FINMA-Aufsichtsmitteilung 08/2024 einfach erklärt: 7 Prüfpunkte

Was die Aufsichtsmitteilung 08/2024 ist

Am 18. Dezember 2024 hat die FINMA die Aufsichtsmitteilung 08/2024 «Governance und Risikomanagement beim Einsatz Künstlicher Intelligenz» veröffentlicht. Sie richtet sich an die Beaufsichtigten, also an Institute mit einer Bewilligung der FINMA wie Banken und Versicherungen, und ist acht Seiten lang.

Die Mitteilung ist kein Gesetz und kein neues Regelwerk. Die FINMA hält darin fest, dass es in der Schweiz zu diesem Zeitpunkt keine KI-spezifische Gesetzgebung gab und dass die bestehenden, technologieneutralen Anforderungen an Governance und Risikomanagement auch die Risiken aus KI erfassen. Dann beschreibt sie, was sie in Aufsichtsgesprächen und ersten Vor-Ort-Kontrollen beobachtet hat und woran sie die Institute gemessen hat. Wie viel ein Punkt verlangt, hängt von Grösse, Komplexität und Risikoprofil des Instituts ab und davon, wie wesentlich eine Anwendung ist.

Kurz: Die Mitteilung zeigt, welche Fragen die Aufsicht stellt. Für Firmen mit Kunden oder Anwendungen in der EU kommt der EU AI Act dazu. Was dort nach dem Omnibus gilt, steht im Beitrag EU AI Act nach dem Omnibus.

Die sieben Prüfpunkte und was sie im Alltag heissen

Die FINMA gliedert ihre Beobachtungen in sieben Punkte. Zu jedem steht hier zuerst, was die FINMA beobachtet oder geprüft hat, und dann, was das in einem Büro heisst.

Governance

Wer ist wofür verantwortlich. Die FINMA beobachtete, dass Institute vor allem auf Datenschutz achten und weniger auf Modellrisiken wie fehlende Korrektheit oder Robustheit, und dass KI oft verstreut in einzelnen Abteilungen entsteht. Sie prüfte, ob Zuständigkeiten für Entwicklung, Einführung, Überwachung und Nutzung festgelegt sind, ob es Vorgaben für Tests und Dokumentation gibt und ob die Mitarbeitenden geschult werden. Im Alltag: Jedes KI-Werkzeug hat eine benannte Person, die es verantwortet, und eine schriftliche Regel, wer es wofür benutzen darf.

Inventar und Risikoklassifizierung

Eine vollständige Liste aller KI-Anwendungen, jede mit einer Einstufung, wie viel von ihr abhängt. Die FINMA beobachtete, dass manche Institute KI eng definierten und dass Inventare lückenhaft waren, weil generative KI heute allen zugänglich ist. Im Alltag: Auf die Liste gehören auch der Chatbot im Browser, die KI-Funktion in der Buchhaltungssoftware und das Übersetzungswerkzeug. Was Kundendaten oder Entscheide über Kunden berührt, steht oben.

Datenqualität

KI lernt aus Daten und arbeitet mit Daten. Laut FINMA ist die Datenqualität oft wichtiger als die Wahl des Modells, und bei eingekauften Lösungen kennen Institute die zugrundeliegenden Daten häufig nicht. Im Alltag: Bevor ein Werkzeug Ergebnisse liefert, prüfen Sie, ob seine Daten vollständig, korrekt und aktuell sind, und wer sie pflegt.

Tests und laufende Überwachung

Die FINMA prüfte, ob Fachleute vorab Erwartungen festlegen, ob Kennzahlen definiert sind und ob die Ergebnisse regelmässig kontrolliert werden, zum Beispiel mit Stichproben oder vordefinierten Testfällen. Ausdrücklich nennt sie Fälle, in denen Anwender ein Ergebnis ignoriert oder geändert haben: Solche Korrekturen zeigen Schwachstellen. Im Alltag: Testen Sie ein Werkzeug an Fällen, deren richtiges Ergebnis Sie kennen, bevor es neue Fälle bearbeitet, und zählen Sie, wie oft Ihr Team ein Ergebnis korrigiert.

Dokumentation

Bei wesentlichen Anwendungen schaute die FINMA, ob Zweck, Datenauswahl, Annahmen, Grenzen, Tests, Kontrollen und Fallback-Lösungen beschrieben sind, und ob die Dokumentation detailliert genug und für ihre Leser geschrieben ist. Im Alltag: Eine Seite pro Werkzeug genügt für den Anfang: wozu, mit welchen Daten, wo die Grenzen liegen und was passiert, wenn es ausfällt.

Erklärbarkeit

Die FINMA stellte fest, dass Ergebnisse oft nicht nachvollzogen, erklärt oder reproduziert und deshalb auch nicht kritisch beurteilt werden können. Genauer hin schaute sie dort, wo ein Entscheid gegenüber Kundschaft, Mitarbeitenden, Aufsicht oder Prüfgesellschaft begründet werden muss. Im Alltag: Jedes Ergebnis zeigt, aus welchem Dokument und nach welcher Regel es entstanden ist. Kann das niemand zeigen, trägt es keinen Entscheid.

Unabhängige Überprüfung

Wer eine Anwendung baut, nimmt sie nicht allein ab. Die FINMA sah nicht überall eine klare Trennung zwischen Entwicklung und unabhängiger Überprüfung, und nur wenige Institute liessen den ganzen Entwicklungsprozess durch qualifizierte Leute prüfen. Im Alltag: Eine zweite Person, die nicht mitgebaut hat, prüft das Werkzeug und seine Ergebnisse, und ihr Befund fliesst in die nächste Version ein. Das ist das Vier-Augen-Prinzip, angewandt auf das Werkzeug selbst.

Was die FINMA-Umfrage 2025 zeigt

Wie weit KI in den Instituten verbreitet ist, hat die FINMA kurz darauf gemessen. Von Ende November 2024 bis Mitte Januar 2025 befragte sie rund 400 bewilligte Institute, von Banken und Wertpapierhäusern bis zu Versicherungen und Fondsleitungen (Medienmitteilung der FINMA). Rund 50% setzen KI ein oder haben erste Anwendungen in Entwicklung. Von denen, die KI einsetzen, nutzen 91% auch generative KI wie neuere Chatbots.

Für Dienstleister steht der wichtigste Satz weiter unten: Die meisten Institute nutzen neben eigenen Entwicklungen externe Dienstleister, und kleinere Institute setzen häufig ausschliesslich auf extern entwickelte Anwendungen. Als Risiken mit der höchsten Priorität nennen die Institute Datenqualität, Datenschutz und Erklärbarkeit. KI kommt oft von aussen.

Warum das auch Dienstleister ohne Aufsicht betrifft

Die Mitteilung richtet sich an Institute, ihre Fragen erreichen trotzdem deren Dienstleister. Bei eingekauften Anwendungen hatten Institute laut FINMA teilweise Mühe herauszufinden, ob überhaupt KI enthalten ist, welche Daten und Methoden verwendet werden und ob eine ausreichende Sorgfaltsprüfung vorliegt. Bei Auslagerungen prüfte die FINMA, ob die Institute zusätzliche Tests, Kontrollen und Vertragsklauseln zu Verantwortung und Haftung eingeführt hatten und ob der Dienstleister die nötigen Fähigkeiten und Erfahrung mitbringt.

Nach unserem Verständnis landen diese Fragen deshalb beim Dienstleister, im Fragebogen vor dem Auftrag oder im Vertrag. Wer für Finanzinstitute arbeitet, hat die Antworten am besten schriftlich bereit, bevor jemand fragt.

Was die Mitteilung einer Treuhandfirma oder einem KMU bringt

Eine Treuhandfirma, die Buchhaltung und Steuern betreut, oder ein inhabergeführtes KMU untersteht in der Regel nicht der FINMA. Für sie ist die Mitteilung keine Pflicht. Nützlich ist sie trotzdem, weil sie die Fragen stellt, die ein Mandant, eine Revisionsstelle oder eine Versicherung stellen wird, wenn ein KI-Ergebnis falsch war: wer verantwortlich war, mit welchen Daten gearbeitet wurde und wer das Ergebnis geprüft hat. Was KI im Treuhandalltag überhaupt kann, erklärt der Beitrag KI im Treuhandbüro, einfach erklärt.

Am häufigsten unterschätzt wird die Datenqualität. In einem Pilot in einer Treuhand- und Bewirtschaftungsfirma standen 54% der Buchhaltungsstunden 2025 unter «Diverses». Aus einer solchen Zeile liest keine KI ab, was gearbeitet wurde und für wen. Ein einzelner Pilot, kein Durchschnitt und kein Versprechen. Wie es in Ihrem Büro aussieht, prüfen Sie mit dem kostenlosen Pauschalen-Leck-Check an einem Mandat.

Checkliste in einfacher Sprache

Die folgenden acht Punkte übersetzen die Mitteilung in Arbeitsschritte. Ein neues Werkzeug brauchen Sie dafür nicht, eine Tabelle genügt.

• Inventar: Schreiben Sie jedes KI-Werkzeug auf, das in Ihrer Firma benutzt wird, auch die kostenlosen im Browser und die KI-Funktionen in bestehender Software.
• Einstufung: Markieren Sie die Werkzeuge, in die Kundendaten gehen oder deren Ergebnis einen Kunden direkt betrifft. Mit diesen beginnen Sie.
• Verantwortung: Jedes Werkzeug bekommt eine Person mit Namen.
• Daten: Prüfen Sie, ob die Daten vollständig, korrekt und aktuell sind, und wer sie pflegt.
• Test: Lassen Sie das Werkzeug alte Fälle bearbeiten, deren richtiges Ergebnis Sie kennen, und vergleichen Sie.
• Überwachung: Zählen Sie, wie oft Ihr Team ein Ergebnis korrigiert oder verwirft. Steigt die Zahl, schauen Sie hin.
• Dokumentation und Erklärbarkeit: Eine Seite pro Werkzeug mit Zweck, Daten, Grenzen, dem Vorgehen bei einem Ausfall und dem Weg, auf dem sich ein Ergebnis zu seiner Quelle zurückverfolgen lässt.
• Freigabe und zweiter Blick: Was Ihre Firma verlässt, gibt eine Person frei, und das Protokoll hält fest, wer wann. In festen Abständen prüft jemand das ganze Werkzeug, der nicht mitgebaut hat.

Woran sich Grow Amplified selbst misst

Grow Amplified hat seine Werte an Grundsätzen ausgerichtet, an denen sich in der Schweiz auch Aufsicht und Gesetzgebung orientieren, darunter diese Aufsichtsmitteilung. Daraus folgen feste Regeln: Jede Prüfstrasse hat beim Kunden eine benannte verantwortliche Person, jede Regel steht im Klartext, jeder Schritt im Replay-Log, und was nicht passt, wird markiert und nie stillschweigend korrigiert. Das ist eine eigene Verpflichtung, keine Behörde hat sie geprüft.

Wie Dokumentation und unabhängige Überprüfung bei vielen Kundendossiers aussehen, zeigt der Beitrag KYC-Dossiers prüfbereit machen. Wer hinter Grow Amplified steht und wo die Grenzen der Firma liegen, steht unter Firma.

Häufige Fragen

Timon Wick

Founder, CEO · Grow Amplified GmbH

15 Jahre in Banking und Consulting, in Transformation und Finance Operations. Heute baut er mit Grow Amplified Prüfstrassen: Agenten lesen und gleichen ab, ein Mensch gibt frei, und ein Replay-Log hält fest, wer was entschieden hat.

Zum Profil →LinkedIn ↗