Welke AI bij verzekeraars is hoog-risico? Het korte antwoord: risicobeoordeling en prijsstelling met betrekking tot natuurlijke personen bij levens- en ziektekostenverzekeringen (Bijlage III, punt 5 onder c). Schadebehandeling, fraudedetectie bij claims, marketing en AML-monitoring vallen er in de regel buiten.
In de verzekeringssector is AI niet meer weg te denken. Underwriting wordt ondersteund door algoritmes die risicoprofielen bouwen. Schadebehandeling wordt versneld met AI die claims beoordeelt. Fraudedetectie draait op machine learning. Chatbots handelen klantvragen af. De EU AI Act voegt daar verplichtingen aan toe die vooral bij levens- en ziektekostenverzekeringen zwaar wegen.
Voor verzekeraars, tussenpersonen en schadeafhandelingskantoren is de vraag hoe de AI Act zich verhoudt tot bestaande regelgeving zoals Solvency II, de AVG en de IDD. Waar gaat het stapelen, waar kunt u integreren?
Hoog-risico: een beperkte maar belangrijke categorie
Bijlage III van de AI Act wijst een specifiek deel van verzekerings-AI aan als hoog-risico. Let goed op de exacte bewoording: het gaat om AI-systemen voor risicobeoordeling en prijsstelling met betrekking tot natuurlijke personen bij levens- en ziektekostenverzekeringen.
Dat betekent: verzekerings-AI voor schadeverzekeringen (auto, inboedel, aansprakelijkheid) valt niet automatisch onder hoog-risico. Maar AI voor het bepalen wie een levensverzekering kan afsluiten, welke voorwaarden er gelden en tegen welke premie, is hoog-risico. Hetzelfde geldt voor aanvullende ziektekostenverzekeringen. Bij de basisverzekering speelt het nauwelijks, want daar gelden een acceptatieplicht en een premiegrondslag die per polisvariant voor iedereen gelijk is (artikel 3 lid 1 en artikel 17 Zorgverzekeringswet). Of een arbeidsongeschiktheidsverzekering eronder valt, is een open vraag: de Nederlandse tekst spreekt van ziektekostenverzekeringen, de Engelse van health insurance. Behandel een acceptatie- of premiemodel voor een AOV bij twijfel als hoog-risico. De eisen voor deze systemen gelden vanaf 2 december 2027 (Artikel 113, derde alinea, onder c). Is uw model vóór die datum in gebruik genomen, dan gelden ze pas na een aanzienlijke wijziging van het ontwerp (Artikel 111 lid 2).
Wat Bijlage III niet als hoog-risico aanwijst:
Claimafhandeling
Ook bij levens- en ziektekostenverzekeringen. Punt 5, onder c, dekt alleen risicobeoordeling en prijsstelling.
Fraudedetectie bij claims
Geen risicobeoordeling of prijsstelling, dus buiten punt 5, onder c. Verderop meer daarover.
Customer-service chatbots
Wel geldt de transparantieplicht van Artikel 50 lid 1: de aanbieder zorgt dat de klant weet dat hij met AI praat.
Marketing en lead-scoring
Geen risicobeoordeling of prijsstelling, zolang het model niet bepaalt welke premie of voorwaarden iemand bij een levens- of ziektekostenverzekering krijgt.
AML-monitoring
Volgt zijn eigen kader, niet Bijlage III.
Buiten Bijlage III blijven er plichten over. Voor elk AI-systeem neemt u maatregelen die de AI-geletterdheid van uw medewerkers ondersteunen (Artikel 4). De aanbieder van een chatbot zorgt dat de klant weet dat hij met AI praat (Artikel 50 lid 1). Herkent een systeem emoties, dan informeert u de mensen op wie het wordt toegepast (Artikel 50 lid 3). En de AVG geldt voor elk systeem dat persoonsgegevens verwerkt.
Fraudedetectie bij claims
Fraudedetectie bij claims valt meestal buiten Bijlage III. Punt 5, onder c, gaat over risicobeoordeling en prijsstelling. Het opsporen van fraude bij een claim is iets anders. De uitzondering voor financiële fraude staat in punt 5, onder b, zelf en hoort bij kredietbeoordeling; overweging 58 licht haar toe. Let op twee grenzen. Herkent het systeem emoties, bijvoorbeeld in de stem van een melder, dan is het hoog-risico via Bijlage III, punt 1, onder c. En weegt een fraudemodel mee bij de acceptatie van een levens- of ziektekostenverzekering, dan kan punt 5, onder c, gelden, want de fraude-uitzondering staat alleen in punt 5, onder b.
De impact op de klant blijft wel groot. Een claim die op basis van een algoritme wordt geweigerd raakt iemand direct. Signaleert het systeem onterecht, dan kan dat jaren juridische strijd opleveren. Menselijk toezicht bij elke materiële afwijking, vastgelegde beslissingen en periodieke controle op vertekening zijn hier verstandig. Presenteer die maatregelen intern als eigen keuze en zorgplicht. Speelt een van beide grenzen, dan is het systeem hoog-risico. Menselijk toezicht en het bewaren van de logs zijn dan plichten van u als gebruiksverantwoordelijke (Artikel 26, lid 2 en lid 6).
Solvency II en AI Act: parallel of geïntegreerd?
Solvency II eist governance, risicomanagement en ORSA-documentatie (Own Risk and Solvency Assessment) van verzekeraars. De AI Act voegt specifieke AI-governance toe. Overlap is aanzienlijk.
GovernanceSolvency II eist een governancesysteem met vier sleutelfuncties: risicobeheer, compliance, interne audit en de actuariële functie (artikel 41 en 44 tot en met 48 van Richtlijn 2009/138/EG). In de praktijk wordt dat vaak ingericht als drie verdedigingslinies. Voor AI-governance hoort daar een duidelijke lijn in. Leg vast wie verantwoordelijk is voor de AI-modellen en waar dat wordt besloten.
Model risk managementSolvency II heeft regels voor interne modellen (pijler 1). AI in het model voor de kapitaalvereisten valt niet onder Bijlage III; overweging 58 bevestigt dat AI voor de berekening van de kapitaalvereisten van verzekeraars geen hoog-risico is. De AI Act-eisen raken uw acceptatie- en premiemodellen. Integreer die: een gecombineerd modelregister met Solvency II-documentatie en AI Act-documentatie voorkomt dubbel werk.
ORSAHet jaarlijkse ORSA-rapport kan AI-specifieke risico's opnemen. De risicoanalyse van uw hoog-risico AI-systemen wordt dan onderdeel van ORSA, niet een apart document.
IDD en transparantie
De Insurance Distribution Directive (IDD) verplicht verzekeraars en tussenpersonen tot eerlijke informatie aan klanten. AI-specifieke transparantie sluit hierop aan.
Gebruikt u AI voor risicobeoordeling of premie bij een levens- of ziektekostenverzekering, dan vertelt u de klant dat het systeem op hem wordt toegepast (Artikel 26 lid 11). Neemt u op basis van de uitkomst een besluit met rechtsgevolgen of een vergelijkbaar aanzienlijke invloed, zoals een afwijzing of een hogere premie, dan kan de klant om uitleg vragen. U geeft dan een duidelijke, inhoudelijke uitleg over de rol van het AI-systeem en de voornaamste elementen van het besluit (Artikel 86 lid 1). Neemt een systeem bij een andere verzekering volledig geautomatiseerd een besluit, dan volgt een informatieplicht uit de AVG (Artikel 13 lid 2 onder f).
AVG en DPIA: al lang vertrouwd terrein
Verzekeraars werken met zeer gevoelige persoonsgegevens: gezondheidsdata, financiële gegevens, soms genetische informatie. Voor grootschalige verwerking van gezondheidsgegevens en voor profilering waar besluiten met rechtsgevolgen op volgen, is een DPIA verplicht (Artikel 35 lid 3 onder a en b AVG).
Gebruikt u AI voor risicobeoordeling of prijsstelling met betrekking tot natuurlijke personen bij levens- en ziektekostenverzekeringen, dan voert u vóór het eerste gebruik ook een beoordeling uit van de gevolgen voor de grondrechten (Artikel 27 lid 1 en lid 2). Die overlapt grotendeels met de DPIA. In de grondrechtenbeoordeling mag u naar de relevante delen van de DPIA verwijzen of ze overnemen (Artikel 27 lid 4). De uitkomst meldt u met het ingevulde sjabloon aan de markttoezichtautoriteit (Artikel 27 lid 3).
Neemt een systeem een besluit volledig geautomatiseerd op basis van gezondheidsgegevens, dan mag dat alleen met uitdrukkelijke toestemming of op grond van een zwaarwegend algemeen belang, met passende waarborgen (Artikel 22 lid 4 AVG).
Discriminatie-risico: het grootste aandachtspunt
AI-pricing voor persoonlijke verzekeringen loopt tegen een hard ethisch vraagstuk aan. Risicoprofielen worden beter met meer data, maar meer data betekent ook meer kans op differentiatie die neerkomt op discriminatie.
Geslacht mag niet leiden tot verschillen in premies en uitkeringen (artikel 5 lid 1 Richtlijn 2004/113/EG). De uitzondering in lid 2 heeft het Hof van Justitie met ingang van 21 december 2012 ongeldig verklaard (zaak C-236/09, Test-Aankoop). De Algemene wet gelijke behandeling verbiedt daarnaast onderscheid naar onder meer ras, nationaliteit en geslacht bij het aanbieden van diensten (artikel 1 en 7). Dat geldt ook voor indirect onderscheid via proxy-variabelen, zoals een postcode die sterk samenhangt met herkomst, tenzij daar een objectieve rechtvaardiging voor is (artikel 2 lid 1). Die verboden komen uit het gelijkebehandelingsrecht. De AI Act eist van de aanbieder van een hoog-risicosysteem dat hij de data onderzoekt op vooringenomenheid en die beperkt (Artikel 10 lid 2 onder f en g).
Wat u in de praktijk kunt doen:
- Documenteer welke beschermde kenmerken zijn uitgesloten als variabele.
- Beoordeel of uw model proxy-variabelen gebruikt die in de uitkomst discriminerend werken.
- Monitor of verschillende groepen bij vergelijkbare risicoprofielen gemiddeld andere premies of acceptatiepercentages krijgen.
- Corrigeer het model op bias waar dat redelijkerwijs kan.
Toezichthouders en hun verwachtingen
DNB houdt toezicht op solvabiliteit, bestuur en risicobeheer. Samen met de AFM publiceerde DNB in 2019 een verkenning naar AI in de verzekeringssector. Op 9 april 2024 volgde het gezamenlijke rapport De impact van AI op de financiële sector en het toezicht. Met de AI Act neemt die aandacht toe.
De AFM toetst gedragstoezicht en klantbelang. Voor verzekeringsadvies, automatische schadeafhandeling en claims-beoordeling bent u bij AFM in beeld.
De Autoriteit Persoonsgegevens controleert naleving van de AVG. Verwerkt een AI-systeem gezondheidsgegevens, dan ziet de AP toe op die verwerking.
Wie de AI Act bij u handhaaft, staat deels al in de verordening zelf. Gebruikt een verzekeraar hoog-risico AI bij het verlenen van financiële diensten, dan is de financiële toezichthouder ook de markttoezichtautoriteit (Artikel 74, lid 6). Een lidstaat mag daar in gerechtvaardigde gevallen van afwijken (Artikel 74, lid 7).
Het voorstel voor de Uitvoeringswet AI-verordening werkt dat voor Nederland uit. Het lag van 20 april tot en met 1 juni 2026 in internetconsultatie en wijst acht bestaande markttoezichtautoriteiten aan, met voor AI in de rechtspraak een eigen regeling. De AP en de RDI krijgen samen de coördinerende rol. In het voorstel zijn DNB en AFM aangewezen voor kredietbeoordeling plus risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen bij financiële instellingen (Bijlage III, punt 5, onder b en c). Het voorstel ligt nog niet bij de Tweede Kamer, dus de verdeling kan nog veranderen.
Wat verzekeraars nu moeten doen
Inventariseer al uw AI-systemen
Dit gaat verder dan de 'officiële' AI-projecten. Ook AI in standaardsoftware (CRM, claims-systemen, lead generation) telt mee.
Classificeer per systeem
Kijk naar wat het systeem doet. Hoog-risico is AI voor risicobeoordeling en prijsstelling met betrekking tot natuurlijke personen bij levens- en ziektekostenverzekeringen (Bijlage III, punt 5, onder c). Zo'n model profileert vrijwel altijd. Dan vervalt de uitzondering van Artikel 6 lid 3. Een klantchatbot valt onder de transparantieplicht van Artikel 50 lid 1. Claimafhandeling en fraudedetectie bij claims vallen in de regel onder geen van beide, tenzij het systeem emoties herkent (Bijlage III punt 1 onder c en Artikel 50 lid 3).
Integreer documentatie
De ORSA, de DPIA en de grondrechtenbeoordeling kunnen op elkaar aansluiten. In de grondrechtenbeoordeling mag u naar de DPIA verwijzen (Artikel 27 lid 4). Ze blijft wel een eigen stuk, want de uitkomst meldt u aan de markttoezichtautoriteit (Artikel 27 lid 3).
Borg menselijk toezicht
Wijs voor elk hoog-risicosysteem mensen aan met de bekwaamheid, opleiding en autoriteit om in te grijpen (Artikel 26 lid 2). Een klant die wordt afgewezen of een hogere premie krijgt, kan uitleg vragen (Artikel 86 lid 1). Is het besluit volledig geautomatiseerd, dan heeft hij ook recht op menselijke tussenkomst en kan hij het aanvechten (Artikel 22 lid 3 AVG).
Test op discriminatie
Zowel directe als indirecte. Regelmatige audits van uitkomsten zijn geen luxe maar noodzaak.
Train uw medewerkers in AI-geletterdheid
Underwriters, claims-handlers, compliance officers, management. Sinds 2 februari 2025 neemt u maatregelen die hun AI-geletterdheid ondersteunen (Artikel 4).
Bijzondere aandacht voor tussenpersonen en brokers
Verzekeringsadviseurs en onafhankelijke brokers gebruiken vaak AI-tools van anderen (vergelijkingsmodules, advies-AI). U bent dan deployer. De verplichtingen zijn lichter maar niet afwezig.
Eis van uw leveranciers transparantie over hun AI: welke modellen erin zitten, wat de beperkingen zijn en hoe zij de AI Act-eisen invullen.
Informeer uw klanten wanneer AI betrokken is bij het advies. Dit versterkt zowel compliance als klantrelatie.
Veelgestelde vragen
Wanneer is AI in verzekeringssoftware hoog-risico?
Zodra de software risico's beoordeelt of de prijs bepaalt voor natuurlijke personen bij een levens- of ziektekostenverzekering (Bijlage III, punt 5 onder c). Een claimmodule of schadeportaal in dezelfde software valt daar in de regel buiten. Praat er een chatbot met klanten, dan geldt voor die chatbot Artikel 50 lid 1. De leverancier die de software onder eigen naam op de markt brengt, is aanbieder. De verzekeraar die hem onder eigen verantwoordelijkheid inzet, is gebruiksverantwoordelijke (Artikel 3, punten 3 en 4). Ontwikkelt de verzekeraar het model zelf, dan is hij allebei.
Is schadebehandeling met AI hoog-risico?
Nee, in de regel niet. Bijlage III, punt 5, onder c, noemt risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen. Claimafhandeling staat er niet in. Alleen de toepassingen onder de letters tellen; de kop van punt 5 voegt er zelf niets aan toe. Let op twee randen. Herkent het systeem emoties, dan is het hoog-risico via punt 1, onder c. Past het systeem na een claim de premie of de voorwaarden van een levens- of ziektekostenverzekering van een natuurlijk persoon aan, dan is dat prijsstelling onder punt 5, onder c.
Geldt dit ook voor schadeverzekeringen?
Nee. Punt 5, onder c, is beperkt tot levens- en ziektekostenverzekeringen. Een premie- of acceptatiemodel voor auto, inboedel of aansprakelijkheid valt er dus niet onder. Ander gebruik kan wel hoog-risico zijn, zoals emotieherkenning (punt 1, onder c) of AI bij de werving van uw eigen personeel (punt 4). De AVG en de zorgplicht uit de IDD (artikel 17 Richtlijn (EU) 2016/97) gelden onverkort.
Wat betekent dit voor tussenpersonen?
Gebruikt een tussenpersoon onder eigen verantwoordelijkheid een systeem voor risicobeoordeling of prijsstelling met betrekking tot natuurlijke personen bij levens- of ziektekostenverzekeringen, dan is hij gebruiksverantwoordelijke. Dan gelden de plichten uit Artikel 26 plus de grondrechtentoets van Artikel 27 lid 1. Zet u uw eigen naam op zo'n systeem, wijzigt u het substantieel, of maakt u van een gewone adviestool een systeem dat acceptatie of premie bepaalt, dan wordt u zelf aanbieder (Artikel 25 lid 1). Die plichten gelden vanaf 2 december 2027 (Artikel 113, derde alinea, onder c).
Moeten wij klanten vertellen dat AI de premie bepaalt?
Ja, als het systeem hoog-risico is. U informeert de klant dat het systeem op hem wordt toegepast (Artikel 26 lid 11). Neemt het systeem het besluit volledig geautomatiseerd, dan geeft de AVG daarnaast recht op nuttige informatie over de onderliggende logica (Artikel 13 lid 2 onder f) en op menselijke tussenkomst (Artikel 22 lid 3). Praktisch: vermeld het ook in de offerte-toelichting, want daar leest de klant het.
Vervangt onze Solvency II-modelvalidatie de AI Act-eisen?
Nee, maar de overlap is groot. Modelvalidatie, governance en uitbestedingsbeleid dekken een deel van het risicobeheer dat de AI Act vraagt. Voeg de AI Act-specifieke eisen toe als kolom in uw bestaande raamwerk in plaats van er een parallel traject van te maken.
Wat u vandaag kunt doen
Beginnen met AI Act-compliance in de verzekeringswereld vraagt een eerlijke inventarisatie. De gratis risicoscan brengt in vijf minuten uw AI-systemen in kaart en geeft per systeem een eerste classificatie.
Wie de AI Act-eisen als kolom naast Solvency II en de AVG zet, houdt één raamwerk over dat richting DNB, AFM en klanten uit te leggen is.