvičenie nie je len formálnou povinnosťou súladu. Jeho výsledok určuje, či poisťovateľ ako nasadzovateľ podľa Art. 26 (alebo poskytovateľ podľa Art. 16) nesie povinnosti súvisiace so správou údajov, technickou dokumentáciou, ľudským dohľadom, posúdením zhody a registráciou v databáze EÚ pre vysoko rizikové AI systémy.

Uplatňovanie nariadenia na poisťovníctvo je ďalej komplikované existujúcou regulačnou hustotou tohto sektora. Smernica Solvency II (2009/138/ES), smernica o distribúcii poistenia (IDD) (EÚ) 2016/97, GDPR a usmernenia EIOPA o AI na princípovom základe (2021) každý z nich ukladajú požiadavky na poistno-matematické modelovanie, zaobchádzanie so zákazníkmi a využívanie údajov. Tieto rámce sa prekrývajú s povinnosťami podľa EU AI Act — ale nenahradzujú ich. Programy súladu musia súčasne riešiť všetky tieto požiadavky.

Vysoko rizikové prípady použitia AI v poisťovníctve

Poistno-matematické modely oceňovania pre fyzické osoby

Annex III, bod 5(b) EU AI Act klasifikuje ako vysoko rizikový každý AI systém používaný na hodnotenie bonity fyzických osôb alebo na klasifikáciu fyzických osôb z hľadiska ich rizikového profilu na účely prístupu k poisťovacím službám. Vzťahuje sa to na poistno-matematické AI systémy, ktoré:

• Generujú individuálne rizikové skóre používané na stanovenie poistného motorového poistenia pre menovaného poistníka
• Klasifikujú zdravotný stav fyzickej osoby alebo riziko mortality na účely určenia oprávnenosti na životné poistenie alebo výšky poistného
• Produkujú rozhodnutie o oceňovaní majetkového poistenia na základe AI hodnotenia rizikových faktorov priraditeľných konkrétnej fyzickej osobe

Rozhodujúcim prahom je dopad na jednotlivú fyzickú osobu. Poistno-matematická AI aplikovaná na právnické osoby — podnikové ručenie, komerčný náklad, priemyselný majetok — nespúšťa Annex III kat. 5(b), pokiaľ nie sú fyzické osoby dotknuté materiálne rovnocenným spôsobom. Poisťovatelia pôsobiaci v segmentoch súkromného aj komerčného poistenia musia klasifikovať každý AI systém podľa populácie, na ktorú pôsobí.

Telematika motorového poistenia a systémy pay-as-you-drive

Systémy oceňovania poistenia založené na telematike, ktoré zbierajú údaje o správaní pri jazde — rýchlosť, akcelerácia, vzorce brzdenia, čas použitia — a používajú AI modely na generovanie individuálneho poistného pre menovanú fyzickú osobu, sú paradigmatickým prípadom vysoko rizikového poistného AI systému. Tieto systémy spĺňajú všetky prvky Annex III kat. 5(b): hodnotia jednotlivé fyzické osoby, produkujú výstupy, ktoré určujú prístup k poisteniu a jeho cenu, a ich AI-driven individualizácia je presne to, čo ich odlišuje od tradičného poistno-matematického združovania rizík.

Poskytovatelia telematických skórovacích systémov — či už vyvinutých interne alebo licencovaných od dodávateľa tretej strany — musia dodržiavať Art. 9 (riadenie rizík), Art. 10 (správa údajov pre tréningové a validačné súbory údajov), Art. 11 v spojení s Annex IV (technická dokumentácia), Art. 12 (tvorba záznamov), Art. 13 (transparentnosť), Art. 14 (ľudský dohľad) a Art. 15 (presnosť, robustnosť, kybernetická bezpečnosť).

AI pre upisovanie rizík v životnom a zdravotnom poistení

AI systémy používané pri upisovaní rizík v životnom poistení na posúdenie dlhovekosti alebo rizika mortality pre jednotlivých žiadateľov — pri určovaní, či je krytie ponúknuté a za aké poistné — sú vysoko rizikovými podľa Annex III kat. 5(b), keď produkujú individualizované hodnotenia fyzických osôb. Zahŕňa to AI systémy, ktoré spracovávajú odpovede na zdravotné dotazníky, zdravotné záznamy (kde sú zákonným spôsobom dostupné) alebo dátové toky z nositeľných zariadení na generovanie rizikového skóre, ktoré ovplyvňuje rozhodnutia o upisovaní rizík.

AI v zdravotnom poistení, ktorá segmentuje jednotlivých žiadateľov podľa zdravotného rizikového profilu na účely oceňovania alebo určenia oprávnenosti, podlieha rovnakej klasifikácii. Poisťovatelia si musia byť vedomí priesečníka GDPR Art. 9 (zdravotné údaje ako osobitná kategória údajov) a požiadaviek správy údajov podľa Art. 10 AI Act: tréningové súbory údajov obsahujúce zdravotné údaje vyžadujú výslovný právny základ podľa GDPR Art. 9(2), a tento právny základ musí byť zdokumentovaný v technickej dokumentácii vyžadovanej Annex IV.

AI pre posudzovanie a vyrovnanie škôd

Klasifikácia AI pri likvidácii škôd závisí od jej funkčnej úlohy v pracovnom postupe pri rozhodovaní o škodách. Je potrebné rozlišovať dva scenáre:

• AI, ktorá podstatne ovplyvňuje výsledok škody pre fyzickú osobu: ak AI systém posúdi škodu a jeho výstup priamo vedie k zníženiu, odmietnutiu alebo podmienenému vyplateniu poistného plnenia fyzickej osobe — aj keby nominálne preskúmal ju človek — systém je pravdepodobne vysoko rizikový podľa Annex III kat. 5(b), pretože de facto určuje prístup fyzickej osoby k poistným plneniam.
• AI, ktorá označuje škody na ľudské preskúmanie: ak je výstup AI jedným z viacerých vstupov, ktoré zvažuje pracovník likvidácie škôd, ktorý prijíma nezávislé podstatné rozhodnutie a má oprávnenie a informácie na to, aby sa odchýlil od posúdenia AI, systém nemusí byť vysoko rizikový. Toto rozlíšenie musí byť zdokumentované a v prevádzke skutočné, nie len nominálne.

Odhaľovanie poistných podvodov pomocou AI

AI systémy používané na odhaľovanie potenciálne podvodných škôd zaujímajú dôležité hraničné miesto. Ak AI na odhaľovanie podvodov spúšťa automatické nepriaznivé opatrenie — pozastavenie platby, zrušenie zmluvy — ovplyvňujúce fyzickú osobu bez podstatného ľudského preskúmania, je pravdepodobne vysoko riziková. Ak AI generuje iba príznak rizika podvodu, ktorý potom preskúma špecializovaný pracovník s plnou rozhodovacou právomocou, nemusí byť. Poisťovatelia by mali podrobne zdokumentovať pracovný postup AI pre odhaľovanie podvodov a posúdiť, či je prevádzkový ľudský dohľad podstatný alebo len nominálny.

Poskytovateľ vs. nasadzovateľ v poisťovníctve

Rozlíšenie úloh

EU AI Act ukladá rôzne sady povinností v závislosti od toho, či je organizácia poskytovateľom (vyvíja a uvádza AI na trh) alebo nasadzovateľom (používa AI systém tretej strany v profesionálnom kontexte). Pre poisťovateľov je toto rozlíšenie komerčne významné:

• Poisťovateľ, ktorý vyvíja vlastný telematický skórovací systém alebo poistno-matematickú AI, je poskytovateľom podľa Art. 3(3) a nesie plné povinnosti poskytovateľa podľa Art. 16: systém manažmentu kvality, technická dokumentácia, EÚ vyhlásenie o zhode, CE označenie, registrácia v databáze EÚ a post-trhové monitorovanie.
• Poisťovateľ, ktorý licencuje poistno-matematický AI softvér od dodávateľa, je nasadzovateľom podľa Art. 3(4) a nesie povinnosti nasadzovateľa podľa Art. 26: implementácia v súlade s pokynmi poskytovateľa, ľudský dohľad, vedenie záznamov a hlásenie incidentov.
• Poisťovateľ, ktorý modifikuje licencovaný AI systém spôsobmi, ktoré menia jeho zamýšľaný účel — napríklad aplikovaním telematického modelu na populáciu poistníkov mimo validovaného rozsahu — môže byť reklasifikovaný ako poskytovateľ podľa Art. 25(1) s plnými povinnosťami poskytovateľa.

Náležitá starostlivosť nasadzovateľa pri AI od poistno-matematických dodávateľov

Poisťovatelia nasadzujúci AI systémy tretích strán pre poistno-matematiku musia vykonávať štruktúrovanú náležitú starostlivosť pred nasadením aj po ňom:

Pred nasadením: Overte, že AI systém je zaregistrovaný v databáze EÚ pre vysoko rizikové AI podľa Art. 49, má CE označenie a je sprevádzaný EÚ vyhlásením o zhode. Vyžiadajte si a preskúmajte súhrn technickej dokumentácie vrátane metrík presnosti a zaujatosti, rozsahu validovaného prípadu použitia a vyhlásenia o zamýšľanom účele.

Zmluvná ochrana: Obstarávacie zmluvy s dodávateľmi AI by mali špecifikovať: povinnosť dodávateľa informovať poisťovateľa o významných aktualizáciách alebo prehodnoteniach; povinnosť dodávateľa poskytnúť aktualizované údaje z post-trhového monitorovania na požiadanie; a hranice povoleného rozsahu nasadenia — s jasným mechanizmom, ktorý umožňuje poisťovateľovi požiadať o posúdenie rozšírenia rozsahu namiesto jednostranného postupu.

Priebežné monitorovanie: Podľa Art. 26(5) musia nasadzovateľia monitorovať výkonnosť vysoko rizikových AI systémov v ich operačnom kontexte. Pre poistno-matematickú AI to znamená sledovanie výkonnosti modelu voči skutočným výsledkom škôd, monitorovanie distribučného posunu medzi tréningovou populáciou a živou populáciou poistníkov a eskalovanie materiálnych odchýlok na dodávateľa na prešetrenie.

Interakcia so Solvency II, IDD a GDPR

Solvency II — systém riadenia a ORSA

Požiadavky Piliera II smernice Solvency II zakladajú systém riadenia nad poistno-matematickými funkciami a funkciami riadenia rizík. Hodnotenie vlastného rizika a solventnosti (ORSA) vyžaduje zdokumentovanú identifikáciu rizík, záťažové testovanie a riadenie interných modelov. Tieto požiadavky sa podstatne prekrývajú so systémom riadenia rizík podľa Art. 9 EU AI Act a komponentmi validácie modelov podľa technickej dokumentácie Annex IV.

Poisťovatelia by mali vykonať štruktúrovanú analýzu rozdielov s cieľom identifikovať, ktoré riadiace podklady Solvency II možno využiť na súlad s AI Act a ktoré medzery zostávajú. Kľúčové medzery zvyčajne zahŕňajú: testovanie zaujatosti a hodnotenie spravodlivosti špecifické pre AI (nerieši Solvency II); dokumentáciu súborov údajov podľa Art. 10 pre tréningové a validačné údaje (čo presahuje rozsah validácie modelu podľa Solvency II); automatickú tvorbu záznamov o prevádzke AI systému podľa Art. 12; a návrh mechanizmu ľudského dohľadu podľa Art. 14. Ak interný model schválený podľa Solvency II obsahuje AI komponenty, rámec riadenia pre tento model musí byť rozšírený tak, aby splnil povinnosti podľa AI Act ešte pred zákonným nasadením systému v režime vysokého rizika.

Smernica o distribúcii poistenia — spravodlivosť a transparentnosť

IDD (EÚ) 2016/97 vyžaduje, aby sa distribúcia poistenia uskutočňovala v záujme zákazníka, s informáciami prezentovanými zrozumiteľným spôsobom. Ak sa AI používa v distribučnom procese — napríklad na digitálnej platforme generujúcej personalizované odporúčania produktov alebo cenové ponuky — povinnosti IDD týkajúce sa spravodlivosti a zverejňovania sú v súlade s požiadavkami transparentnosti podľa Art. 13 EU AI Act. Poisťovatelia by mali integrovať povinnosti zverejňovania podľa AI Act do dokumentov o zverejnení produktov IDD (IPID) a kľúčových informačných dokumentov, pričom zabezpečia, aby úloha AI pri distribúcii alebo cenovom rozhodovaní bola poistníkovi oznámená v zrozumiteľnom jazyku.

GDPR — údaje osobitnej kategórie a automatizované rozhodovanie

GDPR Art. 9 klasifikuje zdravotné údaje, genetické údaje a údaje týkajúce sa fyzického alebo duševného zdravia osoby ako osobitné kategórie údajov, ktorých spracúvanie je zakázané bez konkrétnej výnimky. Životní poisťovatelia a poisťovatelia zdravotného poistenia používajúci takéto údaje pri trénovaní AI alebo skórovaní musia identifikovať a zdokumentovať platný právny základ podľa Art. 9(2) — najčastejšie výslovný súhlas podľa Art. 9(2)(a) alebo výnimka na základe práva členského štátu podľa Art. 9(2)(b) — pre každú kategóriu údajov a účel spracúvania.

GDPR Art. 22 obmedzuje výlučne automatizované rozhodovanie, ktoré má pre fyzické osoby právne alebo podobne závažné dôsledky. Rozhodnutie AI pri upisovaní rizík, ktoré automaticky odmietne žiadosť o krytie, alebo rozhodnutie AI pri likvidácii škôd, ktoré automaticky zníži platbu plnenia, bez ľudskej účasti predstavuje výlučne automatizované rozhodovanie podľa Art. 22. Dotknutá osoba má právo na: ľudské preskúmanie rozhodnutia; vysvetlenie hlavných faktorov ovplyvňujúcich automatizované rozhodnutie; a právo napadnúť výsledok. Poisťovatelia musia tieto práva zabudovať do svojich procesov smerujúcich ku klientom a zabezpečiť, aby mechanizmy interného preskúmania boli vecne funkčné.

Usmernenia EIOPA o AI

Usmernenia EIOPA o využívaní AI v poisťovníctve na princípovom základe (2021) stanovili sektorové očakávania v oblasti transparentnosti, nediskriminácie, kvality údajov a vysvetliteľnosti modelov pred nadobudnutím účinnosti AI Act. EIOPA vypracúva sektorovo špecifické implementačné usmernenia pre EU AI Act a poisťovatelia by mali pozorne sledovať výstupy EIOPA. Národné orgány dohľadu — ACPR (Francúzsko), BaFin (Nemecko), IVASS (Taliansko), DNB (Holandsko) — budú implementovať dohľadové očakávania v súlade s usmerneniami EIOPA a počas implementačného obdobia nariadenia sa očakávajú sektorovo špecifické publikácie otázok a odpovedí.

Presadzovanie — EIOPA a národné orgány dohľadu

Dohľadová úloha EIOPA

EIOPA (Európsky orgán pre poisťovníctvo a dôchodkové zaistenie zamestnancov) nemá priamu právomoc na presadzovanie podľa EU AI Act, ktorý určuje národné orgány dohľadu ako príslušné orgány podľa Art. 70. EIOPA však koordinuje konvergenciu dohľadu medzi regulátormi poisťovníctva v EÚ a vydáva záväzné aj nezáväzné technické štandardy. Dohľadové očakávania EIOPA v oblasti správy AI — vyjadrené prostredníctvom usmernení, stanovísk a dohľadových vyhlásení — budú formovať spôsob, akým národné orgány dohľadu implementujú požiadavky AI Act v kontexte poisťovníctva. Poisťovatelia by mali považovať výstupy EIOPA za autoritatívne sektorové usmernenie aj tam, kde nie sú právne záväzné.

Národné orgány dohľadu v poisťovníctve ako príslušné orgány pre AI

Národné orgány dohľadu v poisťovníctve na hlavných trhoch EÚ sú pripravené vykonávať funkcie príslušného orgánu podľa AI Act pre poistné AI systémy:

• ACPR (Autorité de contrôle prudentiel et de résolution) vo Francúzsku, ktorý zverejnil dohľadové očakávania týkajúce sa AI vo finančných službách
• BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) v Nemecku so zavedenou praxou v oblasti dohľadu nad algoritmickým rozhodovaním
• IVASS (Istituto per la Vigilanza sulle Assicurazioni) v Taliansku
• DNB (De Nederlandsche Bank) v Holandsku

Tieto orgány majú právomoci podľa Art. 74 a Art. 75 požadovať prístup k tréningovým údajom, technickej dokumentácii a záznamom; vykonávať kontroly na mieste; nariaďovať nápravné opatrenia; a odporúčať finančné sankcie za nesúlad. Pokuty za uvedenie nevyhovujúceho vysoko rizikového AI na trh môžu dosiahnuť 30 miliónov EUR alebo 6 % celkového ročného globálneho obratu, podľa toho, čo je vyššie.

Dvojitý dohľad: AI Act a sektorová regulácia

Orgány dohľadu v poisťovníctve, ktoré vykonávajú presadzovanie podľa AI Act, tak budú robiť v kontexte svojich širších prudenciálnych a obchodných mandátov. Vyšetrovanie podľa AI Act v súvislosti so zaujatým modelom poistno-matematického oceňovania môže súčasne zahŕňať povinnosti vykazovania podľa Piliera III Solvency II, požiadavky na správanie podľa IDD a presadzovanie GDPR zo strany orgánu na ochranu údajov. Poisťovatelia by mali predpokladať, že dohľadové zásahy budú medzifunkčné, a podľa toho navrhnúť svoje programy súladu.

Plán súladu pre poisťovateľov

Krok 1: Inventár a klasifikácia AI systémov

Vykonajte komplexný inventár všetkých AI systémov používaných pri: oceňovaní poistného; prijímaní alebo odmietaní pri upisovaní rizík; posudzovaní škôd alebo ich vyplatení; odhaľovaní podvodov; hodnotení rizika klienta; a distribúcii alebo odporúčaní produktov. Pre každý systém posúďte, či produkuje výstupy, ktoré určujú alebo podstatne ovplyvňujú výsledky pre jednotlivé fyzické osoby. Systémy spĺňajúce tento prah vyžadujú klasifikačné posúdenie voči Annex III kat. 5(b).

Krok 2: Určenie úlohy poskytovateľa/nasadzovateľa

Pre každý vysoko rizikový AI systém určte, či je poisťovateľ poskytovateľom, nasadzovateľom alebo — čo je kľúčové — či použitie mimo validovaného rozsahu dodávateľa spustilo reklasifikáciu ako poskytovateľa. Poraďte sa s právnym poradcom na posúdenie hraničných konfigurácií, najmä tam, kde interné údaje alebo populácie poistníkov boli použité na doladenie alebo rozšírenie licencovaného modelu.

Krok 3: Analýza rozdielov voči povinnostiam AI Act

Zmapujte existujúce riadiace podklady Solvency II, dokumentáciu ORSA a postupy validácie interných modelov voči požiadavkám AI Act podľa Art. 9 (riadenie rizík), Art. 10 (správa údajov), Art. 11 a Annex IV (technická dokumentácia), Art. 12 (tvorba záznamov), Art. 13 (transparentnosť), Art. 14 (ľudský dohľad) a Art. 15 (presnosť, robustnosť, kybernetická bezpečnosť). Zdokumentujte identifikované medzery a prideľte zodpovednosť za ich nápravu.

Krok 4: Správa údajov a zosúladenie s GDPR

Pre každý vysoko rizikový AI systém preskúmajte tréningové a validačné súbory údajov. Zdokumentujte pôvod údajov, metódy zberu, reprezentatívnosť pre príslušné demografické skupiny poistníkov a známe obmedzenia. Zabezpečte, aby právne základy GDPR boli zavedené pre všetky osobné údaje a tam, kde je to relevantné, pre údaje osobitnej kategórie. Integrujte dokumentáciu podľa Art. 10 do technického súboru Annex IV.

Krok 5: Návrh mechanizmu ľudského dohľadu

Navrhnite prevádzkovo realistické mechanizmy ľudského dohľadu pre každé nasadenie vysoko rizikovej AI. Pre AI pri upisovaní rizík to znamená, že kvalifikovaný upisovateľ má informácie, oprávnenie a čas v pracovnom postupe na preskúmanie a odchýlenie sa od odporúčania AI pred tým, ako ovplyvní poistníka. Pre AI pri likvidácii škôd to znamená, že pracovník likvidácie škôd má podstatnú právomoc preskúmania — nie nominálnu schvaľovaciu funkciu. Zdokumentujte návrh dohľadu a zahrňte ho do technickej dokumentácie.

Krok 6: Náležitá starostlivosť voči dodávateľom a náprava zmlúv

Pre AI systémy tretích strán pre poistno-matematiku implementujte vyššie opísaný proces náležitej starostlivosti pred nasadením a preskúmajte existujúce zmluvy s dodávateľmi. Ak zmluvy neobsahujú ustanovenia vyžadujúce od dodávateľa udržiavanie dokumentácie súladu s AI Act, informovanie poisťovateľa o významných zmenách a povolenie auditu výkonnosti AI systému, tieto medzery napravte zmluvným dodatkom alebo renegociáciou. Zaveďte interné postupy na monitorovanie výkonnosti AI systémov v živej populácii poistníkov a hlásenie významných odchýlok dodávateľom a tam, kde to vyžaduje nariadenie, aj orgánom dohľadu.