Weshalb der Einstieg von Groupe Mutuel in die künstliche Intelligenz mehr als eine technische Modernisierung ist
Groupe Mutuel will gemeinsam mit dem französischen KI-Unternehmen Mistral den Einsatz künstlicher Intelligenz beschleunigen. Prozesse sollen effizienter, interne Kompetenzen aufgebaut und neue Anwendungen für Versicherte entwickelt werden. Das klingt zunächst nach einer folgerichtigen Modernisierung eines grossen Schweizer Versicherers. Doch Versicherungen verarbeiten keine gewöhnlichen Unternehmensdaten. Sie kennen Diagnosen, Behandlungen, Medikamente, Arbeitsunfähigkeiten, Unfälle, familiäre Verhältnisse, finanzielle Risiken und mitunter die intimsten Bruchstellen einer Biografie. Wo solche Daten auf generative künstliche Intelligenz treffen, beginnt deshalb nicht bloss ein neues Digitalisierungsprojekt. Es entsteht eine neue Macht über die Interpretation des Menschen. Die entscheidende Frage lautet nicht, ob Versicherungen künstliche Intelligenz einsetzen dürfen. Sie lautet, ob Recht, Aufsicht und Öffentlichkeit noch nachvollziehen können, wofür diese Systeme eingesetzt werden, welche Daten sie verarbeiten und wie weit ihre Ergebnisse in Entscheidungen über Menschen einfliessen.
Ein europäischer Anbieter ist noch keine rechtliche Garantie
Dass Groupe Mutuel mit Mistral einen europäischen und nicht mit einem amerikanischen oder chinesischen Anbieter zusammenarbeitet, ist strategisch nachvollziehbar. Europäische Technologie kann Abhängigkeiten reduzieren und die digitale Handlungsfähigkeit stärken. Doch der Begriff der «souveränen KI» darf nicht zum Gütesiegel werden, das alle weiteren Fragen ersetzt. Entscheidend ist nicht allein, wo ein Anbieter seinen Sitz hat. Entscheidend ist: Wo werden die Daten verarbeitet? Wer kann darauf zugreifen? Werden Eingaben gespeichert? Dürfen sie zur Weiterentwicklung von Modellen verwendet werden? Welche Unterauftragnehmer sind beteiligt? Kann die Versicherung die Verarbeitung vollständig kontrollieren und auditieren? Und lassen sich Daten, Modelle und Protokolle bei einem Anbieterwechsel tatsächlich zurückführen oder löschen? Digitale Souveränität ist kein geografisches Etikett. Sie ist die nachweisbare Fähigkeit einer Organisation, über Daten, Systeme, Abhängigkeiten und Betriebsrisiken selbst zu bestimmen.
Das Datenschutzgesetz gilt bereits heute
In der Schweiz besteht noch kein umfassendes Bundesgesetz, das künstliche Intelligenz nach dem Vorbild des europäischen AI Act generell reguliert. Der Bund verfolgt bislang einen sektoralen Ansatz und plant Anpassungen bestehender Gesetze im Zusammenhang mit der KI-Konvention des Europarats. Eine einheitliche schweizerische KI-Gesetzgebung ist jedoch noch nicht in Kraft. (Bundeskanzlei) Das bedeutet allerdings nicht, dass Versicherungen KI in einem rechtsfreien Raum einsetzen könnten. Das seit dem 1. September 2023 geltende Bundesgesetz über den Datenschutz ist technologieneutral und gilt ausdrücklich auch für KI-gestützte Datenbearbeitungen. Gesundheitsdaten gehören zu den besonders schützenswerten Personendaten. Ihre Bearbeitung muss rechtmässig, verhältnismässig, zweckgebunden, transparent und angemessen gesichert sein. (Fedlex) Für eine Versicherung reicht es deshalb nicht, allgemein auf «Innovation», «Effizienz» oder «besseren Kundenservice» zu verweisen. Sie muss für jeden konkreten Anwendungsfall klären: Welche Daten werden benötigt? Zu welchem Zweck? Auf welcher Grundlage? Wie lange werden sie gespeichert? Welche Personen oder Dienstleister erhalten Zugriff? Und welche Risiken entstehen für die Versicherten? Je sensibler die Daten und je grösser die mögliche Auswirkung auf die betroffene Person, desto höher sind die Anforderungen.
Bei hohen Risiken ist eine Folgenabschätzung nötig
Führt eine KI-Anwendung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen, verlangt das Datenschutzgesetz grundsätzlich eine Datenschutz-Folgenabschätzung. Das dürfte im Versicherungswesen insbesondere dann relevant werden, wenn grosse Mengen an Gesundheitsdaten bearbeitet, Persönlichkeits- oder Risikoprofile erstellt oder automatisierte Systeme für Leistungsprüfungen, Betrugserkennung, Tarifierung oder Fallpriorisierung eingesetzt werden. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hält ausdrücklich fest, dass risikoreiche KI-Anwendungen nicht generell verboten sind. Sie setzen jedoch angemessene Schutzmassnahmen und eine vorgängige Risikoanalyse voraus. (EDÖB) Eine solche Folgenabschätzung darf kein administratives Ritual sein. Sie müsste unter anderem untersuchen:
- ob die verwendeten Daten für den vorgesehenen Zweck tatsächlich erforderlich sind;
- ob systematische Verzerrungen bestimmte Personengruppen benachteiligen;
- ob Ergebnisse nachvollziehbar und anfechtbar bleiben;
- ob sensible Informationen in externe Systeme oder Modelltrainings gelangen;
- ob eine menschliche Kontrolle tatsächlich wirksam ist;
- und was geschieht, wenn das System falsche oder erfundene Aussagen produziert.
Gerade generative Sprachmodelle können überzeugend formulieren, ohne zuverlässig richtigzuliegen. In einer Werbeagentur mag eine solche Halluzination peinlich sein. Bei einer Leistungsprüfung, einem medizinischen Dossier oder einem Versicherungsentscheid kann sie existenzielle Folgen haben.
Automatisierte Entscheidungen benötigen besondere Aufmerksamkeit
Besondere rechtliche Anforderungen entstehen, wenn eine Entscheidung ausschliesslich automatisiert getroffen wird und für die betroffene Person mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt. Das Datenschutzgesetz sieht in solchen Fällen grundsätzlich eine Informationspflicht vor. Betroffene müssen unter bestimmten Voraussetzungen verlangen können, dass die Entscheidung von einem Menschen überprüft wird. Der Einsatz von KI darf die Verantwortlichkeit daher nicht in einer technischen Blackbox verschwinden lassen. (EDÖB)
In der Praxis liegt das Risiko allerdings oft bereits eine Stufe früher. Ein Versicherer kann erklären, der endgültige Entscheid werde weiterhin von einem Menschen gefällt. Wenn die KI jedoch Fälle vorsortiert, Risiken bewertet, Verdachtsmomente markiert oder Handlungsempfehlungen formuliert, prägt sie den Entscheid trotzdem erheblich. Der Mensch bleibt dann formal verantwortlich, folgt aber möglicherweise einem System, dessen Kriterien er weder vollständig kennt noch im Einzelfall überprüfen kann. «Human in the Loop» ist nur dann eine Schutzmassnahme, wenn der Mensch über ausreichend Zeit, Fachwissen, Entscheidungsfreiheit und nachvollziehbare Informationen verfügt. Ein menschlicher Klick am Ende eines automatisierten Prozesses genügt nicht.
Hinzu kommt das besondere Krankenversicherungsrecht
Bei Groupe Mutuel muss zudem zwischen der obligatorischen Krankenpflegeversicherung und den privaten Zusatzversicherungen unterschieden werden. Im Bereich der obligatorischen Krankenversicherung gelten neben dem Datenschutzgesetz die spezialgesetzlichen Bestimmungen des Krankenversicherungsgesetzes und des Sozialversicherungsrechts. Diese regeln, zu welchen gesetzlichen Aufgaben Versicherer Personendaten bearbeiten und unter welchen Voraussetzungen Daten bekanntgegeben werden dürfen.
Das ist bedeutsam: Daten, die zur Durchführung der obligatorischen Krankenversicherung erhoben werden, dürfen nicht beliebig für neue kommerzielle, analytische oder experimentelle Zwecke weiterverwendet werden. Ein technisch möglicher Anwendungsfall ist nicht automatisch ein rechtlich zulässiger Zweck. (Fedlex) Bei Zusatzversicherungen kommen das private Versicherungsrecht, das Datenschutzrecht sowie die Versicherungsaufsicht hinzu. Die FINMA beschäftigt sich bereits seit Jahren mit dem Einsatz künstlicher Intelligenz im Finanz- und Versicherungssektor. Sie nennt insbesondere Risiken durch mangelnde Datenqualität, diskriminierende Ergebnisse, fehlende Erklärbarkeit, Modellveränderungen, Auslagerungen und Cyberangriffe. Gerade bei Versicherungstarifen könne KI dazu führen, dass Preisentscheidungen für Kundinnen und Kunden nicht mehr transparent nachvollziehbar seien. (Eidgenössische Finanzmarktaufsicht FINMA)
Auslagerung bleibt Verantwortung des Versicherers
Bezieht eine Versicherung Modelle, Infrastruktur oder Dienstleistungen von einem externen KI-Anbieter, verschiebt sie damit nicht ihre rechtliche Verantwortung. Der Versicherer bleibt dafür verantwortlich, dass der Auftragsbearbeiter Daten nur nach den vereinbarten Weisungen bearbeitet, angemessen schützt und nicht für eigene Zwecke verwendet. Auch Unterauftragnehmer, grenzüberschreitende Datenübermittlungen, Sicherheitsvorfälle und Kontrollrechte müssen geregelt werden. (EDÖB) Gerade diese Lieferkette ist ein zentraler Risikopunkt. Die FINMA warnt seit Längerem vor der wachsenden Konzentration kritischer Daten und Funktionen bei Cloud- und Technologiedienstleistern. Ein Ausfall oder unbefugter Zugriff bei einem solchen Anbieter kann mehrere beaufsichtigte Unternehmen gleichzeitig treffen. (Eidgenössische Finanzmarktaufsicht FINMA) Die Frage lautet deshalb nicht nur, ob Mistral technisch leistungsfähig ist. Sie lautet auch, ob Groupe Mutuel jederzeit nachweisen kann, welche Daten wohin fliessen, unter welchem Recht sie bearbeitet werden und wie ein Ausstieg aus der Partnerschaft funktionieren würde.
Die eigentliche Gefahr ist nicht die KI, sondern ihre Unsichtbarkeit
Es wäre falsch, den Einsatz künstlicher Intelligenz bei Versicherungen grundsätzlich abzulehnen. KI kann Korrespondenz vereinfachen, Dokumente strukturieren, Mitarbeitende bei Routineaufgaben entlasten, Betrugsfälle erkennen und Versicherten einen schnelleren Zugang zu Informationen ermöglichen. Sie kann sogar dazu beitragen, Fehler und Inkonsistenzen sichtbar zu machen. Problematisch wird sie dort, wo ihre Funktion unsichtbar bleibt. Versicherte sollten erkennen können, ob sie mit einer KI kommunizieren, ob ihre Angaben durch ein automatisiertes System ausgewertet werden und ob ein solches System einen relevanten Einfluss auf ihre Behandlung, Prämie oder Leistung hat. Transparenz darf dabei nicht aus einem abstrakten Hinweis in einer langen Datenschutzerklärung bestehen. Sie muss sich auf den konkreten Entscheidungsprozess beziehen.
Was Groupe Mutuel öffentlich beantworten sollte
Die Partnerschaft mit Mistral wäre eine Gelegenheit, neue Standards für einen verantwortungsvollen KI-Einsatz im Schweizer Versicherungswesen zu setzen.
Dazu sollte Groupe Mutuel offenlegen:
- welche konkreten Anwendungsfelder vorgesehen sind;
- ob Gesundheits- oder andere besonders schützenswerte Daten verarbeitet werden;
- wo die Systeme und Daten betrieben werden;
- ob Kundendaten zum Training oder zur Optimierung von Modellen verwendet werden können;
- welche Datenschutz-Folgenabschätzungen durchgeführt wurden;
- wie diskriminierende oder fehlerhafte Ergebnisse erkannt werden;
- bei welchen Prozessen eine menschliche Prüfung zwingend bleibt;
- und wie Versicherte Auskunft, Berichtigung oder Überprüfung verlangen können.
Geschäftsgeheimnisse rechtfertigen nicht die Offenlegung jedes technischen Details. Sie rechtfertigen aber auch keine Geheimhaltung der Grundprinzipien, nach denen Entscheidungen über Menschen vorbereitet werden.
Die Schweiz braucht mehr als technologieneutrale Mindestregeln
Das geltende Recht bietet bereits wichtige Schutzinstrumente. Es verlangt Zweckbindung, Verhältnismässigkeit, Datensicherheit, Folgenabschätzungen und Transparenz bei automatisierten Entscheidungen. Doch es bleibt fragmentiert. Die Schweiz besitzt bisher weder ein öffentliches Register besonders risikoreicher KI-Systeme noch ein allgemeines Klassifikationsmodell für Anwendungen in Versicherungen, Gesundheit oder Verwaltung. Auch verbindliche Anforderungen an Modellprüfungen, Erklärbarkeit, unabhängige Audits und die Dokumentation indirekt automatisierter Entscheidungen sind bislang nur teilweise ausgeprägt.
Der sektorale Ansatz des Bundes kann sinnvoll sein, weil eine KI in der medizinischen Versorgung andere Risiken erzeugt als ein Übersetzungsprogramm. Er darf jedoch nicht dazu führen, dass jede Branche ihre eigenen Begriffe von Transparenz, Fairness und Kontrolle entwickelt. Wer aus Gesundheitsdaten Effizienz gewinnen will, muss mehr Rechenschaft ablegen als ein gewöhnliches Technologieunternehmen. Groupe Mutuel und Mistral betreten deshalb nicht einfach ein neues Innovationsfeld. Sie betreten einen Raum, in dem wirtschaftliche Optimierung, medizinische Intimität und algorithmische Macht unmittelbar aufeinandertreffen. Der Erfolg dieser Partnerschaft wird sich nicht daran messen lassen, wie viele Prozesse beschleunigt werden. Er wird sich daran messen lassen, ob die Versicherten auch dann noch verstehen, wer über sie urteilt – und aufgrund welcher Informationen.
