KI in Finanz-KMU: Was die FINMA bei operationellen Risiken erwartet, und wie Sie damit Wert schaffen

KI ist in Finanzinstituten längst angekommen

Im April 2025 hat die FINMA die Ergebnisse ihrer ersten Umfrage zu künstlicher Intelligenz veröffentlicht. Befragt wurden rund 400 Banken, Wertpapierhäuser, Versicherungen, Fondsleitungen und Verwalter von Kollektivvermögen. Rund die Hälfte setzt KI bereits ein oder entwickelt erste Anwendungen. Im Durchschnitt betreiben diese Institute bis zu 5 Anwendungen und arbeiten an 9 weiteren.

In kleineren Instituten sieht das oft unspektakulär aus: Entwürfe für Kundenbriefe, Kommentare im Reporting, die Prüfung von Onboarding-Unterlagen, Übersetzungen. Vieles läuft über Standardwerkzeuge wie Copilot oder ChatGPT, manches ohne offiziellen Entscheid. Genau dort beginnt die Frage der Aufsicht.

Die FINMA verbietet KI nicht. Sie erwartet, dass Sie wissen, wo sie arbeitet, und dass Sie die Risiken führen.

Was die FINMA erwartet

Ein eigenes KI-Gesetz für den Finanzmarkt gibt es nicht. Die FINMA ordnet KI in bestehende Pflichten ein und hat ihre Erwartungen in Aufsichtsmitteilungen konkretisiert.

Regelwerk	Was es für KI bedeutet	Für wen
FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz», in Kraft seit 1. Januar 2024	Risiken aus Informatik und Kommunikation sowie kritische Daten sind zu führen. Kritische Funktionen und ihre Toleranzen für Unterbrüche legt der Verwaltungsrat fest. Seit dem 1. Januar 2026, nach zwei Jahren Übergangsfrist, müssen die Institute ihre operationelle Resilienz sicherstellen. Berührt eine KI-Anwendung eine kritische Funktion oder kritische Daten, fällt sie in diesen Rahmen.	Banken, Wertpapierhäuser und Finanzgruppen. Kleinere Institute der FINMA-Kategorien 4 und 5 sind von Teilen befreit, etwa bei Informatik, Cyber und kritischen Daten. Kritische Funktionen und Resilienz gelten auch für sie.
FINMA-Rundschreiben 2018/3 «Outsourcing»	Wer eine wesentliche Funktion an einen Anbieter auslagert, braucht ein Inventar, eine sorgfältige Auswahl, einen Vertrag mit Prüfrechten und einen Ausstiegsplan. KI-Dienste aus der Cloud fallen darunter, sobald sie wesentlich sind. Das Bankkundengeheimnis gilt unverändert.	Banken, Wertpapierhäuser, Versicherungen
FINMA-Aufsichtsmitteilung 08/2024 «Governance und Risikomanagement beim Einsatz von KI»	Benennt die Risiken: Modelle (Robustheit, Korrektheit, Erklärbarkeit, Verzerrung), Daten, Informatik und Cyber, Abhängigkeit von Dritten, Recht und Reputation. Erwartet ein Inventar, klare Verantwortung, Dokumentation, Tests, Überwachung und Schulung.	Alle beaufsichtigten Institute
FINMA-Aufsichtsmitteilung 05/2025 «Operationelle Resilienz»	Zeigt, wie weit die Institute sind: Von 267 befragten Instituten hat die Hälfte höchstens drei kritische Funktionen definiert.	Banken, Wertpapierhäuser, Finanzmarktinfrastrukturen

Für Vermögensverwalter unter Aufsicht einer Aufsichtsorganisation gilt das Rundschreiben 2023/1 nicht direkt. Als Massstab für eine vertretbare Praxis taugt es trotzdem, gerade bei Abhängigkeiten von Anbietern.

Sechs Fragen, die Ihre Geschäftsleitung beantworten können sollte

1. Wo läuft KI heute? Ein Inventar aller Anwendungen, auch der inoffiziellen. Die Definition muss breit genug sein, sonst bleibt das Inventar lückenhaft.
2. Was ist kritisch? Welche Anwendungen berühren eine kritische Funktion, Kundendaten oder Entscheide gegenüber Kunden?
3. Wer verantwortet was? Eine verantwortliche Person pro Anwendung, und wer über neue Anwendungen entscheidet.
4. Wie prüfen wir die Ergebnisse? Tests vor dem Einsatz, Stichproben danach, und bei Inhalten für Kunden immer ein Mensch, der freigibt.
5. Was regelt der Vertrag mit dem Anbieter? Ort der Bearbeitung, kein Training mit Ihren Daten, Unterauftragnehmer, Prüfrechte und Ausstieg.
6. Was tun wir, wenn der Dienst ausfällt? Eine Toleranz für den Unterbruch und ein manueller Ablauf, der dann greift.

Wo KI in kleineren Instituten Wert schafft

Die Erwartungen der FINMA sind kein Grund, KI zu meiden. Sie helfen, die Einsatzfelder nach Risiko zu wählen. Viele lohnende Anwendungen haben ein überschaubares Risiko, weil ein Mensch das Ergebnis prüft.

Einsatz	Nutzen	Kontrolle
Entwürfe für Kundenkorrespondenz	Schnellere Antworten, einheitlicher Ton	Beraterin oder Berater prüft und sendet
Kommentare im Kundenreporting	Tage weniger Aufwand pro Quartal	Freigabe vor dem Versand
Onboarding: Unterlagen auf Vollständigkeit prüfen	Kürzere Durchlaufzeit	Der Entscheid bleibt bei Compliance
Interne Suche in Weisungen und Produktunterlagen	Antworten in Sekunden statt Minuten	Quellenangabe, nur interne Daten

Höhere Anforderungen gelten, wo KI selbst entscheidet, etwa über Kredite oder Anlagen. Dort kommen die Regeln zu automatisierten Einzelentscheiden im Datenschutzgesetz und die Pflichten zur Eignungsprüfung hinzu. Solche Anwendungen gehören nicht an den Anfang.

In drei Schritten zu einer Praxis, die der Prüfung standhält

1. Inventar und Einstufung: Erfassen Sie alle KI-Anwendungen und stufen Sie sie nach Risiko ein. Für ein kleineres Institut sind das meist zwei bis drei Wochen.
2. Leitplanken und Verträge: Eine kurze Weisung zu erlaubten Werkzeugen und Daten, geprüfte Verträge mit den Anbietern und die Einordnung in Ihr bestehendes Risikomanagement.
3. Eine erste Anwendung mit Messung: Wählen Sie einen Ablauf mit klarem Nutzen und überschaubarem Risiko. Halten Sie den Aufwand vorher fest und berichten Sie dem Verwaltungsrat über Wirkung und Risiken.

Den Überblick über Datenschutz, FINMA und EU AI Act für den Verwaltungsrat gibt unser Artikel «KI-Governance für Verwaltungsräte». Rechtliche Detailfragen gehören zu spezialisierten Rechtsberatern. Welche KI-Arbeit sich lohnt und wie Sie sie führen, klären wir mit Ihnen.