Wyższa składka ubezpieczenia przez sztuczną inteligencję? Klient będzie mógł żądać wyjaśnień

Szczegółowe obowiązki mają być stosowane od 2 grudnia 2027 r., ale już dziś znaczenie mają RODO, przepisy ubezpieczeniowe i zakaz dyskryminacji.

AI wysokiego ryzyka przy wycenie polisy

Załącznik III pkt 5 lit. c AI Act obejmuje systemy przeznaczone do oceny ryzyka i ustalania cen w przypadku ubezpieczeń na życie i ubezpieczeń zdrowotnych. Typowym zastosowaniem jest model analizujący informacje o wieku, stanie zdrowia, historii medycznej, stylu życia lub innych czynnikach i na tej podstawie rekomendujący przyjęcie klienta, wysokość składki albo warunki ochrony.

Ustawodawca nie włączył do tej kategorii całego rynku ubezpieczeniowego. Algorytm wyceniający polisę komunikacyjną lub mieszkaniową nie staje się systemem wysokiego ryzyka wyłącznie na podstawie tego punktu. Może jednak podlegać innym przepisom AI Act, RODO, prawu konsumenckiemu i regulacjom sektorowym. Klasyfikacja zależy od przeznaczenia, a nie od branżowej etykiety produktu.

Likwidacja szkody poza konkretną kategorią

AI Act Service Desk rozróżnia ocenę ryzyka i ustalanie ceny od obsługi roszczeń po wystąpieniu zdarzenia. System sprawdzający, czy roszczenie mieści się w warunkach polisy albo pomagający ustalić kwotę wypłaty, co do zasady nie mieści się w punkcie dotyczącym wyceny ubezpieczenia na życie i zdrowotnego. Jest to inny etap relacji, nawet jeśli wynik ma duże znaczenie dla klienta.

Nie oznacza to braku regulacji. Narzędzie do likwidacji szkody może podlegać RODO, zasadom ochrony konsumenta, wymogom dotyczącym działalności ubezpieczeniowej i odpowiedzialności kontraktowej. Jeżeli wbudowano w nie niedozwolone funkcje lub używa ono danych w sposób niezgodny z prawem, wyłączenie z jednej kategorii wysokiego ryzyka nie legalizuje działania.

Dane o zdrowiu pod szczególną ochroną

Dane dotyczące zdrowia są szczególną kategorią danych osobowych. Ich przetwarzanie wymaga spełnienia nie tylko ogólnej podstawy z art. 6 RODO, lecz także jednej z przesłanek z art. 9. Ubezpieczyciel powinien ograniczać zakres danych, jasno określać cel, czas przechowywania, odbiorców oraz źródło informacji. Zgromadzenie danych dlatego, że mogą kiedyś poprawić model, nie spełnia zasady minimalizacji.

Ryzyko wzrasta, gdy system sięga po dane z urządzeń noszonych, aplikacji zdrowotnych, historii zakupów lub aktywności internetowej. Informacja pozornie neutralna może ujawniać stan zdrowia albo pozwalać go przewidzieć. Osobnej oceny wymaga wtórne wykorzystanie danych zebranych do innego celu. Ubezpieczyciel nie powinien zakładać, że techniczna dostępność informacji oznacza prawo do jej użycia przy kalkulacji składki.

Obowiązki dostawcy i ubezpieczyciela

Po rozpoczęciu stosowania przepisów dla wysokiego ryzyka dostawca będzie odpowiadał za system zarządzania ryzykiem, jakość i zarządzanie danymi, dokumentację, logi, przejrzystość, nadzór człowieka, dokładność, odporność oraz cyberbezpieczeństwo. Ubezpieczyciel jako podmiot stosujący ma korzystać z systemu zgodnie z instrukcją, zapewnić kompetentną kontrolę, monitorować działanie i reagować na ryzyko.

Kontrola człowieka nie może być fikcją. Pracownik powinien rozumieć ograniczenia modelu, znać znaczenie wyniku i mieć uprawnienie do odejścia od rekomendacji. Jeżeli każda propozycja ceny jest automatycznie akceptowana, a człowiek reaguje dopiero po skardze, trudno mówić o skutecznym nadzorze na etapie decyzji.

Klient poinformowany o działaniu systemu AI

Gdy system wysokiego ryzyka z załącznika III wspiera decyzję dotyczącą konkretnej osoby, podmiot stosujący powinien poinformować ją o użyciu AI. Jeżeli decyzja oparta na wyniku systemu wywołuje skutki prawne lub w podobny sposób istotnie wpływa na klienta, może powstać prawo do jasnego i znaczącego wyjaśnienia roli systemu oraz głównych elementów rozstrzygnięcia.

W praktyce klient powinien móc zrozumieć, czy na podwyższenie składki wpłynęły dane o stanie zdrowia, błąd w dokumentacji, określony profil ryzyka czy inny czynnik. Wyjaśnienie nie musi ujawniać tajemnicy przedsiębiorstwa, ale nie może ograniczać się do informacji, że „system ocenił ryzyko jako podwyższone”. Niezbędny jest też mechanizm poprawienia nieprawidłowych danych.

Dyskryminacja i błędy modelu ubezpieczeniowego

Model może odtwarzać historyczne nierówności albo używać zmiennych zastępczych skorelowanych z cechami chronionymi. Problemem jest również niedostateczna reprezentacja określonych grup w danych treningowych, przez co system działa dla nich mniej dokładnie. Ubezpieczyciel powinien badać rozkład błędów, a nie wyłącznie średnią trafność całego portfela.

AI Act nie ustanawia prawa do polisy w każdej sytuacji ani nie zakazuje różnicowania ceny na podstawie legalnych czynników ryzyka. Wymaga jednak, aby system wysokiego ryzyka spełniał określone standardy, a jego użycie pozostawało zgodne z pozostałym prawem. Niedozwolona dyskryminacja nie staje się legalna dlatego, że kryterium wyprowadził model, a nie człowiek.

Audyt modeli przed grudniem 2027 r.

Ubezpieczyciele powinni zidentyfikować wszystkie modele używane przy ocenie ryzyka i taryfikacji, ustalić ich przeznaczenie oraz rodzaje polis, których dotyczą. Następnie trzeba sprawdzić źródła danych, umowy z dostawcami, możliwość odtworzenia decyzji, procedury korekty informacji i rzeczywisty udział człowieka. Osobno należy sklasyfikować narzędzia obsługujące roszczenia, marketing, wykrywanie nadużyć i kontakt z klientem, ponieważ mogą podlegać innym obowiązkom.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, w szczególności art. 6, art. 26, art. 86 oraz załącznik III pkt 5 lit. c.
• AI Act Service Desk, przykłady systemów AI stosowanych w ubezpieczeniach na życie i zdrowotnych.
• Komisja Europejska, projekt wytycznych dotyczących klasyfikacji systemów wysokiego ryzyka, 19 maja 2026 r.
• 4Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, w szczególności art. 5, art. 6, art. 9 i art. 22.
• Komisja Europejska, harmonogram stosowania AI Act po porozumieniu politycznym z 7 maja 2026 r.