EU-KI-Verordnung 2026: Was Versicherungsmakler in Österreich jetzt wirklich wissen müssen

Seit dem Digital Omnibus vom 7. Mai 2026 kursiert in der Maklerbranche ein gefährliches Missverständnis: „Die KI-Pflichten sind verschoben, wir haben jetzt Ruhe bis 2027." Diese Lesart ist nicht nur unvollständig — sie kann teuer werden. Denn während ein Teil der Pflichten tatsächlich aufgeschoben wurde, sind drei zentrale Anforderungen bereits heute in Kraft und betreffen jeden Versicherungsmakler, der KI einsetzt. Dieser Beitrag ordnet die Faktenlage für österreichische Maklerbetriebe ein.

Die Kurzfassung für Eilige

• Verschoben: Die vollen Pflichten für Hochrisiko-KI-Systeme nach Anhang III (etwa automatisierte Tarif- oder Risikobewertung) gelten erst ab dem 2. Dezember 2027 statt wie ursprünglich geplant ab August 2026.
• Nicht verschoben: Die KI-Kompetenzpflicht nach Artikel 4 gilt bereits seit Februar 2025. Der Bußgeldrahmen ist seit August 2025 anwendbar. Transparenzpflichten für KI-generierte Inhalte greifen ab Dezember 2026.
• Die Konsequenz: Wer jetzt abwartet, riskiert Compliance-Lücken bei Pflichten, die schon heute gelten.

Was der Digital Omnibus wirklich geändert hat

Am 7. Mai 2026 haben sich Rat und Europäisches Parlament auf den sogenannten Digital Omnibus on AI geeinigt — ein Vereinfachungspaket, das die Durchsetzungsfristen für Hochrisiko-KI-Systeme nach hinten verschiebt. Konkret bedeutet das: Eigenständige Hochrisiko-Systeme nach Anhang III der KI-Verordnung müssen die vollen Anforderungen erst ab dem 2. Dezember 2027 erfüllen. Für KI, die in regulierte Produkte eingebettet ist (Anhang I), gilt sogar der 2. August 2028.

Der Grund für die Verschiebung ist nüchtern: Die harmonisierten technischen Standards, die Anbieter zum Nachweis der Konformität brauchen, liegen noch nicht vollständig vor. Es handelt sich also nicht um eine inhaltliche Entwarnung, sondern um eine technische Korrektur des Zeitplans.

Welche Maklertätigkeiten überhaupt als Hochrisiko gelten

Hier herrscht in der Praxis die größte Verunsicherung. Nicht jede KI-Anwendung im Maklerbüro ist ein Hochrisiko-System. Die Einstufung erfolgt nach Artikel 6 der KI-Verordnung in Verbindung mit Anhang III. Für die Versicherungsvermittlung sind vor allem zwei Konstellationen relevant:

• Risiko- und Preisbewertung von Lebens- und Krankenversicherungen: Wenn ein KI-System eigenständig Tarife oder Risiken einstuft, fällt das tendenziell in den Hochrisiko-Bereich, weil es den Zugang zu wesentlichen privaten Diensten betrifft.
• Bonitäts- oder Kreditwürdigkeitsprüfung: Ebenfalls Hochrisiko, sofern die KI die Entscheidung maßgeblich beeinflusst.

Und was fällt nicht darunter? Die alltäglichen Anwendungen, die für die meisten Makler relevant sind: ein Chatbot auf der Website, der Erstanfragen beantwortet und Termine vorqualifiziert; die KI-gestützte Zusammenfassung von Beratungsprotokollen; automatisierte E-Mail-Antworten oder Textbausteine. Diese Werkzeuge sind in aller Regel keine Hochrisiko-Systeme — vorausgesetzt, sie treffen keine eigenständigen, rechtlich relevanten Entscheidungen über Kunden.

Die drei Pflichten, die schon heute gelten

Unabhängig von der Fristverschiebung sind diese Anforderungen für Maklerbetriebe bereits aktiv:

1. KI-Kompetenz (Artikel 4, seit Februar 2025): Wer KI im Betrieb einsetzt, muss sicherstellen, dass die damit arbeitenden Personen über ausreichende Kompetenz verfügen — also Risiken, Grenzen und korrekte Anwendung verstehen. Bei sensiblen Anwendungen wird das strenger geprüft. Eine dokumentierte Kurzschulung ist das Minimum.
2. Transparenzpflichten (ab Dezember 2026): KI-generierte Inhalte — etwa automatisch erstellte Bilder oder Texte in der Kundenkommunikation — müssen als solche erkennbar sein.
3. Bußgeldrahmen (seit August 2025): Verstöße können je nach Schwere mit erheblichen Summen geahndet werden. Der Rahmen ist gestaffelt und orientiert sich an Schwere des Verstoßes und Unternehmensgröße.

Die DSGVO bleibt der eigentliche Dauerbrenner

Bei aller Aufmerksamkeit für die KI-Verordnung übersehen viele Makler das Naheliegende: Die meisten praktischen Risiken im Makleralltag entstehen nicht aus dem AI Act, sondern aus dem Datenschutz. Versicherungsdaten sind hochsensibel — Gesundheitsdaten, Vermögensverhältnisse, Familienstand. Wer einen Chatbot oder eine KI-Automatisierung einsetzt, muss sicherstellen, dass:

• Daten ausschließlich auf Servern in der EU verarbeitet werden (EU-Hosting),
• ein Auftragsverarbeitungsvertrag mit dem Dienstleister besteht,
• Kundendaten nicht in das Training externer KI-Modelle einfließen,
• bei besonders sensiblen Daten lokale oder europäische KI-Modelle zum Einsatz kommen.

Diese Anforderungen gelten heute und sind in der Praxis oft entscheidender als die noch fernen Hochrisiko-Fristen.

Was Makler in Österreich jetzt konkret tun sollten

Die sinnvollste Strategie lautet: So vorbereiten, als ob die Pflichten real sind, und so planen, als ob Dezember 2027 das tatsächliche Durchsetzungsdatum ist. Konkret bedeutet das in drei Schritten:

1. Bestandsaufnahme: Welche KI-Werkzeuge nutzt der Betrieb bereits — bewusst oder unbewusst? Auch ChatGPT für E-Mails zählt dazu.
2. Einstufung: Trifft eines dieser Systeme eigenständige Entscheidungen über Kunden (Tarif, Risiko, Bonität)? Falls ja, ist es ein Kandidat für die Hochrisiko-Kategorie.
3. Grundlagen schaffen: Mitarbeiterkompetenz dokumentieren, DSGVO-Konformität der Tools prüfen, EU-Hosting sicherstellen.

Häufige Fragen

Muss ich als Versicherungsmakler jetzt sofort handeln?
Bei der KI-Kompetenzpflicht: ja, die gilt bereits. Bei den Hochrisiko-Pflichten haben Sie Zeit bis Dezember 2027, sollten die Governance-Grundlagen aber jetzt legen, um nicht in Zeitdruck zu geraten.

Ist ein Chatbot auf meiner Website ein Hochrisiko-System?
In aller Regel nein. Solange der Chatbot nur informiert, Erstanfragen beantwortet und Termine vorqualifiziert — also keine eigenständigen Entscheidungen über Tarife oder Risiken trifft — fällt er nicht unter die Hochrisiko-Kategorie. Datenschutzrechtlich muss er aber sauber aufgesetzt sein.

Was bedeutet KI-Kompetenz konkret?
Die Personen, die KI im Betrieb nutzen, müssen verstehen, was das System kann, wo seine Grenzen liegen und welche Risiken bestehen. Eine dokumentierte interne Schulung erfüllt die Mindestanforderung.

Wie stelle ich sicher, dass meine KI-Tools DSGVO-konform sind?
Achten Sie auf EU-Hosting, einen Auftragsverarbeitungsvertrag und die Zusicherung, dass Ihre Daten nicht in externe Modelle einfließen. Bei besonders sensiblen Daten empfehlen sich europäische oder lokal betriebene KI-Modelle.

Fazit

Die Fristverschiebung durch den Digital Omnibus ist keine Einladung zum Abwarten, sondern eine Atempause für die anspruchsvollsten Pflichten. Die Grundlagen — Mitarbeiterkompetenz, sauberer Datenschutz, EU-Hosting — gelten heute. Wer sie jetzt schafft, nutzt KI als rechtssicheren Wettbewerbsvorteil, statt sich von ihr unter Druck setzen zu lassen.