Am 18. Dezember 2024 hat die Eidgenössische Finanzmarktaufsicht (FINMA) die Aufsichtsmitteilung 08/2024 zu Governance und Risikomanagement beim Einsatz von künstlicher Intelligenz veröffentlicht. Es gibt in der Schweiz kein KI-spezifisches Finanzmarktgesetz; die FINMA stützt sich auf die bestehenden, technologieneutralen und prinzipienbasierten Anforderungen an wirksame Governance und Risikomanagement.
Die Mitteilung richtet sich an beaufsichtigte Institute. Für andere Branchen ist sie kein verbindlicher Standard – aber ein nützlicher Orientierungsrahmen, wenn Banken, Versicherer oder Vermögensverwalter KI beschaffen oder einsetzen.
Kernbotschaft
Institute, die KI nutzen, sollen die Auswirkungen auf ihr Risikoprofil aktiv berücksichtigen und Governance, Risikomanagement sowie Kontrollsysteme entsprechend ausrichten. Massstab sind Grösse, Komplexität, Struktur und Risikoprofil des Instituts sowie Wesentlichkeit der Anwendungen und die Wahrscheinlichkeit, dass Risiken eintreten.
Beobachtete Risikofelder
Laut FINMA liegen die Risiken vor allem bei:
- operationellen Risiken, insbesondere Modellrisiken (Robustheit, Korrektheit, Bias, Erklärbarkeit);
- IT- und Cyberrisiken;
- wachsender Abhängigkeit von Dritten (Hardware, Modelle, Cloud) in einem konzentrierten Markt;
- rechtlichen und Reputationsrisiken;
- unklarer Verantwortlichkeitsverteilung bei dezentraler Entwicklung und schwer erklärbaren Systemen.
Was die FINMA in der Aufsicht prüft (Auswahl)
Governance
Zentrale Steuerung, klare Verantwortlichkeiten für Entwicklung, Umsetzung, Überwachung und Nutzung, Testanforderungen, Dokumentationsstandards, Schulung. Bei Outsourcing: zusätzliche Tests, Kontrollen, vertragliche Regelungen zu Verantwortung und Haftung sowie Prüfung der Fähigkeiten Dritter.
Inventar und Risikoklassifizierung
Ausreichend breite Definition von KI, vollständiges Inventar und konsistente Kriterien für Anwendungen, die wegen Wesentlichkeit besondere Aufmerksamkeit brauchen. Eine zu enge Definition, um «nur die grossen Risiken» zu erfassen, hat die FINMA kritisch beobachtet.
Datenqualität
Anforderungen und Kontrollen für Vollständigkeit, Korrektheit und Integrität der Daten; Sicherung von Verfügbarkeit und Zugang. Bei zugekauften Lösungen oft fehlender Einfluss auf Trainingsdaten – ein bekanntes Risiko.
Tests und laufende Überwachung
Tests zu Genauigkeit, Robustheit, Stabilität und ggf. Bias; vordefinierte Leistungsindikatoren; Erkennung von Data Drift; Analyse von Fällen, in denen Outputs manuell korrigiert oder ignoriert wurden; Fallback-Überlegungen.
Dokumentation und Erklärbarkeit
Für wesentliche Anwendungen: Zweck, Datenauswahl, Modellwahl, Leistungsmasse, Annahmen, Grenzen, Tests, Kontrollen und Fallback. Ergebnisse müssen für kritische Entscheidungen nachvollziehbar und plausibilisierbar sein.
Unabhängige Überprüfung
Für wesentliche Anwendungen: objektive, informierte und unvoreingenommene Meinung zur Angemessenheit und Zuverlässigkeit – getrennt von der Entwicklung.
Praktische Ableitung für Beschaffung
Auch wenn Sie selbst nicht FINMA-beaufsichtigt sind, fragen FINMA-Kunden typischerweise:
- Liegt ein AI-Inventar mit Risikoklasse vor?
- Wer ist Owner für Modell, Daten und Betrieb?
- Welche Tests und Monitoring-Schwellen sind dokumentiert?
- Wie ist Drittparteienrisiko (Cloud-LLM, API) vertraglich und operativ abgedeckt?
- Können Entscheidungen gegenüber Kunden, Audit und Aufsicht erklärt werden?
Hinweis
Diese Seite ist informativ und keine Rechts- oder Aufsichtsberatung. Verbindlich sind die FINMA-Mitteilung und die auf Ihr Institut anwendbaren Finanzmarktvorschriften.