Die aufsichtsrechtlichen Erwartungen der FINMA
Die Eidgenössische Finanzmarktaufsicht (FINMA) hat sich der künstlichen Intelligenz ohne eigenes Gesetz angenommen und stützt sich dabei auf ihre bestehenden Befugnisse in den Bereichen Governance, Risikomanagement und operationelle Resilienz. Ihr Risikomonitor 2023 bezeichnete den Einsatz künstlicher Intelligenz als einen Trend, der die Aufsicht prägen werde, und nannte vier Bereiche besonderer Aufmerksamkeit: Governance und Verantwortlichkeit, Robustheit und Zuverlässigkeit, Transparenz und Erklärbarkeit sowie Gleichbehandlung.1 Die im Dezember 2024 veröffentlichte FINMA-Aufsichtsmitteilung 08/2024 konkretisierte diese Erwartungen auf der Grundlage von Aufsichtsprüfungen und Vor-Ort-Kontrollen. Sie hielt fest, dass viele Institute bei der Erfassung ihrer KI-Anwendungen und deren Einstufung nach Risiko noch Schwächen aufwiesen und dass die Verantwortlichkeiten oft unklar waren, wenn die Modelle von externen Anbietern stammten.2
Die Aufsichtsmitteilung beschreibt, was die FINMA in der Praxis erwartet. Die Institute sollten ein Inventar ihrer KI-Anwendungen führen, diese nach Wesentlichkeit und Risiko einstufen und klare Verantwortlichkeiten für ihre Entwicklung, Einführung, Überwachung und Nutzung zuweisen. Sie sollten Modelle vor dem Einsatz auf Genauigkeit, Robustheit und Stabilität testen und sie während der Nutzung überwachen, weil sich die Leistung eines Modells verschlechtern kann, wenn sich die Daten ändern, auf die es trifft. Wo sich die Ergebnisse nicht hinreichend genau erklären lassen, sollte das Institut prüfen, ob ihre Verwendung für den betreffenden Zweck gerechtfertigt ist.3 Die Aufsichtsmitteilung betont zudem Datenqualität, Dokumentation und unabhängige Überprüfung sowie das Management der Risiken aus Auslagerungen, wenn sich Institute auf externe Modelle stützen.
Dieser Ansatz entspricht der prinzipienbasierten Tradition der schweizerischen Finanzmarktaufsicht, die Teil E, Kapitel II beschrieben hat. Das seit 2024 geltende FINMA-Rundschreiben zu operationellen Risiken und Resilienz verlangte von den Banken bereits, ihre kritischen Funktionen zu identifizieren und die Risiken aus der Informations- und Kommunikationstechnologie sowie aus Drittparteien zu steuern. Das Outsourcing-Rundschreiben von 2018 regelt die Auslagerung wesentlicher Funktionen an Dienstleister, einschliesslich Cloud-Anbietern. Die künstliche Intelligenz tritt somit in einen Rahmen ein, der weitgehend bestand, bevor die Technologie zu einem öffentlichen Thema wurde.4 Der Vorteil dieses Ansatzes ist seine Flexibilität. Seine Grenze liegt darin, dass die Erwartungen allgemein bleiben, sodass die Institute sie für jede Anwendung auslegen müssen und unter Umständen erst im Verlauf einer Prüfung erfahren, wie die FINMA die Sache sieht.
Anmerkungen
- FINMA, Risikomonitor 2023, November 2023, Abschnitt zur künstlichen Intelligenz. ↩
- FINMA-Aufsichtsmitteilung 08/2024, Governance und Risikomanagement beim Einsatz künstlicher Intelligenz, 18. Dezember 2024. ↩
- FINMA-Aufsichtsmitteilung 08/2024, Abschnitte zu Inventar, Risikoklassifizierung, Datenqualität, Tests, Überwachung, Dokumentation, Erklärbarkeit und unabhängiger Überprüfung. ↩
- FINMA-Rundschreiben 2023/1 Operationelle Risiken und Resilienz – Banken, in Kraft seit 1. Januar 2024; FINMA-Rundschreiben 2018/3 Outsourcing. Vgl. Teil E, Kapitel II, Abschnitt zu Innovation, Outsourcing und operationeller Resilienz. ↩
Nur zur allgemeinen Information. Dieser Beitrag ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Rechtsstand: 10/2026.