Laut einer Erhebung der Software AG nutzen 50 Prozent der Wissensarbeiter in Deutschland KI-Tools, die ihre Arbeitgeber nicht genehmigt haben. 57 Prozent verbergen das aktiv. In einem Maklerbüro mit fünf Mitarbeitern bedeutet das: Zwei oder drei nutzen ChatGPT oder ähnliche Dienste, um E-Mails an Kunden zu formulieren, Schadenmeldungen zusammenzufassen oder Deckungsvorschläge zu recherchieren. Und niemand im Büro weiß davon.
Das ist kein theoretisches Szenario. Es ist der Alltag in den meisten kleinen Betrieben, die noch keine interne KI-Richtlinie haben. Und es ist ein Problem, das sich mit einem einfachen Verbot nicht lösen lässt.
Was genau passiert, wenn Kundendaten in ChatGPT landen
Ein Mitarbeiter bekommt einen Schadenfall. Der Kunde schildert per E-Mail einen Wasserschaden: Name, Adresse, Vertragsnummer, Schadensumme, Fotos. Der Mitarbeiter kopiert die Mail in ChatGPT und bittet um eine Zusammenfassung für den Versicherer. In 30 Sekunden hat er ein sauberes Anschreiben.
Was dabei passiert: Personenbezogene Daten verlassen das Maklerbüro und landen auf Servern eines US-Unternehmens. Bei ChatGPT Free gibt es keinen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Die Daten können für das Training des Modells verwendet werden, sofern der Nutzer nicht widersprochen hat. Und selbst bei aktiviertem Opt-out bleibt die Verarbeitung auf US-Servern ohne angemessenes Datenschutzniveau nach dem EuGH-Schrems-II-Urteil rechtlich angreifbar.
Das Maklerbüro ist und bleibt der datenschutzrechtlich Verantwortliche nach Art. 4 Nr. 7 DSGVO. Nicht der Mitarbeiter, nicht OpenAI. Wenn die Landesdatenschutzbehörde prüft, haftet der Inhaber.
Makler sind keine Berufsgeheimnisträger, und das ändert nichts
Ein häufiges Missverständnis: In Steuerkanzleien ist Schatten-KI ein §203-StGB-Problem, weil Steuerberater Berufsgeheimnisträger sind. Jeder Mandatsdatensatz in einem ungeprüften Tool ist dort potenziell strafbar.
Versicherungsmakler fallen nicht unter §203 StGB. Der Paragraph schützt das Berufsgeheimnis von Ärzten, Rechtsanwälten, Steuerberatern und einigen weiteren explizit genannten Berufsgruppen. §34d-Makler gehören nicht dazu.
Das macht das Problem aber nicht kleiner. An die Stelle des Berufsgeheimnisses treten drei andere Rechtsrahmen, die jeweils eigene Pflichten schaffen:
- DSGVO: Kundendaten sind personenbezogene Daten. Jede Verarbeitung braucht eine Rechtsgrundlage (Art. 6 Abs. 1), jeden externen Verarbeiter braucht ein AVV (Art. 28), und der Verantwortliche muss die Sicherheit der Verarbeitung gewährleisten (Art. 32). Bei Verstößen drohen Bußgelder bis 20 Millionen Euro oder 4 Prozent des Jahresumsatzes.
- IDD-Regime: Die Versicherungsvertriebsrichtlinie und ihre deutsche Umsetzung verlangen organisatorische Vorkehrungen zum Schutz von Kundeninformationen. Wer diese Pflichten an ein KI-Tool delegiert, das er nicht kontrolliert, verletzt sie.
- §63 VVG (Beraterhaftung): Der Makler haftet persönlich für die Qualität seiner Beratung, unabhängig davon, welches Werkzeug er nutzt. Eine Deckungsempfehlung, die auf einer ChatGPT-Halluzination basiert, ist ein Beratungsfehler. Die Haftung bleibt beim Makler.
Die drei konkreten Risiken im Maklerbüro
Schatten-KI im Maklerbüro ist kein abstraktes Compliance-Thema. Es sind drei konkrete Szenarien, die regelmäßig eintreten.
Risiko 1: Bestandsdaten im Prompt. Der Klassiker. Ein Mitarbeiter gibt Kundennamen, Vertragsnummern oder Schadensschilderungen in ChatGPT ein, um schneller zu arbeiten. Die Daten sind draußen. Ob sie für Training verwendet werden oder nur auf US-Servern liegen, ist datenschutzrechtlich zweitrangig: Es fehlt die Rechtsgrundlage für die Übermittlung.
Risiko 2: Deckungsvorschläge aus der KI. ChatGPT kann plausibel klingende Versicherungsprodukte und Tarifbezeichnungen generieren, die es nicht gibt. Ein Mitarbeiter, der „Erstelle einen Vergleich BU-Versicherungen für einen 42-jährigen Ingenieur" eingibt, bekommt ein professionell wirkendes Ergebnis. Ob die genannten Tarife aktuell sind, ob die Bedingungsunterschiede stimmen, ob relevante Ausschlüsse fehlen: Das kann nur ein Mensch mit Fachkenntnis prüfen. Passiert das nicht, haftet der Makler nach §63 VVG für die fehlerhafte Empfehlung.
Risiko 3: Kundenkorrespondenz ohne Freigabe. E-Mails an Kunden, die von ChatGPT formuliert wurden, können falsche Zusagen enthalten, Fristen falsch nennen oder einen Beratungscharakter haben, der dokumentationspflichtig wäre. Der Kunde verlässt sich auf die schriftliche Aussage. Im Streitfall ist die E-Mail ein Beweismittel.
Warum ein Verbot das Problem verschärft
Die naheliegende Reaktion: ChatGPT verbieten. In der Praxis bewirkt das wenig. Die 57 Prozent, die ihre KI-Nutzung bereits aktiv verbergen, werden das weiterhin tun. Nur jetzt mit weniger Kontrolle, weil das Thema unter der Oberfläche bleibt.
Das eigentliche Problem ist nicht die Technologie. Es ist der Produktivitätsdruck. Ein Makler, der 45 Prozent seiner Arbeitszeit für regulatorische Administration aufwendet (BFV/AssCompact-Studie, n=565), sucht sich Abkürzungen. Wenn das Büro keine genehmigte Alternative anbietet, greift er zur nächstliegenden: dem kostenlosen ChatGPT-Account auf dem Privathandy.
Ein Verbot ohne Alternative löst das zugrunde liegende Problem nicht. Es treibt die Nutzung in den Untergrund, wo sie weder kontrolliert noch gesteuert werden kann.
Eine pragmatische KI-Richtlinie für ein kleines Maklerbüro
Was stattdessen funktioniert: eine kurze, verständliche interne Richtlinie mit vier Elementen.
Element 1: Zugelassene Tools. Definieren Sie, welche KI-Tools im Büro genutzt werden dürfen. Kriterien: AVV vorhanden, EU-Datenverarbeitung (oder nachweisbar gleichwertiger Schutz), kein Modelltraining mit Eingabedaten. Beispiele mit AVV-Option: ChatGPT Team/Enterprise (AVV über OpenAI, allerdings weiterhin US-Verarbeitung), Claude über die Anthropic API mit EU-Datenresidenz, Microsoft Copilot über Microsoft 365 (AVV über bestehenden M365-Vertrag). Für interne Texte ohne Kundendaten kann ChatGPT Free ausreichend sein.
Element 2: Datenkategorien. Zwei einfache Regeln. Nie in KI-Tools ohne AVV: Kundennamen, Vertragsnummern, Schadensschilderungen, Gesundheitsdaten, Finanzdaten. Frei nutzbar: allgemeine Formulierungshilfe, Bedingungswerk-Fragen ohne Kundenbezug, Marketing-Texte, interne Prozessdokumentation.
Element 3: Freigabepflicht. Jede KI-generierte Kundenkorrespondenz und jeder KI-gestützte Deckungsvorschlag oder IDD-Protokollentwurf muss vor dem Versand von einem fachkundigen Mitarbeiter geprüft werden. Das ist keine zusätzliche Bürokratie, sondern das, was §63 VVG ohnehin verlangt.
Element 4: Vierteljährliche Überprüfung. Einmal pro Quartal: Welche Tools werden tatsächlich genutzt? Funktioniert die Richtlinie in der Praxis? Gibt es neue Tools oder geänderte AVV-Bedingungen? Der AfW-Praxisleitfaden KI-Governance (Juli 2025) bietet dafür eine Vorlage.
Was ab August 2026 zusätzlich gilt
Ab dem 2. August 2026 greifen die Transparenzpflichten nach Artikel 50 des EU-KI-Gesetzes. Wer KI im Kundenkontakt einsetzt (Chatbots, KI-generierte E-Mails, automatisierte Schadenmeldungen), muss Kunden darüber informieren. Verstöße: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.
Die Kompetenzpflicht nach Artikel 4 gilt bereits seit dem 2. Februar 2025. Makler, die KI-Tools einsetzen, müssen nachweisen können, dass sie und ihre Mitarbeiter ausreichende KI-Kompetenz besitzen. Der AfW empfiehlt eine dokumentierte Schulung pro Jahr als Minimum.
Wichtig für die Einordnung: Die BaFin-Orientierungshilfe zu KI-Risiken (Dezember 2025) richtet sich an CRR-Kreditinstitute und Solvency-II-Versicherer. DORA nimmt Versicherungsvermittler, die KMU sind, in Artikel 2 Abs. 3 lit. e ausdrücklich aus. Die KI-Aufsicht über §34d-Makler wird voraussichtlich bei den IHKs liegen. Das heißt nicht, dass weniger gilt. Es heißt, dass ein anderer Rahmen greift.
Schatten-KI sichtbar machen, nicht verbieten
Schatten-KI ist kein Mitarbeiterproblem. Es ist ein Organisationsproblem. Die Mitarbeiter nutzen ChatGPT, weil sie schneller arbeiten wollen und keine genehmigte Alternative haben. Die Lösung ist nicht Kontrolle, sondern Struktur: zugelassene Tools, klare Datenregeln, eine Prüfpflicht für Kundenkommunikation und ein regelmäßiger Blick darauf, ob die Richtlinie in der Praxis funktioniert.
Wer sich nicht sicher ist, wo im eigenen Büro KI-Tools im Einsatz sind und welche Risiken das konkret birgt: Dafür gibt's die unabhängige KI-Potenzialanalyse. Eine ehrliche Bestandsaufnahme, bevor man Geld für Tools ausgibt oder auf das falsche vertraut. Und wer sich erst einen Überblick verschaffen will, findet in den weiteren Ratgeber-Artikeln mehr Einordnung, sortiert nach Branche.