Agentic AI in Versicherungen: Wie KI-Systeme audit-ready werden

Tags: Agentic AI · Versicherungen · GenAI Governance · Audit-Readiness · EU AI Act · Claims Management · BaFin · DORA

2026 ist nicht mehr die Frage, ob. Sondern wie gut.

Versicherungen, die 2025 noch über den richtigen Zeitpunkt für KI diskutierten, haben das Rennen verloren.

Die Frage im Jahr 2026 lautet nicht mehr: Sollen wir KI einsetzen? Sie lautet: Ist unsere KI audit-ready — und können wir das beweisen?

Die Zahlen sprechen eine klare Sprache. Laut EY kann Agentic AI im Schadenmanagement die Prozesskosten um 30 bis 50 Prozent senken. Die Allianz bearbeitet mit ihrem Multiagenten-System “Project Nemo” einfache Schadenfälle in unter fünf Minuten — von der Einreichung bis zur Übergabe an den menschlichen Sachbearbeiter. Führende Versicherer wie DEVK, ERGO, Gothaer, HanseMerkur und HDI haben Agentic AI bereits als Kerntechnologie 2026 definiert.

Und die Herausforderung, die alle gleichzeitig beschäftigt: Jede dieser KI-gestützten Entscheidungen muss ab August 2026 im Rahmen des EU AI Acts vollständig erklärbar, auditierbar und regulatorisch vertretbar sein.

Dieser Artikel erklärt, was Agentic AI für Versicherungen konkret bedeutet, wo die vier größten Governance-Lücken liegen und wie Versicherer den Schritt zur audit-ready KI-Organisation machen — Schritt für Schritt.

Was Agentic AI wirklich ist — und warum es sich grundlegend von einem Chatbot unterscheidet

Nach der ersten Welle der Predictive Analytics und der GenAI-Chatbot-Welle seit 2023 ist die nächste Evolutionsstufe erreicht. Die Branchenformel für 2026 lautet: LLM + Tools + Aufgaben = KI-Agent.

Ein KI-Agent ist kein Chatbot. Statt “Kannst du mir die Police von Kunde X zusammenfassen?” heißt der Auftrag künftig: “Bereite den Vorschlag für eine Vertragsanpassung für Kunde X vor — basierend auf seinem bisherigen Verhalten, der Schadenhistorie und unseren aktuellen Kampagnen — und lege mir eine fertige Empfehlung ins CRM.”

Der Agent hat ein konkretes Ziel. Er bricht es in Einzelschritte herunter. Er ruft eigenständig Systeme, APIs und Datenquellen auf. Er trifft vordefinierte Entscheidungen innerhalb klarer Leitplanken. Und — das ist entscheidend — er dokumentiert seine Handlungen nachvollziehbar.

Im Schadenmanagement, dem operativ anspruchsvollsten Bereich der Versicherungswirtschaft, revolutioniert das die Prozesskette von Grund auf. Während frühere Systeme jede Variante vorab modellieren mussten, startet ein Agentic-AI-System mit einem Auftrag wie “Reguliere den Kfz-Glasschaden kundenfreundlich und kosteneffizient” und wählt situativ die passenden Tools — von der Deckungsabfrage über Betrugserkennung bis zur Werkstattbuchung.

Das Ergebnis: Ein Prozess, der bislang Stunden oder Tage dauerte, läuft in Minuten ab — mit höherer Genauigkeit und lückenloser Nachvollziehbarkeit.

Agentic AI Claims-Prozess

Das Allianz-Modell: Was Governance in der Praxis bedeutet

Die Allianz hat mit “Project Nemo” ein Multiagenten-System eingeführt, das zeigt, wie Agentic AI und Governance zusammenspielen können. Sieben spezialisierte Agenten übernehmen den gesamten Workflow:

• Planner Agent startet und koordiniert den Prozess
• Cyber Agent überwacht kontinuierlich die Datensicherheit
• Coverage Agent prüft den Versicherungsschutz
• Weather Agent bestätigt das auslösende Wetterereignis
• Fraud Agent erkennt Betrugsanzeichen in Echtzeit
• Payout Agent ermittelt die Auszahlungssumme
• Audit Agent überprüft den gesamten Prozess, erstellt eine Zusammenfassung aller KI-Entscheidungen — und übergibt an einen Menschen

Das letzte Glied in der Kette ist entscheidend: Der Mensch trifft die finale Entscheidung. Nicht die KI. Das ist kein technisches Detail — das ist regulatorische Pflicht.

Das System wurde in nur 100 Tagen eingeführt und ist flexibel anpassbar. Die Allianz spricht von einer “dramatischen Verbesserung der Reaktionszeiten”. Und das Wichtigste aus Compliance-Perspektive: Jede Entscheidung jedes Agenten ist dokumentiert, nachvollziehbar und auf Abruf rekonstruierbar.

Der regulatorische Rahmen: Was Versicherungen jetzt erfüllen müssen

GenAI Assurance Framework

Für Versicherungen in Deutschland entsteht durch das Zusammenwirken dreier Regulierungsrahmen eine erhebliche Compliance-Komplexität.

EU AI Act — Hochrisiko-Pflichten ab August 2026

Folgende KI-Systeme in Versicherungen fallen unter die Hochrisiko-Kategorie des EU AI Acts und unterliegen strengen Anforderungen ab dem 2. August 2026:

• Underwriting-Systeme — KI-basierte Risikoabschätzung und Tarifierung
• Claims-Assessment-KI — wenn sie eigenständig über Anspruchsanerkennung entscheidet
• Kreditwürdigkeitsbewertung — bei kombinierten Finanz-Versicherungsprodukten
• Beschäftigungsentscheidungen — KI in HR-Prozessen

Für alle diese Systeme gilt: vollständige technische Dokumentation, Bias-Tests mit Nachweisen, unveränderliche Audit-Trails und klar definierte menschliche Aufsicht — vor dem 2. August 2026.

DORA — seit Januar 2025 aktiv, BaFin prüft bereits

DORA verpflichtet Versicherungen zur digitalen Betriebsresilienz. Konkret für KI-Systeme bedeutet das: Einbettung in das IKT-Risikomanagement, DORA-konforme Drittanbieter-Verträge mit Cloud-Providern, die KI-Infrastruktur bereitstellen, und verpflichtende Meldung schwerwiegender IKT-Vorfälle — auch durch KI-Fehlfunktionen — innerhalb von vier Stunden initial, 72 Stunden intermediär und einem Monat final.

Im Jahr 2026 führen Aufsichtsbehörden aktiv Prüfungen durch und verhängen Sanktionen gegen nicht konforme Institute.

BaFin-Orientierungshilfe — Dezember 2025

Die BaFin hat klargestellt: KI ist kein Sonderthema, sondern muss in das bestehende IKT-Risikomanagement eingebettet sein. Explizit adressiert sind Modellrisiken wie Bias, Modelldrift und gezielte Manipulation von Trainingsdaten. KI-Systeme mit Kundenbezug müssen zur Gruppe der Erklärbaren KI (XAI) gehören — und verständliche Erläuterungen liefern, die korrekte Rückschlüsse ermöglichen.

Konvergierende Rahmenwerke

Die 4 größten Governance Lücken in Versicherungs KI

Aus unserer Projektpraxis bei SIFAMO sehen wir bei deutschen Versicherern immer wieder dieselben vier kritischen Lücken. Jede davon ist ein regulatorisches Risiko — und jede ist lösbar.

Lücke 1: Kein belastbarer Audit Trail

KI-Systeme treffen täglich Tausende von Entscheidungen. Aber wer kann im Nachhinein sagen: Welche Modellversion war aktiv? Welche Daten wurden genutzt? Warum wurde die Entscheidung so getroffen?

Unveränderliche Audit Trails, die jede Aktion mit Zeitstempel, Eingabe, Ausgabe und Modellkontext festhalten, sind ab August 2026 regulatorische Pflicht — nicht optionale Best Practice. Ohne sie ist jede Prüfung ein Risiko.

Lücke 2: Kein systematisches Bias-Monitoring

Versicherer nutzen KI für Tarifierung, Underwriting und Fraud Detection. Wenn diese Systeme systematisch bestimmte Kundengruppen benachteiligen — bewusst oder unbewusst — entsteht nicht nur ein regulatorisches Problem. Die BaFin hat explizit auf die Notwendigkeit von Überprüfungsprozessen hingewiesen, mit denen potenzielle Diskriminierungen umgehend identifiziert und beseitigt werden.

Automatisierte Bias-Detection-Pipelines, die kontinuierlich auf Verzerrungen prüfen und Testergebnisse dokumentieren, fehlen bei den meisten Instituten noch.

Lücke 3: Unklare Human-in-the-Loop-Prozesse

Wann darf ein KI-Agent autonom entscheiden? Wann muss ein Mensch eingreifen? Diese Grenzziehung muss dokumentiert, getestet und gelebt werden. Das Allianz-Modell zeigt es exemplarisch: Der Mensch trifft die finale Entscheidung — immer. Die KI bereitet vor, bewertet und empfiehlt. Der EU AI Act fordert exakt das: kritische Entscheidungen dürfen nicht vollständig autonom getroffen werden.

Klare Eskalationspfade und Override-Mechanismen mit Dokumentation fehlen bei vielen Versicherern noch.

Lücke 4: Fehlendes Model Versioning

Wenn ein Schadensfall angefochten wird, der vor 18 Monaten automatisch abgelehnt wurde: Welche Modellversion war damals aktiv? Welche Parameter galten? Welche Daten lagen vor?

Ohne vollständiges Model Versioning ist die Reproduzierbarkeit vergangener Entscheidungen nicht gegeben. Das ist nicht nur ein technisches Problem — es ist die Unfähigkeit, eine Prüferfrage zu beantworten.

Schritt für Schritt zur audit-ready Versicherungs-KI

Schritt 1: KI-Inventur und Risikoklassifizierung

Nicht jedes KI-System trägt dasselbe Risiko. Ein interner Dokumenten-Assistent ist anders zu bewerten als ein System, das über Schadenszahlungen entscheidet.

Beginnen Sie mit einer vollständigen Inventur aller KI-Systeme — und klassifizieren Sie konsequent nach EU AI Act-Kategorien: Hochrisiko, begrenztes Risiko, minimales Risiko. Diese Klassifizierung bestimmt alle weiteren Pflichten.

Praxistipp: Starten Sie mit Systemen, die direkte Kundenauswirkungen haben — Claims-Assessment, Underwriting, Fraud Detection. Diese haben das höchste regulatorische Gewicht.

Schritt 2: Compliance-by-Design von Tag eins

Wer Compliance erst nach der Einführung eines KI-Systems nachträglich einbaut, zahlt doppelt — in Zeit und Geld. Die Lösung heißt Compliance-by-Design: Audit-Trails, Entscheidungsprotokolle und Überwachungsmechanismen werden von Anfang an in den Workflow integriert.

Agentic-AI-Systeme sollten so designed sein, dass jede Aktion nachvollziehbar ist. Das vereinfacht regulatorisches Reporting und senkt Auditkosten langfristig erheblich.

Schritt 3: Mit niedrigem Risiko starten, dann skalieren

Der häufigste Fehler: Versicherungen starten mit komplexen, risikoreichen Use Cases und scheitern an der Governance. Die erfolgreiche Strategie ist die umgekehrte.

Beginnen Sie mit Prozessen, die hohes Volumen und geringes Risiko kombinieren — FNOL-Erfassung (First Notice of Loss), Schadensstatus-Updates, automatische Dokumentenklassifizierung. Diese Workflows liefern schnellen ROI und bilden die Basis für schrittweise Erweiterung auf komplexere Schadenarten.

Schritt 4: Governance-First Operating Model aufbauen

Die Einführung von Agentic AI verlangt ein neues Operating Model. Von der Fachabteilung über IT bis zu externen Partnern müssen Entscheidungswege, Verantwortlichkeiten und Schnittstellen neu definiert werden.

Konkrete Fragen, die beantwortet sein müssen: Wer ist verantwortlich, wenn ein Agent einen Fehler macht? Wer “führt” den Agenten operativ? Wie werden Änderungen am Agenten dokumentiert und freigegeben?

Eine transparente Governance mit klar definierten Ownerships stellt sicher, dass Autonomie und Kontrolle in Balance bleiben — und dass jeder Prüfer die Antworten bekommt, die er sucht.

Schritt 5: Kontinuierliches Monitoring etablieren

Agentic AI ist kein einmaliges Projekt. Modelle driften. Daten verändern sich. Regulatorische Anforderungen entwickeln sich weiter.

Ein strukturiertes Performance-Framework mit klaren KPIs — Bearbeitungszeiten, Fehlerquoten, Bias-Metriken, Kundenzufriedenheit — und kontinuierlichem Monitoring ist die Grundlage für nachhaltige Compliance und nachgewiesenen Geschäftswert.

Das SIFAMO GenAI Assurance Framework: Die 5 nicht-verhandelbaren Kontrollen

Bei SIFAMO haben wir aus unserer Arbeit mit deutschen Versicherungen und Finanzinstituten fünf Kontrollen identifiziert, die kein audit-ready KI-System missen darf:

1. Prompt Governance Versioniertes, auditierbares Management aller Prompts und KI-Instruktionen — mit Änderungshistorie und Freigabeprozessen. Jede Änderung an einem Prompt ist eine Änderung am Entscheidungsverhalten des Systems. Sie muss dokumentiert und genehmigt sein.

2. Output Validation Automatisierte Qualitäts- und Sicherheitsgates für jeden KI-Output, bevor er in einen Geschäftsprozess einfließt. Kein Agent handelt ohne Validierung.

3. Human-in-the-Loop Klare Eskalationspfade und Override-Mechanismen für hochriskante Entscheidungen. Dokumentiert: wann darf autonom entschieden werden, wann nicht. Der Mensch behält die finale Verantwortung.

4. Audit Trail Unveränderliche, zeitgestempelte Logs, die jede KI-Entscheidung erfassen — Eingabe, Ausgabe, Modellversion, Kontext. Auf Abruf für jede vergangene Entscheidung reproduzierbar.

5. Model Versioning Vollständige Reproduzierbarkeit jeder vergangenen Entscheidung durch verankerte Modell- und Prompt-Versionen. Jede Anfrage eines Prüfers — auch zu Entscheidungen von vor 24 Monaten — kann beantwortet werden.

Die drei Fragen, die jeder Prüfer stellen wird

Egal ob BaFin-Prüfer, interner Revisor oder Anwalt in einem Schadensstreit — diese drei Fragen kommen garantiert:

“Können Sie diese Entscheidung vollständig erklären?” Welche Daten wurden verwendet? Welche Modellversion war aktiv? Warum wurde der Schaden abgelehnt oder anerkannt? Was hätte zu einer anderen Entscheidung geführt?

“Können Sie systematische Diskriminierungsfreiheit nachweisen?” Behandelt Ihr System alle Kundengruppen fair? Welche Bias-Tests wurden durchgeführt? Wann zuletzt? Was waren die Ergebnisse?

“Können Sie jede Entscheidung aus den letzten 36 Monaten auf Abruf reproduzieren?” Haben Sie die Audit-Logs? Sind sie unveränderlich gespeichert? Sind sie lesbar, auswertbar und dem Prüfer auf Knopfdruck zugänglich?

Wer diese drei Fragen heute nicht beantworten kann, sollte sofort anfangen. Denn ab August 2026 sind es keine theoretischen Fragen mehr — sie haben rechtliche und finanzielle Konsequenzen.

Was auf dem Spiel steht

Verstöße gegen den EU AI Act können mit Bußgeldern von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden. Hinzu kommen DORA-Sanktionen, Reputationsschäden und im schlimmsten Fall die Pflicht zur Abschaltung nicht konformer Systeme — mitten im operativen Betrieb.

Aber die eigentliche Botschaft ist eine andere: Versicherer, die Governance ernst nehmen, bauen einen strukturellen Wettbewerbsvorteil auf. Sie können schneller skalieren, weil sie ihrer KI vertrauen. Sie haben niedrigere Auditkosten. Sie gewinnen das Vertrauen von Kunden und Regulatoren.

Compliance ist keine Kostenstelle. Sie ist die Grundlage für nachhaltiges Wachstum.

Wie SIFAMO Versicherungen begleitet

Bei SIFAMO begleiten wir deutsche Versicherungen und Finanzinstitute auf dem gesamten Weg zur audit-ready KI-Organisation — von der initialen KI-Inventur und Risikoklassifizierung über die Architektur von Audit-Trail-Systemen und Bias-Detection-Pipelines bis zur vollständigen EU AI Act und DORA-Compliance.

Wir bauen keine Proof-of-Concepts, die in der Schublade landen. Wir liefern Systeme, die in Produktion gehen — senior-led, ohne Junior-Staffing, mit tiefer Kenntnis der deutschen und europäischen Regulierungslandschaft.

90 Prozent unserer Projekte kommen aus langfristigen Kundenbeziehungen. 87 Prozent unserer Lösungen sind individuell auf den Kontext des Kunden zugeschnitten. Das ist kein Versprechen. Das ist unsere Bilanz.

Kontaktieren Sie uns: contact@sifamo.com | +49 151 679 66 331

© 2026 SIFAMO GmbH · simple. fast. modern. · #wesolveIT · sifamo.com