Die Empfehlungen der Financial Action Task Force (FATF)  und der Anti-Money Laundering Act (AMLA)  fordern einen risikobasierten Ansatz. Im Folgenden werden einige grundlegende Aspekte von risikobasierten Ansätzen diskutiert.

Ein risikobasierter Ansatz berücksichtigt berücksichtigt die Existenz von Risiko. Risiko hängt mit den Auswirkungen möglicher Ereignisse und deren Eintretenswahrscheinlichkeit zusammen. Von einem vereinfachten Standpunkt aus kann Risiko wie folgt definiert werden:

Risk Based Approach3

 

Beurteilung von Risiken erlaubt es Ressourcen auf effiziente Weise zu allozieren, in dem die grössten Risiken am meisten Aufmerksamkeit erhalten. Es ist ausschlaggebend zwischen notwendigen und hinreichenden Risiko-Faktoren zu unterscheiden.

Wenn ein notwendiger Risiko-Faktor tief ist, ist das gesamte Risiko ebenfalls tief. Beispielsweise das Risiko einer Lawine: Die Steigung des Hanges, den man befahren will, und die Gefahrenstufen des Lawinenbulletin sind notwendige Risiko-Faktoren. Eine waagrechte Fläche zu befahren ist sicher, selbst wenn die Gefahrenstufe hoch ist.

 

Beispiele notwendiger Risiko-Faktoren

Risk Based Approach

 

Im Unterschied zu  notwendigen, implizieren hinreichende Risiko-Faktoren ein Risiko unabhängig von anderen Faktoren. Beispielsweise sollte eine Skitour abgesagt werden, wenn Extremwetterlagen vorausgesagt sind, ob das Lawinenrisiko nun hoch oder niedrig ist. Andersherum ist eine Absage der Tour auch dann empfehlenswert, wenn die Wetterkonditionen zwar schön sind,  aber das Lawinenrisiko hoch ist. In diesem Beispiel sind Wetter und Lawinenrisiko hinreichende Risiko-Faktoren.

 

Beispiele hinreichender Risiko-Faktoren

Risk Based Approach2

Datenschutzgesetz

Das Schweizer Datenschutzgesetz wurde 2020 total revidiert und ist in seiner neuen Fassung am 1. September 2023 in Kraft getreten, zusammen mit der neuen Datenschutzverordnung (DSV). Die Revision selbst ist abgeschlossen, aber die Anwendungspraxis entwickelt sich weiter. Besonders relevant ist das Thema KI: Der EDÖB hat am 8. Mai 2025 bestätigt, dass das DSG technologieneutral und direkt für alle KI-Anwendungen gilt. Praktisch heisst das u.a., dass Nutzer wissen müssen, ob sie mit KI kommunizieren (Transparenzpflicht, Art. 19), und dass eine Datenschutz-Folgenabschätzung bei hohem Risiko – etwa bei Profiling oder Gesichtserkennung – obligatorisch ist (Art. 22). Das Bundesamt für Justiz (BJ) erarbeitet bis Ende 2026 eine Vernehmlassungsvorlage zur KI-Regulierung. Damit wird die Schweiz die KI-Konvention des Europarats umsetzen.

Eurospider Information Technology AG
Winterthurerstrasse 92
8006 Zürich