FINMA-Aufsichtsmitteilung 08/2024
KI-Inventar nach FINMA-Aufsichtsmitteilung 08/2024: Vorlage und Beispiel
Die FINMA beurteilt, ob Institute ein zentral geführtes KI-Inventar mit Risikoeinstufung und klaren Verantwortlichkeiten haben. Hier finden Sie die Felder, ein ausgefülltes Beispiel und die Vorlage als Excel und CSV.
Für Risk, Compliance, Operations und Geschäftsleitung von Banken, Vermögensverwaltern und Versicherern.
Was die FINMA erwartet
Inventar, Risikoeinstufung, Verantwortung
Am 18. Dezember 2024 hat die FINMA die Aufsichtsmitteilung 08/2024 «Governance und Risikomanagement beim Einsatz Künstlicher Intelligenz» veröffentlicht. Sie ist keine neue Regel: Die FINMA beschreibt, was sie in der laufenden Aufsicht und bei Vor-Ort-Kontrollen beobachtet und beurteilt hat. Eine KI-spezifische Gesetzgebung gibt es in der Schweiz bisher nicht.
Es gilt Proportionalität: Massgebend sind Grösse, Komplexität, Struktur und Risikoprofil des Instituts sowie Wesentlichkeit und Eintrittswahrscheinlichkeit der Risiken einer Anwendung (Ziff. 1).
Hinweis: Wir sind keine Anwälte und geben keine Rechtsauskunft. Diese Seite fasst die Aufsichtsmitteilung zusammen und ist keine Rechtsberatung. Massgebend ist der Originaltext der FINMA.
- 01
Zentral geführtes Inventar mit Risikoklassifizierung
FINMA Ziff. 2.1, 2.2Die FINMA beurteilte, ob Institute mit vielen oder wesentlichen KI-Anwendungen ein zentral geführtes Inventar einschliesslich einer Risikoklassifizierung und daraus folgender Massnahmen haben, und wie vollständig dieses Inventar ist.
- 02
Klare Zuständigkeiten und Verantwortlichkeiten
FINMA Ziff. 2.1Zuständigkeiten und Verantwortlichkeiten für Entwicklung, Implementierung, Überwachung und Nutzung von KI sind festgelegt, und zwar bei Mitarbeitenden mit den nötigen Fähigkeiten. Dazu gehören Vorgaben zu Modell-Tests und Systemkontrollen, Dokumentationsstandards und Schulungen.
- 03
Eine ausreichend breite Definition von KI
FINMA Ziff. 2.2Auch klassische Anwendungen können ähnliche Risiken aufweisen, gleiche Risiken sind gleich zu behandeln. Die FINMA beobachtete, dass Vollständigkeit schwierig ist, weil generative KI seit ihrem Aufkommen für jedermann zugänglich ist.
- 04
Risikoeinstufung nach eigenen, konsistenten Kriterien
FINMA Ziff. 2.2, Fn. 2, 5, 7Die Kriterien legt das Institut selbst fest, massgebend sind Wesentlichkeit und Eintrittswahrscheinlichkeit. Tendenziell erhöht sind Risiken, wenn KI der Einhaltung von Aufsichtsrecht oder kritischen Funktionen dient oder Kundschaft und Mitarbeitende von ihren Ergebnissen stark betroffen sind. KI ist nicht per se eine Hochrisiko-Anwendung.
- 05
Eingekaufte Lösungen und Auslagerung
FINMA Ziff. 2.1Bei eingekaufter Software war oft unklar, ob sie KI enthält, welche Daten und Methoden sie nutzt und ob eine ausreichende Due Diligence besteht. Bei Outsourcing beurteilte die FINMA zusätzliche Tests, Kontrollen und Vertragsklauseln zu Verantwortlichkeiten und Haftung.
- 06
Daten, Tests, Dokumentation, Erklärbarkeit, unabhängige Prüfung
FINMA Ziff. 2.3 bis 2.7Weitere Massnahmen betreffen die Datenqualität, Tests und laufende Überwachung, die Dokumentation wesentlicher Anwendungen samt Risikoeinstufung und Begründung, die Erklärbarkeit von Ergebnissen und eine unabhängige Überprüfung.
Die Felder
20 Felder, die ein brauchbares Inventar braucht
Das sind die Spalten der Vorlage. Wo ein Feld auf die Aufsichtsmitteilung zurückgeht, steht die Ziffer daneben. Felder mit «Empfehlung» verlangt die FINMA nicht ausdrücklich, sie machen das Inventar aber erst im Alltag nutzbar.
Was und wofür
- 1IDEmpfehlung
Eindeutige Nummer, zum Beispiel KI-01. Bleibt bestehen, auch wenn die Anwendung abgeschaltet wird.
- 2Name der AnwendungEmpfehlung
Wie die Anwendung im Haus heisst, mit Produktname.
- 3Zweck und GeschäftsprozessFINMA Ziff. 2.5
Wofür die Anwendung eingesetzt wird und in welchem Prozess sie wirkt.
- 4BereichEmpfehlung
Organisationseinheit, die die Anwendung nutzt.
- 18StatusEmpfehlung
Geplant, Pilot, produktiv oder abgeschaltet.
Wer und mit wem
- 5Verantwortliche PersonFINMA Ziff. 2.1
Eine benannte Person mit Funktion, kein Team. Sie hält die Angaben aktuell.
- 6Anbieter und ModellFINMA Ziff. 2.1
Hersteller, Produkt und, soweit bekannt, das zugrunde liegende Modell.
- 7ArtFINMA Ziff. 2.1, 2.2
Selbst entwickelt, eingekauft, in bestehender Software eingebaut oder private Nutzung durch Mitarbeitende.
- 17Auslagerung und Vertrag mit DrittanbieterFINMA Ziff. 2.1
Drittanbieter, Vertrag und Klauseln zu Verantwortlichkeiten, Haftung und Datenstandort.
Welche Daten und wo
- 8KundendatenFINMA Fn. 2
Ob Daten von Kundinnen und Kunden in die Anwendung fliessen: ja, nein oder unklar.
- 9DatenkategorienFINMA Ziff. 2.3
Welche Daten verwendet werden, zum Beispiel Stammdaten, Transaktionen, Korrespondenz oder öffentliche Inhalte.
- 10Verarbeitungs- und SpeicherortEmpfehlung
Land oder Region, in der die Daten laut Vertrag verarbeitet und gespeichert werden.
Risiko und Kontrollen
- 11RisikoeinstufungFINMA Ziff. 2.2, Fn. 5
Tief, mittel oder hoch, nach den Kriterien Ihres Hauses.
- 12Begründung der EinstufungFINMA Ziff. 2.5, Fn. 2
Warum diese Stufe: Wesentlichkeit der Anwendung und Wahrscheinlichkeit eines Schadens, in zwei bis drei Sätzen.
- 13KontrollenFINMA Ziff. 2.1
Zum Beispiel menschliche Freigabe, Vier-Augen-Prinzip, Berechtigungen, Grenzen der Nutzung.
- 16ErklärbarkeitFINMA Ziff. 2.6
Wie sich ein Ergebnis nachvollziehen lässt, zum Beispiel mit Quellenangabe oder Begründung pro Fall.
Prüfen und belegen
- 14Tests und laufende ÜberwachungFINMA Ziff. 2.4
Tests vor dem Einsatz, Kennzahlen, Stichproben und die Auswertung von Fällen, in denen Mitarbeitende Ergebnisse korrigieren.
- 15DokumentationFINMA Ziff. 2.5
Wo Zweck, Daten, Modell, Annahmen, Grenzen, Tests und Fallback beschrieben sind.
- 19Letzte ÜberprüfungFINMA Ziff. 2.4
Monat und Jahr der letzten Überprüfung.
- 20Nächste ÜberprüfungFINMA Ziff. 2.4
Monat und Jahr der nächsten geplanten Überprüfung.
So stufen Sie das Risiko ein
- hoch
Die Anwendung dient der Einhaltung von Aufsichtsrecht oder einer kritischen Funktion, oder Kundschaft und Mitarbeitende sind von ihren Ergebnissen stark betroffen.
- mittel
Kundendaten oder Kundenkontakt, aber ein Mensch prüft das Ergebnis, bevor es wirkt.
- tief
Interne Unterstützung ohne Kundendaten, die Ergebnisse wirken nicht direkt nach aussen.
Vorschlag von Humanyx. Die Kriterien legt Ihr Haus fest (Fn. 5). Faktoren nennt die FINMA in Fussnote 2, zum Beispiel Bedeutung für die Einhaltung der Finanzmarktgesetzgebung, Anzahl betroffener Kundinnen und Kunden, Personendaten, Grad der Autonomie und Abhängigkeit von Drittanbietern.
Beispiel
So sieht ein ausgefülltes Inventar aus
Sechs Zeilen, wie sie in einer mittelgrossen Bank stehen könnten, von Microsoft 365 Copilot bis zu den privaten ChatGPT-Konten. Fiktives Beispiel, keine Angaben eines realen Instituts. Klicken Sie auf eine Zeile, um alle 20 Felder zu sehen.
KI-01Microsoft 365 Copilotin bestehender Software eingebautKundendatenjaRisikomittelLeiterin ITStatusproduktiv
Was und wofür
- ID
- KI-01
- Name der Anwendung
- Microsoft 365 Copilot
- Zweck und Geschäftsprozess
- Entwürfe für E-Mails und Präsentationen, Zusammenfassungen von Sitzungen und Dokumenten im Büroalltag.
- Bereich
- Alle Bereiche
- Status
- produktiv
Wer und mit wem
- Verantwortliche Person
- Leiterin IT
- Anbieter und Modell
- Microsoft, Sprachmodelle von OpenAI über Microsoft
- Art
- in bestehender Software eingebaut
- Auslagerung und Vertrag mit Drittanbieter
- Microsoft-Vertrag mit Datenschutzzusatz, Auslagerungsprüfung abgeschlossen
Welche Daten und wo
- Kundendaten
- ja
- Datenkategorien
- E-Mails, Dokumente, Kalender und Chats, im Rahmen der Berechtigungen der Nutzenden
- Verarbeitungs- und Speicherort
- Speicherung Schweiz (In-Country-Datenhaltung aktiviert), Verarbeitung in der EU
Risiko und Kontrollen
- Risikoeinstufung
- mittel
- Begründung der Einstufung
- Breite Nutzung mit Zugriff auf Dokumente mit Kundenbezug. Ergebnisse wirken nicht direkt nach aussen, sie werden vor dem Versand von Mitarbeitenden geprüft.
- Kontrollen
- Berechtigungen vor der Einführung bereinigt, Nutzungsrichtlinie, Texte an Kunden werden vor dem Versand gelesen und freigegeben.
- Erklärbarkeit
- Antworten mit Verweis auf die verwendeten Dokumente
Prüfen und belegen
- Tests und laufende Überwachung
- Pilot mit 20 Personen vor der Einführung, quartalsweise Auswertung der Nutzung und der gemeldeten Fehler.
- Dokumentation
- Steckbrief, Datenschutz-Folgenabschätzung, Nutzungsrichtlinie im Intranet
- Letzte Überprüfung
- 09.2026
- Nächste Überprüfung
- 03.2027
KI-02Chatbot auf der WebsiteeingekauftKundendatenneinRisikomittelLeiter KundendienstStatusPilot
Was und wofür
- ID
- KI-02
- Name der Anwendung
- Chatbot auf der Website
- Zweck und Geschäftsprozess
- Beantwortet allgemeine Fragen zu Produkten, Gebühren und Öffnungszeiten und leitet an die Kundenberatung weiter.
- Bereich
- Kundendienst und Marketing
- Status
- Pilot
Wer und mit wem
- Verantwortliche Person
- Leiter Kundendienst
- Anbieter und Modell
- Schweizer Chatbot-Anbieter, Sprachmodell über Azure OpenAI
- Art
- eingekauft
- Auslagerung und Vertrag mit Drittanbieter
- Vertrag mit dem Anbieter inklusive Auftragsbearbeitung und Haftung
Welche Daten und wo
- Kundendaten
- nein
- Datenkategorien
- Öffentliche Website-Inhalte, Gesprächsverläufe ohne Kontodaten
- Verarbeitungs- und Speicherort
- Schweiz
Risiko und Kontrollen
- Risikoeinstufung
- mittel
- Begründung der Einstufung
- Direkter Kontakt mit Kundinnen und Kunden, falsche Auskünfte schaden dem Ruf. Keine Kontodaten und keine Anlageberatung.
- Kontrollen
- Antworten nur aus freigegebenen Inhalten, Hinweis auf fehlende Beratung, Übergabe an einen Menschen auf Wunsch.
- Erklärbarkeit
- Jede Antwort verweist auf die Quellseite der Website
Prüfen und belegen
- Tests und laufende Überwachung
- 100 Testfragen mit bekannter Antwort vor dem Start, monatliche Stichprobe von 50 Gesprächen.
- Dokumentation
- Steckbrief, versionierte Wissensbasis
- Letzte Überprüfung
- 08.2026
- Nächste Überprüfung
- 11.2026
KI-03Datenextraktion im KYCeingekauftKundendatenjaRisikohochHead ComplianceStatusproduktiv
Was und wofür
- ID
- KI-03
- Name der Anwendung
- Datenextraktion im KYC
- Zweck und Geschäftsprozess
- Liest Ausweise, Handelsregisterauszüge und das Formular A aus und befüllt das KYC-Dossier bei der Kontoeröffnung.
- Bereich
- Compliance und Onboarding
- Status
- produktiv
Wer und mit wem
- Verantwortliche Person
- Head Compliance
- Anbieter und Modell
- Anbieter für Dokumentenerkennung, Texterkennung kombiniert mit einem Sprachmodell
- Art
- eingekauft
- Auslagerung und Vertrag mit Drittanbieter
- Auslagerungsvertrag mit Prüfrechten, Datenstandort Schweiz vertraglich festgehalten
Welche Daten und wo
- Kundendaten
- ja
- Datenkategorien
- Ausweisdaten, wirtschaftlich Berechtigte, Angaben zur Herkunft der Vermögenswerte
- Verarbeitungs- und Speicherort
- Schweiz
Risiko und Kontrollen
- Risikoeinstufung
- hoch
- Begründung der Einstufung
- Dient der Einhaltung der Sorgfaltspflichten zur Geldwäschereibekämpfung und verarbeitet Kundendaten. Fehler wirken direkt auf die KYC-Prüfung.
- Kontrollen
- Jedes extrahierte Feld wird vor dem Abschluss vom Compliance Officer bestätigt (Vier-Augen-Prinzip).
- Erklärbarkeit
- Jedes Feld verweist auf die Fundstelle im Dokument
Prüfen und belegen
- Tests und laufende Überwachung
- 200 historische Dossiers mit bekanntem Ergebnis vor dem Start, Fehlerquote pro Feld als Kennzahl, monatliche Auswertung der manuellen Korrekturen.
- Dokumentation
- Vollständige Dokumentation mit Zweck, Daten, Grenzen und Fallback (manuelle Erfassung)
- Letzte Überprüfung
- 06.2026
- Nächste Überprüfung
- 12.2026
KI-04Modell im Transaktionsmonitoringin bestehender Software eingebautKundendatenjaRisikohochLeiter GeldwäschereibekämpfungStatusproduktiv
Was und wofür
- ID
- KI-04
- Name der Anwendung
- Modell im Transaktionsmonitoring
- Zweck und Geschäftsprozess
- Priorisiert Alarme im Transaktionsmonitoring zur Geldwäschereibekämpfung und senkt die Zahl der Fehlalarme.
- Bereich
- Compliance, Geldwäschereibekämpfung
- Status
- produktiv
Wer und mit wem
- Verantwortliche Person
- Leiter Geldwäschereibekämpfung
- Anbieter und Modell
- Modul des Monitoring-Systems, Machine-Learning-Modell des Herstellers
- Art
- in bestehender Software eingebaut
- Auslagerung und Vertrag mit Drittanbieter
- Lizenz- und Wartungsvertrag, Modelländerungen nur nach vorheriger Information
Welche Daten und wo
- Kundendaten
- ja
- Datenkategorien
- Transaktionen, Kundenprofile, Risikokategorien
- Verarbeitungs- und Speicherort
- Schweiz, Betrieb im eigenen Rechenzentrum
Risiko und Kontrollen
- Risikoeinstufung
- hoch
- Begründung der Einstufung
- Aufsichtsrechtlich kritische Funktion. Eine falsch tiefe Priorisierung kann verdächtige Transaktionen übersehen lassen.
- Kontrollen
- Kein Alarm wird automatisch geschlossen, Abschluss nur durch Analystinnen und Analysten, Schwellenwerte durch Compliance freigegeben.
- Erklärbarkeit
- Pro Alarm die wichtigsten Merkmale, die zur Priorisierung geführt haben
Prüfen und belegen
- Tests und laufende Überwachung
- Backtesting gegen historische Fälle vor dem Einsatz, monatliche Überwachung von Trefferquote und veränderten Eingangsdaten, jährliche unabhängige Validierung.
- Dokumentation
- Modelldokumentation des Herstellers plus eigener Validierungsbericht
- Letzte Überprüfung
- 04.2026
- Nächste Überprüfung
- 04.2027
KI-05Übersetzung mit DeepL ProeingekauftKundendatenjaRisikomittelLeiter OperationsStatusgeplant
Was und wofür
- ID
- KI-05
- Name der Anwendung
- Übersetzung mit DeepL Pro
- Zweck und Geschäftsprozess
- Soll Korrespondenz, Verträge und interne Dokumente zwischen Deutsch, Französisch, Italienisch und Englisch übersetzen.
- Bereich
- Backoffice und Kundenberatung
- Status
- geplant
Wer und mit wem
- Verantwortliche Person
- Leiter Operations
- Anbieter und Modell
- DeepL, eigene Übersetzungsmodelle
- Art
- eingekauft
- Auslagerung und Vertrag mit Drittanbieter
- Vertrag in Prüfung: Auftragsbearbeitung, Löschung der Texte, Datenübermittlung in die EU
Welche Daten und wo
- Kundendaten
- ja
- Datenkategorien
- Korrespondenz und Verträge mit Namen und Vermögensangaben
- Verarbeitungs- und Speicherort
- EU laut Anbieter
Risiko und Kontrollen
- Risikoeinstufung
- mittel
- Begründung der Einstufung
- Kundendaten würden die Schweiz verlassen. Übersetzungen werden vor dem Versand gelesen und wirken nicht ungeprüft nach aussen.
- Kontrollen
- Geplant: nur Firmenkonten mit Pro-Lizenz, Übersetzungen an Kunden werden vor dem Versand gegengelesen.
- Erklärbarkeit
- Original und Übersetzung liegen nebeneinander und sind vergleichbar
Prüfen und belegen
- Tests und laufende Überwachung
- Geplant: Stichprobe von 20 Fachtexten vor der Einführung, danach jährliche Überprüfung der Vertragsbedingungen.
- Dokumentation
- Steckbrief in Arbeit
- Letzte Überprüfung
- noch offen
- Nächste Überprüfung
- vor dem Start
KI-06Private ChatGPT-Konten von MitarbeitendenBlinder Fleckprivate Nutzung durch MitarbeitendeKundendatenunklarRisikohochNoch offen, Vorschlag: Head ComplianceStatusproduktiv
Was und wofür
- ID
- KI-06
- Name der Anwendung
- Private ChatGPT-Konten von Mitarbeitenden
- Zweck und Geschäftsprozess
- Unbekannt. Vermutlich Texte formulieren, übersetzen und recherchieren.
- Bereich
- Verschiedene
- Status
- produktiv
Wer und mit wem
- Verantwortliche Person
- Noch offen, Vorschlag: Head Compliance
- Anbieter und Modell
- OpenAI, ChatGPT mit privaten Gratis- oder Bezahlkonten
- Art
- private Nutzung durch Mitarbeitende
- Auslagerung und Vertrag mit Drittanbieter
- Kein Vertrag
Welche Daten und wo
- Kundendaten
- unklar
- Datenkategorien
- Unbekannt, Kundendaten in eingefügten Texten sind nicht auszuschliessen
- Verarbeitungs- und Speicherort
- USA, ohne Vertrag mit der Bank
Risiko und Kontrollen
- Risikoeinstufung
- hoch
- Begründung der Einstufung
- Keine Kontrolle über die eingegebenen Daten und kein Vertrag mit dem Anbieter. Typischer blinder Fleck im Inventar.
- Kontrollen
- Keine. Massnahmen: KI-Richtlinie, kurze Umfrage im Team, freigegebene Alternative mit Firmenkonto.
- Erklärbarkeit
- Nicht gegeben
Prüfen und belegen
- Tests und laufende Überwachung
- Keine
- Dokumentation
- Keine
- Letzte Überprüfung
- noch offen
- Nächste Überprüfung
- 11.2026
Typische Lücken
Was in Inventaren oft fehlt
Die FINMA hält fest, dass die Vollständigkeit für viele Institute eine Herausforderung war. Was niemand bewusst eingeführt hat, steht auf keiner Liste. Diese vier Bereiche lohnt es sich gezielt abzufragen.
Private KI-Konten
Mitarbeitende nutzen ChatGPT, Claude oder Gemini mit privaten Konten, oft auf dem Smartphone. Niemand hat das eingeführt, deshalb steht es auf keiner Liste.
So erfassen: Kurze, anonyme Umfrage im Team. Als eigene Zeile mit der Art «private Nutzung durch Mitarbeitende» erfassen, dazu eine Regel in der KI-Richtlinie und eine freigegebene Alternative.
KI in bestehender Software
CRM, Kernbankensystem, Office und Portfoliosoftware erhalten laufend KI-Funktionen über normale Updates. Sie werden selten als neue Anwendung wahrgenommen.
So erfassen: Release Notes und Verträge der wichtigsten Anbieter durchgehen und beim Anbieter nachfragen, welche KI-Funktionen aktiv sind und welche Daten sie nutzen.
Transkription und Übersetzung
Protokollfunktionen in Teams oder Zoom, Diktier-Apps und Übersetzungsdienste verarbeiten Gespräche und Korrespondenz mit Kundenbezug.
So erfassen: Pro Werkzeug eine Zeile. Besonders prüfen: Werden Gespräche mit Kundinnen und Kunden aufgezeichnet, und wo werden Audio und Text gespeichert?
Browser-Erweiterungen
Schreibhilfen, Zusammenfassungs- und Übersetzungs-Erweiterungen lesen mit, was im Browser angezeigt wird, auch im E-Banking-Backoffice oder im CRM.
So erfassen: Installierte Erweiterungen über die IT auslesen, freigegebene Erweiterungen festlegen und die übrigen sperren.
Vorlage
KI-Inventar als Excel und CSV herunterladen
Die Excel-Datei enthält drei Blätter: das leere Inventar mit Auswahllisten für Art, Kundendaten, Risikoeinstufung und Status, das ausgefüllte Beispiel von dieser Seite und eine Erklärung aller 20 Felder mit Bezug zur Aufsichtsmitteilung. Die CSV-Datei enthält dieselben Spalten mit den Beispielzeilen, für andere Tabellenprogramme.
- 20 Felder, nummeriert wie auf dieser Seite
- Auswahllisten statt Freitext, wo es sinnvoll ist
- Kostenlos, die Links kommen auch per E-Mail
Vertraut von führenden Unternehmen
Gemeinsam mit innovativen Partnern gestalten wir, wie Teams in der Schweiz arbeiten, verkaufen und Wissen teilen.
40 %
höhere Produktivität in kleinen Teams durch die Kombination von menschlicher Expertise und KI-Unterstützung
"Humanyx hat gezeigt, wie KI den Direktversicherungsvertrieb nicht nur effizienter, sondern auch menschliche Interaktion fördern kann. Das Feedback der Berater ist hervorragend."Angebot
Wir füllen das Inventar für Ihr Haus mit den öffentlich bekannten Anwendungen vor.
Aus Geschäftsberichten, Medienmitteilungen und Fachmedien tragen wir zusammen, welche KI-Anwendungen Ihres Hauses öffentlich bekannt sind, mit Quelle pro Zeile. Sie erhalten die ausgefüllte Vorlage als Ausgangspunkt. Verantwortliche Personen, Kundendaten und Risikoeinstufung ergänzen Sie intern.
Lieber direkt sprechen: Termin «AI Exploration» buchenHäufige Fragen
Wer ist für das KI-Inventar verantwortlich?+
Die Aufsichtsmitteilung schreibt keine bestimmte Funktion vor. Die FINMA beurteilt, ob ein zentral geführtes Inventar besteht und ob Zuständigkeiten und Verantwortlichkeiten für Entwicklung, Implementierung, Überwachung und Nutzung von KI festgelegt sind. Bewährt hat sich: Eine Stelle führt das Inventar, oft Compliance oder Risk, und jede Anwendung hat eine fachlich verantwortliche Person.
Wie oft sollte das Inventar überprüft werden?+
Die Mitteilung nennt keine feste Frequenz. Sie hält fest, dass vor dem produktiven Einsatz, bei Veränderungen und laufend zu beurteilen ist, ob eine Anwendung ihrem Zweck entsprechend funktioniert, je wesentlicher und komplexer die Anwendung, desto wichtiger. Unsere Empfehlung: das Inventar mindestens einmal pro Quartal nachführen, wesentliche Anwendungen mindestens jährlich überprüfen und zusätzlich immer dann, wenn sich Modell, Anbieter oder Daten ändern.
Gehören private ChatGPT-Konten von Mitarbeitenden ins Inventar?+
Ja. Die FINMA hält fest, dass die Vollständigkeit von Inventaren schwierig ist, weil generative KI seit ihrem Aufkommen für jedermann zugänglich ist, und sie erwartet eine ausreichend breite Definition von KI. Erfassen Sie die private Nutzung als eigene Zeile, auch wenn vieles unklar ist. Wie Sie die Nutzung im Team regeln, zeigt unsere Vorlage für eine KI-Richtlinie.
Was zählt als KI-Anwendung?+
Die FINMA beurteilt, ob eine ausreichend breite Definition von KI vorliegt, und verweist auf den Definitionsansatz der OECD. Begründung: Auch klassische Anwendungen können ähnliche Risiken aufweisen, und gleiche Risiken sind gleich zu adressieren. Im Zweifel gehört eine Anwendung ins Inventar, die Risikoeinstufung zeigt dann, wie viel Aufwand sie braucht.
Gilt das auch für ein kleines Haus?+
Die Mitteilung verlangt Proportionalität: Massgebend sind Grösse, Komplexität, Struktur und Risikoprofil des Instituts sowie die Wesentlichkeit der Anwendungen und die Eintrittswahrscheinlichkeit der Risiken. Ein kleines Haus braucht keine Inventar-Plattform. Eine vollständige, aktuelle Tabelle mit benannten Verantwortlichen genügt in der Regel.
Reicht eine Excel-Tabelle als Inventar?+
Für die meisten Häuser ja. Entscheidend sind Vollständigkeit, eine nachvollziehbare Risikoeinstufung und die regelmässige Nachführung, nicht das Werkzeug. Die Vorlage auf dieser Seite enthält Auswahllisten für Art, Kundendaten, Risikoeinstufung und Status.
Noch Fragen?
Ihre Frage ist nicht dabei? Die KI antwortet aus dem Wissen dieser Website.