Die FINMA veröffentlicht kein KI-Regelwerk. Was sie veröffentlicht, sind Erwartungen: dazu, wo Daten verarbeitet werden und wer darauf zugreifen kann, zu Modellrisiken, Outsourcing und der dokumentierten Verantwortlichkeit für jede Entscheidung, die ein Institut trifft. KI-Systeme erben all das.
In der Praxis bedeutet das dreierlei. Erstens: Die Daten, die das Modell berührt, bleiben in der eigenen Umgebung des Instituts, wo die Datenhaltung seinem Tenant folgt, und jede Verarbeitung im Ausland ist ein bewusster, dokumentierter Outsourcing-Entscheid statt ein Zufall. Zweitens: Jeder Schritt eines Modells, der einen regulierten Prozess beeinflusst, muss nachträglich rekonstruierbar sein. Drittens: Der Mensch, der den Output abzeichnet, ist für den Output verantwortlich und braucht die Werkzeuge, ihn auch wirklich zu verstehen.
Die meisten Standard-KI-Produkte scheitern an einem dieser Tests am ersten Tag. Sie senden Prompts an einen Endpunkt, den das Institut nie geprüft oder vertraglich geregelt hat, sie führen kein nachvollziehbares Entscheidungslog oder sie verbergen genug der Logik, dass die Freigabe zur reinen Formsache wird.
Unser Default ist, die KI-Schicht so zu bauen, wie wir die Reporting-Schicht bauen: in Ihrer Umgebung, mit Logging- und Review-Hooks, die der Compliance-Officer tatsächlich nutzen kann. Das ist keine Marketing-Position. Es ist die Konfiguration, die einer internen Revision am verlässlichsten standhält.