Die FINMA hat mit ihrer Aufsichtsmitteilung 08/24 einen Impuls für die Auseinandersetzung mit Künstlicher Intelligenz (KI) gegeben. Gesetzliche Grundlagen fehlen in der Schweiz derzeit, ebenso wie explizite Auflagen der FINMA. Trotzdem erwartet FINMA, dass regulierte Firmen sich schon heute mit den Auswirkungen, der KI-Nutzung auf ihr Risikoprofil auseinandersetzen.

Im Zentrum steht die Einführung einer KI-Governance, welche sicherstellt, dass die Auswirkungen von KI auf das Risikoprofil erkannt und kontrolliert werden. Unternehmen sollten sich darauf einstellen, dass diese Aspekte künftig auch bei Vor-Ort-Kontrollen (VoK) geprüft werden.

Neue KI-spezifische Risiken

Die FINMA betont, dass mit KI neue, spezifische Risiken zu den bereits bekannten Risiken (IT, Cyber, Third-Party) hinzukommen. Die FINMA hebt spezifische Risiken hervor, die durch den Einsatz von KI entstehen. Dazu gehören:

Robustheit: Wie stabil ist die KI in unterschiedlichen Szenarien?
Bias: Werden durch die KI unbeabsichtigte Verzerrungen oder Diskriminierungen verstärkt?
Stabilität: Bleibt die KI über längere Zeit hinweg zuverlässig?
Korrektheit: Wie präzise sind die Ergebnisse der KI?
Datenqualität: Sind die genutzten Daten vollständig, aktuell und repräsentativ?
Datenmanipulation: Besteht ein Risiko, dass Daten unbemerkt manipuliert werden?
Erklärbarkeit: Kann die KI-Logik nachvollziehbar und transparent erklärt werden?

Diese Risiken sollten durch bestehende Governance- und Kontrollmechanismen bewusst adressiert werden.

Die vier Säulen der KI-Governance

Um den Anforderungen der FINMA gerecht zu werden, sollten Unternehmen ihre KI-Governance entlang der folgenden vier Säulen strukturieren:

KI-Governance Modell gemäss FINMA 08/24

Wie kann nun eine beaufsichtige Firma diese Modell anwenden, ohne grosse Aufwände zu erzeugen und ohne die für die Technologiebeherrschung so wichtigen Experimente zu stoppen?

Wie kann nun eine Beaufsichtigte nun diese Modell anwenden und dabei

so schlank wie möglich vorgehen
Experimente „im Kleinen“ mit KI nicht unterbinden
Bestehende Prozesse im Bereich Risk Management und Compliance weiternutzen
Auf BCM und IT-Architekturarbeiten aufbauen ….

ITMC Takeaway

Auch wenn die FINMA aktuell keine verbindlichen Vorgaben macht, sind die formulierten Empfehlungen ein Hinweis darauf, dass KI Themen in den Fokus der Aufsicht rücken. Unternehmen mit funktionierendem Governance- und Risikomanagement sind dafür aber bestens gewappnet: Mit KI kommen lediglich neue Risikotypen und zusätzliche Kontrollen hinzu. Langfristig wird ein spezifisches KI-Inventar vielleicht sogar überflüssig sein – dann nämlich, wenn KI ubiquitär ist.