KI in der Bank - Schweiz
Art. 47 BankG nennt den Beauftragten neben Organen und Angestellten. Die Auslagerung an einen KI-Anbieter ist damit keine reine IT-Entscheidung, sondern eine des Bankgeheimnisses - flankiert von aufsichtsrechtlichen Vorgaben.
Auswahl aus über 5.000 Projekten in 25 Jahren Softwareentwicklung
Der Bankensektor hat in der Schweiz die dichteste Regulierung der fünf hier behandelten Gruppen - und die klarste Aussage zum Dienstleister: Art. 47 BankG nennt den Beauftragten neben Organen und Angestellten. Wer für eine Bank arbeitet und dabei Kundengeheimnisse berührt, ist im Personenkreis der Strafnorm.
Die Normzuordnung für alle Schweizer Berufsgruppen steht auf der Übersicht Schweiz.
Drei Ebenen, die zusammenkommen
Das Bankgeheimnis
Art. 47 BankG erfasst Organe, Angestellte, Beauftragte und Liquidatoren einer Bank sowie Organe und Angestellte einer anerkannten Revisionsstelle. Die Norm greift bei der Offenbarung und beim Versuch, zu einer solchen Verletzung zu verleiten.
Die aufsichtsrechtliche Auslagerung
Die Auslagerung wesentlicher Funktionen ist im Bankensektor eigenständig reguliert - mit Anforderungen an Auswahl, Steuerung, Prüfbarkeit und Ausstieg. Ein KI-Dienst, der Kundendaten verarbeitet, ist an diesen Vorgaben zu messen, nicht nur am Datenschutz. Die Schweizerische Bankiervereinigung hat dazu eigene Grundlagen zur Cloud-Nutzung veröffentlicht.
Der Datenschutz
Für die Bekanntgabe ins Ausland verlangt das revidierte Datenschutzgesetz einen angemessenen Schutz im Zielstaat; der Europäische Wirtschaftsraum ist als angemessen geführt. Das beantwortet die datenschutzrechtliche Frage - die aufsichtsrechtliche und die vertragliche bleiben davon unberührt.
Wie die Kette hinter einem Bezugsweg aufgebaut ist, steht in der 203er-Kette; welche Modelle über welchen Weg laufen, im Modellkatalog.
Was hier geprüft ist - und was nicht
Die Vertragskette hinter unseren Bezugswegen ist nach deutschem Recht aufgebaut und anwaltlich geprüft: § 203 Abs. 4 StGB, mit unterzeichneter Verschwiegenheitsverpflichtung je Betreiber und Weitergabe derselben Verpflichtung an dessen Subunternehmer. Diese Seite ordnet dieselbe Kette der Rechtslage vor Ort zu. Sie ersetzt keine Prüfung nach dem dort geltenden Recht, und eine solche haben wir nicht eingeholt. Was wir belegen können, ist die Substanz: wer was unterschrieben hat, wo verarbeitet wird, wer Zugriff hat. Was ein Mandat vor Ort zusätzlich braucht, ist ein auf die dortige Norm geschriebenes Vertragsmuster - unseres ist auf § 203 Abs. 4 StGB geschrieben, samt Belehrung über deutsche Strafdrohungen.
Quellen (Abruf 2026-08-29): Art. 47 BankG nach der Darstellung bei swissbanking.ch und der Rechtsliteratur; Grundlagen zur Cloud-Auslagerung der Schweizerischen Bankiervereinigung (swissbanking.ch); Angemessenheit für den EWR nach dem revidierten Datenschutzgesetz.