KI für unabhängige Vermögensverwalter: Was FINMA 08/2024 wirklich verlangt

Wer als Vermögensverwalter ein KI-System einführt, erhält vom Anbieter meist die Zusicherung, das Tool sei FINMA-konform. Diese Zusicherung hat wenig Wert, denn die FINMA beaufsichtigt keine Software, sondern Finanzinstitute. Die Aufsichtsmitteilung 08/2024 zeigt, wie die FINMA bestehende Pflichten liest, sobald KI im Spiel ist. Für Vermögensverwalter entscheidend ist eine Frage, welche die Mitteilung offenlässt: ob der Einsatz eines KI-Systems eine Übertragung von Aufgaben nach Art. 14 FINIG ist. Davon hängen Vertrag, Dokumentation und Prüfung ab.

Die Aufsichtsmitteilung legt bestehendes Recht aus, sie schafft keine neuen Pflichten

In der Aufsichtsmitteilung vom 18. Dezember 2024 hält die FINMA fest, dass die Schweiz keine KI-spezifische Gesetzgebung kennt. Die bestehenden, technologieneutralen Anforderungen an Governance und Risikomanagement gelten auch für KI. Die FINMA beschreibt, was sie in ihrer Aufsicht beobachtet hat, und nennt sieben Themen: Governance, Inventar und Risikoklassifizierung, Datenqualität, Tests und laufende Überwachung, Dokumentation, Erklärbarkeit und unabhängige Überprüfung. Verbindlich sind nicht diese Beobachtungen, sondern die Normen dahinter. Für Vermögensverwalter sind das namentlich Art. 9 Abs. 2 FINIG und Art. 26 FINIV zu Risikomanagement und interner Kontrolle.

Zwei Besonderheiten unterscheiden Vermögensverwalter von Banken. Sie werden laufend von einer Aufsichtsorganisation beaufsichtigt, nicht direkt von der FINMA. Ausserdem gilt für sie nicht das FINMA-Rundschreiben 2018/3 zum Outsourcing, sondern Art. 14 FINIG mit Art. 15 bis 17 FINIV. In der Vertragspraxis wird dieser Unterschied häufig übersehen, weil viele Anbieter ein einheitliches, auf Banken zugeschnittenes Vertragswerk verwenden.

Die Selbstständigkeit entscheidet über die Übertragung

Nach Art. 15 Abs. 1 FINIV liegt eine Übertragung vor, wenn ein Dienstleister selbstständig und dauernd eine wesentliche Aufgabe wahrnimmt. Zwei dieser drei Merkmale sind beim Einsatz von KI rasch geklärt. Ein produktiv genutztes System ist dauernd im Einsatz. Als wesentlich gelten bei Vermögensverwaltern zudem die Aufgaben nach Art. 19 FINIG, und dessen Abs. 3 nennt ausdrücklich die Portfolioanalyse. Der Einsatz von KI für Portfolioanalysen erfüllt damit das Merkmal der wesentlichen Aufgabe.

Die Abgrenzung erfolgt über die Selbstständigkeit. Prüft und verantwortet eine Fachperson jedes Ergebnis im Einzelfall, bevor es Wirkung entfaltet, nimmt das System die Aufgabe nicht selbstständig wahr. Erstellt und versendet ein Agent Quartalsberichte ohne diesen Schritt, liegt aus unserer Sicht eine Übertragung vor. Massgebend ist die tatsächliche Kontrolldichte, nicht die Prozessbeschreibung. Eine Freigabe, die nur noch aus einem Klick besteht, weil täglich Dutzende Dokumente durchgewunken werden, trägt die Abgrenzung nicht mehr. Dieselbe Plattform lässt sich assistierend oder vollautomatisiert betreiben. Die Frage ist deshalb für jeden Anwendungsfall gesondert zu beantworten und zu dokumentieren.

Eine Übertragung verlangt einen Vertrag mit fünf Prüfstellen

Liegt eine Übertragung vor, verlangt Art. 17 Abs. 2 FINIV eine Vereinbarung in Textform. Sie regelt Kompetenzen und Verantwortlichkeiten, die Weiterübertragung, die Rechenschaftspflicht des Dienstleisters und die Kontrollrechte des Vermögensverwalters. Nach Abs. 4 müssen fünf Stellen die übertragene Aufgabe einsehen und prüfen können: der Vermögensverwalter, seine interne Revision, die Prüfgesellschaft, die Aufsichtsorganisation und die FINMA. Verträge nach Bankenmuster nennen oft nur drei davon, weil das Bankenregime keine Aufsichtsorganisation kennt.

Nach Art. 16 Abs. 3 FINIV gilt die Betriebsorganisation nicht mehr als angemessen, wenn dem Finanzinstitut die Fachkenntnisse fehlen, um den Dienstleister auszuwählen, zu instruieren und zu überwachen. Die Schulung der Mitarbeitenden gehört damit zu den Organisationspflichten.

Hinzu kommt das Berufsgeheimnis nach Art. 69 FINIG, das ausdrücklich auch Beauftragte erfasst. Nach Art. 9 Abs. 1 lit. b DSG darf ein Auftragsbearbeiter nur beigezogen werden, wenn keine Geheimhaltungspflicht entgegensteht. Ein Auftragsbearbeitungsvertrag ersetzt die Klärung des Geheimnisschutzes nicht.

Proportionalität senkt den Aufwand, nicht die Prüfpflicht

Die FINMA betont, dass sich ihre Erwartungen nach Grösse, Komplexität und Risikoprofil sowie nach der Wesentlichkeit der Anwendung richten. Art. 26 Abs. 2 FINIV entlastet kleine Vermögensverwalter, deren Geschäftsmodell keine erhöhten Risiken aufweist und die höchstens fünf Vollzeitstellen haben oder einen jährlichen Bruttoertrag unter zwei Millionen Franken erzielen. Sie müssen Risikomanagement und interne Kontrolle nicht von den ertragsorientierten Tätigkeiten trennen.

Aus unserer Sicht befreit diese Erleichterung nicht von der Beurteilung des eingesetzten Systems. Ein kleines Haus, das dieselbe Technologie wie eine Grossbank nutzt, trägt dasselbe technologische Risiko. Wo die personelle Trennung fehlt, braucht es kompensierende Massnahmen, etwa eine periodische externe Überprüfung.

Drei Kontrollen tragen das meiste Gewicht

Aus unserer Sicht erzielen drei Kontrollen mit begrenzten Ressourcen die grösste Wirkung:

1. Verworfene und korrigierte Ergebnisse auswerten. Die FINMA erwartet, dass Fälle ausgewertet werden, in denen Mitarbeitende den Output ignorieren oder ändern. Die Auswertung zeigt systematische Schwächen und belegt, dass die Freigabe eine echte Prüfung ist.
2. Für jeden Wert die Quelle nachweisen. Jede Zahl in einem Kundendokument muss auf ihre Quelle im Portfoliomanagementsystem zurückführbar sein. Das dient der Erklärbarkeit und der Dokumentationspflicht nach Art. 15 FIDLEG.
3. Das Inventar pro Anwendungsfall führen. Das KI-Inventar erfasst jeden Anwendungsfall mit Zweck, Modell, Datenquellen und Autonomiegrad, nicht bloss die Plattform als Ganzes. Erst damit lässt sich die Frage der Aufgabenübertragung korrekt beantworten.

So funktioniert's

Unplex ist auf diese Kontrollen ausgerichtet. Jede Zahl trägt einen Quellennachweis, und jede Freigabe und Korrektur wird protokolliert. Unser Vertrag nennt alle fünf Prüfstellen nach Art. 17 Abs. 4 FINIV und gilt auch gegenüber Unterauftragsbearbeitern. Kundendaten werden nicht für das Training von Modellen verwendet, und unser Informationssicherheits-Managementsystem ist nach ISO/IEC 27001:2022 zertifiziert.

Fazit

Die Aufsichtsmitteilung 08/2024 steht dem Einsatz von KI durch Vermögensverwalter nicht entgegen. Sie erwartet, dass sie jeden Anwendungsfall kennen, die Frage der Aufgabenübertragung beantworten und ihre Kontrollen belegen können. Massgebend ist nicht ein FINMA-konformes Tool, sondern eine vollständige Dokumentation.

Demo anfragen

Stand: Oktober 2026. Allgemeine Information, keine Rechtsberatung.