KI-Governance für Finanzinstitute, von der Aufsichtserwartung zum prüffähigen Nachweis
Banken, Versicherer und Vermögensverwalter setzen KI bei Kreditscoring, Betrugserkennung, Robo-Advisory und Geldwäscherei-Monitoring ein. Die FINMA erwartet dafür klare Governance, Verantwortlichkeit, Robustheit, Transparenz und Datenqualität, parallel klassifiziert der EU AI Act einzelne Finanz-Anwendungsfälle als hochriskant. Wir bauen das KI-Inventar auf, ordnen die Pflichten je Use Case ein und führen den Nachweis so, dass er einer Prüfung standhält.
Recht + Security + KI aus einer HandDE · FR · ENunabhängig, kein eigenes SOC-Geschäft
KI im Finanzsektor steht unter doppelter Beobachtung
Sobald ein Finanzinstitut KI produktiv einsetzt, treffen zwei Erwartungshorizonte aufeinander: die aufsichtsrechtliche der FINMA und die regulatorische des EU AI Act. Beide verlangen, dass Sie wissen, wo KI im Einsatz ist, und dass Sie sie steuern können.
Die FINMA hat KI als Aufsichtsthema klar adressiert. Im Zentrum stehen Governance und Verantwortlichkeit, also klare Zuständigkeiten für jedes Modell, ferner Robustheit und Zuverlässigkeit der Ergebnisse, Transparenz und Erklärbarkeit gegenüber Kundinnen, Kunden und der Aufsicht sowie die Qualität und Repräsentativität der Trainings- und Eingabedaten. Die FINMA stellt keine eigene KI-Zertifizierung aus, sie erwartet jedoch, dass ein Institut diese Punkte risikobasiert beherrscht und nachweisen kann. Was im Einzelfall verlangt wird, hängt von Funktion, Materialität und Risikoexposition Ihrer Anwendungen ab und ist fallbezogen zu prüfen.
Parallel klassifiziert der EU AI Act KI-Systeme nach Risiko. Für den Finanzsektor sind mehrere Anwendungsfälle einschlägig: die Bonitätsbewertung und das Kreditscoring natürlicher Personen gelten als hochriskant, ebenso die Risikobewertung und Tarifierung in der Lebens- und Krankenversicherung. Andere Verwendungen wie Betrugserkennung, Robo-Advisory, KI-gestütztes Geldwäscherei-Monitoring oder generative Assistenzsysteme fallen je nach Ausgestaltung in andere Klassen, etwa mit Transparenzpflichten oder als minimales Risiko. Der EU AI Act gilt gestaffelt und steht unter Revision (Digital Omnibus), die genaue Einordnung und der Zeitpunkt sind je Use Case zu prüfen.
Für Schweizer Institute gilt der EU AI Act nicht automatisch. Er kann jedoch greifen, wenn Sie über EU-Niederlassungen oder Tochtergesellschaften tätig sind oder wenn die Ergebnisse Ihrer KI-Systeme in der EU verwendet werden. Ob direkt oder indirekt, prüfen wir je Institut und je Anwendungsfall. Unabhängig davon bleiben das nDSG für automatisierte Einzelentscheidungen und die FINMA-Erwartungen an Governance und Datenqualität in der Schweiz massgeblich.
Ein vollständiges KI-Inventar: welche Modelle wo im Einsatz sind, mit welchen Daten und für welche Entscheidungen
Klare Governance und Verantwortlichkeit für jedes Modell, von der Freigabe bis zur laufenden Überwachung
Robustheit, Erklärbarkeit und menschliche Aufsicht (Human Oversight) bei Entscheidungen mit Kundenwirkung
Datenqualität und Repräsentativität der Trainings- und Eingabedaten, dokumentiert und überprüfbar
Eine EU-AI-Act-Klassifizierung je Use Case, mit den daraus folgenden Transparenz- oder Hochrisiko-Pflichten
Modelldokumentation und Nachweise, die einer FINMA-Prüfung oder einer aufsichtsrechtlichen Anfrage standhalten
KI-Pflichten im Finanzsektor im Überblick
Orientierung, kein Rechtsrat. Was tatsächlich gilt, hängt von Ihrem Anwendungsfall, Ihrer Aufsicht und Ihren Datenflüssen ab. Wir prüfen Geltungsbereich und Klassifizierung fallbezogen, einige Termine sind regulatorisch noch in Bewegung.
Anforderung
Was sie für KI im Finanzsektor bedeutet
Zeitpunkt
Status
FINMA-Erwartungen an KI
Governance, Verantwortlichkeit, Robustheit, Transparenz und Datenqualität für jedes Modell, risikobasiert beherrscht und nachweisbar
laufende Aufsichtspraxis
für beaufsichtigte Institute relevant
EU AI Act, Kreditscoring
Bonitätsbewertung und Kreditscoring natürlicher Personen gelten als hochriskant, mit Pflichten zu Risikomanagement, Daten-Governance, Dokumentation und Aufsicht
gestaffelt, in Revision (Digital Omnibus)
im Einzelfall prüfen
EU AI Act, Versicherung
Risikobewertung und Tarifierung in der Lebens- und Krankenversicherung können als hochriskant eingestuft sein, je nach Ausgestaltung
gestaffelt, in Revision (Digital Omnibus)
im Einzelfall prüfen
EU AI Act, weitere Use Cases
Betrugserkennung, Robo-Advisory, Geldwäscherei-Monitoring und generative Assistenten fallen je nach Ausgestaltung in andere Klassen, oft mit Transparenzpflichten
gestaffelt, in Revision (Digital Omnibus)
je Use Case klassifizieren
nDSG, automatisierte Entscheide
Informations- und Stellungnahmepflichten bei automatisierten Einzelentscheidungen mit erheblicher Wirkung auf betroffene Personen
in Kraft
verpflichtend in der Schweiz
Geltung für CH-Institute
Der EU AI Act greift für Schweizer Institute meist indirekt, über EU-Niederlassungen, Tochtergesellschaften oder die Nutzung der KI-Ergebnisse in der EU
je nach Struktur und Datenfluss
direkt oder indirekt prüfen
So machen wir Ihre KI-Governance prüffähig
Wir starten beim Inventar, klassifizieren jeden Anwendungsfall und bauen darauf ein Governance-Framework auf, das die FINMA-Erwartungen und die einschlägigen EU-AI-Act-Pflichten in einem System abbildet.
Zuerst erstellen wir Ihr KI-Inventar. Wir erfassen jede produktive und geplante KI-Anwendung mit ihrem Zweck, den verwendeten Daten, der Art der getroffenen Entscheidungen und den beteiligten Anbietern. Viele Institute unterschätzen, wie viel KI bereits über Drittsysteme und generative Werkzeuge im Haus ist. Das Inventar schafft die Grundlage, auf der jede weitere Pflicht beurteilt werden kann.
Dann klassifizieren wir je Use Case nach EU AI Act und ordnen die FINMA-Erwartungen zu. Kreditscoring und bestimmte Versicherungsanwendungen behandeln wir als potenziell hochriskant und leiten die entsprechenden Pflichten zu Risikomanagement, Daten-Governance, Dokumentation und Aufsicht ab. Für Betrugserkennung, Robo-Advisory oder Geldwäscherei-Monitoring klären wir, welche Transparenz- und Governance-Pflichten greifen. Die Einordnung erfolgt soft-gerahmt und wird je Anwendungsfall geprüft, weil der EU AI Act gestaffelt gilt und unter Revision steht.
Auf dieser Basis errichten wir ein FINMA-konformes KI-Governance-Framework: Rollen und Verantwortlichkeiten für jedes Modell, ein Freigabe- und Überprüfungsprozess, Anforderungen an Robustheit und Erklärbarkeit, ein Konzept für menschliche Aufsicht bei Entscheidungen mit Kundenwirkung sowie Vorgaben zur Datenqualität. Für jedes hochriskante Modell erstellen wir die Modelldokumentation, die eine Prüfung erwartet, und richten die laufende Überwachung ein. Das KI-Inventar, die Klassifizierungen, die Modelldokumentation und die Massnahmen führen wir in der Priverion-Plattform, der Schweizer Compliance-Management-Software, sodass der Nachweis gepflegt und exportierbar bereitliegt.
Wo es um die tiefere KI-spezifische Arbeit geht, greifen wir auf unsere dedizierten KI-Services zurück. Der AI Officer übernimmt die laufende KI-Governance als Mandat, der AI Governance Check liefert die fundierte Standortbestimmung und AI Security adressiert die technische Sicherheit Ihrer Modelle, etwa gegen Manipulation und Datenabfluss. So bekommen Sie die Finanzsicht und die KI-Tiefe von demselben Partner.
Warum SIDD für Ihre KI-Governance
KI-Governance im Finanzsektor verbindet Aufsichtsrecht, Datenschutz und technische Sicherheit. Genau diese Kombination decken wir aus einer Hand ab.
Recht, Security und KI aus einer Hand
Die EU-AI-Act-Klassifizierung und die FINMA-Governance führen promovierte Juristinnen und Juristen, die technische Modellprüfung und KI-Sicherheit ein eigenes Technik-Team unter einem ISO-27001-Lead-Auditor. So passen rechtliche Einordnung und technischer Nachweis zusammen.
Drei dedizierte KI-Services
Mit AI Officer, AI Governance Check und AI Security bringen wir spezialisierte KI-Tiefe in das Mandat. Wir ordnen die Pflichten aus dem EU AI Act für Ihre Finanz-Anwendungsfälle ein und sichern die Modelle technisch ab, statt KI nur als Randthema mitzunehmen.
Prüffähige Nachweise im Tooling
KI-Inventar, Klassifizierungen, Modelldokumentation und Massnahmen pflegen wir in der Priverion-Plattform. Fragt die FINMA oder die interne Revision nach, liegt der Nachweis gepflegt und exportierbar bereit, statt erst mühsam zusammengesucht zu werden.
Governance, die im Betrieb hält
Wir bauen nicht nur ein Framework auf Papier, sondern verankern Verantwortlichkeiten, Freigaben, menschliche Aufsicht und laufende Überwachung im Alltag. So bleibt jedes Modell zurechenbar und steuerbar, auch wenn neue KI-Werkzeuge dazukommen.
Soft-gerahmt und fallbezogen
Der EU AI Act gilt gestaffelt und steht unter Revision. Wir klassifizieren bewusst vorsichtig, prüfen die Geltung je Use Case und je Institut und unterscheiden klar zwischen direkter und indirekter Anwendung. So bauen Sie auf belastbaren Annahmen statt auf vorläufigen Zahlen.
Mehrsprachig & unabhängig
Wir beraten in Deutsch, Französisch und Englisch, passend für Institute in der ganzen Schweiz und mit EU-Bezug. Da wir kein eigenes SOC verkaufen, bleiben unsere Empfehlungen zu Modellen, Anbietern und Massnahmen unabhängig.
Zwei Wege zu prüffähiger KI-Governance
KI-Governance-Check (Finanzsektor)
Festpreis
Die einmalige Standortbestimmung Ihrer KI-Landschaft gegen die FINMA-Erwartungen und den EU AI Act, mit Inventar, Klassifizierung und priorisierter Roadmap.
KI-Inventar aller produktiven und geplanten Anwendungen mit Zweck, Daten und Anbietern
EU-AI-Act-Klassifizierung je Use Case, soft-gerahmt und fallbezogen geprüft
Abgleich mit den FINMA-Erwartungen zu Governance, Robustheit, Transparenz und Datenqualität
Gap-Analyse je Modell mit board-tauglichem Ergebnisbericht und priorisierter Roadmap
Inventar und Klassifizierungen angelegt in der Priverion-Plattform, bereit zum Weiterführen
Der laufende Betrieb: jemand, der die KI-Governance führt, neue Use Cases klassifiziert, die Modelldokumentation pflegt und Ihr Ansprechpartner gegenüber der Aufsicht ist.
Externer AI Officer, der die KI-Governance als Mandat führt und im Betrieb verankert
Laufende Klassifizierung neuer Use Cases nach EU AI Act und FINMA-Erwartungen
Pflege von KI-Inventar, Modelldokumentation und Massnahmen in der Priverion-Plattform
Konzept und Begleitung für menschliche Aufsicht und laufende Modellüberwachung
Ansprechpartner für KI-Fragen gegenüber FINMA, interner Revision und Geschäftsleitung, in DE, FR oder EN
LexCMD
Unser Werkzeug: LexCommand
Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
01
Souverän in der Schweiz
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
02
Kein Zitat, kein Anspruch
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
03
Vom Aufwand zum Urteil
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
04
Drei Disziplinen, ein Bild
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für Ihre KI-Governance im Finanzsektor: LexCommand belegt jede Risikoklassifizierung Ihrer Finanz-KI-Anwendungsfälle mit der exakten Fundstelle in der KI-VO und der FINMA-Aufsichtspraxis und legt überlappende Pflichten aus KI-VO, ISO/IEC 42001 und DSG/DSGVO nebeneinander, sodass Ihr Massnahmenplan auf nachprüfbaren Quellen statt auf Einschätzungen beruht.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Häufige Fragen
Gilt der EU AI Act überhaupt für unser Schweizer Institut?
Nicht automatisch. Der EU AI Act greift für Schweizer Institute meist indirekt, etwa wenn Sie über EU-Niederlassungen oder Tochtergesellschaften tätig sind oder wenn die Ergebnisse Ihrer KI-Systeme in der EU verwendet werden. Ob direkt oder indirekt, prüfen wir je Institut und je Anwendungsfall. Unabhängig davon bleiben die FINMA-Erwartungen und das nDSG in der Schweiz massgeblich. Der EU AI Act gilt zudem gestaffelt und steht unter Revision (Digital Omnibus), daher rahmen wir die Einordnung vorsichtig.
Ist unser Kreditscoring automatisch ein Hochrisiko-System?
Die Bonitätsbewertung und das Kreditscoring natürlicher Personen sind im EU AI Act als hochriskant vorgesehen, was Pflichten zu Risikomanagement, Daten-Governance, Dokumentation und menschlicher Aufsicht auslöst. Ob Ihr konkretes System darunterfällt und in welcher Ausgestaltung, hängt vom Einsatz ab und wird fallbezogen geprüft. Wir klassifizieren je Use Case und leiten die jeweils geltenden Pflichten ab, statt pauschal das schärfste Regime anzunehmen.
Stellt die FINMA eine KI-Zertifizierung aus?
Nein. Die FINMA stellt keine eigene KI-Zertifizierung aus. Sie erwartet aber, dass ein beaufsichtigtes Institut KI risikobasiert beherrscht, also Governance, Verantwortlichkeit, Robustheit, Transparenz und Datenqualität nachweisen kann. Wir bauen genau diesen Nachweis auf und führen ihn so, dass er einer aufsichtsrechtlichen Anfrage standhält. Wir beraten und bereiten vor, wir stellen keine Zertifikate aus.
Was bedeutet menschliche Aufsicht in der Praxis?
Menschliche Aufsicht heisst, dass eine zuständige Person die Ergebnisse eines Modells bei Entscheidungen mit Wirkung auf Kundinnen und Kunden verstehen, hinterfragen und nötigenfalls übersteuern kann. In der Praxis legen wir fest, wer welche Entscheidungen prüft, wann eine manuelle Freigabe nötig ist und wie auffällige oder schlecht erklärbare Ergebnisse eskaliert werden. Das verankern wir im Governance-Framework und in der Modelldokumentation.
Wir nutzen generative KI-Tools von Drittanbietern, müssen wir die auch erfassen?
Ja. Gerade generative Werkzeuge und KI-Funktionen in Drittsystemen gelangen oft unbemerkt in den Betrieb und gehören ins KI-Inventar. Wir erfassen sie mit Zweck, Datenfluss und Anbieter, klären Transparenz- und Geheimhaltungsfragen und prüfen die Anbieterseite im Rahmen Ihres Drittparteien-Risikomanagements. So bleibt auch zugekaufte KI zurechenbar und steuerbar.
Arbeiten Sie auf Französisch und Englisch?
Ja. Wir beraten durchgängig in Deutsch, Französisch und Englisch und führen Inventar, Klassifizierung und Modelldokumentation in der Sprache Ihres Hauses, relevant für Institute in der Deutschschweiz, der Romandie und mit EU-Bezug.
Passende nächste Schritte
Ihre KI-Governance baut auf unseren dedizierten KI-Services auf:
Wir bauen Ihr KI-Inventar auf, klassifizieren je Use Case nach EU AI Act, errichten ein FINMA-konformes Governance-Framework und führen Modelldokumentation und Aufsicht prüffähig.
