Verzekering, insurtech en claimsplatforms

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 22
• Directive (EU) 2016/97 — insurance distribution
• Regulation (EU) 2024/1689 — AI Act, Annex III for life and health risk pricing
• Regulation (EU) 2022/2554 — DORA for financial entities

Wie moet aanwijzen

Leveranciers buiten de Unie die verzekerings-technologie, schadebehandeling of distributiediensten aanbieden aan EU-klanten. De gegevensverplichtingen zijn van toepassing op elke verwerking van gegevens van EU-polishouders. De verzekeringsactiviteit zelf vereist autorisatie of registratie in een lidstaat, wat geen enkele vertegenwoordiger biedt.

Drempels en vrijstellingen

Geen GDPR-drempel. Onder de AI Act zijn systemen die worden gebruikt voor risicobeoordeling en prijsstelling in levens- en gezondheidsverzekeringen hoog-risico onder Bijlage III, met verplichtingen vanaf augustus 2026.

Wat op het etiket moet

Niet fysiek. De vertegenwoordiger in de privacyverklaring, de pre-contractuele informatie vereist door de distributierichtlijn, en waar geautomatiseerde beslissingen worden genomen, informatie over de betrokken logica onder Artikel 22 GDPR.

Marktplaatsvelden

Verzekeraars die technologie aanschaffen vereisen DORA-klaar contractuele voorwaarden inclusief exitplannen en auditrechten, aangezien financiële entiteiten derde-partij ICT-risico's moeten beheren. Dit is de bepalende factor geworden voor leveranciers die in de sector verkopen.

Documentatie die u moet bewaren

Artikel 30 registraties, Artikel 28 voorwaarden, de Artikel 27 aanwijzing, een gegevensbeschermingseffectbeoordeling die profiling en eventuele speciale-categorie gegevens zoals gezondheid dekt, retentie-schema's afgestemd op de verjaringstermijnen voor claims, het overdrachtsmechanisme, en voor hoog-risico AI de technische documentatie en conformiteitsbeoordeling.

Normen en tests

Bias- en nauwkeurigheidsbeoordeling voor prijs- en claimsmodellen, en voor DORA-relevante leveranciers, deelname aan de veerkracht-testen van de financiële entiteit.

Taalvereisten

Informatie gericht op polishouders in de taal van de lidstaat waar het risico zich bevindt.

Vanaf wanneer

De vertegenwoordiger voordat de verwerking begint. DORA is van toepassing sinds 17 januari 2025. AI Act hoog-risico verplichtingen vanaf 2 augustus 2026.

Bewaartermijn

Claimsgegevens voor de verjaringstermijn die van toepassing is op de claim, wat lang is, maar gezondheidsgegevens daarin moeten geminimaliseerd en gecontroleerd op toegang zijn in plaats van openlijk bewaard.

Bij niet-naleving

GDPR-boetes tot 4% van de omzet, toezichthoudende acties van verzekeringsregulators inclusief verbod op distributie, en AI Act sancties tot €15 miljoen of 3%.

Wie handhaaft

Gegevensbeschermingsautoriteiten, nationale verzekeringssupervisors en EIOPA, en AI Act markttoezichtautoriteiten.

Waar de grens ligt

Geautomatiseerde afwijzing van claims zonder menselijke betrokkenheid raakt Artikel 22 GDPR, en prijsstelling van levens- of gezondheidsdekking met behulp van een AI-systeem is hoog-risico onder Bijlage III. Gezondheidsgegevens in claims zijn speciale-categorie gegevens die een Artikel 9 voorwaarde vereisen, wat voor verzekering meestal expliciete toestemming of een nationale afwijking is.

Veelgestelde vragen

Laat een EU-vertegenwoordiger ons verzekeringen verkopen in de EU?

Nee. Distributie vereist registratie of autorisatie van een entiteit in een lidstaat. De vertegenwoordiger voldoet alleen aan de gegevensbescherming.

Is claims triage hoog-risico onder de AI Act?

Risicobeoordeling en prijsstelling voor levens- en gezondheidsverzekeringen staan vermeld in Bijlage III. Andere claimsautomatisering is mogelijk niet hoog-risico, maar Artikel 22 GDPR is nog steeds van toepassing op beslissingen zonder menselijke betrokkenheid.