Die Aufsicht stuft KI als Risiko ein. In den meisten Betrieben fehlen die Spielregeln
Worum es geht
Im selben Interview vom 14. August, in dem FINMA-Präsidentin Marlene Amstad die gestiegenen Angriffszahlen nennt, ordnet sie fortgeschrittene KI-Modelle als Risiko für die gesamte Finanzbranche ein. Auch Quantencomputing wird als kommendes Risiko genannt. Für die beaufsichtigten Institute heisst das: Vorgaben, Prüfungen, Dokumentation.
Dem gegenüber steht eine Zahl aus einer Accenture-Erhebung: 49 Prozent der Schweizer Beschäftigten nutzen KI täglich, gegenüber 28 Prozent im europäischen Schnitt. Das ist Spitzenwert in Europa. In den wenigsten Betrieben gibt es dazu eine Regel.
Der Widerspruch im Alltag
Die Lücke zwischen diesen beiden Beobachtungen ist der eigentliche Punkt. Es gibt keine Aufsichtsbehörde, die einem Treuhandbüro oder einer Schreinerei vorschreibt, wie KI eingesetzt wird. Es gibt aber sehr wohl das Datenschutzgesetz, und es gibt Kunden, die wissen wollen, wo ihre Unterlagen landen.
In der Praxis passiert das hier: Jemand kopiert einen Offertentext samt Kundendaten in ein beliebiges Werkzeug, jemand lädt einen Buchhaltungsauszug hoch, jemand lässt eine Antwort formulieren und schickt sie ungeprüft weiter. Nichts davon geschieht in böser Absicht. Es geschieht, weil niemand gesagt hat, was gilt.
Drei Spielregeln, die reichen
Ein Verbot funktioniert nicht, es verlagert die Nutzung nur auf Privatgeräte und Privataccounts. Drei Regeln decken den grössten Teil des Risikos ab und passen auf eine halbe Seite:
- Keine Kundendaten in Werkzeuge ohne Vertrag und ohne Datenhaltung in der Schweiz oder der EU. Wer nicht weiss, ob ein Vertrag besteht, behandelt das Werkzeug wie eine öffentliche Website.
- KI-Output wird von einem Menschen geprüft, bevor er den Betrieb verlässt. Das gilt für Offerten, Kundenmails, Texte und Zahlen. Verantwortlich ist, wer verschickt, nicht das Werkzeug.
- Ein definiertes Set an Werkzeugen statt Schatten-KI. Zwei oder drei freigegebene Dienste, für alle gleich, mit Firmenkonten. Das ist der Unterschied zwischen Nutzung, die man überblickt, und Nutzung, von der man erst im Schadenfall erfährt.
Wer diese drei Punkte einmal aufschreibt und im Team bespricht, hat mehr Governance als die meisten vergleichbaren Betriebe. Der Aufwand liegt bei einer Stunde.