FINMA-Aufsichtsmitteilung 08/2024

Am 18. Dezember 2024 veröffentlichte die FINMA die Aufsichtsmitteilung 08/2024 zu Governance und Risikomanagement beim Einsatz künstlicher Intelligenz. Die Aufsichtsmitteilung schafft keine neuen Regeln. Sie beschreibt die Beobachtungen der FINMA aus der Aufsicht und erläutert, wie die bestehenden Anforderungen an Governance, Risikomanagement und interne Kontrolle auf künstliche Intelligenz anzuwenden sind. Die FINMA identifizierte operationelle Risiken, insbesondere Modellrisiken wie mangelnde Robustheit, Korrektheit, Erklärbarkeit oder Verzerrungen (Bias), sowie Datenrisiken, IT- und Cyberrisiken, die wachsende Abhängigkeit von Dritten sowie Rechts- und Reputationsrisiken.¹ Sie stellte fest, dass «die meisten Finanzinstitute noch am Anfang der Entwicklung stehen» und die Governance-Strukturen «sich noch im Aufbau befinden».² Die Aufsichtsmitteilung legt sodann ihre Beobachtungen und Erwartungen in sieben Bereichen dar:

● Governance: Die Institute konzentrierten sich «primär auf Datenschutzrisiken, weniger aber auf Modellrisiken». Die FINMA erwartet eine zentrale Übersicht, klare Verantwortlichkeiten und einheitliche Standards im gesamten Institut.

● Inventar und Risikoklassifizierung: Einige Institute «definierten KI eng». Die FINMA erwartet eine hinreichend breite Definition, ein vollständiges Inventar und eine Klassifizierung der Anwendungen nach Wesentlichkeit und nach der Wahrscheinlichkeit, dass sich Risiken verwirklichen.

● Datenqualität: Den Instituten fehlten oft Kontrollen, die sicherstellen, dass Daten vollständig, korrekt und integer sind und ihre Verfügbarkeit und der Zugang zu ihnen gesichert sind.

● Tests und laufende Überwachung: Anwendungen sollten auf Genauigkeit, Robustheit und Stabilität getestet werden, mit Leistungsindikatoren, Schwellenwerten und der Erkennung von «Data Drift».

● Dokumentation: Die Dokumentation war oft «nicht ausreichend detailliert und empfängerorientiert». Für wesentliche Anwendungen sollte sie Zweck, Datenauswahl, Modellauswahl, Leistungsmasse, Grenzen und Rückfalllösungen abdecken.

● Erklärbarkeit: Ergebnisse «können oft nicht nachvollzogen, erklärt oder reproduziert werden». Wo Entscheidungen gegenüber Kunden, Investoren oder der Aufsicht begründet werden müssen, muss das Institut sie erklären können.

● Unabhängige Überprüfung: «Nur wenige Beaufsichtigte» liessen wesentliche Anwendungen durch qualifiziertes Personal unabhängig überprüfen.³ Die Aufsichtsmitteilung wendet den Grundsatz der Verhältnismässigkeit an. Ein kleiner Luganeser Vermögensverwalter, der einen Chatbot zum Verfassen von Texten einsetzt, braucht nicht die Modell-Governance einer Grossbank. Er muss aber wissen, welche Anwendungen künstlicher Intelligenz er einsetzt, beurteilen, welche davon wesentlich sind, und sicherstellen, dass ihre Ergebnisse von einer Person mit der nötigen Kompetenz geprüft werden, bevor sie in Entscheidungen einfliessen, die Kunden oder die Compliance betreffen.⁴ Für Banken liegt die Rechtsgrundlage dieser Erwartungen in den organisatorischen Anforderungen des Bankengesetzes (BankG) und der Bankenverordnung (BankV), die eine dem Geschäft angemessene Organisation und ein wirksames internes Kontrollsystem verlangen, für Vermögensverwalter und Trustees in den entsprechenden Bestimmungen des Finanzinstitutsgesetzes (FINIG).⁵

Anmerkungen

1. FINMA, «FINMA publishes guidance on governance and risk management when using artificial intelligence» (18. Dezember 2024), https://www.finma.ch/en/news/2024/12/20241218-mm-finma-am-08-24/. ↩
2. Medienmitteilung der FINMA vom 18. Dezember 2024 (oben). ↩
3. FINMA, Aufsichtsmitteilung 08/2024 (oben), Abschnitte 2.1–2.7 (Zitate im englischen Original nach der offiziellen Übersetzung). ↩
4. FINMA, Aufsichtsmitteilung 08/2024 (oben) (die FINMA verfolgt «a technology-neutral, proportional and standardised approach» und verweist auf «the materiality of the AI applications used and the probability that the risks ... will materialise»). Das Beispiel eines kleinen Vermögensverwalters ist eine Anwendung der Aufsichtsmitteilung durch den Autor. ↩
5. Bundesgesetz vom 8. November 1934 über die Banken und Sparkassen (Bankengesetz, BankG), SR 952.0, Art. 3 Abs. 2 lit. a (Geschäftskreis und eine dem Geschäft entsprechende Verwaltungsorganisation), https://www.droit-bilingue.ch/de-fr/9/95/952.0-3-10.html; Bankenverordnung vom 30. April 2014 (BankV), SR 952.02, Art. 12 («Funktionentrennung und Risikomanagement»), https://www.droit-bilingue.ch/de-fr/9/95/952.02-12-20.html; Bundesgesetz vom 15. Juni 2018 über die Finanzinstitute (Finanzinstitutsgesetz, FINIG), SR 954.1, Art. 9 («Organisation») und Art. 21 (Vermögensverwalter und Trustees müssen über «ein angemessen ausgestattetes Risikomanagement und eine wirksame interne Kontrolle» verfügen), https://www.droit-bilingue.ch/de-fr/9/95/954.1-21-24.html. ↩

Nur zur allgemeinen Information. Dieser Beitrag ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Rechtsstand: 10/2026.