Das FSB verlegt die Kontrolle über KI-Agenten in den Code

Am 15. Oktober 2026 hat das Financial Stability Board (FSB) die Endfassung seiner zwölf Sound Practices für den verantwortlichen Einsatz Künstlicher Intelligenz in Finanzinstituten veröffentlicht. Vorausgegangen waren ein Konsultationsentwurf vom 10. Juni und nach Angaben des FSB rund 160 Stellungnahmen. Am Gerüst hat sich wenig geändert: Die zwölf Praktiken stehen in derselben Reihenfolge, und die sechs Formen menschlicher Aufsicht aus Sound Practice 10 sind wortgleich geblieben.

Die Neuerung liegt eine Ebene tiefer, bei den KI-Agenten. Der Entwurf führte für sie eine Liste von Leitplanken: Kennungen, Freigabeschwellen, Verbote einzelner Handlungen. Die Endfassung ordnet diese Leitplanken zu einer Architektur. Kontrollen sollen als Code greifen, bevor ein Agent handelt, Berechtigungen sollen als Gesamtrisiko bewertet werden, und jede Aktion soll sich einem Agenten und dem Menschen dahinter zuordnen lassen. Die verbreitete Lesart des Sommers, menschliche Aufsicht stoße an ihre Grenzen und gehe an Maschinen über, beantwortet das FSB damit anders. Der Mensch bleibt verantwortlich, er bekommt aber Kontrollen, die nicht von seiner Aufmerksamkeit im richtigen Moment abhängen.

Die Zusammenfassung folgt jetzt der Gliederung

Die Zusammenfassung des Entwurfs teilte die zwölf Praktiken in drei Blöcke: Governance (1 bis 4), den einzelnen Anwendungsfall (5 bis 10) sowie Cyber- und Drittanbieter-Risiken (11 und 12). Die Gliederung des Entwurfs führte beide Praktiken allerdings schon im Kapitel über den Lebenszyklus. Die Endfassung zieht das jetzt auch in der Zusammenfassung glatt und hält auf der ersten Seite fest: „The 12 sound practices are organised into two groups." Die ersten vier betreffen weiterhin die Governance der ganzen Organisation. Die übrigen acht beschreiben nach dem Wortlaut des Berichts einen Rahmen „for managing risks throughout the AI lifecycle, from inception to retirement". Das Management KI-bezogener Cyber- und Informations- und Kommunikationstechnologie-Risiken (IKT) und das Management von Drittanbieter-Abhängigkeiten gehören damit auch nach der Lesart der Zusammenfassung zum Lebenszyklus eines Anwendungsfalls.

Am Wortlaut der Praktiken hat das FSB dagegen wenig geändert. Bei neun der zwölf hat es nur Kommas gestrichen oder gar nichts angefasst. Bei den übrigen drei hat es nachgeschärft. Sound Practice 3 heißt jetzt „Incorporation of AI risks into risk management framework and effective documentation of AI use", aus der Auswahl in Sound Practice 6 ist ein Auswahlprozess geworden, und der Text von Sound Practice 12 spricht von „third-party AI dependencies" statt von der Nutzung von KI bei Drittanbietern. Nach der Auswertung der Konsultation deckt Praktik 12 nun auch KI ab, die in zugekaufte Produkte eingebettet ist, Weiterverlagerungen in der Lieferkette sowie den Umgang mit Konzentrationsrisiken bei wenigen Anbietern. Für Institute folgt daraus, Drittanbieter-Abhängigkeiten eines KI-Anwendungsfalls bei Auswahl, Test und Stilllegung mitzuprüfen und nicht allein im Auslagerungsmanagement.

Sechs Formen der Aufsicht, jetzt ausdrücklich kombinierbar

Sound Practice 10 trägt den Titel Human oversight. Das FSB unterscheidet dort sechs Ausprägungen menschlicher Aufsicht: Human-in-the-loop, AI-in-the-loop, Human-on-the-loop, Human-in-command, Kill switch und Contestability. Die Reihenfolge folgt der Stelle, an der der Mensch eingreift, und bewertet nicht. Die Endfassung ergänzt davor einen Satz, der die Lesart als feste Stufenleiter ausschließt: „These forms are not mutually exclusive and may be used in conjunction, or separately at different stages of the AI lifecycle."

Zwei dieser Formen tragen die Debatte über Agenten. Die erste ist AI-in-the-loop. Der Bericht definiert sie so: „‚AI-in-the-loop': integrates AI into human oversight to augment performance monitoring rather than merely using humans to oversee AI. It uses AI as a supportive layer for decision-making and task automation while keeping humans in control (e.g. humans monitor and respond to AI-enabled automated alerts). AI-in-the-loop may become warranted as financial institutions scale the number of AI use cases." Mit wachsender Zahl von Anwendungsfällen kann diese Form nach dem Bericht geboten sein.

Die zweite ist Human-in-command, und sie ist ausdrücklich für autonome Systeme gedacht: „‚Human-in-command': high-level human oversight, including deciding the extent of autonomy, setting guardrails and managing its overall impact. This form of human oversight is aimed at AI with high levels of autonomy, such as agentic AI." Der Mensch entscheidet hier über den Rahmen: wie viel Autonomie das System bekommt, welche Leitplanken gelten, welche Gesamtwirkung akzeptabel ist. Einzelne Ausgaben muss er dafür nicht prüfen.

Aus Leitplanken wird eine Architektur

Wie dieser Rahmen technisch aussieht, beantwortet erst die Endfassung. Sie verlangt, menschliche Aufsicht über Agenten mit deterministischen Kontrollen zu kombinieren, und verortet diese Kontrollen genau: „Deterministic controls are introduced at design and implemented as code in the control plane (the layer where decisions are made about what an agent can and cannot do)." Gemeint sind Sperren, die greifen, ohne dass ein Mensch im richtigen Moment hinsieht. Freigabeschwellen standen schon im Entwurf, etwa vor Zahlungen oberhalb eines Betrags. Die Endfassung ergänzt Handlungen mit irreversiblen Folgen und Ziele, die in einzelne Schritte zerlegt werden, damit ein Agent nach einer verfehlten Kontrolle nicht weiterläuft. Nach dem Bericht ist dieser Aufbau nötig, weil Agenten untereinander interagieren, in Schleifen schlussfolgern und Werkzeuge wiederholt aufrufen, wodurch sich Fehler aufschaukeln können.

Neu ist eine Regel zu Berechtigungen, die im Entwurf noch fehlte. Nach dem Bericht können sich die Risiken aus dem Zugriff eines Agenten auf Werkzeuge und Systeme mit jeder neuen Berechtigung vervielfachen, statt sich bloß zu addieren. Wer einem Agenten ein weiteres Werkzeug freigibt, soll deshalb das Risiko aus neuem und bestehendem Zugriff zusammen bewerten. Wer Berechtigungsprozesse in Banken kennt, weiß, dass sie in der Regel den einzelnen Antrag prüfen. Die Regel zielt damit auf eine eingeübte Praxis in den Häusern.

Hinzu kommt die Nachvollziehbarkeit. Kennungen für Agenten verlangte schon der Entwurf. Die Endfassung baut daraus das Konzept der Attribution: Jeder Agent bekommt eine eindeutige Kennung, die ihn von menschlichen Nutzern und anderen Systemen unterscheidet, und es muss erkennbar sein, welcher Mensch ihn konfiguriert und überwacht hat. Dokumentation und Aufzeichnungen über den Lebenszyklus sollen vor nachträglicher Änderung geschützt und, wo möglich, unveränderlich sein. Agenten, die selbst Unteragenten starten, führt der Bericht als eigene Risikokategorie, weil sich Entscheidungen auf mehrere Instanzen verteilen und Kontrollen dadurch schwächer werden können. Zusammenfassungen, die Agenten über ihr eigenes Handeln schreiben, sollen Institute wo angemessen gegen andere Quellen abgleichen, ausdrücklich wegen des Risikos von „deception and hallucination by agents". Und der Kill Switch, schon im Entwurf eine der sechs Aufsichtsformen, soll für Agenten jetzt auch getestet werden: wie ein Agent reagiert, wenn er eine Aufgabe nicht sicher abschließen kann, wenn ein angebundenes System ausfällt oder wenn weitere Versuche einen Fehler vergrößern würden. Ebenfalls neu ist der Erhalt menschlicher Fachkompetenz: Institute sollen Mitarbeitenden Gelegenheit lassen, selbst zu entscheiden, KI-Ergebnisse zu hinterfragen und die Fähigkeiten zu behalten, die sie brauchen, wenn KI-Werkzeuge ausfallen oder falsche Ergebnisse liefern.

Die Endfassung ist dabei nicht an jeder Stelle konkreter. Der Entwurf enthielt eine eigene Zeile für Agenten, die mit Kundengeldern umgehen: menschliche Freigabe oder Vier-Augen-Freigabe oberhalb eines Betrags, kein direkter Zugriff auf Zahlungssysteme, die Ausführung nur über einen Menschen. Diese Zeile ist gestrichen. Die Betragsschwelle bleibt nur noch als Beispiel für eine Freigabeschwelle. Ebenfalls entfallen sind der Auftrag, Freigabemuster daraufhin zu prüfen, ob Menschen Vorschläge von Agenten nur noch abnicken, und der Gedanke, Agenten personalwirtschaftlich wie synthetische Mitarbeiter zu behandeln. Das Risiko blinden Vertrauens in die Maschine benennt der Bericht weiterhin, nur ohne diesen Prüfauftrag. Das FSB setzt also auf weniger Einzelvorschriften für bestimmte Geschäftsvorfälle und mehr allgemeine Architektur. Für Institute, die genau die gestrichene Zahlungszeile als Messlatte genommen hatten, ist die Endfassung weniger konkret.

Der Handelsraum kennt diese Architektur seit 2018

Neu ist das Muster nur für Agenten. Wer einen Handelsalgorithmus unter der zweiten Finanzmarktrichtlinie (Markets in Financial Instruments Directive II, MiFID II) in Betrieb genommen hat, kennt es aus der Delegierten Verordnung (EU) 2017/589 zum algorithmischen Handel. Deren Art. 15 schreibt Vorhandelskontrollen vor, die bei jeder Auftragseingabe greifen: Preisbänder, die Aufträge außerhalb festgelegter Preisparameter automatisch sperren oder stornieren, dazu Auftragshöchstwerte und Auftragshöchstvolumina. Art. 12 verlangt eine Kill-Funktion, mit der eine Wertpapierfirma alle offenen Aufträge an allen Handelsplätzen sofort stornieren kann. Nach Art. 12 (3) muss eine Firma dafür für jeden Auftrag feststellen können, auf welchen Handelsalgorithmus und welchen Händler, welche Handelsabteilung oder gegebenenfalls welchen Kunden er zurückgeht.

Die Parallele zur Endfassung des FSB ist strukturell eng: Limits im Code, eine Notabschaltung, eine Zuordnung jeder Aktion zu ihrem Urheber. Die Analogie hat zwar Grenzen. Ein Handelsalgorithmus folgt einer Logik, die seine Entwickler festgelegt haben. Ein Agent bestimmt seinen Weg zum Ziel selbst und kann Vorgaben, wie das FSB festhält, anders auslegen als gedacht. Doch gerade deshalb trägt das Muster. Ein Preisband fragt nicht, warum ein Algorithmus einen Auftrag abgeben will, es sperrt oder storniert ihn nur, wenn er außerhalb des Rahmens liegt. Diese Unabhängigkeit von der Entscheidungslogik verlangt das FSB jetzt für Agenten. Für Häuser mit Handelsgeschäft liegt die Vorlage damit im eigenen Haus, nur bisher in einer anderen Abteilung.

Der neueste Teil ist der am wenigsten geprüfte

So konkret die Vorgaben für Agenten geworden sind, so vorläufig sind sie nach den Worten des FSB selbst. In der Auswertung der Konsultation heißt es: „These additional considerations on agentic AI are not fully consulted on but are distilled from the public consultation responses." Der Bericht nennt die Praktiken für Agenten und Multi-Agenten-Systeme „nascent" und hält eine umfassendere Behandlung in Zukunft für möglich. Die Architektur für Agenten, der für die Praxis folgenreichste Teil der Endfassung, ist also nicht vollständig durch das Konsultationsverfahren gegangen.

Gegen die Inhalte spricht das nicht. Mehrere Stellungnahmen hatten nach dem Überblick des FSB genau solche Kontrollen gefordert, von der Autorisierung vor der Ausführung über Zugriffsrechte nach dem Minimalprinzip bis zu unveränderlichen Prüfpfaden. Es spricht aber dafür, die Vorgaben als Richtung zu lesen und nicht als abschließenden Katalog. Ausdrücklich nicht aufgenommen hat das FSB die systemische Ebene, die mehrere Stellungnahmen ansprachen, etwa gleichgerichtetes Verhalten von Marktteilnehmern, die dieselben Modelle nutzen. Diese Fragen will das FSB über seine regelmäßige Analyse von Verwundbarkeiten weiter beobachten. Das Herdenrisiko vieler gleich gebauter Agenten liegt damit außerhalb dessen, was ein einzelnes Institut mit den Sound Practices steuern kann.

KI darf KI überwachen, aber nur unabhängig

Im Sommer kursierte in der Berichterstattung über den Entwurf die Formulierung, das FSB weise Banken den Weg zu einer KI, die KI überwacht. Die Zuspitzung stammte aus der Überschrift eines Fachdienstes, im Entwurf stand sie nicht. Die Endfassung greift das Motiv jetzt selbst auf, allerdings mit einer Bedingung: „Where AI is used to monitor and manage the performance and risks of another AI model or system, the monitoring AI is independent of the AI model or system under review." Der Satz steht im Abschnitt über Kontrollfunktionen, die von Entwicklungsteams und Fachbereichen getrennt bleiben sollen.

Der Unterschied zur Schlagzeile bleibt erheblich. AI-in-the-loop verstärkt die Überwachungsleistung des Menschen, der die Kontrolle behält. Wo eine KI eine andere überwacht, verlangt das FSB dieselbe Unabhängigkeit wie von jeder anderen Kontrollfunktion. Wer die verkürzte Fassung in die eigene Governance-Diskussion trägt, riskiert eine Delegation, die der Bericht so nicht deckt, und übersieht die Bedingung, an die er sie knüpft.

Was die Fallstudien tatsächlich zeigen

Der Bericht enthält Fallstudien aus der Praxis, und sie sind aufschlussreicher als die Prinzipien. Eine große international tätige Bank setzt ein Agenten-System ein, das neue Betrugs- und Scam-Muster in Echtzeit erkennt und die passenden Erkennungsregeln vorschlägt. Die bestehenden KI-Systeme der Bank überwachten bereits mehr als 80 Millionen Signale pro Tag. Der Agent hat nach Angaben des Berichts drei Viertel der Kartenbetrugsregeln der Bank mitentwickelt oder aktualisiert und dazu beigetragen, die Betrugsverluste im ersten Halbjahr des Geschäftsjahres 2026 gegenüber dem Vorjahreszeitraum um mehr als 20 Prozent zu senken.

Dazu liefert der Bericht eine Randbedingung: „The process embeds human oversight to review and approve all new rules by the bank's fraud analytics team before implementation." Ausgerechnet der Fall mit den stärksten Zahlen behält also die engste Form der Aufsicht bei: Jede neue Regel geht vor der Aktivierung über den Tisch eines Analysten. Hohe Wirkung und enge menschliche Kontrolle schließen sich hier nicht aus.

Neu in der Endfassung ist eine Fallstudie, die die Architektur aus dem Bericht im Betrieb zeigt. Ein großer Lebensversicherer setzt Agenten in der Schadenbearbeitung für Privatkunden ein und hat sie selbst gebaut statt zugekauft, um mehr Transparenz und Kontrolle zu haben. Im Test ließen sich die Agenten dazu bringen, auf Datenbanken und Systeme ohne Berechtigung zuzugreifen, „in one case trying to delete certain data files". Der Versicherer reagierte mit zusätzlichen Zugriffskontrollen in der Steuerungsebene, Mindestrechten je Agent, einer eigenen Registrierung jedes Agenten und Protokollen, deren Übereinstimmung mit den tatsächlichen Aktionen Menschen stichprobenartig prüfen. In der Produktion laufen die Agenten mit eingeschränkter Autonomie.

Eine weitere neue Fallstudie stammt von einer global systemrelevanten Bank mit großem Kapitalmarkt- und Broker-Dealer-Geschäft. Sie hat für KI keine eigene Governance aufgebaut, sondern die bestehenden Risiko- und Kontrollrahmen gezielt ergänzt und ein zentrales KI-Gremium unter dem Vorsitz einer leitenden Führungskraft eingerichtet, mit eigenen Gremien je Geschäftsbereich darunter. Eine dritte, bereits aus dem Entwurf bekannte Fallstudie stammt von einem Versicherer, der die Bearbeitungszeit im Underwriting von einem Geschäftstag bei einfachen und zwei bis drei Tagen bei komplexen Fällen auf rund 45 Sekunden gesenkt hat. Derselbe Versicherer berichtet von sechs Millionen Zeilen Code im Jahr 2025 bei einer Nutzungsquote von etwa 80 Prozent unter den Entwicklern. Die Codezahlen sind schwer einzuordnen, weil der Bericht für sie keine Vergleichsbasis nennt.

Kein Standard, sondern Proportionalität

Der Rechtscharakter des Papiers ist eindeutig, und die Endfassung bekräftigt ihn wie schon der Entwurf: „The sound practices do not establish an international standard, prescribe how financial institutions should adopt AI, nor are they intended to influence business decisions to adopt a particular AI technology." Wie schon der Entwurf hält sie fest, dass die Anwendung der Praktiken ein Institut nicht von seinen Pflichten nach örtlichem Recht entbindet. Das FSB kündigt zudem an, die Praktiken bei Bedarf fortzuschreiben.

Damit verbunden ist ein Proportionalitätsgedanke, den die Endfassung in einem Wort verschoben hat: „More robust practices may be appropriate for financial institutions that are large, complex or highly connected within their ecosystem and where AI is used or deployed in the financial institutions' critical functions." Im Entwurf hieß es noch „large, complex, and highly connected". Unter den drei Größenmerkmalen genügt jetzt eines, sofern KI in kritischen Funktionen läuft. Der Kreis der angesprochenen Häuser wird damit weiter. Kleinere, weniger komplexe oder weniger vernetzte Institute können nach dem Bericht weiterhin nur die einschlägigen Praktiken anwenden oder sie anpassen. Nach der Auswertung der Konsultation beschreibt die Endfassung zudem, wie solche Häuser dafür vorhandene Rollen und externe Expertise nutzen können. Als Checkliste zum Abarbeiten sind die zwölf Praktiken nicht gedacht.

Einzuordnen ist der Bericht auch im Verhältnis zu anderen Gremien. Die International Organization of Securities Commissions (IOSCO) hat am 25. Mai 2026 ihr Supervisory Toolkit for AI Use in Capital Markets als Finalbericht vorgelegt. Das FSB beschreibt seine Praktiken als weitgehend kompatibel mit den Arbeiten anderer Standardsetzer und führt die IOSCO-Arbeiten unter seinen Quellen. Von einer gemeinsamen Initiative der beiden Gremien ist im Bericht nicht die Rede.

Was das für die Praxis heißt

Für Governance-, Risiko- und Revisionsverantwortliche ergeben sich aus der Endfassung fünf Ansatzpunkte. Alle fünf setzen an Prozessen an, die es in den Häusern bereits gibt.

Christian Schablitzki – the agentic banker

Strategy & Management Consultant · Agentic-AI-Experte für Finanzinstitute

Über 20 Jahre in Investmentbanking und Derivatehandel, anschließend mehr als 10 Jahre als Berater für Finanzinstitute. Aktuell Partner bei Infosys Consulting in Deutschland. Zertifiziert als Claude Partner – Claude Code (Anthropic), außerdem in Google AI, Generative AI Leader (Google Cloud) und IBM RAG and Agentic AI.

LinkedIn-Profil → · agenticbanker.ai →