Am 18. Dezember 2024 hat die Eidgenössische Finanzmarktaufsicht (FINMA) die Aufsichtsmitteilung 08/2024 zu Governance und Risikomanagement beim Einsatz von künstlicher Intelligenz veröffentlicht. Ein KI-spezifisches Finanzmarktgesetz gibt es in der Schweiz nicht. Die FINMA stützt sich auf die bestehenden, technologieneutralen und prinzipienbasierten Anforderungen an eine wirksame Governance und ein angemessenes Risikomanagement.
Aufsichtsmitteilungen sind keine Verordnungen. Sie zeigen, welche Risiken die FINMA beobachtet und was sie bei beaufsichtigten Instituten erwartet und prüft. Für Unternehmen ausserhalb der Finanzbranche gilt die Mitteilung nicht. Wer KI-Lösungen an Banken, Versicherungen oder Vermögensverwalter liefert, sollte sie aber kennen, denn die Institute geben diese Erwartungen an ihre Lieferanten weiter.
Kernbotschaft
Institute, die KI einsetzen, sollen die Auswirkungen auf ihr Risikoprofil aktiv berücksichtigen und Governance, Risikomanagement und Kontrollsysteme entsprechend ausrichten. Massstab sind Grösse, Komplexität, Struktur und Risikoprofil des Instituts, die Wesentlichkeit der einzelnen Anwendungen und die Wahrscheinlichkeit, dass Risiken eintreten.
Risiken, die die FINMA beobachtet
Laut FINMA bestehen die Risiken vor allem bei:
- operationellen Risiken, insbesondere Modellrisiken wie mangelnder Robustheit, Korrektheit, Verzerrungen (Bias) und Erklärbarkeit;
- IT- und Cyberrisiken;
- der wachsenden Abhängigkeit von Dritten (Hardware, Modelle, Cloud) in einem konzentrierten Markt;
- rechtlichen Risiken und Reputationsrisiken;
- unklaren Verantwortlichkeiten, wenn Systeme dezentral entwickelt werden oder schwer erklärbar sind.
Was die FINMA in der Aufsicht prüft (Auswahl)
Governance
Zentrale Steuerung, klare Verantwortlichkeiten für Entwicklung, Umsetzung, Überwachung und Nutzung, Vorgaben zu Tests und Dokumentation sowie Schulungen. Bei ausgelagerten Lösungen zusätzlich: Tests und Kontrollen, vertragliche Regeln zu Verantwortung und Haftung und eine Prüfung, ob der Dienstleister über die nötigen Fähigkeiten verfügt.
Inventar und Risikoklassifizierung
Eine ausreichend breite Definition von KI, ein vollständiges Inventar und einheitliche Kriterien, um wesentliche Anwendungen zu erkennen, die besondere Aufmerksamkeit brauchen. Die FINMA hat beobachtet, dass manche Institute KI so eng definieren, dass nur ein Teil der Anwendungen und Risiken erfasst wird.
Datenqualität
Vorgaben und Kontrollen zu Vollständigkeit, Korrektheit und Integrität der Daten sowie zu deren Verfügbarkeit und Zugriff. Bei zugekauften Lösungen haben Institute oft keinen Einfluss auf die Trainingsdaten; dieses Risiko muss bekannt sein und gesteuert werden.
Tests und laufende Überwachung
Tests zu Genauigkeit, Robustheit, Stabilität und gegebenenfalls Bias; vorab festgelegte Leistungskennzahlen; Erkennung von Veränderungen in den Daten (Data Drift); Auswertung von Fällen, in denen Ergebnisse manuell korrigiert oder nicht verwendet wurden; Überlegungen für den Ausfall (Fallback).
Dokumentation und Erklärbarkeit
Für wesentliche Anwendungen: Zweck, Datenauswahl, Modellwahl, Leistungsmasse, Annahmen, Grenzen, Tests, Kontrollen und Fallback. Bei wichtigen Entscheidungen müssen die Ergebnisse nachvollziehbar und plausibel begründbar sein.
Unabhängige Überprüfung
Für wesentliche Anwendungen: eine objektive, sachkundige und unvoreingenommene Beurteilung, ob die Anwendung angemessen und zuverlässig ist, durch Personen, die nicht an der Entwicklung beteiligt waren.
Was Finanzinstitute von ihren Anbietern wissen wollen
Auch wenn Sie selbst nicht von der FINMA beaufsichtigt sind, fragen Finanzinstitute als Kunden typischerweise:
- Gibt es ein KI-Inventar mit Risikoeinstufung?
- Wer ist für Modell, Daten und Betrieb verantwortlich?
- Welche Tests und Schwellenwerte für die Überwachung sind dokumentiert?
- Wie sind Risiken durch Drittanbieter (z. B. Cloud-LLM, API) vertraglich und im Betrieb abgedeckt?
- Lassen sich Ergebnisse gegenüber Kundschaft, Prüfgesellschaft und Aufsicht erklären?
Massgebend sind die Finanzmarktgesetze und Rundschreiben, die für das jeweilige Institut gelten, etwa zu Auslagerungen und operationellen Risiken. Die Aufsichtsmitteilung zeigt, wie die FINMA diese Anforderungen beim Einsatz von KI anwendet.