Der Einsatz von künstlicher Intelligenz bietet Finanzdienstleistern und Versicherungsvermittlern erhebliche Effizienzvorteile, bringt jedoch zugleich neue rechtliche und haftungsrechtliche Risiken mit sich.

Der AI Act schafft neue Pflichten
Seit dem 2. August 2026 ist der europäische AI Act weitgehend anwendbar und erfasst nicht nur Anbieter, sondern auch Unternehmen, die KI geschäftlich einsetzen. Je nach Risikoklasse gelten unterschiedliche Anforderungen. Besonders streng reguliert sind etwa KI-Systeme zur Bonitätsbewertung sowie zur Risiko- und Preisbestimmung bei Kranken- und Lebensversicherungen. Darüber hinaus bestehen Transparenz- und Kennzeichnungspflichten, beispielsweise für Deepfakes oder bestimmte KI-generierte Veröffentlichungen.

Datenschutz und Bankgeheimnis
Ein wesentlicher Risikobereich ist der Datenschutz. Personenbezogene Daten dürfen nur auf einer entsprechenden Rechtsgrundlage und für den festgelegten Zweck verarbeitet werden. Kundendaten, die beispielsweise für eine Vermögensberatung erhoben wurden, können daher nicht ohne Weiteres für das Training einer KI verwendet werden.

Für Finanzdienstleister kommen besondere Verschwiegenheitspflichten und das österreichische Bankgeheimnis hinzu. Problematisch kann außerdem die Nutzung US-amerikanischer KI-Anbieter sein: Der CLOUD Act kann diese zur Herausgabe von Daten an US-Behörden verpflichten, selbst wenn die Daten in Europa gespeichert werden. Dadurch entsteht ein Spannungsverhältnis zur DSGVO.

KI-Einsatz muss dokumentiert werden
Vor dem Einsatz von KI sollten Unternehmen genau dokumentieren, welche Anforderungen das System erfüllen soll, welche Daten verarbeitet werden, welche Ergebnisse entstehen und wo menschliche Kontrollen vorgesehen sind. Empfohlen werden dafür Lasten- und Pflichtenhefte sowie die Orientierung an anerkannten technischen Standards, beispielsweise ISO/IEC 27001.

Auch nach der Einführung sind ein laufendes Patch- und Fehlermanagement, eine Systemüberwachung und klar definierte menschliche Kontroll- und Freigabeprozesse erforderlich.

Wer haftet, wenn die KI Fehler macht?
KI selbst kann nicht haften. In Österreich haftet grundsätzlich der Nutzer beziehungsweise das einsetzende Unternehmen. Je nach Ursache können zwar auch Hersteller, Programmierer oder Händler verantwortlich sein, allerdings muss deren konkreter Fehler nachgewiesen werden. Aufgrund des sogenannten "Black-Box-Effekts" von KI-Systemen kann dieser Nachweis schwierig sein.

Versicherungsschutz kann verloren gehen
Berufshaftpflichtversicherungen decken grundsätzlich Vermögensschäden aus beruflicher Tätigkeit und regelmäßig auch Schäden im Zusammenhang mit Software oder KI. Kritisch wird es jedoch, wenn bekannte gesetzliche, technische oder branchenübliche Standards wissentlich nicht eingehalten werden. Dann kann neben der Haftung gegenüber Geschädigten auch der Verlust des Versicherungsschutzes drohen.

Unternehmen sollten daher vor der Einführung von KI-Systemen auch mit ihrem Versicherer klären, ob sich dadurch das versicherte Risiko verändert.

Den gesamten Artikel von Raphael Toman von der auf Finanzmarktrecht spezialisierten Kanzlei Brandl Talos und René Hompasz, Geschäftsführer der Höher Insurance Services GmbH sowie Gerichtssachverständiger für das Versicherungswesen, lesen Sie in der neuen Heftausgabe 3/2026 von FONDS professionell, die Ende September erscheint.