Die FINMA, die Eidgenössische Finanzmarktaufsicht, hat ihre Aufsichtsmitteilung 08/2024 vom 18. Dezember 2024 der künstlichen Intelligenz (KI) gewidmet. Ihr Titel: «Governance und Risikomanagement beim Einsatz künstlicher Intelligenz». Wie jede Mitteilung dieser Art richtet sie sich an einen definierten Kreis von Bewilligungsträgern. Es handelt sich nicht um eine neue Regel: Laut FINMA «bezwecken» ihre Aufsichtsmitteilungen «keine Rechtswirkung». Gemäss den konsultierten Quellen gilt für diese Institute kein spezielles KI-Gesetz.
Diese Seite behandelt eine einzige Frage: was der Einsatz von KI für ein von der FINMA beaufsichtigtes Institut ändert. Der allgemeine Rahmen, der für alle Unternehmen gilt, steht auf unserer Seite zur KI-Regulierung in der Schweiz. Sie erinnert namentlich daran, dass das Datenschutzrecht bereits direkt auf KI anwendbar ist.
Die FINMA ist eine unabhängige Behörde mit Sitz in Bern. Gemäss ihrer Selbstdarstellung, die 2clics.com am 22. Oktober 2026 wiedergegeben hat, schützt sie Gläubiger, Anleger und Versicherte. Sie verfügt über drei Instrumente: die Bewilligung, die Aufsicht und die Rechtsdurchsetzung.
Kennzahlen
- 18. Dezember 2024: Datum der FINMA-Aufsichtsmitteilung 08/2024 zur KI.
- 59 Aufsichtsmitteilungen führte die FINMA im Oktober 2026 auf ihrer entsprechenden Seite auf.
- 5. September 2024: Auflegung zur Unterzeichnung des Rahmenübereinkommens des Europarats über KI, das die Schweiz unterzeichnet hat.
- Anfang 2027: Frist für einen Vorentwurf zur Regulierung von KI, gemäss dem KMU-Portal des Staatssekretariats für Wirtschaft (SECO).
- 15. Oktober 2026: Veröffentlichung der finalen Good Practices des Finanzstabilitätsrats (FSB) für die Einführung von KI im Finanzwesen.
- Über 300 KI-Anwendungsfälle hat UBS 2025 lanciert, gemäss Angaben der Bank.
- Weniger als jedes fünfte Unternehmen lässt alle seine Inhalte aus generativer KI von einer Person prüfen, gemäss dem swissVR Monitor.
Was hat die FINMA zur künstlichen Intelligenz veröffentlicht?
Der Referenztext ist die Aufsichtsmitteilung 08/2024. Ihre Seite der Aufsichtsmitteilungen datiert sie, als letzte Änderung, auf den 18. Dezember 2024 und bietet sie auf Deutsch, Französisch, Italienisch und Englisch an. Ihr Titel kündigt zwei Themen an: die Governance und das Risikomanagement beim Einsatz von KI. Dieser Artikel geht nicht im Detail auf den Inhalt ein, der im Dokument selbst nachzulesen ist.
Sie reiht sich in eine Serie verwandter Texte ein, die in derselben Form veröffentlicht wurden:
- 03/2024, zu den Erkenntnissen aus der Aufsicht über Cyberrisiken, vom 7. Juni 2024;
- 05/2025, zur operationellen Resilienz von Banken, Wertpapierhäusern und Finanzmarktinfrastrukturen, vom 10. November 2025;
- 02/2026, zu den Risiken digitalen Betrugs für Banken, vom 9. April 2026;
- 05/2026, zum Quantencomputing, vom 9. Juli 2026.
Auch die allgemeine Methode der Behörde ist dokumentiert. Für Kryptowährungen hat die FINMA ihren Ansatz in einer Medienmitteilung vom 11. September 2019 in zwei Formeln zusammengefasst. «Substance over form»: Es zählt allein die wirtschaftliche Funktion. «Same risks, same rules»: Ein vergleichbares Risiko verlangt dieselben Anforderungen.
In der für Kryptowährungen beschriebenen Praxis ändert die Technologie die Regel also nicht. Unsere Analyse: Nichts in den konsultierten Quellen deutet darauf hin, dass die FINMA auf KI eine andere Methode anwenden würde. Ein KI-Tool, das einen Kunden berät, einen Kredit beurteilt oder Transaktionen überwacht, würde dann nach der Tätigkeit beurteilt, die es ausübt, nicht nach seiner Technologie.
Aufsichtserwartung oder Regel: Was ist der Unterschied?
Die Unterscheidung hängt vom Urheber des Textes und von seiner Natur ab. Ein Gesetz wird vom Parlament verabschiedet. Die FINMA hingegen kann gemäss ihrer eigenen Darstellung «auf tieferer Stufe» regulieren. Parlament und Regierung können ihr keine Weisungen zu ihrer Aufsichtstätigkeit erteilen.
Ihre Rubrik «Dokumentation» unterscheidet mehrere Textfamilien: Rechtsgrundlagen, Rundschreiben, FINMA-Aufsichtsmitteilungen und Stellungnahmen. Die FINMA definiert den Stellenwert der Mitteilungen selbst. «Im Gegensatz zu Verordnungen und Rundschreiben der FINMA sind FINMA-Aufsichtsmitteilungen kein Regulierungsinstrument, sondern bezwecken eine bessere Umsetzung der Vorgaben.» Sie «betreffen Verhaltensweisen und bezwecken keine Rechtswirkung».
Gemäss derselben Seite richten sich diese Mitteilungen an einen klar definierten Kreis von Bewilligungsträgern. Sie weisen auf laufende Entwicklungen oder aktuelle Risiken hin, die sich aus den Beobachtungen der FINMA ergeben. Die Behörde setzt sie nach eigenen Angaben «zurückhaltend» ein.
Die Travel Rule von 2019 zeigt die praktische Tragweite eines solchen Textes. Die Mitteilung 02/2019 wandte gemäss dem Jahresbericht 2019 der FINMA die geltenden Vorschriften zum Zahlungsverkehr auf die Blockchain an. Dennoch beschränkte sie Krypto-Überweisungen der beaufsichtigten Institute auf die Wallets ihrer eigenen identifizierten Kunden.
Unsere Analyse: Die Mitteilung 08/2024 gehört in diese Kategorie. Sie schafft keine neue Pflicht, zeigt aber, wie die FINMA die bestehenden Vorschriften im Bereich KI angewendet sehen will. Eine verbindliche KI-spezifische Regel müsste über ein Gesetz, eine Verordnung oder ein Rundschreiben erlassen werden.
Was beaufsichtigt die FINMA, wenn ein Institut KI einsetzt?
Die FINMA stellt auf ihrer Startseite drei Grundsätze in den Vordergrund, die unabhängig von der Technologie gelten:
- der Kundenschutz: «Die FINMA schützt die Kundinnen und Kunden des Finanzmarkts»;
- Risiko und Resilienz: Sie «erkennt Risiken vorausschauend und beaufsichtigt präventiv»;
- die Verhältnismässigkeit: eine Aufsicht, die «risikobasiert und technologieneutral» ist.
Cyberrisiken bilden eines der Dossiers der FINMA. Unsere Analyse: Ihre Mitteilungen 03/2024 zu Cyberrisiken und 05/2025 zur operationellen Resilienz können auch KI-Tools betreffen, die auf den Informatiksystemen des Instituts beruhen.
Governance und Risikomanagement stehen im Titel der Mitteilung 08/2024. Die Erklärbarkeit taucht in den für diesen Artikel konsultierten Seiten der FINMA nicht auf. Andere Texte liefern dazu Anhaltspunkte. So verlangt das Übereinkommen des Europarats, genügend Informationen bereitzustellen, um einen mithilfe eines KI-Systems getroffenen Entscheid anfechten zu können. Es verpflichtet die Staaten, nicht direkt die Banken.
Welche weiteren Regeln gelten bereits für eine Bank, die KI einsetzt?
Mehrere Texte regeln den Einsatz von KI durch eine Bank, mit sehr unterschiedlicher Tragweite.
| Text oder Akteur | Was er für KI vorsieht | Tragweite |
|---|---|---|
| FINMA | Aufsichtsmitteilung 08/2024 zu Governance und Risikomanagement beim Einsatz von KI (18. Dezember 2024) | Aufsichtserwartung, ohne bezweckte Rechtswirkung |
| Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) | Das Datenschutzrecht ist direkt auf KI anwendbar (Notiz vom 24. September 2025) | Geltende Regel |
| Bundesamt für Cybersicherheit (BACS) | Die Eingabe vertraulicher Informationen in eine KI kann diese preisgeben (Warnung vom 16. Oktober 2026) | Empfehlung |
| Rahmenübereinkommen des Europarats | Transparenz, Verantwortlichkeit, Verlässlichkeit, Rechtsbehelfe | Von der Schweiz unterzeichnet, Pflichten für die Staaten |
| Bundesamt für Justiz (BJ) | Gesetzgebungsprojekt zur Umsetzung des Übereinkommens, im Aktionsplan «Digitale Schweiz» enthalten | Projekt |
| Finanzstabilitätsrat (FSB) | Good Practices für die Einführung von KI im Finanzwesen (15. Oktober 2026) | Internationale Referenz, Inhalt nicht konsultiert |
Das KI-Übereinkommen des Europarats überlässt jeder Vertragspartei die Wahl zwischen zwei Modalitäten für den Privatsektor. Gemäss dem KMU-Portal des SECO hat sich die Schweiz verpflichtet, ihr Recht entsprechend anzupassen. Parallel dazu bereitet der Bund seinen eigenen Einsatz von KI vor, beschrieben auf unserer Seite zur KI in der Bundesverwaltung.
Wie setzen Banken KI bereits ein?
Bei der grössten Schweizer Bank ist der Einsatz bereits breit. UBS gibt an, 2025 über 300 KI-Anwendungsfälle lanciert zu haben. Die Bank belegt weltweit den sechsten Platz im Evident AI Index 2026, der auch die Transparenz und den verantwortungsvollen Einsatz von KI bewertet.
Die KI der Kunden wirft eine andere Frage auf. Laut Axios vom 22. Oktober 2026 blockieren oder beschränken Morgan Stanley, JPMorgan, Bank of America und Citi die KI-Agenten, die ihre Kunden mit ihren Konten verbinden. Diese Agenten melden sich mit dem Passwort des Kunden an, ohne dass die Bank sie von ihm unterscheiden kann.
Die menschliche Kontrolle bleibt uneinheitlich. Gemäss dem swissVR Monitor, zitiert vom Magazin PME, geben zahlreiche Unternehmen an, über einen Governance-Rahmen für generative KI zu verfügen. Weniger als jedes fünfte lässt jedoch alle Inhalte von einer Person prüfen.
Was das für Kundinnen und Kunden in der Schweiz ändert
Für Kunden stellt das Mandat der FINMA den Schutz der Gläubiger, Anleger und Versicherten an die erste Stelle. Die konsultierten Quellen erwähnen keine Ausnahme für einen von einer KI vorbereiteten Entscheid. Unsere Analyse: Die Bank oder der Versicherer bleibt Ansprechpartner des Kunden, unabhängig vom eingesetzten Tool.
Die einer Bank anvertrauten Personendaten bleiben durch das Datenschutzgesetz geschützt, KI inbegriffen. Eine Beschwerde oder eine Meldung kann der FINMA über ihre Rubrik «Meldung erstatten oder Beschwerde einreichen» übermittelt werden. Datenschutzfragen fallen in die Zuständigkeit des EDÖB.
Was noch unklar ist
- Der detaillierte Inhalt der Mitteilung 08/2024: Dieser Artikel übernimmt nur deren Titel und Natur. Das Dokument ist auf der Seite der Aufsichtsmitteilungen der FINMA einsehbar.
- Ob die FINMA plant, diesen Text zu ergänzen oder einen Teil davon in ein Rundschreiben zu übernehmen.
- Die Tragweite des Gesetzgebungsprojekts des BJ und seine Auswirkungen auf die Finanzinstitute.
- Welche Modalität die Schweiz für die Anwendung des Übereinkommens auf den Privatsektor wählen würde.
- Die Einzelheiten der Good Practices des FSB und ihre allfällige Übernahme in der Schweiz.
Weitere Texte zum rechtlichen Rahmen der KI finden sich in unserer Rubrik.
Quellen
- FINMA, Startseite von finma.ch, konsultiert im Oktober 2026
- FINMA, «FINMA-Aufsichtsmitteilungen», Seite konsultiert am 29. Oktober 2026, darunter die Mitteilung 08/2024 vom 18. Dezember 2024
- FINMA, Darstellung «eine unabhängige Aufsichtsbehörde», wiedergegeben von 2clics.com am 22. Oktober 2026
- FINMA, Medienmitteilung vom 11. September 2019 zu Stablecoins und Jahresbericht 2019, wiedergegeben von 2clics.com
- Europarat, Rahmenübereinkommen über künstliche Intelligenz, wiedergegeben von 2clics.com
- KMU-Portal des SECO und swissVR Monitor, zitiert von 2clics.com am 28. Oktober 2026
- Schweizerische Eidgenossenschaft, Aktionsplan «Digitale Schweiz», konsultiert am 28. Oktober 2026
- EDÖB, Notiz «KI und Datenschutz», 24. September 2025; BACS, Warnung vom 16. Oktober 2026
- Fintechnews Switzerland, Rangliste Evident AI Index 2026, wiedergegeben von 2clics.com
- Axios, 22. Oktober 2026, und Journal du Coin, 24. Oktober 2026, wiedergegeben von 2clics.com
- Journal du Coin, zu den Arbeiten der G7 und des FSB, wiedergegeben von 2clics.com am 18. Oktober 2026
