KI-Governance für Finanzinstitute
Rund die Hälfte der von der FINMA befragten Institute setzt künstliche Intelligenz ein, im Schnitt fünf Anwendungen im Betrieb und neun in Entwicklung. Die FINMA hat in der Guidance 08/2024 festgehalten, was sie von beaufsichtigten Instituten erwartet. Im Zentrum steht nicht das Modell, sondern die Governance.
Was die FINMA erwartet
- Ein Inventar der KI-Anwendungen.
- Eine einheitliche Risikoklassifizierung.
- Tests und laufende Überwachung auf Genauigkeit, Stabilität und Verzerrung.
- Dokumentation des Aufbaus und der Grenzen jeder Anwendung.
- Erklärbarkeit überall dort, wo Ergebnisse Kunden, Mitarbeitende oder die Regulierung betreffen.
- Für wesentliche Anwendungen eine unabhängige Prüfung, getrennt von der Entwicklung.
Risikoklassifizierung statt Grundsatzdebatte
Die FINMA hält KI nicht für grundsätzlich hochriskant. Das Risiko hängt an Materialität, Komplexität, Autonomie und Anwendungsfall. Wer die Klassifizierung einmal sauber aufsetzt, entscheidet danach pro Anwendung, wie viel Prüfung nötig ist und muss nicht jede einzelne Anwendung neu diskutieren.
Das KI-Inventar
Pro Anwendung sieben Angaben: Zweck, Datenquellen, eingesetztes Modell, Betriebsort, wer die Ergebnisse freigibt, welche Wirkung ein Fehler hätte und wer die Anwendung verantwortet. Ohne dieses Verzeichnis bleibt jede weitere Prüfung eine Momentaufnahme.
Erklärbarkeit gegenüber Kunde und Aufsicht
Erklärbarkeit heisst nicht, den Modellkern zu verstehen. Sie heisst, pro Ergebnis nachweisen zu können, auf welchen Daten und Regeln es beruht und wer es freigegeben hat. Das ist dokumentierbar, prüfbar und für die Praxis ausreichend.
Unabhängige Prüfung
Für wesentliche Anwendungen erwartet die FINMA eine Prüfung getrennt von der Entwicklung. Wer eine Anwendung baut und zugleich prüft, hat einen Interessenkonflikt, den eine Prüfgesellschaft nachfragen wird. Eine unabhängige Prüfung liefert zusätzlich einen Vergleichsmassstab für Aufwand und Reihenfolge, bevor Budget gebunden wird.
Wo die Daten liegen
Dürfen Daten das Haus nicht verlassen, laufen die Modelle auf eigener oder dedizierter Infrastruktur. Das ist im Betrieb aufwendiger und die Modellauswahl kleiner. Diese Abwägung gehört in die Bewertung, nicht in eine Grundsatzdebatte.
Ablauf und Aufwand
- Erstgespräch, 30 Minuten, unverbindlich.
- Bewertung als Festpreis: Inventar, Risikoklassifizierung, Feststellungen. In Schriftform.
- Prüfung der wesentlichen Anwendungen, getrennt von der Entwicklung.
- Umsetzung der Massnahmen, in Abschnitten.
- Übergabe: Dokumentation, Schulung, wiederkehrende Überwachung.