Künstliche Intelligenz ist innert weniger Jahre in zentrale Geschäftsprozesse von Versicherungen vorgedrungen. Damit entstehen Risiken, die über klassische operationelle Risiken hinausgehen: Generative KI-Risiken, eine erschwerte Nachvollziehbarkeit der Datenverarbeitung und ungeklärte Verantwortlichkeiten bei teilautonomen Entscheiden. Gleichzeitig fehlt ein Steuerungsinstrument, das internationale Standards mit den regulatorischen und organisatorischen Gegebenheiten einer Schweizer Versicherung verbindet und im Tagesgeschäft anwendbar bleibt.

Grundlage bildet eine systematische Literaturanalyse nach PRISMA 2020 mit 18 eingeschlossenen Studien, ergänzt um 21 regulatorische und praxisorientierte Quellen. Dazu kommen sechs leitfadengestützte Experteninterviews mit Fachpersonen aus AI-Governance, Risikomanagement, Data Governance und Datenschutz. Aus der Zusammenführung von Literatur, Regulierung und Praxisperspektive wurde das Framework konstruktiv hergeleitet und auf die bestehenden Strukturen der Auftraggeberschaft abgestimmt.

Das Framework umfasst eine vorgelagerte Inventarisierung aller KI-Anwendungen und vier Kernelemente: die Risikokategorisierung (operationale, Datenschutz- und Informationssicherheits- sowie Governance- und Rechtsrisiken), fünf Bewertungskriterien (Automatisierungsgrad, Datenklasse, Datenqualität, Drittanbieterabhängigkeit, Auswirkung auf Versicherte), abgestufte Steuerungsmassnahmen (Testing, Dokumentation, menschliche Kontrolle, Eskalation, Review-Zyklen) sowie eine Governance-Struktur mit klaren Rollen. Je Anwendung entsteht ein managementtaugliches, ampelbasiertes Risikoprofil mit direkt ersichtlichem Handlungsbedarf. Da sich der Grossteil der KI-Risiken bestehenden operationellen Kategorien zuordnen lässt, ist das Framework kein eigenständiges Regelwerk, sondern knüpft an das interne Kontrollsystem und die konzernweiten Methodenvorgaben an; es setzt an der Wirkung einer Anwendung an, nicht an ihrer Technologie. Fünf Handlungsempfehlungen reichen von der rückwirkenden Inventarisierung über eine eigenständige KI-Governance-Funktion bis zur Budgetierung des Testings als Daueraufgabe. Empfohlen wird eine Pilotierung an Anwendungen unterschiedlicher Risikostufen.