FINMA-Aufsichtsmitteilung 08/2024 einfach erklärt: Was Finanz-KMU bei KI beachten müssen

Die FINMA verlangt von einem Finanz-KMU beim Einsatz von KI keine Konzernstruktur. Ihre Aufsichtsmitteilung 08/2024 vom 18. Dezember 2024 verlangt im Kern drei Dinge: Sie müssen wissen, wo KI eingesetzt wird, wer dafür verantwortlich ist und wie Fehler auffallen. Das schafft auch ein Team mit fünf Personen. Dieser Artikel erklärt, was die Mitteilung ist, wen sie betrifft, was die sieben genannten Massnahmen konkret bedeuten und welche Minimalversion für ein kleines Haus genügt.

Was ist die Aufsichtsmitteilung 08/2024, und woher kommt sie?

Am 18. Dezember 2024 hat die Eidgenössische Finanzmarktaufsicht ihre Mitteilung zu «Governance und Risikomanagement beim Einsatz Künstlicher Intelligenz» veröffentlicht (FINMA, Medienmitteilung vom 18. Dezember 2024). Eine Aufsichtsmitteilung ist keine neue Verordnung. Die FINMA legt damit dar, was sie in der laufenden Aufsicht beobachtet hat, namentlich in Aufsichtsgesprächen und ersten spezifischen Vor-Ort-Kontrollen, und welche Massnahmen sie dabei bei Instituten gesehen hat.

Wichtig für die Einordnung: In der Schweiz existiert bislang keine KI-spezifische Gesetzgebung. Die bestehenden Anforderungen an Governance und Risikomanagement sind technologieneutral formuliert und erfassen die Risiken aus dem KI-Einsatz bereits heute.

Warum betrifft das auch kleine Häuser? Weil die Mitteilung die Proportionalität ausdrücklich festhält: Massgeblich sind Grösse, Komplexität und Risikoprofil des Instituts sowie die Wesentlichkeit der eingesetzten Anwendungen. Ein kleines Institut muss nicht dasselbe Programm aufsetzen wie eine Grossbank. Es muss aber dieselben Grundfragen beantworten können.

Für wen gilt was?

Die Mitteilung richtet sich an die Beaufsichtigten der FINMA. Wie direkt sie Ihre Firma trifft, hängt von Ihrer Bewilligung und Ihrem Aufsichtsregime ab, und diese Einordnung gehört in die Hände einer Fachperson. Vorsichtig gesagt: Unabhängige Vermögensverwalter halten eine FINMA-Bewilligung und sind damit grundsätzlich angesprochen; die laufende Aufsicht über sie führt allerdings eine Aufsichtsorganisation. Versicherungsbroker unterstehen nicht derselben laufenden Aufsicht, spüren die Erwartungen aber indirekt, über Versicherer, Bankpartner und Kunden, die zunehmend fragen, wie mit KI und Daten umgegangen wird.

Unabhängig vom eigenen Regime lohnt die Lektüre: Die Mitteilung ist die beste öffentliche Checkliste dafür, welche Fragen zum Thema KI in Prüf- und Kundenterminen kommen werden.

Welche sieben Massnahmen nennt die FINMA?

Der Kern der Mitteilung sind sieben Felder, in denen die FINMA bei Instituten Massnahmen beobachtet hat. Hier der Überblick, im Anschluss jedes Feld im Detail:

Massnahme	Was die FINMA meint	Minimalversion für ein kleines Team
1. Governance	Klare Verantwortlichkeiten und Standards	Eine benannte Person und eine einseitige Regel
2. Inventar und Risikoklassifizierung	Vollständiges Verzeichnis aller KI-Anwendungen	Eine Tabelle mit Anwendung, Zweck und Risikostufe
3. Datenqualität	Vorgaben und Kontrollen für korrekte Daten	Quellen kennen, Stichproben prüfen
4. Tests und laufende Überwachung	Tests vor dem Einsatz, Überwachung im Betrieb	Testfälle mit bekanntem Ergebnis, fester Prüftermin
5. Dokumentation	Zweck, Daten, Annahmen und Grenzen festhalten	Eine Seite Steckbrief pro Anwendung
6. Erklärbarkeit	Ergebnisse nachvollziehbar begründen können	Empfehlungen nur mit Quelle und Begründung
7. Unabhängige Überprüfung	Prüfung durch jemanden, der nicht entwickelt hat	Vier-Augen-Prinzip, bei Bedarf externer Blick

Die sieben Massnahmen der FINMA-Aufsichtsmitteilung 08/2024 und ihre kleinste wirksame Form.

Was steckt hinter jeder Massnahme?

1. Governance

Die FINMA beobachtete, dass KI oft dezentral entsteht und Verantwortlichkeiten unklar sind. Sie erwartet festgelegte Zuständigkeiten für Entwicklung, Einführung, Überwachung und Nutzung, Schulungen und bei eingekauften Lösungen eine sorgfältige Prüfung des Anbieters. Für ein kleines Team heisst das: keine neue Abteilung, sondern eine Person mit einem klaren Mandat. Minimalversion: ein Blatt, das festhält, wer KI wofür nutzen darf, wer entscheidet und wer prüft.

2. Inventar und Risikoklassifizierung

Die FINMA erwartet eine ausreichend breite KI-Definition und ein vollständiges, zentral geführtes Inventar mit einer Klassifizierung nach Wesentlichkeit und Risiko. Der häufigste Stolperstein: KI steckt längst in eingekaufter Standardsoftware, vom Transkriptionstool bis zur Buchhaltung, und taucht in keiner Liste auf. Minimalversion: eine Tabelle mit Anwendung, Zweck, verwendeten Daten, verantwortlicher Person und einer einfachen Risikostufe, etwa hoch, mittel, niedrig.

3. Datenqualität

KI-Anwendungen lernen aus Daten, und die Datenqualität ist oft wichtiger als die Wahl des Modells. Daten können falsch, unvollständig, veraltet oder verzerrt sein, und bei eingekauften Lösungen kennen Sie die zugrunde liegenden Daten meist nicht. Für ein kleines Team heisst das: Sie müssen wissen, mit welchen Daten Ihre Anwendungen arbeiten. Minimalversion: pro Anwendung die Datenquelle benennen, eine Person dafür verantwortlich machen und regelmässig Stichproben gegen die Quelle prüfen.

4. Tests und laufende Überwachung

Die FINMA erwartet Tests auf Genauigkeit, Robustheit und Stabilität vor dem produktiven Einsatz, vorab definierte Leistungsindikatoren und eine laufende Überwachung, inklusive der Frage, ob sich die Eingangsdaten über die Zeit verändern. Auch Fälle, in denen Mitarbeitende eine Ausgabe ignorieren oder korrigieren, gehören zur Überwachung, weil sie auf Schwachstellen hinweisen. Minimalversion: vor dem Start zehn Fälle mit bekanntem Ergebnis durchlaufen lassen, danach eine wöchentliche Stichprobe und ein klares Kriterium, ab wann eingegriffen wird.

5. Dokumentation

Bei wesentlichen Anwendungen erwartet die FINMA eine Dokumentation von Zweck, Datenauswahl, Modellwahl, Annahmen, Grenzen, Tests und Fallback-Lösungen. Für ein kleines Team heisst das: eine Seite pro Anwendung, die eine neue Mitarbeiterin ohne Rückfragen versteht. Minimalversion: ein Steckbrief mit Zweck, Daten, Verantwortung, bekannten Grenzen und dem Datum der letzten Prüfung.

6. Erklärbarkeit

Wenn Entscheide gegenüber Kunden, Mitarbeitenden, der Aufsicht oder der Revision begründet werden müssen, muss nachvollziehbar sein, wie die Anwendung zu ihrem Ergebnis kommt. Für ein kleines Team heisst das: Keine KI-Empfehlung geht ungeprüft an einen Kunden. Minimalversion: Jede Empfehlung trägt ihre Quelle und eine kurze Begründung, und im Kundenkontakt entscheidet ein Mensch.

7. Unabhängige Überprüfung

Die FINMA erwartet eine klare Abgrenzung zwischen denen, die eine Anwendung bauen oder einrichten, und denen, die sie prüfen. In einem kleinen Team ist das das Vier-Augen-Prinzip: Wer eine Anwendung eingerichtet hat, prüft ihre Ergebnisse nicht allein. Minimalversion: Eine zweite Person prüft Stichproben, und einmal pro Jahr schaut jemand von aussen auf die wichtigste Anwendung.

Was dürfen Sie weglassen, was nicht?

Die Proportionalität steht in der Mitteilung selbst: KI ist nicht per se eine Hochrisiko-Anwendung, und der Aufwand richtet sich nach Wesentlichkeit und Eintrittswahrscheinlichkeit der Risiken. Weglassen oder stark vereinfachen dürfen Sie typischerweise: eine eigene Validierungsfunktion, komplexe Modellrisiko-Frameworks, formale Stress-Tests für unkritische Anwendungen und tägliche Überwachung dort, wo eine wöchentliche Stichprobe genügt.

Nicht weglassen dürfen Sie vier Dinge, weil sie das Rückgrat der Mitteilung bilden: das Inventar, also das Wissen, wo KI überall läuft. Die benannte Verantwortung, also eine Person statt eines diffusen «Wir». Die Prüfung kundenrelevanter Ergebnisse, bevor sie das Haus verlassen. Und den Datenschutz: Personendaten gehören nur in Umgebungen mit klaren Verträgen und geprüftem Standort, die Grundlagen hält das revidierte Datenschutzgesetz fest.

Wie setzen grosse Institute das auf, und was reicht für Sie?

Aus meinen Projekten bei additiv kenne ich den Aufbau von KI-Governance bei Versicherern und Neobanken: ein zentral geführtes Inventar, Risikoklassen pro Anwendung, Modelltests vor jeder Freigabe, dokumentierte Verantwortlichkeiten und eine Prüfinstanz, die unabhängig von den Entwicklern ist. Das ist die Vollversion, und sie kostet ein Vielfaches dessen, was ein KMU braucht.

Übersetzt auf ein Haus mit fünf bis fünfzig Mitarbeitenden bleibt dieselbe Logik in Taschenformat: eine Tabelle statt einer Inventar-Plattform, eine benannte Person statt eines Komitees, ein fester Prüftermin pro Woche statt eines Monitoring-Dashboards. Die Fragen der Aufsicht sind für beide dieselben, nur die Antworten dürfen kleiner ausfallen.

Aus meiner Praxis: Die wirksamste Massnahme ist die billigste: das Inventar. In fast jedem Erstgespräch mit einem kleinen Haus stellt sich heraus, dass niemand alle KI-Anwendungen im Einsatz kennt, schon gar nicht die in eingekaufter Software. Wer einmal aufgeschrieben hat, was wo läuft und wer dafür verantwortlich ist, hat die Hälfte der Mitteilung erledigt, und das Gespräch mit Prüfern oder Bankpartnern läuft danach spürbar anders.

Checkliste: Sind Sie startbereit?

Gehen Sie diese Liste einmal durch. Jedes Nein ist ein Punkt für die nächste Sitzung:

1. Wir haben eine vollständige Liste aller KI-Anwendungen, inklusive KI-Funktionen in eingekaufter Software.
2. Jede Anwendung hat eine benannte, verantwortliche Person.
3. Wir wissen, welche Daten in welche Anwendung fliessen, und wo diese Daten liegen.
4. Neue Anwendungen werden vor dem produktiven Einsatz mit Fällen getestet, deren Ergebnis wir kennen.
5. Kundenrelevante Ergebnisse prüft ein Mensch, bevor sie das Haus verlassen.
6. Jede wesentliche Anwendung hat einen einseitigen Steckbrief.
7. Wir können jede KI-gestützte Empfehlung mit Quelle und Begründung erklären.
8. Ergebnisse prüft nie dieselbe Person allein, die die Anwendung eingerichtet hat.
9. Wir haben festgelegt, wie Auffälligkeiten gemeldet und behoben werden.
10. Die Liste wird mindestens einmal pro Quartal aktualisiert.

Hinweis: Wir sind keine Anwaltskanzlei. Alle Angaben zu rechtlichen und regulatorischen Themen stehen unter Vorbehalt und ersetzen keine Rechtsberatung. Für konkrete Fragen ziehen Sie bitte eine Anwältin oder einen Anwalt bei.

Fazit: Ihr nächster Schritt

Starten Sie diese Woche mit dem Inventar: dreissig Minuten, eine Tabelle, alle Anwendungen mit KI-Anteil, dazu je eine verantwortliche Person. Damit beantworten Sie die erste und wichtigste Frage der Mitteilung. Wie Sie die Nutzung im Team dazu mit einer kurzen Regel absichern, steht in unserer Vorlage für eine KI-Richtlinie. Den Gesamtüberblick über Anwendungsfälle, Regulierung und Vorgehen gibt der Leitfaden 2026: KI für Finanzdienstleister in der Schweiz. Den Datenschutz fasst die revDSG-Checkliste für Finanzdienstleister in zehn Punkten zusammen, die Standortfrage der Artikel KI-Hosting in der Schweiz. Wie Dokumentation und Erklärbarkeit am Beispiel der KYC-Prüfung konkret aussehen, zeigt der Artikel KYC- und Source-of-Wealth-Dossiers mit KI vorbereiten. Und wenn Sie sehen möchten, wie eine Umgebung aussieht, in der Protokollierung und Zugriffsrechte von Anfang an eingebaut sind: Auf KI für Vermögensverwalter zeigen wir das konkret. Für Broker und ihre Anforderungen lohnt auch der Blick auf KI für Versicherungsbroker.

FAQ

Ist die Aufsichtsmitteilung 08/2024 bindend wie ein Gesetz?

Nein. Sie ist keine Verordnung, sondern beschreibt Erwartungen, die die FINMA aus der bestehenden, technologieneutralen Aufsicht ableitet, und Massnahmen, die sie bei Instituten beobachtet hat. Praktisch heisst das: In Aufsichtsgesprächen und Prüfungen werden diese Punkte zum Massstab. Die rechtliche Einordnung für Ihr Haus gehört zu einer Fachperson.

Muss ich der FINMA melden, dass wir KI einsetzen?

Eine generelle Meldepflicht für jeden KI-Einsatz gibt es nicht. Was gilt, hängt von Ihrer Bewilligung und Ihrem Aufsichtsregime ab. Die Mitteilung erwartet vor allem, dass Sie Ihre KI-Nutzung selbst kennen und steuern. Klären Sie Ihren konkreten Fall mit einer Fachperson.

Gilt das auch für ein Team mit fünf Personen?

Die Mitteilung selbst verlangt Proportionalität: Grösse, Komplexität und Risikoprofil bestimmen den Aufwand. Für ein kleines Team genügt in der Regel die Minimalversion aus diesem Artikel. Die Grundfragen, wo KI läuft, wer verantwortlich ist und wie Fehler auffallen, gelten aber unabhängig von der Grösse.

Reicht eine einfache Tabelle als Inventar?

Für ein kleines Haus: ja. Entscheidend sind Vollständigkeit und Aktualisierung, nicht das Werkzeug.

Was kostet die Umsetzung der Minimalversion?

Vor allem interne Zeit: Das Inventar und die Regel entstehen an einem bis zwei Nachmittagen. Aufwendiger wird es erst, wenn Anwendungen an Ihre Systeme angebunden und produktiv betrieben werden. Die Grössenordnungen dafür stehen im Artikel Was kostet KI für Finanzdienstleister?.