Von Donald Trump über Taylor Swift bis hin zu Papst Franziskus – vielleicht sind Sie im Netz auch schon auf Artikel gestossen, die auf die Gefahren von sogenannten Deepfakes hinweisen. Das sind Fotos oder Videos von berühmten Persönlichkeiten, die mithilfe von generativen KI-Tools erstellt wurden.

Solche Deepfakes sind nicht nur ein Instagram-Phänomen, sondern werden auch zunehmend von Betrügern genutzt. Dem Bericht „The Deepfake Trends 2024“ zufolge, den der Entwickler Regula kürzlich veröffentlicht hat, ist von allen untersuchten Branchen der Finanzsektor am stärksten betroffen: 23% der befragten Unternehmen in diesem Sektor meldeten Verluste von über USD 1’000’000 durch KI-generierten Betrug.

Die Integration dieser Technologie im Private Banking stellt für alle Akteure in diesem Sektor häufig zahlreiche Vorteile in Aussicht, auch für externe Vermögensverwalter (EAM).

Doch welche Cyberrisiken und regulatorischen Entwicklungen sollten EAM’s kennen? Darüber sprachen wir mit Philipp Fischer, Teilhaber der Kanzlei Oberson Abels, und unseren Experten bei Lombard Odier, Alain Beuchat, Leiter IT-Sicherheit, und Richard Denglos, Leiter IT-Infrastruktur.

Welche sind die wichtigsten rechtlichen Risiken beim KI-Einsatz?

Für Philipp Fischer lassen sich die wichtigsten regulatorischen Risiken im Zusammenhang mit dem Einsatz von KI für ein Schweizer Finanzinstitut in vier grosse Kategorien einteilen.

1. Nichterfüllung der Aufsichtserwartungen der FINMA

Die Eidgenössische Finanzmarktaufsicht hat besondere Erwartungen an den Einsatz von KI formuliert. Dabei hat sie sich auf die folgenden Bereiche fokussiert: Governance und Verantwortlichkeit, Transparenz und Erklärbarkeit, Gleichbehandlung sowie Risikomanagement und Kontrolle.

2. Fehlende Transparenz und Erklärbarkeit

Die Unfähigkeit, die mittels KI erhaltenen Ergebnisse zu erklären, könnte zu regulatorischen Herausforderungen führen. Dies gilt insbesondere für die Überprüfbarkeit von Entscheidungen durch die Kontrollbehörden und die Fähigkeit, die Kundinnen und Kunden und andere betroffene Personen ordnungsgemäss zu informieren.

3. Diskriminierungsrisiko (Bias)

Der Einsatz von KI könnte zu einer Ungleichbehandlung führen, beispielsweise bei der Annahme neuer Kundinnen und Kunden oder bei der Überprüfung von Transaktionen. Die Finanzinstitute müssen also sicherstellen, dass ihre KI-Systeme keine unzulässige Diskriminierung erzeugen.

4. Einhaltung künftiger Regulierungen

Es gibt in der Schweiz noch keine speziellen KI-bezogenen Regulierungen. Der Bundesrat hat jedoch die Bundesverwaltung damit beauftragt, bis Ende 2024 mögliche Regulierungsansätze zu identifizieren. Die Finanzinstitute müssen diese künftigen Anforderungen antizipieren und sich entsprechend vorbereiten, auch im Hinblick auf die europäische Regulierung (EU AI Act), die für manche Schweizer Banken gelten könnte.

Die Schweizer Finanzinstitute stehen vor der Aufgabe, die Risiken im Einsatz von KI zu verringern. Hierzu sollten sie einen robusten Governance-Rahmen schaffen, eine angemessene Transparenz sicherstellen, bei wichtigen Entscheidungen die menschliche Kontrolle beibehalten und mit bevorstehenden regulatorischen Entwicklungen Schritt halten.

Dieser Ansicht ist auch Richard Denglos: „Die steigende Cloud-Nutzung durch neue „Software as a Service“-Lösungen (SaaS-Lösungen) nimmt durch die explosionsartige Ausbreitung der generativen KI noch mehr zu. Deshalb haben wir unseren Ansatz und unsere Vorgehensweise grundlegend überarbeitet und die Governance verstärkt.“

Von welchen Entwicklungen im Bereich Cybersicherheit sind EAM betroffen?

Alain Beuchat geht davon aus, dass KI allgegenwärtig wird. Das ist eine Herausforderung im Hinblick auf den Datenschutz – beispielsweise im Bereich geistiges Eigentum, Geschäftsgeheimnis und Urheberrecht, algorithmische Voreingenommenheit und mangelnde Transparenz.

Jenseits der KI sind noch weitere Aspekte mit der Sicherheit der EAM’s verbunden. Alain Beuchat rechnet insbesondere damit, dass Cyberangriffe immer ausgefeilter werden. In diesem Bereich kommt der Einführung einfacher Schutzmechanismen eine immer grössere Bedeutung zu: Installation von Sicherheitspatches, Multi-Faktor-Authentifizierung, Offline-Back-ups, Installation einer Anti-Virus-Software.

Viele EAM’s haben ihre IT ausgelagert. Was können sie tun, um sich vor Angriffen zu schützen? Für Alain Beuchat empfiehlt sich bei der Auswahl einer Drittpartei dringend ein Due-Diligence-Verfahren. Damit lässt sich das Risikoprofil potenzieller Dienstleister evaluieren.

Zudem ist es von Vorteil, jährlich einen ISAE- oder SOC-2-Bericht zu erstellen. Dabei wird eine Liste der vom Dienstleister eingeführten Kontrollen einschliesslich ihrer Wirksamkeit zur Verfügung gestellt. Sie enthält unter anderem Angaben zur Behebung von Schwachstellen, zur Multi-Faktor-Authentifizierung beim Fernzugriff, zur Einschränkung des privilegierten Zugriffs von IT-Administratoren und zu regelmässigen Offline-Back-ups. Eine jährliche Überprüfung dieser Berichte ermöglicht es, die Sicherheit des Dienstleisters zu beurteilen.

Laurent Pellet

Limited Partner, Global Head of EAM

Laurent Pellet trat 2017 in die Bank Lombard Odier & Cie SA ein und übernahm 2018 die Verantwortung für die Abteilung der externen Vermögensverwalter für die Gruppe. Nach seinen Anfängen bei Ferrier Lullin & Cie SA war er über 20 Jahre lang in verschiedenen Funktionen bei der Bank Julius Bär tätig. Er verfügt über einen Abschluss in quantitativer Vermögensverwaltung der HEC Genf und einen Abschluss in Digital Finance Law der Universität Genf und der CWMA.

Lombard Odier

Lombard Odier ist ein globaler Vermögensverwalter und Asset Manager, der sich seit 228 Jahren ausschliesslich auf die Betreuung seiner privaten und institutionellen Kunden konzentriert. Als unabhängiges Unternehmen, das sich vollständig im Besitz seiner geschäftsführenden Teilhaber befindet, ist Lombard Odier eine der am besten kapitalisierten Banken der Welt, die bei der Verwaltung ihrer Bilanz eine hohe Liquidität bevorzugt.