Für Versicherer schafft das KI-Durchführungsgesetz neue Zuständigkeiten. Nicht neue Verantwortung.

Am 2. August greift die KI-Verordnung, der Bundestag hat rechtzeitig das Durchführungsgesetz beschlossen. Klaus M. Steinmaurer, Geschäftsführer des Fachbereichs Telekommunikation und Post der österreichischen RTR, erklärt im schriftlichen Interview mit Julius Kretz, was eine KI-Aufsicht Versicherern nicht abnimmt.

Endlich jemand, der sagt, was erlaubt ist

Am 11. Juni hat der Bundestag das KI-Marktüberwachungs- und Innovationsförderungsgesetz beschlossen. Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde. Bei ihr entsteht ein Koordinierungs- und Kompetenzzentrum, ein KI-Service-Desk als erste Anlaufstelle für Unternehmen, mindestens ein Reallabor.

So liest sich das in vielen Häusern: ein Ansprechpartner, eine Nummer, die man wählen kann, bevor man etwas falsch macht.

Einer, der in Europa bereits vor dem AI-Act die Idee einer solchen Servicestelle gehabt hat, würde widersprechen.

Klaus M. Steinmaurer leitet den Fachbereich Telekommunikation und Post der Rundfunk und Telekom Regulierungs-GmbH in Wien. Dort ist seit Anfang 2024 die KI-Servicestelle angesiedelt — jene niedrigschwellige Anlaufstelle, die Deutschland nun nachbaut.

Anfang Mai fragte ihn Julius Kretz schriftlich, wie ein Regulator verhindert, dass Unternehmen blind in die Abhängigkeit von amerikanischer Blackbox-KI geraten. Das war sechs Wochen, bevor der Bundestag entschied. Steinmaurer antwortete ohne Umschweife:

„Es ist gar nicht Aufgabe einer Behörde, private Unternehmen davor zu bewahren, in irgendwelche Abhängigkeiten zu kommen. Das liegt in der Verantwortung von Vorständen und Geschäftsführungen. Regulatoren vollziehen Gesetze, sie machen sie nicht."

Und an anderer Stelle, knapper: „Vor ungewollten Abhängigkeiten müssen sich die Unternehmen selbst schützen. Wenn hier etwas daneben geht, dann muss die Aufsicht greifen."

Er weicht nicht aus. Er sagt nur, wer haftet, wenn ein Modell aus Kalifornien mitten in der Schadenbearbeitung abgeschaltet wird, wenn sich die Lizenzbedingungen ändern oder der Anbieter den europäischen Markt verlässt: nicht die Behörde, die Sie beraten hat. Der Vorstand, der es eingekauft hat.

Bemerkenswert ist die Haltung dahinter. Steinmaurer beansprucht für seine KI-Servicestelle keine Autorität, die über den Vollzug hinausreicht. Er verteilt keine Rezepte. Er verteilt Verantwortung.

Über das deutsche Gesetz hat er nicht gesprochen. Es war noch nicht beschlossen. Was folgt, ist die Rechnung, die deutsche Versicherer selbst aufmachen müssen.

Warum das Versicherer härter trifft als andere

Am 2. August 2026 greifen die Pflichten für Hochrisiko-Systeme: Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht, Protokollierung.

Der Punkt, den viele Häuser überlesen: Anhang III der Verordnung nennt die Assekuranz namentlich. Als Hochrisiko gelten dort unter anderem KI-Systeme zur Kreditwürdigkeitsprüfung sowie zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung.

Das ist kein Randbereich. Das ist Aktuariat.

Wer so eingestuft ist, sucht Rückendeckung. In Wien gibt es dafür seit Anfang 2024 eine Adresse. In Deutschland soll es sie geben, sobald die Bundesnetzagentur ihren Service-Desk aufgebaut hat.

Was die Wiener Servicestelle leistet — und was nicht

Der Leitspruch der KI-Servicestelle lautet „Chancen ermöglichen und Risiken managen". Entstanden ist sie, so Steinmaurer, aus der Erkenntnis, dass ein aktiver Beratungsansatz Vorbehalte schneller löst als eine Aufsicht, die erst anspringt, wenn etwas schiefgelaufen ist. Bei einer Technologie, deren Wirkungen niemand vollständig kennt, bremse reine Aufsicht die Innovation und reguliere zu viel.

Was sie leistet, ist nicht wenig. Sie beantwortet regulatorische Fragen, bevor eine Anwendung gebaut wird. Sie erstellt Studien, veranstaltet Fachtagungen und betreut den KI-Beirat, der die österreichische Bundesregierung berät. Ihr Informationsangebot ist frei nutzbar, ihr AI-Act-Chatbot läuft Open Source.

Entscheidend ist, was in diesem Modell nicht passiert. Steinmaurer beschreibt es präzise: Im Mittelpunkt stehe nicht die behördliche Entscheidung über eine Anwendung, sondern die Anwendung selbst. Die Servicestelle erarbeite mit dem Anfragenden „rechtlich vertretbare Optionen" und „zumindest eine grundsätzlich vertretbare Richtung".

Rechtlich vertretbare Optionen sind keine Genehmigung. Eine vertretbare Richtung ist kein Freibrief.

Und hier lohnt der Blick über die Grenze — nicht wegen eines vermeintlich besseren österreichischen Wegs, den Steinmaurer selbst bestreitet, sondern wegen der Reihenfolge. Die Wiener Servicestelle vollzieht nichts. Wer in Österreich die Marktüberwachung übernimmt, war bei ihrer Gründung offen; von Anfang an war vorgesehen, dass sie erst später in eine Behörde mit Servicecharakter übergeht.

Wien hat zuerst beraten und die Aufsicht wird (hoffentlich bald) nachgereicht. Berlin richtet beides in einem Gesetz ein, sechs Wochen vor der Frist.

Das deutsche Gesetz sieht für die Bundesnetzagentur Informationsangebote, Beratungsleistungen und mindestens ein Reallabor vor. Eine Genehmigung ist auch das nicht. Und anders als in Wien berät dort dieselbe Behörde, die überwacht. Für bestimmte Hochrisiko-Systeme soll bei ihr eine unabhängige KI-Marktüberwachungskammer entstehen; Abgeordnete forderten im Verfahren, ihre Unabhängigkeit organisatorisch abzusichern.

Die Stelle, bei der Sie Rückendeckung suchen, ist die Stelle, die Sie prüft.

Und wen fragt ein Versicherer überhaupt?

Versicherer haben ab August eine zuständige Marktüberwachungsbehörde. Welche, hängt vom einzelnen System ab.

Für KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen, ist die BaFin zuständig. Versicherungsunternehmen und Pensionsfonds sind im Gesetz namentlich genannt. Für alles Übrige greift die Auffangzuständigkeit der Bundesnetzagentur.

Wo die Grenze verläuft, weiß niemand genau. Der erste Gesetzentwurf begrenzte die BaFin-Zuständigkeit auf die in Anhang III genannten Systeme. Im weiteren Verfahren machte der Gesetzgeber daraus ein „insbesondere" — und damit eine Zuständigkeit, die auch andere Systeme erfassen kann.

Praktisch heißt das: Pricing in der Lebensversicherung ist BaFin. Ein Chatbot in der Vertriebsunterstützung ist vermutlich Bundesnetzagentur. Betrugserkennung, Underwriting-Assistenz, automatisiertes Inputmanagement, Schadenregulierung sind Auslegungsfrage.

📎 Weiterführend im VTM:
→ Wer haftet, wenn der KI-Agent falsch entscheidet?
→ BaFin überwacht KI in Versicherungen: So verwandeln Sie Regulierung in Ihren Wettbewerbsvorteil

Nach welchen Kriterien wird Ihr KI-System geprüft?

Steinmaurer gibt die Frage an die Branche zurück. Standards für den Einsatz und die Anwendung von KI seien von denen zu entwickeln, die die Branche am besten kennen. Das sei sektorspezifisch festzulegen, ebenso die Art einer Zertifizierung, falls es überhaupt eine geben solle. Abhängig vom Sektor werde es notwendig sein, eigenes KI-Know-how aufzubauen.

Eine eigene, allein verantwortliche KI-Behörde hält er für falsch. Die KI-Verordnung gründe mit ihrem Verweis auf die Marktüberwachungsverordnung und die Bestimmungen aus dem Finanz- und Versicherungsbereich ausdrücklich auf dem Prinzip „build on what you already have". Sein Satz dazu: „Es macht keinen Sinn, wenn jede Behörde versucht, alles für sich zu machen."

Der deutsche Gesetzgeber ist dieser Logik gefolgt. Den Prüfmaßstab hat er nicht mitgeliefert.

Was es gibt, ist eine Orientierungshilfe der BaFin vom Dezember 2025. Sie richtet sich an Solvency-II-Versicherer, verbindet die KI-Verordnung mit DORA und VAIT — und nennt sich selbst nicht verpflichtend.

Eine unverbindliche Hilfe von der Behörde, die Sie ab August überwacht.

BaFin-Exekutivdirektorin Julia Wiens hat den Zustand offen benannt: Mit Blick auf die KI-Verordnung sei einiges noch unklar, etwa der genaue Umfang der Hochrisiko-Anwendungen; entscheidend werde die konkrete Auslegung sein. Normale statistische Verfahren, so ihre Position, sollten nicht als Hochrisiko-KI eingestuft werden.

Steinmaurers RTR versucht vorzuarbeiten. Sie hat untersucht, was KI für digitale Signaturen und Vertrauensdienste bedeutet — für Versicherer keine Randnotiz, sondern die Technik, ohne die kein Vertrag online zustande kommt. Die Ergebnisse stellt die Behörde nach Steinmaurers Worten „quasi Open Source" bereit, damit die sektorspezifischen Aufsichtsbehörden daraus Prüfmaßstäbe ableiten können.

Anbieten kann sie es. Übernehmen muss es jemand anderes.

Steinmaurer geht noch weiter. Regulierung solle künftig integraler Bestandteil des Produktinnovationsprozesses sein. Das erfordere „ein völlig neues Selbstverständnis, wozu Regulierung eigentlich da ist". Da sei noch viel zu tun — „aber zumindest ein kleines Pflänzchen ist da schon am Wachsen".

Was das VersicherungsTech Magazin daraus liest

Die folgenden Schlüsse zieht die Redaktion, nicht der Interviewte.

Zuerst zählen, dann zuordnen. Wann hat Ihr Haus die Erfassung aller eingesetzten KI-Systeme abgeschlossen? Erst danach lässt sich für jedes einzelne dokumentieren, ob es in direktem Zusammenhang mit einer regulierten Finanztätigkeit steht — und damit, welche Behörde zuständig ist. Beides steht in keinem Gesetz und in keinem Projektplan. Setzen Sie ein Datum, sonst gibt es keines.

Vendor-Konzentration gehört auf die Vorstandsagenda, nicht in den Einkauf. Wie viele Ihrer KI-Anwendungen hängen an einem einzigen Anbieter — und was passiert, wenn dieser die Bedingungen ändert, die Schnittstelle abkündigt oder den europäischen Markt verlässt? Diese Frage steht unabhängig davon, wie die Aufsicht am Ende einstuft. Steinmaurer hat klargestellt, dass niemand sie für Sie beantwortet.

Prüfmaßstäbe entstehen jetzt oder werden von anderen gesetzt. Wenn Standards aus der Branche kommen müssen, lautet die Frage nicht, ob Ihr Haus sich beteiligt. Sondern wer aus Ihrem Haus in den Gremien sitzt, die sie schreiben — mit Mandat und mit Termin.

Die Zuständigkeit wandert. Die Verantwortung nicht. Sie sitzt, wo sie immer saß — und ab dem 2. August fragt eine Aufsichtsbehörde danach. Welche, sollten Sie bis dahin wissen.

Grundlage dieses Artikels ist ein schriftliches Interview, das Julius Kretz Anfang Mai 2026 mit Klaus M. Steinmaurer und Dr. Rainer Schamberger geführt hat. Julius Kretz ist Bereichsleiter bei der ALH-Gruppe (Alte Leipziger – Hallesche) und 1. Vorsitzender der Free Insurance Data Initiative (FRIDA e.V.). Zu Open Insurance und FIDA folgt ein Gastbeitrag von Julius Kretz im VersicherungsTech Magazin.

Die wiedergegebenen Aussagen von Klaus M. Steinmaurer geben seine persönliche Auffassung wieder. Sie sind keine Rechtsauskunft und präjudizieren weder die RTR noch eine andere Behörde oder die Republik Österreich. Die Bewertungen und Schlussfolgerungen im Abschnitt „Was das VersicherungsTech Magazin daraus liest" stammen ausschließlich von der Redaktion.

Fundstellen zur Einordnung

• Bundestag, Beschluss des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG) am 11. Juni 2026; Bundesnetzagentur als zentrale Marktüberwachungsbehörde, Koordinierungs- und Kompetenzzentrum (KoKIVO), KI-Service-Desk, Reallabor.
• § 2 Abs. 2 KI-MIG (BaFin-Zuständigkeit für KI-Systeme in direktem Zusammenhang mit einer regulierten Finanztätigkeit); § 3 Abs. 2 Nr. 16 und 17 KI-MIG (Versicherungsunternehmen i. S. d. § 7 Nr. 33 und 34 VAG; Pensionsfonds i. S. d. § 236 Abs. 1 S. 1 VAG).
• Verschiebung vom Referenten- zum Regierungsentwurf: Wegfall der ausschließlichen Beschränkung auf Anhang III Nr. 5 lit. b und c der Verordnung (EU) 2024/1689.
• Unabhängige KI-Marktüberwachungskammer bei der Bundesnetzagentur; Forderungen im parlamentarischen Verfahren, ihre unionsrechtlich gebotene Unabhängigkeit organisatorisch zu verankern.
• KI-Verordnung (EU) 2024/1689: allgemeine Anwendbarkeit ab 2. August 2026; Anhang III Nr. 5 lit. b und c.
• KI-Servicestelle der RTR, Rechtsgrundlage § 20c KOG und § 194a TKG (BGBl. I Nr. 6/2024), eingerichtet zum 1. Februar 2024.
• BaFin, Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzunternehmen, 18. Dezember 2025.
• Julia Wiens, BaFin-Exekutivdirektorin Versicherungsaufsicht, Jahreskonferenz der Versicherungsaufsicht, Oktober 2025.