Assicurazione, insurtech e piattaforme di gestione dei sinistri

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 22
• Directive (EU) 2016/97 — insurance distribution
• Regulation (EU) 2024/1689 — AI Act, Annex III for life and health risk pricing
• Regulation (EU) 2022/2554 — DORA for financial entities

Chi deve nominarlo

Fornitori al di fuori dell'Unione che offrono tecnologia assicurativa, gestione dei sinistri o servizi di distribuzione ai clienti dell'UE. Gli obblighi relativi ai dati si applicano a qualsiasi trattamento dei dati dei contraenti dell'UE. L'attività assicurativa stessa richiede autorizzazione o registrazione in uno stato membro, che nessun rappresentante fornisce.

Soglie ed esenzioni

Nessuna soglia GDPR. Ai sensi dell'AI Act, i sistemi utilizzati per la valutazione del rischio e la determinazione dei prezzi nell'assicurazione vita e salute sono considerati ad alto rischio ai sensi dell'Allegato III, con obblighi a partire da agosto 2026.

Cosa deve comparire in etichetta

Non fisico. Il rappresentante nell'informativa sulla privacy, le informazioni precontrattuali richieste dalla Direttiva sulla distribuzione, e dove vengono prese decisioni automatizzate, informazioni sulla logica coinvolta ai sensi dell'Articolo 22 GDPR.

Campi sui marketplace

Le compagnie assicurative che procurano tecnologia richiedono termini contrattuali conformi a DORA, inclusi piani di uscita e diritti di audit, poiché le entità finanziarie devono gestire il rischio ICT di terzi. Questo è diventato il fattore limitante per i fornitori che vendono nel settore.

Documentazione da tenere

Registri dell'Articolo 30, termini dell'Articolo 28, designazione dell'Articolo 27, una valutazione d'impatto sulla protezione dei dati che copre il profiling e qualsiasi dato di categoria speciale come la salute, programmi di conservazione allineati ai periodi di limitazione dei sinistri, il meccanismo di trasferimento, e per l'IA ad alto rischio la documentazione tecnica e la valutazione di conformità.

Norme e prove

Valutazione di bias e accuratezza per modelli di pricing e sinistri, e per i fornitori rilevanti per DORA, partecipazione ai test di resilienza dell'entità finanziaria.

Requisiti linguistici

Informazioni rivolte ai contraenti nella lingua dello stato membro in cui si trova il rischio.

Da quando si applica

Il rappresentante prima dell'inizio del trattamento. DORA si applica dal 17 gennaio 2025. Obblighi ad alto rischio dell'AI Act dal 2 agosto 2026.

Per quanto si conservano i documenti

Dati sui sinistri per il periodo di limitazione applicabile al sinistro, che è lungo, ma i dati sulla salute all'interno devono essere minimizzati e controllati nell'accesso piuttosto che mantenuti apertamente.

Cosa succede se non sei in regola

Sanzioni GDPR fino al 4% del fatturato, azioni di vigilanza da parte dei regolatori assicurativi, inclusa la proibizione della distribuzione, e sanzioni dell'AI Act fino a €15 milioni o 3%.

Chi controlla

Autorità di protezione dei dati, supervisori nazionali delle assicurazioni e EIOPA, e autorità di sorveglianza del mercato dell'AI Act.

Dove passa il confine

Il rifiuto automatizzato di un sinistro senza coinvolgimento umano attiva l'Articolo 22 GDPR, e la determinazione dei prezzi per coperture vita o salute utilizzando un sistema di IA è ad alto rischio ai sensi dell'Allegato III. I dati sulla salute nei sinistri sono dati di categoria speciale che richiedono una condizione ai sensi dell'Articolo 9, che per le assicurazioni è solitamente il consenso esplicito o una deroga nazionale.

Le domande che ci fanno

Un rappresentante UE ci consente di vendere assicurazioni nell'UE?

No. La distribuzione richiede la registrazione o l'autorizzazione di un'entità in uno stato membro. Il rappresentante soddisfa solo la protezione dei dati.

Il triage dei sinistri è ad alto rischio ai sensi dell'AI Act?

La valutazione del rischio e la determinazione dei prezzi per l'assicurazione vita e salute sono elencate nell'Allegato III. Altre automazioni dei sinistri potrebbero non esserlo, ma l'Articolo 22 GDPR si applica comunque alle decisioni senza coinvolgimento umano.