Was hat die FINMA zu KI veröffentlicht, und was muss eine Bank selbst entscheiden?

Die FINMA hat KI bisher nicht mit eigenen Regeln geordnet. Sie hat ihre Aufsichtserwartungen veröffentlicht: im Risikomonitor 2023, in der Aufsichtsmitteilung 08/2024 vom 18. Dezember 2024 und in einer Medienmitteilung vom 24. April 2025 zu ihrer KI-Umfrage. Diese Texte sagen, welche Risiken die Aufsicht sieht und welche Massnahmen sie in der Praxis geprüft hat. Die meisten konkreten Entscheide liegen aber bei der Bank: Was gilt intern als KI? Welche Anwendung ist wesentlich? Wer trägt die Verantwortung? Wo prüft ein Mensch? Ab wann sucht man den Kontakt zur FINMA? Dieser Leitfaden ordnet die Veröffentlichungen mit Quelle und Datum ein und zeigt, welche Fragen Ihr Haus selbst beantworten muss.

Zuletzt aktualisiert: 30. Oktober 2026

Kurz gesagt

• Die Aufsichtsmitteilung 08/2024 vom 18. Dezember 2024 beschreibt Erwartungen der FINMA, kein neues Gesetz. Sie hält fest, dass in der Schweiz bislang keine KI-spezifische Gesetzgebung existiert.
• Die FINMA erfasst KI über die bestehenden, technologieneutralen Anforderungen an Governance und Risikomanagement. Die Verantwortung bleibt immer beim Institut.
• Im Fokus stehen Governance, Inventar und Risikoeinstufung, Datenqualität, Tests und laufende Überwachung, Dokumentation, Erklärbarkeit und unabhängige Überprüfung.
• Am 24. April 2025 empfahl die FINMA, frühzeitig Kontakt aufzunehmen, wenn KI in kritischen Prozessen oder bei regulatorisch vorgegebenen Grössen eingesetzt werden soll.
• Ein KI-Rundschreiben nach 08/2024 haben wir nicht gefunden. Wie Sie die Erwartungen umsetzen, entscheidet Ihr Institut selbst und muss es gegenüber der Aufsicht begründen können.

Inhaltsverzeichnis

• Die Veröffentlichungen der FINMA zu KI im Überblick
• Der rechtliche Rahmen: Erwartungen statt KI-Gesetz
• Was die Aufsichtsmitteilung 08/2024 beschreibt
• Was die FINMA-Umfrage von 2025 zeigt
• Wie die FINMA KI in der Praxis beaufsichtigt
• Was Ihre Bank selbst entscheiden muss
• Beispiel: KI-Agenten in der Transaktionsüberwachung
• Unsere Sicht auf KI-Governance in Schweizer Banken
• Häufige Fragen
• Wie S-PRO unterstützt
• Quellen

Die Veröffentlichungen der FINMA zu KI im Überblick

Die Aufsicht hat ihre Haltung zu KI schrittweise aufgebaut. Die folgende Übersicht zeigt die Dokumente, auf die sich Banken heute stützen können.

Die FINMA beschreibt auf ihrer Dossierseite zu künstlicher Intelligenz, dass sie ihre Erwartungen mit verschiedenen Anspruchsgruppen abgestimmt und im Risikomonitor 2023 ausgeführt hat. Die vier Bereiche des Risikomonitors 2023 bilden bis heute das Grundgerüst, an dem sich die späteren Texte orientieren.

Der rechtliche Rahmen: Erwartungen statt KI-Gesetz

In der Aufsichtsmitteilung 08/2024 vom 18. Dezember 2024 hält die FINMA fest: «Bislang existiert in der Schweiz keine KI-spezifische Gesetzgebung.» Das heisst nicht, dass KI in einer Bank ungeregelt wäre.

Die Aufsichtsmitteilung stellt klar, dass die Risiken aus dem KI-Einsatz von den technologieneutralen, prinzipienbasierten Anforderungen an Governance und Risikomanagement erfasst werden. Die Hochschule Luzern zitiert dazu die Kernerwartung der FINMA: Beaufsichtigte, die KI einsetzen, sollen sich aktiv mit den Auswirkungen auf ihr Risikoprofil auseinandersetzen und Governance, Risikomanagement und Kontrollsysteme entsprechend ausrichten.

Für die Praxis hat das zwei Folgen:

1. Bestehende Pflichten gelten weiter. Wer KI im Kreditprozess, im Onboarding oder in der Transaktionsüberwachung einsetzt, bleibt an die Vorgaben gebunden, die für diese Prozesse ohnehin gelten.
2. Eine Aufsichtsmitteilung ist eine Orientierung, kein Rundschreiben. Sie zeigt, was die FINMA in ihrer Aufsicht beobachtet und als angemessen erachtet. Wie Sie das umsetzen, gestalten Sie selbst, und Sie müssen Ihre Wahl begründen können.

Ein KI-Rundschreiben nach 08/2024 haben wir nicht gefunden. Wer heute KI-Governance aufbaut, arbeitet deshalb mit der Aufsichtsmitteilung, dem Risikomonitor 2023 und den allgemeinen Anforderungen an Governance und Risikomanagement.

Was die Aufsichtsmitteilung 08/2024 beschreibt

Die Aufsichtsmitteilung fasst zusammen, was die FINMA bei Aufsichtsprüfungen und Vor-Ort-Kontrollen gesehen hat. Laut der Zusammenfassung auf datenrecht.ch stellte die FINMA fest, dass der KI-Einsatz zunimmt, die Risiken oft schwer abzuschätzen sind und Governance- und Risikomanagementstrukturen meist noch im Aufbau stehen.

Die Risiken, die die FINMA nennt

Die FINMA nannte im Dezember 2024 als Beispiele, wie die Netzwoche am 7. Januar 2025 berichtete:

• Operationelle Risiken, insbesondere Modellrisiken wie mangelnde Robustheit, Korrektheit, Erklärbarkeit oder Bias
• Datenbezogene Risiken wie Datensicherheit, Datenqualität und Datenverfügbarkeit
• IT- und Cyberrisiken
• Steigende Abhängigkeit von Drittparteien
• Rechts- und Reputationsrisiken

Dazu kommt eine Herausforderung, die viele Projektteams unterschätzen: Bei Fehlern eines KI-Systems sind die Verantwortlichkeiten oft schwer zuzuordnen. Das Centre de droit bancaire et financier der Universität Genf hebt diesen Punkt in seiner Analyse vom Dezember 2024 hervor.

Die sieben Prüfbereiche

Nach der Analyse des CDBF richtet die FINMA ihre Aufsicht auf sieben Bereiche aus. Die Tabelle zeigt, welche Frage sich Ihr Haus in jedem Bereich stellen sollte.

Die Fachanalyse im Legal 500 unterstreicht einen Punkt aus der Aufsichtsmitteilung, der für die Projektplanung zentral ist: Weil KI-Anwendungen oft automatisiert und ohne menschlichen Eingriff aus Daten lernen, hält die FINMA die Datenqualität häufig für wichtiger als die Wahl des konkreten Modells.

Was die FINMA-Umfrage von 2025 zeigt

Zwischen Ende November 2024 und Mitte Januar 2025 befragte die FINMA rund 400 bewilligte Banken und Wertpapierhäuser, Versicherungen, Fondsleitungen, Verwalter von Kollektivvermögen und Finanzmarktinfrastrukturen. Die Ergebnisse veröffentlichte sie am 24. April 2025 in einer Medienmitteilung.

Die wichtigsten Befunde für Banken:

• Die Nutzung nimmt zu. Schweizer Finanzinstitute setzen zunehmend auf KI, etwa für Chatbots, Prozessoptimierung oder Texterstellung.
• Generative KI ist verbreitet. Die grosse Mehrheit der Institute, die KI einsetzen, nutzt auch generative KI. Die FINMA weist darauf hin, dass damit die Abhängigkeit von grossen Technologieanbietern steigt.
• Externe Anbieter spielen eine grosse Rolle. Die meisten Institute kombinieren Eigenentwicklungen mit externen Dienstleistern. Kleinere Institute setzen laut finews.ch vom 25. April 2025 häufig ausschliesslich auf extern entwickelte Anwendungen.
• Governance ist uneinheitlich. Wo es Rahmenwerke gibt, behandeln sie vor allem Datenschutz, Sicherheit, Datenmanagement und unternehmensweites Risikomanagement.

In derselben Medienmitteilung steht der Satz, der für jede Projektplanung zählt: Die FINMA «empfiehlt die FINMA den Bewilligten, frühzeitig den Kontakt mit der FINMA aufzunehmen, falls KI bei kritischen Prozessen oder der Berechnung regulatorisch vorgegebener Grössen eingesetzt werden soll.» Das ist eine Empfehlung, keine Bewilligungspflicht. Sie verschiebt aber die Frage nach dem richtigen Zeitpunkt in die frühe Projektphase.

Wie die FINMA KI in der Praxis beaufsichtigt

Die FINMA beaufsichtigt KI nicht in einem separaten Verfahren, sondern in der laufenden Aufsicht. Laut ihrer Dossierseite führt sie seit dem vierten Quartal 2023 Vor-Ort-Kontrollen und Aufsichtsgespräche bei Instituten durch, die KI umfassend oder in aufsichtsrelevanten Bereichen einsetzen. Dabei hat sie sich erste Anwendungen in der Vermögensverwaltung, der Transaktionsüberwachung und dem Liquiditätsmanagement genauer angesehen.

Für Ihre Planung lässt sich daraus ableiten:

• Aufsichtsrelevante Bereiche stehen im Fokus. Je näher eine Anwendung an Geldwäschereibekämpfung, Risiko- oder Liquiditätssteuerung liegt, desto eher wird sie Thema in Gesprächen und Prüfungen.
• Die Aufsicht fragt nach Belegen. In einer Vor-Ort-Kontrolle zählt, was dokumentiert ist: Inventar, Einstufung, Testergebnisse, Überwachungsberichte, Entscheide der zuständigen Gremien.
• Die Verantwortung lässt sich nicht auslagern. Auch wenn ein Modell von einem Drittanbieter stammt, bleibt das Institut für Ergebnis und Kontrolle verantwortlich.

S-PRO

KI in Ihrer Bank besprechen

S-PRO entwickelt KI-Agenten und Software für Finanzinstitute und unterstützt Banken bei der Integration von KI in bestehende Systeme.

S-PRO AG

Löwenstrasse 45, 8001 Zürich

Wegbeschreibung öffnen

© OpenStreetMap contributors

Was Ihre Bank selbst entscheiden muss

Die Aufsichtsmitteilung beschreibt Erwartungen und beobachtete Massnahmen. Die konkrete Ausgestaltung überlässt sie den Instituten. Diese neun Entscheide treffen CIO, CTO, CCO und COO gemeinsam, am besten bevor die erste Anwendung in Produktion geht.

1. Die interne KI-Definition. Legen Sie fest, welche Systeme als KI gelten. Eine zu enge Definition lässt regelbasierte Systeme mit lernenden Komponenten aussen vor, eine zu weite überlastet Ihr Inventar.
2. Das Inventar und seine Pflege. Bestimmen Sie, wer neue Anwendungen meldet, wer das Verzeichnis führt und wie oft es überprüft wird. Eine Zusammenfassung der Aufsichtsmitteilung nennt ein zentrales Inventar als Teil der erwarteten Governance.
3. Die Wesentlichkeitskriterien. Entscheiden Sie, nach welchen Kriterien eine Anwendung als wesentlich gilt: Kundenwirkung, Einfluss auf regulatorische Grössen, Automatisierungsgrad, Datenart. Davon hängt ab, wie tief Sie testen, dokumentieren und prüfen.
4. Die Verantwortlichkeiten. Benennen Sie pro Anwendung eine verantwortliche Person in der Linie, eine Kontrollfunktion und ein Gremium für Freigaben. Das beantwortet die Frage, die die FINMA als Herausforderung beschreibt: Wer ist zuständig, wenn das System falsch liegt?
5. Die menschliche Prüfung. Definieren Sie, wo ein Mensch entscheidet und wo das System nur vorschlägt. In der Geldwäschereibekämpfung liegt der Fokus bei der Abklärung verdächtiger Fälle nach Art. 15 GwV-FINMA laut der Hochschule Luzern auf der menschlichen Prüfung. Klären Sie solche Abgrenzungen mit Ihrer Compliance und Ihrem Rechtsdienst.
6. Das nötige Mass an Erklärbarkeit. Nicht jede Anwendung braucht dieselbe Tiefe. Ein Assistent für interne Textentwürfe ist anders zu behandeln als ein Modell, das Kunden einem Risiko zuordnet. Entscheiden Sie, wem gegenüber welches Ergebnis erklärbar sein muss.
7. Die Datenstandards. Legen Sie Anforderungen an Vollständigkeit, Korrektheit und Aktualität der Daten fest, und bestimmen Sie, wer sie überwacht. Weil die FINMA die Datenqualität oft höher gewichtet als die Modellwahl, gehört dieser Entscheid an den Anfang.
8. Der Umgang mit Drittanbietern. Bestimmen Sie, welche Informationen Sie von Modell- und Cloud-Anbietern brauchen, wie Sie Leistung und Änderungen überwachen und wie Sie aussteigen können. Die Umfrage von 2025 zeigt, wie stark Institute auf externe Anbieter setzen.
9. Den Zeitpunkt für den Kontakt zur FINMA. Wenn KI einen kritischen Prozess stützt oder eine regulatorisch vorgegebene Grösse berechnet, empfiehlt die FINMA den frühzeitigen Kontakt. Halten Sie in Ihrem Projektplan fest, wer diesen Kontakt führt und wann.

Beispiel: KI-Agenten in der Transaktionsüberwachung

Die Transaktionsüberwachung zeigt gut, wie die Erwartungen der FINMA im Alltag aussehen. Banken sind nach Art. 20 Abs. 2 GwV-FINMA verpflichtet, für die Transaktionsüberwachung ein informatikgestütztes System zu betreiben, wie die Hochschule Luzern beschreibt. Ein KI-Agent, der Alerts vorsortiert, Kontext zusammenträgt und einen begründeten Vorschlag macht, ergänzt dieses System. Er ersetzt es nicht, und die Entscheidung über einen Verdachtsfall bleibt beim Menschen.

Um den Erwartungen zu entsprechen, gehört zu einem solchen Agenten:

• ein Eintrag im KI-Inventar mit Einstufung als wesentliche Anwendung
• eine klare Rolle: Vorschlag durch den Agenten, Entscheid durch die Analystin oder den Analysten
• ein Protokoll jeder Empfehlung mit den verwendeten Daten und der Begründung
• laufende Überwachung der Qualität, etwa wie oft Vorschläge übersteuert werden
• eine unabhängige Überprüfung vor der Einführung und in festen Abständen

Genau so bauen wir unsere KI-Agenten für AML und Transaktionsüberwachung: Sie arbeiten neben Ihrem bestehenden AML-System, beschleunigen Alert-Triage, Adverse-Media- und Sanktionsscreening und lassen die Entscheidung bei Ihrem Team. Jeder Schritt ist für die interne Revision und die Aufsicht nachvollziehbar.

Wenn Sie einen konkreten Anwendungsfall prüfen, gehen wir ihn gerne mit Ihnen durch: von der Einstufung im Inventar bis zur Frage, ob ein frühzeitiger Kontakt mit der FINMA sinnvoll ist.

Unsere Sicht auf KI-Governance in Schweizer Banken

Aus unseren mehr als 100 KI-Projekten, davon über 30 agentisch, ziehen wir einen klaren Schluss: Die Erwartungen der FINMA bremsen gute KI-Projekte nicht. Sie beschreiben, was ein sorgfältig gebautes System ohnehin braucht.

Inventar, Verantwortlichkeiten, Tests, Dokumentation und menschliche Prüfung sind keine Pflichtübung am Ende eines Projekts. Wer sie von Anfang an in die Architektur einplant, kommt schneller und sicherer in die Produktion. Wer sie nachträglich ergänzt, baut oft zweimal.

Deshalb beginnen wir jedes Vorhaben mit den Fragen aus diesem Leitfaden: Ist die Anwendung wesentlich? Wo entscheidet der Mensch? Welche Daten sind gut genug? Erst dann wählen wir das Modell. Unsere eigene agentische Plattform S-PRO Agents ist der Kern unserer Lösungen, und wir gestalten jeden Agenten so, dass Ihr Team jede Empfehlung nachvollziehen kann.

Für Schweizer Banken und Vermögensverwalter ist das ein Vorteil: Wer Governance als Teil des Produkts versteht, kann KI in aufsichtsrelevanten Bereichen einsetzen und das gegenüber Revision und Aufsicht belegen.

Das S-PRO-Team

Häufige Fragen

Gibt es ein FINMA-Rundschreiben zu KI?

Die zentrale Veröffentlichung ist die Aufsichtsmitteilung 08/2024 vom 18. Dezember 2024. Ein KI-Rundschreiben nach 08/2024 haben wir nicht gefunden. Die FINMA erfasst KI über die bestehenden, technologieneutralen Anforderungen an Governance und Risikomanagement.

Braucht eine Bank eine Bewilligung der FINMA für KI?

Die veröffentlichten Texte sehen keine eigene KI-Bewilligung vor. Die FINMA empfiehlt jedoch seit dem 24. April 2025, frühzeitig Kontakt aufzunehmen, wenn KI in kritischen Prozessen oder bei der Berechnung regulatorisch vorgegebener Grössen eingesetzt werden soll. Ob ein Prozess kritisch ist, klären Sie am besten mit Ihrer Compliance und Ihrem Rechtsdienst.

Gilt die Aufsichtsmitteilung 08/2024 auch für zugekaufte KI-Lösungen?

Ja, die Verantwortung bleibt beim Institut, auch wenn ein Modell von einem Drittanbieter stammt. Die FINMA nennt die steigende Abhängigkeit von Drittparteien ausdrücklich als Risiko. Ihr Inventar, Ihre Tests und Ihre Überwachung sollten deshalb auch zugekaufte Anwendungen umfassen.

Womit sollte eine Bank beginnen?

Mit einem vollständigen Inventar und klaren Wesentlichkeitskriterien. Daraus ergibt sich, welche Anwendungen vertiefte Tests, Dokumentation und unabhängige Prüfung brauchen. Danach folgen Verantwortlichkeiten, Datenstandards und die Regeln für die menschliche Prüfung.

Wie S-PRO unterstützt

S-PRO ist ein internationales Schweizer Unternehmen mit Hauptsitz an der Löwenstrasse 45, 8001 Zürich, und R&D-Zentren in Zürich und Łódź. Seit der Gründung 2014 haben wir ein Team von über 250 Ingenieuren aufgebaut. Wir sind nach ISO 27001 und ISO 27701 zertifiziert. S-PRO ist Partner im Claude Partner Network.

Wir unterstützen Banken, Vermögensverwalter und Fintechs dabei, KI so einzuführen, dass Governance, Nachvollziehbarkeit und menschliche Prüfung von Anfang an Teil der Lösung sind:

• KI-Agenten für Banken und AML & Transaktionsüberwachung, die neben bestehenden Systemen arbeiten
• KYC-Onboarding-Agenten mit dokumentierten Entscheidungsschritten
• KI-Pilot in die Produktion, inklusive Inventar, Tests und Überwachung
• Technologieberatung zu KI-Governance und Architektur

Wir bauen jede Lösung auf unserer agentischen Plattform S-PRO Agents auf und betreiben sie als Service. Wie wir dabei Protokollierung, Rollen und Prüfbarkeit umsetzen, zeigen wir auf unserer Seite zu KI-Agenten mit dokumentierter Governance.

Quellen

• FINMA: Künstliche Intelligenz, Aufsichtserwartungen (Dossier)
• FINMA: Medienmitteilung zur KI-Umfrage vom 24. April 2025
• datenrecht.ch: FINMA-Aufsichtsmitteilung 08/2024 zu Governance und Risikomanagement beim Einsatz von KI
• CDBF Universität Genf: Erwartungen der FINMA zu Governance und Risikomanagement
• Legal 500: FINMA Guidance on Governance and Risk Management when using AI
• Hochschule Luzern: Transaktionsmonitoring mittels künstlicher Intelligenz
• Netzwoche: Finma erinnert Banken an KI-Risiken (7. Januar 2025)
• finews.ch: Schweizer Finanzinstitute setzen auf KI (25. April 2025)

Empfehlungen

• KI-Agent erstellen: Leitfaden für Banken und Finanzinstitute
• Model Risk Management für KI: Leitfaden für Schweizer Banken
• EU-AI-Act-konforme KI-Agenten für Banken
• KI-Agenten für AML und Transaktionsüberwachung