Machine Learning: Definition, Modellrisiken und Governance im Service Management

Machine Learning (maschinelles Lernen) bezeichnet Verfahren der künstlichen Intelligenz, bei denen ein Modell seine Entscheidungslogik aus Trainingsdaten ableitet, statt sie als explizite Regeln programmiert zu erhalten. Genau darin liegt aus Sicht der Governance der Unterschied: Bei einer Regel steht im Workflow, warum das System so entscheidet. Bei einem Modell steckt die Begründung in gelernten Parametern, die sich mit jedem Nachtraining ändern können.

Für Organisationen, die Nachweise erbringen müssen, etwa im Finanzsektor, im Gesundheitswesen oder in der öffentlichen Verwaltung, verschiebt sich damit die Frage. Es genügt nicht, dass ein Modell funktioniert. Es muss belegbar sein, mit welchen Daten es trainiert wurde, wie gut es ist und wer es freigegeben hat.

Das Wichtigste in Kürze

• Ein ML-Modell ist das Ergebnis aus Daten, Algorithmus und Training. Jedes dieser Elemente braucht eine Verantwortlichkeit und eine Dokumentation.
• Die Schweiz kennt bisher kein eigenes KI-Gesetz. Das Datenschutzgesetz ist laut EDÖB auf KI-gestützte Datenbearbeitungen direkt anwendbar, Art. 21 DSG regelt automatisierte Einzelentscheidungen.
• Die FINMA-Aufsichtsmitteilung 08/2024 beschreibt Erwartungen an Governance, Inventar, Datenqualität, Tests, Dokumentation, Erklärbarkeit und unabhängige Überprüfung.
• Die EU-KI-Verordnung kann auch Schweizer Unternehmen erfassen, wenn die Ausgaben eines KI-Systems in der EU verwendet werden.
• Im Service Management eignet sich ML vor allem für Vorschläge, die ein Mensch prüft. Ausschliesslich automatisierte Entscheide mit Folgen für Personen verlangen zusätzliche Vorkehrungen.

Stand: November 2026 · Abgeglichen mit dem DSG (Fedlex), dem EDÖB, dem Bundesamt für Justiz, der FINMA-Aufsichtsmitteilung 08/2024, der EU-KI-Verordnung (EUR-Lex) und dem NIST AI RMF (Quellen am Ende des Artikels)

Der Lebenszyklus eines Modells und seine Kontrollpunkte

Ein ML-Modell entsteht in Schritten, an denen sich jeweils prüfen lässt, ob es den Anforderungen genügt. Das AI Risk Management Framework des US-amerikanischen NIST gliedert das Risikomanagement in die vier Funktionen Govern, Map, Measure und Manage. Die folgenden Kontrollpunkte lassen sich diesen Funktionen zuordnen.

1. Zweck festlegen: Welche Aufgabe übernimmt das Modell, und welche Entscheide bleiben beim Menschen? Ein Vorschlag für die Ticketkategorie ist etwas anderes als die automatische Ablehnung eines Antrags.
2. Daten auswählen: Herkunft, Zeitraum, enthaltene Personendaten und bekannte Lücken dokumentieren. Enthalten Tickets Angaben zu bestimmten oder bestimmbaren Personen, handelt es sich um Personendaten im Sinne des DSG.
3. Trainieren und validieren: Das Modell wird an einem Teil der Daten trainiert und an zurückgehaltenen Fällen geprüft. Ergebnis und Kennzahlen gehören in die Modelldokumentation.
4. Freigeben: Eine fachlich verantwortliche Person entscheidet anhand der Testergebnisse über den Einsatz, idealerweise nicht dieselbe Person, die das Modell entwickelt hat.
5. Betreiben und überwachen: Die Qualität sinkt, wenn sich die Daten verändern (Drift). Schwellenwerte, Stichproben und ein Verfahren für Beanstandungen gehören zum Betrieb.
6. Ändern oder ausser Betrieb nehmen: Jedes Nachtraining ist eine Änderung mit eigener Prüfung. Wird ein Modell abgelöst, muss nachvollziehbar bleiben, welche Version wann welchen Vorschlag gemacht hat.

Welche Lernverfahren es gibt

Beim überwachten Lernen enthalten die Trainingsdaten das richtige Ergebnis, etwa die Kategorie eines abgeschlossenen Tickets. Unüberwachte Verfahren suchen ohne Vorgabe nach Gruppen und Auffälligkeiten, beispielsweise nach Häufungen ähnlicher Störungen. Bestärkendes Lernen optimiert Aktionen über Belohnungssignale und ist im Service Management selten. Deep Learning, die Grundlage grosser Sprachmodelle, arbeitet mit vielschichtigen neuronalen Netzen. Es ist besonders schwer zu erklären, was die Anforderungen an Tests und menschliche Kontrolle erhöht.

Regelwerk und ML-Modell aus Kontrollsicht

Viele Automatisierungen im Service Management kommen ohne Machine Learning aus. Für die Governance ist entscheidend, welche Art von Logik im Einsatz ist, weil sich Prüfung und Nachweis grundlegend unterscheiden.

Die FINMA hält in ihrer Aufsichtsmitteilung 08/2024 fest, dass sich die Beaufsichtigten in erster Linie auf Datenschutzrisiken konzentrieren, weniger aber auf Modellrisiken wie mangelnde Robustheit und Korrektheit, Bias, mangelnde Stabilität und Erklärbarkeit. Diese Beobachtung ist auch ausserhalb des Finanzsektors ein guter Prüfstein für das eigene Vorgehen.

Wie Machine Learning mit dem Oberbegriff zusammenhängt, erklärt der Glossarartikel Künstliche Intelligenz.

Rechtsrahmen und Praxis in der Schweiz

Datenschutzgesetz

Ein eigenes KI-Gesetz gibt es in der Schweiz bisher nicht. Der EDÖB weist darauf hin, dass das DSG technologieneutral formuliert und auf KI-gestützte Datenbearbeitungen direkt anwendbar ist. Für ML im Service Management sind zwei Bestimmungen besonders relevant:

• Art. 21 DSG: Beruht ein Entscheid ausschliesslich auf einer automatisierten Bearbeitung und ist er für die betroffene Person mit einer Rechtsfolge verbunden oder beeinträchtigt sie erheblich, muss der Verantwortliche sie informieren. Auf Antrag kann sie ihren Standpunkt darlegen und eine Überprüfung durch eine natürliche Person verlangen.
• Art. 22 DSG: Kann eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringen, ist vorgängig eine Datenschutz-Folgenabschätzung nötig. Das Gesetz nennt die Verwendung neuer Technologien ausdrücklich als Faktor.

Ein Kategorievorschlag, den ein Mitarbeitender bestätigt, ist kein ausschliesslich automatisierter Entscheid. Anders kann es aussehen, wenn ein System Anträge selbständig ablehnt oder Mitarbeitende bewertet.

Geplante Regulierung und EU-Bezug

Der Bundesrat hat das EJPD am 12. Februar 2025 beauftragt, bis Ende 2026 eine Vernehmlassungsvorlage für neue Regeln zur Nutzung von KI zu erarbeiten. Sie soll laut Bundesamt für Justiz namentlich Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht umfassen. Unabhängig davon erfasst die EU-KI-Verordnung nach Art. 2 Abs. 1 Bst. c auch Anbieter und Betreiber in Drittstaaten, wenn die Ausgabe des KI-Systems in der EU verwendet wird, etwa bei einem Service Desk, der Kundschaft in der EU betreut.

Finanzsektor

Für Banken, Versicherungen und weitere Beaufsichtigte fasst die FINMA-Aufsichtsmitteilung 08/2024 vom 18. Dezember 2024 Erkenntnisse aus der Aufsicht zusammen. Sie nennt unter anderem ein zentral geführtes Inventar mit Risikoklassifizierung, klare Zuständigkeiten, Anforderungen an Datenqualität, Tests und laufende Überwachung, Dokumentation, Erklärbarkeit und eine unabhängige Überprüfung. Mehr zu den Anforderungen der Branche zeigt die Seite ky2help® für Finanzdienstleister.

Nachvollziehbare Abläufe als Basis

Ob mit oder ohne Machine Learning: Wer Entscheide belegen will, braucht Abläufe, die Antrag, Prüfung und Ergebnis festhalten. Das Personalamt des Kantons Thurgau nutzt ky2help^® für HR-Prozesse, die lückenlos nachvollziehbar, dokumentiert und archiviert sind. ky2help^® unterstützt das mit automatischer Historisierung, integriertem Daten-Audit und einer durchgängigen, revisionssicheren Dokumentation. Die eigene Instanz kann in einem Rechenzentrum in der Schweiz laufen. Bei KI-Funktionen wie Chatbot oder Supportagent gehört zur Prüfung zusätzlich die Frage, wo deren Verarbeitung stattfindet.

Funktionsumfang ansehen

Modellrisiken nach Priorität

Die Reihenfolge orientiert sich an der Frage, welche Versäumnisse im Service Management die grössten Folgen haben und welche Massnahmen andere erst ermöglichen.

1. Unklare Verantwortung: Ohne benannte Verantwortliche für Modell, Daten und Freigabe bleibt jede weitere Massnahme Stückwerk. Ein Inventar aller KI-Anwendungen mit Zweck, Datenquellen und Risikoeinstufung ist der erste Schritt.
2. Automatisierte Entscheide ohne menschliche Kontrolle: Wo Entscheide Personen betreffen, den Vorschlagsmodus statt der Automatik wählen und die Pflichten nach Art. 21 DSG prüfen.
3. Datenqualität und Bias: Historische Tickets spiegeln die frühere Praxis. Ohne Bereinigung werden systematische Fehler der Vergangenheit zur Regel der Zukunft.
4. Drift ohne Überwachung: Nach Migrationen oder neuen Anwendungen die Kennzahlen je Klasse beobachten, nicht nur die Gesamtgenauigkeit. Precision und Recall zeigen, ob Fehlalarme oder übersehene Fälle zunehmen.
5. Abhängigkeit von Drittparteien: Bei bezogenen Modellen und Cloud-Diensten klären, wo Daten bearbeitet werden, ob Eingaben zum Training verwendet werden und wie Änderungen am Modell angekündigt werden. Die FINMA nennt die steigende Abhängigkeit von Anbietern von Modellen und Cloud-Dienstleistungen ausdrücklich als Risikoquelle.
6. Lückenhafte Dokumentation: Modellversion, Trainingsdaten, Testergebnisse und Freigaben so ablegen, dass eine interne oder externe Prüfung sie nachvollziehen kann.

Angrenzende Themen behandeln die Glossarartikel IT-Compliance, Datenschutz und Change Management.

Häufige Fragen

Was ist Machine Learning?

Machine Learning ist ein Teilgebiet der künstlichen Intelligenz, bei dem ein Modell aus Trainingsdaten lernt, neue Fälle einzuordnen oder vorherzusagen. Die Entscheidungslogik ist nicht als Regel programmiert, sondern ergibt sich aus den Daten und dem Training.

Gilt die EU-KI-Verordnung für Schweizer Unternehmen?

Sie kann gelten. Nach Art. 2 erfasst sie Anbieter, die KI-Systeme in der EU in Verkehr bringen, sowie Anbieter und Betreiber in Drittstaaten, wenn die Ausgabe eines KI-Systems in der EU verwendet wird. Ob das zutrifft, hängt vom konkreten Einsatz ab.

Was verlangt das DSG bei automatisierten Entscheiden?

Beruht ein Entscheid ausschliesslich auf einer automatisierten Bearbeitung und hat er eine Rechtsfolge oder eine erhebliche Beeinträchtigung zur Folge, muss die betroffene Person informiert werden (Art. 21 DSG). Sie kann ihren Standpunkt darlegen und eine Überprüfung durch eine natürliche Person verlangen.

Was erwartet die FINMA beim Einsatz von KI?

Die Aufsichtsmitteilung 08/2024 beschreibt unter anderem eine KI-Governance mit zentral geführtem Inventar und Risikoklassifizierung, Anforderungen an Datenqualität, Tests und laufende Überwachung, Dokumentation, Erklärbarkeit und eine unabhängige Überprüfung.

Wie dokumentiert man ein ML-Modell nachvollziehbar?

Festzuhalten sind Zweck, verwendete Daten mit Herkunft und Zeitraum, Modellversion, Testergebnisse mit Kennzahlen je Klasse, die Freigabe mit verantwortlicher Person sowie Regeln für Überwachung und Nachtraining. Jede neue Modellversion wird wie eine Änderung behandelt.

Wo werden die Daten bei ky2help® gehalten?

ky2help® läuft als SaaS oder On-Premises, als SaaS mit eigener Instanz in einem Rechenzentrum in der Schweiz oder in Deutschland. Für KI-Funktionen wie den Chatbot sollte zusätzlich geklärt werden, wo deren Verarbeitung stattfindet. Das besprechen wir gern in einem Beratungstermin.

Beratungstermin buchen

Quellen und weiterführende Artikel

Quellen

• Fedlex: Bundesgesetz über den Datenschutz (DSG), Art. 21 und 22
• EDÖB: KI und Datenschutz
• Bundesamt für Justiz: Künstliche Intelligenz
• FINMA-Aufsichtsmitteilung 08/2024: Governance und Risikomanagement beim Einsatz Künstlicher Intelligenz (PDF)
• EUR-Lex: Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 2
• Europäische Kommission: KI-Gesetz und Zeitplan
• NIST: AI Risk Management Framework (AI RMF 1.0)
• Google for Developers: Accuracy, Precision und Recall

Weiterlesen

• Glossar: Künstliche Intelligenz
• Glossar: Chatbot
• Glossar: Monitoring
• Glossar: IT-Compliance
• Referenz: Personalamt Kanton Thurgau
• ky2help® für Finanzdienstleister
• KI-Integrationen in ky2help®