Eine Plattform, viele Anwendungsfälle: Was Citis Agenten-Kontrolle in Europa belegen müsste

Am Dienstag, dem 22. September 2026, hat Citigroup auf ihrer Website ein Porträt von David Griffiths veröffentlicht, dem Group Head of AI der Bank. Anlass war seine Aufnahme in die Liste „Executives of the Year: Tech and Data“ des Magazins TIME am selben Tag. Nach den Angaben in dem Beitrag ist die hauseigene Plattform Citi Stylus Workspaces an mehr als 180.000 Beschäftigte ausgerollt, die KI-Werkzeuge der Bank stehen Mitarbeitenden in mehr als 87 Ländern und Jurisdiktionen zur Verfügung, und seit Beginn des Rollouts im Dezember 2024 zählt Citi mehr als 65 Millionen Interaktionen bei einer Adoptionsrate von über 87 Prozent. Seit April 2026 betreibt die Bank zudem Arc, eine Plattform, auf der KI-Agenten gebaut und konzernweit eingesetzt werden, nach Citis Worten „with the same rigor and control applied to any critical system within the firm“.

Gelesen wird ein solcher Beitrag meist als Wettlauf um Reichweite: welche Bank die meisten Beschäftigten an die Werkzeuge bringt und wer zuerst Agenten in den Betrieb stellt. Aufschlussreicher ist, was der Beitrag über den Ort der Kontrolle sagt. David Griffiths beschreibt für den Einsatz von KI bei Citi ein Prinzip, nach dem die Kontrollen auf der Plattform automatisiert sind, damit Beschäftigte nicht viele manuelle Prüfungen für Freigaben und Reviews durchlaufen müssen, und die Agentenplattform Arc ist nach Citis Worten mit derselben Strenge gebaut. Die Bankenaufsicht der Europäischen Zentralbank (EZB) setzt an anderer Stelle an. Sie erwartet für wesentliche KI-Anwendungsfälle eine angemessene Bewertung vor der Einführung und belastbare Risikobewertungen der zweiten Verteidigungslinie, und zwei Citi-Banken in Irland und Deutschland stehen unter ihrer direkten Aufsicht. Das Folgende vergleicht öffentliche Aussagen mit veröffentlichten Aufsichtstexten. Ein Urteil über Citis interne Kontrollen ist es nicht, denn die kennt außerhalb der Bank und ihrer Aufseher niemand.

Citi beschreibt eine Kontrollarchitektur, nennt aber keinen Mechanismus

Die Kernsätze zur Kontrolle stehen in zwei Texten. Im Beitrag vom 30. April 2026, mit dem Citi Arc vorstellte, heißt es: „Every agent will be monitored, auditable and governed. We will know what agents are doing, how they are doing it and the value they deliver.“ Zugleich kündigte die Bank an, Arc zunächst Entwicklern für „specific, well-defined use cases“ zu öffnen und den Zugang erst später zu erweitern. Im Porträt vom 22. September 2026 wird David Griffiths grundsätzlicher, und zwar für den Einsatz von KI im ganzen Haus. Citi müsse KI „in a uniform way“ einsetzen, damit keine Implementierung in einem Teil der Welt entstehe, die mit einer anderen nicht sprechen kann, und weiter: „Controls are automated at the platform level, so colleagues do not have to conduct lots of manual checks for approvals or reviews.“ Der Beitrag ergänzt, Citi habe Kontrollen über den gesamten Lebenszyklus der KI, „and a human is always in the loop“.

Was in beiden Texten fehlt, ist die Mechanik hinter diesen Sätzen. Ein Register der Agenten, ein Freigabeverfahren, die Art der Protokollierung oder eine Abschaltung auf Plattformebene beschreibt Citi öffentlich nicht, und eine Zahl produktiver Agenten nennt die Bank weder in den Beiträgen noch in den Telefonkonferenzen zu den Quartalszahlen. Die konkreteste Angabe stammt aus einem Interview mit dem Nachrichtenportal Axios vom Tag der Vorstellung: Arc fungiere als zentrales „operating system“ für Agenten, Beschäftigte und Vorgesetzte könnten das Verhalten der Agenten beobachten „and stop tasks if needed“. Freilich bleiben viele Banken öffentlich allgemein. Einige legen mehr offen. JPMorganChase verlangt in einem Beitrag seines Technologiebereichs vom 23. März 2026 Kontrollen „at the point of execution“ mit „tamper-evident, complete runtime records“ und stuft nach Risiko ab, bei der Bank of New York Mellon (BNY) tragen die sogenannten digitalen Beschäftigten nach einem Bericht von Axios eigene Logins und haben menschliche Vorgesetzte. Eigene Logins und Vorgesetzte für Agenten nennt Citi nicht, das Beobachten und Stoppen von Aufgaben durch Beschäftigte und Vorgesetzte schon. Zugleich sagt David Griffiths im selben Porträt, dieses Maß an Kontrolle, Skalierung und Flexibilität habe „no other bank“ in dieser Reife. Öffentlich belegt ist dieser Anspruch nicht.

Der Satz ist sorgfältiger formuliert, als er auf den ersten Blick wirkt. Er sagt nicht, dass Anwendungsfälle ungeprüft bleiben, sondern dass Beschäftigte nicht „lots of manual checks“ durchlaufen müssen, und er steht im Porträt im Abschnitt über den Einsatz von KI allgemein, nicht ausdrücklich bei Arc. Arc ist nach Citis Worten aber nach demselben Maßstab gebaut, mit „the same rigor and control applied to any critical system“. Auch die Formulierung, das Team baue Fähigkeiten „without having to know every possible use case upfront“, steht im Porträt im Zusammenhang mit den KI-Werkzeugen insgesamt, nicht ausdrücklich mit Arc. Zwischen der Ankündigung vom April, die mit klar umrissenen Anwendungsfällen beginnt, und dem Bild vom September liegt deshalb kein Kurswechsel, sondern ein Unterschied in Gegenstand und Betonung. Für die Aufsicht ist dieser Unterschied relevant, weil sie beim einzelnen Anwendungsfall ansetzt.

Die Reichweite wächst schneller, als sich Einzelfälle von Hand prüfen lassen

Die Zahlen, mit denen Citi die Breite des Rollouts belegt, lassen sich über knapp zwei Jahre verfolgen. Nach einem Bericht von Reuters vom 4. Dezember 2024 erhielten zum Start rund 140.000 Beschäftigte in acht Ländern Zugang zu den ersten beiden Werkzeugen. Im Juli 2025 nannte Citi rund 170.000 Beschäftigte in 29 Ländern, im September 2025 mehr als 175.000 in 80 Ländern und Jurisdiktionen, im September 2026 mehr als 180.000 in mehr als 87. Quoten zur regelmäßigen Nutzung nennt Citi in den ausgewerteten Quellen erst seit diesem Frühjahr. Im Arc-Beitrag vom 30. April 2026 heißt es, mehr als 80 Prozent der 180.000 Beschäftigten mit Zugang nutzten die Werkzeuge regelmäßig, in der Telefonkonferenz zum zweiten Quartal am 14. Juli 2026 sprach Vorstandschefin Jane Fraser von „nearly nine out of ten of our people“, im September stand die Adoptionsrate bei über 87 Prozent.

Gewiss messen diese Zahlen keine Agenten. Die 180.000 sind Beschäftigte mit Zugang, keine aktiven Nutzer und erst recht keine Nutzer von Agenten. Die 65 Millionen Interaktionen und die Quote von über 87 Prozent beziehen sich nach dem Wortlaut des Porträts auf „the firm’s AI tools“ insgesamt und nicht auf Stylus Workspaces allein, und wie Citi die Adoptionsrate berechnet, ist nicht veröffentlicht. Doch für die Kontrollfrage zählt die Größenordnung, nicht die Nachkommastelle. Eine Organisation, die Werkzeuge in knapp 22 Monaten von acht auf mehr als 87 Länder bringt und nach eigenen Angaben mehr als 26 Versionen von Stylus Workspaces veröffentlicht hat, kann nicht jede Erweiterung einzeln von Hand freigeben lassen. Wer Kontrollen in diesem Tempo will, muss sie in die Infrastruktur legen. Insoweit beschreibt David Griffiths eine Notwendigkeit.

Wer ein Handelsbuch geführt hat, kennt die Unterscheidung, um die es hier geht. Limite für Positionen, Gegenparteien und Verluste werden vor jedem Geschäft automatisch im System geprüft, und kein Händler holt dafür eine Unterschrift ein. Ein neues Produkt aber kommt trotzdem nicht ins Buch, bevor der Neu-Produkt-Prozess mit Risikocontrolling, Compliance und Rechnungswesen durchlaufen ist. Beides existiert nebeneinander, und keine der beiden Ebenen ersetzt die andere. Offen bleibt bei Arc deshalb, ob es neben den Plattformkontrollen einen Neu-Produkt-Prozess für Agenten gibt, und darauf geben Citis Texte keine Antwort.

In den USA misst sich Citi an der eigenen Governance

In den Vereinigten Staaten hat sich der aufsichtliche Maßstab für diese Frage im April verschoben. Am 17. April 2026 haben die Federal Reserve (Fed), das Office of the Comptroller of the Currency (OCC) und die Federal Deposit Insurance Corporation (FDIC) eine neue Leitlinie zum Modellrisikomanagement veröffentlicht, als SR 26-2 bei der Fed und als Bulletin 2026-13 beim OCC. Sie ersetzt die seit 2011 geltende Leitlinie SR 11-7 und enthält eine Fußnote, die für Agentenplattformen den Rahmen setzt: „Generative AI and agentic AI models are novel and rapidly evolving. As such, they are not within the scope of this guidance.“ Maßgeblich seien stattdessen die Risikomanagement- und Governance-Praktiken der Bank selbst. Fed-Gouverneurin Michelle Bowman hat das in einer Rede am 1. Mai 2026 bestätigt: Die Leitlinie stelle klar, „that it does not apply to generative or agentic AI“. Für Arc gibt es in den USA damit keinen eigenen aufsichtlichen Prüfmaßstab. Der Maßstab ist Citis eigene Governance.

Freilich ist Citi keine Bank, die sich ihre Governance ohne Aufsicht selbst schreibt. Seit dem 7. Oktober 2020 gelten Consent Orders der Fed und des OCC, die nach der Pressemitteilung der Fed verlangen, dass Citigroup „its firm-wide risk management and internal controls“ verbessert, mit Schwerpunkten bei Compliance-Risikomanagement, Datenqualität und internen Kontrollen. Im Juli 2024 verhängten beide Behörden zusammen rund 135,6 Millionen US-Dollar Strafe, weil die Fortschritte bei der Datenqualität nicht ausreichten. Das OCC hat im Dezember 2025 nur den Zusatz von 2024 aufgehoben, die Orders selbst gelten nach dem Geschäftsbericht für 2025 und dem Quartalsbericht zum zweiten Quartal 2026 weiter. Jane Fraser sagte am 14. Juli, es bleibe Arbeit „that relates to enhancing data governance, particularly for regulatory reporting“, über den Zeitpunkt der Aufhebung entschieden die Aufseher. Die Orders verlangen keine KI-Kontrollen. Sie zeigen aber, dass Citis Kontrollrahmen seit sechs Jahren unter besonderer Beobachtung steht, und eine Plattform, die Kontrollen automatisiert, verlagert genau diesen Rahmen in eine neue Schicht.

Wie unterschiedlich Textsorten dieselbe Sache beschreiben, zeigt Citis Geschäftsbericht für 2025 bei der Securities and Exchange Commission (SEC) vom 20. Februar 2026, der vor der Vorstellung von Arc erschien. Unter der Überschrift „The Development and Use of AI by Citi and Others Present Risks to Citi’s Businesses“ nennt die Bank „autonomous agents“ als künftige Fähigkeit, die „if improperly managed“ Risiken und Kosten erhöhen könne, und zählt als Ursachen unter anderem „insufficient testing and monitoring“ und „insufficient or inadequate human oversight“ auf. Arc konnte der Bericht noch nicht nennen, auch Stylus und „agentic“ kommen darin nicht vor. Ein Widerspruch ist das nicht, denn ein Risikofaktor beschreibt, was schiefgehen könnte, und ein Porträt, was gelingen soll. Für einen Leser auf Seiten der Aufsicht wiegt der haftungsbewehrte Text trotzdem schwerer, und dort erscheint unzureichende menschliche Aufsicht als möglicher Mangel.

Für dieselbe Plattform setzt die EZB beim einzelnen wesentlichen Anwendungsfall an

Arc soll nach Citis Worten in „every business line, geography and function“ eingesetzt werden. Zu diesen Geografien gehört der Euroraum. Auf der Liste der von der Europäischen Zentralbank (EZB) direkt beaufsichtigten Institute vom April 2026 stehen zwei Citi-Gesellschaften: die Citibank Europe plc in Irland in der Größenklasse von 150 bis 300 Milliarden Euro Bilanzsumme und die Citigroup Global Markets Europe AG in Frankfurt mit 30 bis 50 Milliarden Euro. Für beide gilt der europäische Maßstab, sobald Agenten der Plattform dort Aufgaben übernehmen. Die EZB-Bankenaufsicht hat diesen Maßstab in diesem Jahr mehrfach beschrieben, und er setzt an einer anderen Stelle an als Citis Satz über automatisierte Kontrollen. Pedro Machado von der EZB-Bankenaufsicht forderte am 24. Februar 2026 in Frankfurt, KI als Kernthema von Geschäft und Risiko zu steuern.

Die Rede richtet sich an alle Banken unter EZB-Aufsicht, nicht an Citi. Sie benennt aber genau den Punkt, an dem eine Plattform-Logik und die Aufsichtslogik auseinanderlaufen können. Die Bewertung vor der Einführung bezieht sich nach diesem Wortlaut auf den einzelnen wesentlichen Anwendungsfall, und daneben stehen Risikobewertungen der zweiten Linie, also von Risikocontrolling und Compliance. Patrick Montagner, Mitglied des Aufsichtsgremiums der EZB, ergänzte am 3. Februar 2026 in Brüssel, Governance-Rahmen „cannot simply rely on initial testing and validation“, nötig seien laufende Überwachung und „human accountability for AI-driven decisions“ über die gesamte Betriebsdauer. Die Aufsichtsprioritäten der EZB für 2026 bis 2028 halten fest, der Blick der Aufsicht bleibe „technology-neutral and focused on the use cases and risks“. Ein Genehmigungsverfahren für KI-Systeme kennt keiner dieser Texte. Die Bank trägt den Nachweis selbst, auf Verlangen. Dass er damit je wesentlichem Anwendungsfall zu führen ist, ist eine Schlussfolgerung aus diesen Einzelbelegen, kein Wortlaut der Aufsicht.

Die Mindestanforderungen an das Risikomanagement (MaRisk) der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) taugen für diesen Vergleich nur eingeschränkt. Sie gelten seit der neunten Novelle vom 30. Juni 2026 nicht mehr für bedeutende Institute unter EZB-Aufsicht, also auch nicht für die Citigroup Global Markets Europe AG. Für die übrigen deutschen Institute zeigen sie aber, wie ein Nachweis aussieht. Das Modul AT 4.3.4 gilt ausdrücklich auch für „künstliche Intelligenz“ und verlangt, Angemessenheit und Eignung eines Modells „vor dem Einsatz“ zu bewerten und regelmäßig zu überprüfen, dazu eine hinreichende Erklärbarkeit. Ob ein Agent, der Text erzeugt oder Aktionen auslöst, überhaupt ein Modell im Sinne der MaRisk ist, lässt das Rundschreiben offen, denn seine Definition spricht von Verfahren, die Eingabedaten „zu quantitativen Schätzungen“ verarbeiten. Ein Modellinventar verlangen die MaRisk nicht. Ein Inventar verlangt dagegen DORA, und zwar für alle Institute: Art. 8 DORA fordert, Informations- und Kommunikationstechnologie-Assets (IKT-Assets) samt Konfiguration und Abhängigkeiten zu erfassen und bei jeder wesentlichen Änderung zu aktualisieren, und Art. 9 DORA verlangt, Änderungen an IKT-Systemen kontrolliert zu erfassen, zu testen und zu genehmigen. Sobald eine Plattform in einem EU-Institut im Einsatz ist, gehört jede neue Version in diese Logik des Änderungsmanagements.

Am schärfsten wird der Unterschied im AI Act. Die Verordnung stuft ein KI-System nicht nach seiner Technik ein, sondern nach seiner Zweckbestimmung, und ein System für die Kreditwürdigkeitsprüfung natürlicher Personen ist nach Anhang III hochriskant. Art. 25 (1) c AI Act regelt, was geschieht, wenn jemand die Zweckbestimmung eines Systems so ändert, dass es hochriskant wird: Er gilt dann selbst als Anbieter, mit allen Pflichten zu Dokumentation, Risikomanagement und menschlicher Aufsicht. Eine Plattform, die bewusst ohne Kenntnis aller künftigen Anwendungsfälle gebaut wird, ist mit dieser Logik vereinbar. Sie verlagert die Einstufung aber in den Moment, in dem eine Einheit einen Agenten für einen neuen Zweck einsetzt, und dieser Moment braucht eine Prüfung. Auch Citis Satz vom Menschen, der stets im Loop ist, trifft im AI Act auf einen strengeren Begriff. Art. 14 AI Act verlangt eine wirksame Aufsicht, die dem „Grad der Autonomie“ angemessen ist, die Gefahr des Automatisierungsbias kennt und den Betrieb mit einer „Stopptaste“ unterbrechen kann. Für Hochrisiko-Systeme nach Anhang III gelten diese Pflichten nach dem Digital-Omnibus ab dem 2. Dezember 2027. Sarah Breeden, Vizegouverneurin der Bank of England, hat im Juni ohnehin Zweifel angemeldet, dass die Formel trägt: „relying on a human in the loop for all agent actions is unlikely to be realistic.“

Die Plattform ist der Ort, an dem der Nachweis entsteht

Zwar ließe sich aus dem Vergleich ein Gegensatz konstruieren, in dem eine amerikanische Bank auf Automatik setzt und die europäische Aufsicht auf Formulare. Doch die Branchenpraxis zeigt einen anderen Weg. Das AI Governance Framework der Branchenorganisation Fintech Open Source Foundation (FINOS) beschreibt Kontrollen für Agenten auf zwei Ebenen: Identität, Berechtigung und Protokollierung über die Plattform, die Tiefe der Protokollierung aber „appropriate to the stakes and risk profile of their use case“. JPMorganChase verbindet beides ebenso, mit strengeren Vorgaben für Agenten, die nicht vertrauenswürdige Eingaben verarbeiten, auf sensible Daten zugreifen und nach außen handeln können, und leichteren für Agenten, die nur lesen. Die Cybersicherheitsbehörden der Five-Eyes-Staaten mahnten am 30. April 2026, Berechtigungen „at each invocation“ zu prüfen und nicht nur einmal beim Start eines Systems. Diese Texte beschreiben Plattformkontrolle als Schicht mit einer Abstufung nach Risiko, nicht als alleinigen Nachweis. Ob Citi dieselbe Abstufung nutzt, sagen ihre Texte nicht.

Bemerkenswerterweise ist Citi an dieser Branchenarbeit beteiligt. Im Juni 2025 hat FINOS gemeinsam mit Banken wie Citi, Morgan Stanley und der Bank of America ein Projekt für gemeinsame Kontrollen von KI-Diensten gestartet, und das zugrunde liegende Regelwerk für Cloud-Kontrollen stammt nach Angaben von FINOS ursprünglich von Citi. In den beiden Citi-Texten vom April und September kommt dieser Bezug nicht vor. Eine Bank, die Kontrollen auf Plattformebene automatisiert, hat damit noch nicht weniger nachzuweisen. Sie hat ein Werkzeug, mit dem sich der Nachweis je Anwendungsfall billiger erzeugen lässt, weil Inventar, Berechtigungen und Protokolle ohnehin entstehen. Ob dieses Werkzeug auch dafür genutzt wird, entscheidet der Prozess neben der Plattform. In Frankfurt und Dublin dürfte die Aufsicht nach diesem Prozess fragen. Die Plattform wird die Antwort liefern müssen, nicht ersetzen.

Handlungsempfehlungen

Begriffserklärung