Hält Ihr KI-Use-Case den Erwartungen der FINMA stand? In drei Wochen wissen Sie es.

Für wen

Banken, FinTechs mit FINMA-Bewilligung, Vermögensverwalter und Zahlungsdienstleister, die einen KI-Use-Case pilotieren oder planen und gegenüber der Aufsicht begründen müssen, wie sie die Risiken beherrschen. Typische Beispiele sind die Vorprüfung von Transaktionsalarmen, Entwürfe für Kundenkorrespondenz, die Suche in Weisungen und Verträgen oder die Unterstützung im Kreditprozess.

Was die FINMA erwartet

Mit der Aufsichtsmitteilung 08/2024 «Governance und Risikomanagement beim Einsatz Künstlicher Intelligenz» erwartet die FINMA, dass Institute KI-Risiken angemessen erfassen, beurteilen, steuern und überwachen. Sie nennt operationelle Risiken, darunter Modellrisiken wie mangelnde Robustheit, Korrektheit und Erklärbarkeit sowie Verzerrungen. Hinzu kommen Datenrisiken, IT- und Cyberrisiken, die Abhängigkeit von Drittparteien sowie Rechts- und Reputationsrisiken. Für Banken gilt zudem das Rundschreiben 2023/1 zu operationellen Risiken und Resilienz, für Personendaten das DSG.

Was Sie nach drei Wochen haben

Einen Eintrag für Ihr KI-Inventar mit Zweck, Daten, Modell, Anbietern, Risikoeinstufung, Verantwortlichen und der Stelle, an der ein Mensch entscheidet. Eine Beurteilung jedes eingesetzten Dienstes und Anbieters in ClearSky, einschliesslich Abhängigkeiten von Drittparteien und Auslagerungen, mit Schweregrad und Status zu jedem Befund. Kontrollen für Modellrisiken mit Messgrössen und Schwellenwerten. Und eine Zielarchitektur mit Massnahmenplan und Festpreis für die Umsetzung.

Drei Wochen, drei Ergebnisse

01 /

Woche 1: Einordnung

Use Case und Datenflüsse aufnehmen, Risiko einstufen, Eintrag ins KI-Inventar erstellen. Am Freitag entscheiden Sie, ob es weitergeht oder ob Sie zum halben Preis aussteigen.

02 /

Woche 2: Beurteilung

Dienste und Anbieter in ClearSky beurteilen, Kontrollen für Modellrisiken festlegen.

03 /

Woche 3: Zielbild

Zielarchitektur mit Datenstandort, menschlicher Aufsicht und signiertem Auditpfad, Massnahmenplan, Übergabe an Compliance und Risikomanagement.

Häufige Fragen

Brauchen Sie echte Kundendaten?

Nein. Wir arbeiten mit Beschreibungen, Datenflüssen und Unterlagen zu den eingesetzten Diensten.

Ist die Aufsichtsmitteilung verbindlich?

Sie ist kein Gesetz. Sie prägt aber, wie die FINMA in ihrer Aufsicht beurteilt, ob ein Institut die Risiken beim Einsatz von KI beherrscht.

Sagen Sie zu, dass die FINMA das Ergebnis akzeptiert?

Nein. Wir liefern die Architektur und die Belege, mit denen Ihre Compliance-Funktion ihre Argumentation untermauern kann. Bewilligungs- und Rechtsberatung leisten wir nicht.

Was passiert nach dem Check?

Der Massnahmenplan nennt einen Festpreis für die Umsetzung. Der Preis des Checks wird voll angerechnet, wenn Sie die Umsetzung mit uns realisieren.