Die aufsichtsrechtlichen Erwartungen der FINMA

Vom Risikomonitor 2023 zur Aufsichtsmitteilung 08/2024

Die FINMA hat kein Rundschreiben zur künstlichen Intelligenz erlassen. Sie hat sich entschieden, ihre Erwartungen im bestehenden Rahmen von Governance und Risikomanagement zu formulieren, im Einklang mit ihrem prinzipienbasierten und technologieneutralen Ansatz. In ihrem Risikomonitor 2023 beschrieb sie vier Erwartungsbereiche: Governance und Verantwortlichkeit, Robustheit und Zuverlässigkeit, Transparenz und Erklärbarkeit sowie Gleichbehandlung. Die FINMA erläuterte, ihre Sorge sei, dass von KI erzeugte Ergebnisse von Menschen nicht verstanden oder erklärt werden könnten, dass sich Fehler oder Ungleichbehandlungen unbemerkt einschleichen könnten und dass die Verantwortung für KI-gestützte Entscheide unklar bleiben könnte. Ab dem vierten Quartal 2023 führte die FINMA Vor-Ort-Kontrollen und Aufsichtsgespräche mit Instituten durch, die KI in grossem Umfang oder in aufsichtsrelevanten Bereichen einsetzten.¹

Am 18. Dezember 2024 veröffentlichte die FINMA die Aufsichtsmitteilung 08/2024 zu Governance und Risikomanagement beim Einsatz künstlicher Intelligenz. Die Aufsichtsmitteilung fasst die Beobachtungen der FINMA aus ihrer Aufsicht zusammen und hält fest, dass sich die meisten Institute noch in einem frühen Stadium befanden und ihre Governance- und Risikomanagementstrukturen erst aufbauten. Sie benennt operationelle Risiken, insbesondere Modellrisiken wie mangelnde Robustheit, Korrektheit oder Erklärbarkeit sowie Verzerrungen (Bias). Ferner führt sie datenbezogene Risiken hinsichtlich Sicherheit, Qualität und Verfügbarkeit, IT- und Cyberrisiken, eine wachsende Abhängigkeit von Dritten sowie Rechts- und Reputationsrisiken auf.²

Der Inhalt der Aufsichtsmitteilung

Die Aufsichtsmitteilung beschreibt die Massnahmen, die die FINMA für angemessen hält und an denen sie die Institute in ihrer Aufsicht misst. Von den Instituten wird erwartet, dass sie eine klare Governance mit festgelegten Verantwortlichkeiten für Entwicklung, Implementierung, Überwachung und Nutzung von KI einrichten. Sie sollten ein Inventar der in der Organisation eingesetzten KI-Systeme erstellen und diese nach Risiko klassifizieren. Die Datenqualität muss sichergestellt werden, da in vielen Anwendungen die Qualität der Daten wichtiger ist als die Wahl des Modells. Systeme sollten vor dem Einsatz getestet und laufend überwacht werden, gestützt auf eine umfassende und leicht zugängliche Dokumentation. Die Erklärbarkeit muss gewährleistet sein, wo Entscheide gegenüber Kunden, Mitarbeitenden oder Aufsichtsbehörden begründet werden müssen, und wo angezeigt, sollten unabhängige Überprüfungen durchgeführt werden. Schliesslich müssen die Mitarbeitenden geschult werden, damit KI sachgerecht und ethisch eingesetzt wird. Die FINMA stellt all dies unter den Grundsatz der Verhältnismässigkeit: Die Intensität der Massnahmen soll von der Wesentlichkeit der KI-Systeme und von der Wahrscheinlichkeit abhängen, dass sich die damit verbundenen Risiken verwirklichen.³

Zwei Merkmale der Aufsichtsmitteilung verdienen besondere Beachtung. Das erste ist ihr Umgang mit Dritten. Verwendet ein Institut Modelle, Hardware oder Cloud-Dienste externer Anbieter, bleibt es für die Risiken verantwortlich, und die FINMA erwartet einen integrierten Ansatz, der der Logik der Auslagerungsregeln folgt. Das zweite betrifft die Rechtsnatur des Dokuments. Aufsichtsmitteilungen der FINMA sind kein verbindliches Recht, beschreiben aber die Aufsichtspraxis, die die FINMA anwendet, wenn sie beurteilt, ob ein Institut die gesetzliche Anforderung einer angemessenen Organisation und eines angemessenen Risikomanagements erfüllt. Ein Institut, das von der Aufsichtsmitteilung abweicht, muss erklären können, weshalb sein eigener Ansatz denselben Schutz erreicht. In der Praxis sind das Inventar, die Risikoklassifizierung und die Dokumentation der Tests die Elemente, die Prüfgesellschaften und die FINMA zuerst verlangen.

Aufsichtsschwerpunkte nach 2024

Der Risikomonitor 2025 der FINMA führt künstliche Intelligenz nicht als eigenständiges Hauptrisiko auf. Er nennt neun Hauptrisiken, von denen Auslagerungen, Cyberangriffe und die Komplexität der Informations- und Kommunikationstechnologie für KI unmittelbar relevant sind. Die FINMA forderte robustere Kontrollen über die Auslagerung kritischer Funktionen und wies darauf hin, dass fast die Hälfte aller gemeldeten Vorfälle Dritte betraf.⁴ Diese Einordnung ist folgerichtig. Aus aufsichtsrechtlicher Sicht verwirklichen sich die meisten KI-Risiken als operationelle, Auslagerungs- oder Cyberrisiken und lassen sich daher in bestehenden Kategorien erfassen. Ein KI-Modell, das versagt, ist ein operationeller Vorfall, eines, das Daten preisgibt, wirft eine Frage der Cybersicherheit und des Datenschutzes auf, und die Abhängigkeit von einem einzigen amerikanischen Anbieter von Sprachmodellen ist ein Auslagerungs- und Konzentrationsrisiko. Der Ansatz der FINMA stellt KI somit in einen Rahmen, den die Schweizer Institute bereits kennen; dies verringert die Unsicherheit, bedeutet aber auch, dass die massgeblichen Regeln über mehrere Instrumente verteilt sind.

Anmerkungen

1. FINMA, «Künstliche Intelligenz: Die FINMA formuliert ihre Erwartungen» (Dossier Fintech), https://www.finma.ch/en/documentation/dossier/dossier-fintech/kuenstliche-intelligenz/ (abgerufen im September 2026). Gemäss dem Dossier begrüsste die Branche die Technologieneutralität und den risikobasierten Ansatz der FINMA. ↩
2. FINMA, «FINMA guidance on governance and risk management when using artificial intelligence», Medienmitteilung vom 18. Dezember 2024, https://www.finma.ch/en/news/2024/12/20241218-mm-finma-am-08-24/. ↩
3. Pestalozzi, «FINMA guidance on governance and risk management when using AI», https://pestalozzilaw.com/en/insights/news/legal-insights/finma-guidance-on-governance-and-risk-management-when-using-ai/ (abgerufen im September 2026), mit einer Zusammenfassung der FINMA-Aufsichtsmitteilung 08/2024. ↩
4. FINMA, «FINMA Risk Monitor 2025: accentuated geopolitical risks – cyber and real estate risks continue to grow», 17. November 2025, https://www.finma.ch/en/news/2025/11/20251117-mm-risikomonitor/. ↩

Nur zur allgemeinen Information. Dieser Beitrag ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Rechtsstand: 10/2026.