Das OCC misst KI-Agenten an der Folge eines Fehlers

Am 4. November hat das Office of the Comptroller of the Currency (OCC), die Aufsicht über die national lizenzierten Banken der USA, mit dem Bulletin 2026-54 einen 22-seitigen Prüfrahmen für generative und agentische KI veröffentlicht. Er lässt die Einstufung eines KI-Agenten an der möglichen Folge eines Fehlers ausrichten. Am 21. Oktober ließ sich an dieser Stelle noch festhalten, dass erst die Staatenaufsicht der USA aufgeschrieben hatte, was die Bundesbehörden zu KI-Agenten offenließen. Der Rahmen ist, soweit ersichtlich, das erste Dokument einer der drei Bundesbankaufsichten, das beides als Prüfgegenstand behandelt, nachdem Federal Reserve (Fed), OCC und Federal Deposit Insurance Corporation (FDIC) generative und agentische KI im April aus ihrer neuen Modellrisiko-Leitlinie ausgenommen hatten. Der Artikel zur Staatenaufsicht hat diese Lücke ausführlich beschrieben.

Hinter die Folge tritt die technische Raffinesse des Modells zurück. In den illustrativen Stufen steht deshalb ein schlichter regelbasierter Agent, der Zahlungen auslösen darf, über einem leistungsfähigen Modell, das nur interne Entwürfe schreibt, und ein vollständig autonomer, kundennaher Zahlungsagent landet in der obersten von vier illustrativen Stufen, „regardless of how well it performs in testing“. Zunächst fällt der Rahmen durch zwei andere Stellen auf: an den Begriff „Super Intelligence“ (SI), den eine Executive Order den Bundesbehörden seit Oktober vorschreibt, und an den Satz, dass der Rahmen keine neuen Erwartungen an Banken begründe. Beides stimmt. Die Nachricht für Risikovorstände liegt aber in der Prüfliste selbst, und sie deckt sich weitgehend mit dem, wonach die drei Aufsichten laut einem Bericht der Nachrichtenagentur Reuters vom 13. Oktober Banken informell befragt hatten: Grenzen der Agenten, Nachvollziehbarkeit ihrer Entscheidungen, Abschaltung.

Das Folgende ist eine Lesart des Prüferdokuments, keine Prognose über Prüfungsergebnisse. Der Rahmen nennt seine Stufen ausdrücklich „illustrative“, formuliert fast durchgehend mit „may“ und „could“ und kündigt an, regelmäßig überarbeitet zu werden. Nach dem Bulletin hat das OCC seine Prüfer allerdings angewiesen, die Prüfung des KI-Einsatzes an der Wesentlichkeit des Anwendungsfalls auszurichten, und dafür ist das Dokument gemacht. Die Fed und die FDIC haben bis zum 5. November kein vergleichbares Papier vorgelegt, und der im April angekündigte Request for Information (RFI) zu KI im Modellrisiko ist bis dahin nicht im Federal Register erschienen. Banken sollen das Dokument nach dem Bulletin ausdrücklich nicht zur Selbstbewertung verwenden. Wer aus dem Rahmen Pflichten ableitet, überdehnt ihn deshalb. Als Absichtserklärung ist er trotzdem zu gering geschätzt, denn er gibt Prüfern einen Fragenkatalog an die Hand, den sie nutzen können.

Ein einfacher Regelagent mit Zahlungsbefugnis kann riskanter sein als ein leistungsfähiges Modell

Abschnitt 1.1 formuliert den Grundsatz: „A bank’s control intensity could increase with the potential consequences of an SI agent’s failure or misuse.“ Die Einstufung eines Anwendungsfalls könne sich an möglichen Folgen, an der Übertragung von Handlungsmacht („transfer of agency“) und am Grad menschlicher Aufsicht orientieren, „rather than the technical sophistication of the SI used“. Abschnitt 3.1 zerlegt das in sieben Faktoren. Im Vordergrund stehen die Folge, also ob das System eine menschliche Entscheidung vorbereitet, selbst entscheidet oder selbst handelt, etwa Geld bewegt oder einen Kundendatensatz ändert, dann die Umkehrbarkeit eines Fehlers und der Grad der Autonomie. Ergänzt werden sie um die mögliche Wirkung auf Kunden, Märkte und Bank, die Sensibilität der Daten, die Erklärbarkeit des Ergebnisses und die Herkunft des Modells, ob im Haus gebaut, auf einem fremden Basismodell angepasst oder als externer Dienst bezogen.

Nach Abschnitt 3.1 verbinden sich die Faktoren zu einer Gesamtstufe, Abschnitt 3.2 nennt vier Stufen mit Beispielen, die das OCC ausdrücklich als illustrativ bezeichnet. In der obersten stehen der autonome Zahlungsagent, die Kreditentscheidung in Echtzeit, die Freigabe gesperrter Zahlungen nach einer Betrugsprüfung und der Marktzugang. Darunter folgen die KI-gestützte Kreditprüfung, vom Agenten ausgelöste Kundenkommunikation, die Bearbeitung von Geldwäsche-Alarmen und Code-Assistenz, die interne Systeme oder Datenzugriffe ändert. Die dritte Stufe umfasst Zusammenfassungen für Kreditvorlagen mit verpflichtender menschlicher Freigabe. In der untersten stehen interne Produktivitätswerkzeuge ohne Zugriff auf Kunden- oder Finanzdaten. Wer einen Trading-Floor mit Limiten geführt hat, kennt die Logik: Ein Limit bemisst sich am größten möglichen Verlust einer Position, nicht an der Raffinesse der Strategie, die sie eingeht. Ein Händler mit schlichter Strategie und großem Limit braucht mehr Aufsicht als ein brillanter Analyst ohne Handelsberechtigung.

Neu ist diese Denkweise freilich nicht. Modellrisiko wurde schon unter der Leitlinie von 2011 nach Wesentlichkeit gesteuert, und das optionale Formular der Staatenaufsicht ordnet Anwendungsfälle seit September ebenfalls in Stufen. Doch die beiden Raster rechnen unterschiedlich. Beim Formular der Conference of State Bank Supervisors (CSBS) bestimmt in der Regel der am höchsten eingestufte Einzelfaktor die vorläufige Stufe. Beim OCC verbinden sich die Faktoren zu einer „composite tier“, ohne dass das Dokument eine Rechenregel nennt. Hinzu kommt, dass beim OCC die Autonomie zur eigenen Achse wird: Wie lange ein Agent ohne menschlichen Kontrollpunkt laufen darf und auf welche Daten, Werkzeuge und Konten er zugreift, kann das Risiko nach Abschnitt 2.2 wesentlich beeinflussen. Die Inventur verschiebt sich damit von der Modellabteilung zu den Fachbereichen, die einem Agenten Rechte einräumen. Einen eigenen Risikoappetit für KI verlangt das OCC nicht. Abschnitt 2.4 beschreibt aber, was er abdecken könnte, wenn Vorstand und Geschäftsleitung ihn festlegen: Autonomie, zulässige Handlungen, Wirkung auf Kunden und Bank, rechtliche und operative Risiken, Konzentration. Fragt ein Prüfer danach, findet er die Gliederung im Dokument vor.

Der Rahmen rechnet mit dem Agenten, der läuft und trotzdem falsch handelt

Der Abschnitt zur operativen Widerstandsfähigkeit enthält den Satz, der die Prüfung eines Agenten von der eines Rechenzentrums unterscheidet: „An agentic system could remain available while taking inappropriate or harmful actions“. Ein Ausfall fällt sofort auf. Ein System, das verfügbar bleibt und das Falsche tut, fällt womöglich erst in der Abstimmung am Abend auf. Als mögliche Gegenmittel nennt der Rahmen Überwachung, Kontroll-Agenten, deterministische Regeln, „circuit breakers, rate limits, least-privilege permissions, and kill switches“. Er beschreibt einen Rückfallweg über geschultes Personal, einen enger begrenzten Ersatzagenten oder einen anderen genehmigten Prozess, dessen Tragfähigkeit die Bank testen kann, und eine eigene Aufarbeitung für betroffene Kunden, von der Ermittlung aller Betroffenen bis zur unabhängigen Prüfung, dass die Korrektur abgeschlossen ist. Wo ein Notschalter ansetzt, beim einzelnen Institut oder marktweit, wurde hier am Beispiel der Bank of England diskutiert. Das OCC beantwortet die Frage für die Bank selbst.

Der Kapitalmarkt kennt den Fall seit dem 1. August 2012. Nach der Verfügung der US-Börsenaufsicht Securities and Exchange Commission (SEC) vom 16. Oktober 2013 leitete das automatische Order-Routing des Brokers Knight Capital an diesem Morgen 212 kleine Kundenaufträge in Millionen Teilaufträge um und erzielte in rund 45 Minuten über vier Millionen Ausführungen in 154 Aktien. Knight verlor dabei über 460 Millionen US-Dollar. Das System war verfügbar, es handelte nur nach einem längst stillgelegten Programmteil, den ein neu belegter Schalter auf einem von acht Servern wieder geweckt hatte. Die SEC hielt fest, dass Knight keine Verfahren hatte, das System bei eigenem abweichendem Verhalten anzuhalten. 97 automatische Warnmeldungen vor Handelsbeginn waren nicht als Alarm gebaut und wurden in der Regel nicht gelesen. Die erste Gegenmaßnahme, das Zurückziehen des neuen Codes von den sieben korrekt arbeitenden Servern, verschlimmerte den Fehler. KI war daran nicht beteiligt. Knight betrieb einen schlichten, regelbasierten Router mit Befugnis zum Handeln, wie ihn das OCC in Abschnitt 1.1 meint.

Ebenso genau benennt der Rahmen, woran menschliche Aufsicht scheitern könnte. Er unterscheidet Human-in-the-Loop, die Freigabe vor jeder Ausführung, von Human-on-the-Loop, der laufenden Überwachung mit der Befugnis und der praktischen Möglichkeit einzugreifen. Auslöser und Maßstäbe einer Prüfung könnten so festgelegt werden, dass eine Freigabe „more than a nominal click“ ist, große Mengen und Sammelfreigaben könnten die Prüfqualität mindern und zu Alarmmüdigkeit führen. Banken könnten bewerten, wie viele Agenten, Konten, Alarme oder Aktionen eine Person glaubhaft überwachen kann und wie viel Zeit ihr zum Eingreifen bleibt. In der Übersichtstabelle steht das Risiko dahinter ohne Umschweife: ein namentlich benannter Prüfer ohne praktische Befugnis, Kompetenz, Kapazität oder Prüfmaßstab. Die 97 ungelesenen Meldungen von Knight zeigen eine verwandte Schwäche: Die Meldung war da, gelesen hat sie niemand.

Für den Audit-Trail ist Abschnitt 2.14 konkret. Aufzeichnungen können danach die Rekonstruktion wesentlicher Ergebnisse oder Handlungen stützen, auch wenn das Modell keine regelbasierte Begründung liefern kann. Als Belege nennt der Rahmen Eingaben, Ausgaben, Kontext, abgerufene Quellen, „tool calls“, Freigaben, Übersteuerungen und Handlungen, dazu eine Versionskontrolle über Modell, Prompt, Feinabstimmung, Daten, Konfiguration, Anbieter, Werkzeuge und Berechtigungen. Erklärbarkeitswerkzeuge zeigten Faktoren, die mit einem Ergebnis zusammenhängen, „but they do not reveal the SI’s reasoning“. Für die Interne Revision folgt daraus eine Prüfaufgabe, die der Rahmen in Abschnitt 2.15 selbst stellt: Wo ein Kontroll-Agent, ein Ersatzagent oder ein Notschalter als letzte Sicherung dient, kann die Revision prüfen, ob diese Sicherung unabhängig gesteuert, getestet und wirksam ist. Bei Knight fehlte ein Verfahren, das System anzuhalten, und damit eine solche Sicherung.

Super Intelligence ist vorerst die Amtssprache für dieselbe Technik

Der Begriff im Titel hat mit dem Inhalt wenig zu tun. Die Executive Order 14434 „Inaugurating the Era of Super Intelligence“, unterzeichnet am 29. September und am 2. Oktober im Federal Register veröffentlicht, legt fest, dass die Bundesverwaltung „Super Intelligence“ und „SI“ an die Stelle von „Artificial Intelligence“ und „AI“ setzt. Frühere Regulierungen und Dokumente müssen nach Sec. 2 (b) nicht geändert werden, und die Definition verweist in Sec. 3 auf die bisherige gesetzliche Definition von KI. Das OCC steht damit nicht allein, auch die SEC schreibt in ihren Prüfprioritäten für 2027 von „super intelligence (SI)“. Die Kanzlei Wiley fasste die Anordnung am 2. Oktober so zusammen, sie ändere „federal terminology, not the substantive scope of technologies currently covered by federal law“. Das gilt vorerst. Nach Sec. 3 (b) soll der Wissenschaftsberater des Präsidenten binnen 60 Tagen, also bis Ende November, einen Formulierungsvorschlag für eine gesetzliche Definition vorlegen und dabei prüfen, ob sie die bisherige Definition von KI ändern oder erweitern soll.

Im OCC-Dokument reicht die Umbenennung bis in den Anhang. Das Lexikon übernimmt die Definitionen der Artificial Intelligence Executive Oversight Group, einer Arbeitsgruppe aus US-Finanzministerium, Finanzaufsichten und Branchenvertretern, die ihr Glossar am 19. Februar 2026 veröffentlicht hatte, und vermerkt, man habe „artificial intelligence“ und „AI“ dort durch „Super Intelligence“ und „SI“ ersetzt. Eine Fußnote zeigt, wie ernst das OCC den Auftrag der Anordnung nimmt, KI auch selbst zu nutzen: Der Rahmen sei „prepared with the assistance of SI“, der Inhalt aber „reviewed, edited, and approved by a human“. Ein Prüferdokument, das die menschliche Freigabe maschineller Entwürfe zum Prüfgegenstand macht, wendet das Verfahren, das es beschreibt, also auf sich selbst an. Für Banken folgt aus dem Namen nichts, was sie organisatorisch umsetzen müssten. Die Cloud Security Alliance hatte am 7. Oktober davon abgeraten, auf die Anordnung hin eine eigene Risikostufe namens SI einzuführen, und der Rahmen sagt nun dasselbe: Prüfer sollen SI nicht als eigene Risikokategorie behandeln.

Nach Anhang III des EU AI Act wäre der Zahlungsagent kein Hochrisiko-System

Europa ordnet KI nach einer anderen Frage. Der EU AI Act, die Verordnung (EU) 2024/1689, bestimmt Hochrisiko-Systeme über eine abschließende Liste von Zwecken in Anhang III, und für Banken enthält sie genau eine Zeile, Nr. 5 b: Systeme zur „Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen“, „mit Ausnahme von KI-Systemen, die zur Aufdeckung von Finanzbetrug verwendet werden“. Wie dieser Ansatz über die Zweckbestimmung entscheidet und wo er Autonomie und Stopptaste regelt, wurde hier am Beispiel der Agentenarchitektur der Citigroup ausgeführt. Für den Vergleich mit dem OCC reicht ein Befund. Die Kreditentscheidung in Echtzeit fiele nach eigener Zuordnung unter Anhang III Nr. 5 b, aber nur bei natürlichen Personen. Zahlungsagent, Marktzugang und Freigabe gesperrter Zahlungen stehen in keiner Zeile. Vorbehalte bleiben: Wertet ein Agent biometrische Verhaltensmerkmale aus, kann Anhang III Nr. 1 greifen, und die Leitlinien der Kommission zur Einstufung liegen bislang nur als Entwurf vom Mai 2026 vor. Die Pflichten gelten nach dem Digital-Omnibus, der Verordnung (EU) 2026/1744, ab dem 2. Dezember 2027.

Fair ist der Vergleich nur mit einer Einschränkung. Der AI Act schützt nach Art. 9 Gesundheit, Sicherheit und Grundrechte, das OCC die Solidität der Bank und ihre Kunden. Der AI Act fragt also, ob ein Zweck auf einer grundrechtsschützenden Liste steht, das OCC fragt für jeden Zweck, wie schwer ein Fehler Bank und Kunden trifft. Für Hochrisiko-Systeme, im Bankbereich also die Kreditwürdigkeitsprüfung natürlicher Personen, verweist der AI Act selbst auf das Recht, das ohnehin gilt. Die Überwachungspflicht des Betreibers gilt bei Finanzinstituten nach Art. 26 (5) UAbs. 2 als erfüllt, „wenn die Vorschriften über Regelungen, Verfahren oder Mechanismen der internen Unternehmensführung gemäß einschlägigem Recht über Finanzdienstleistungen eingehalten werden“, und die Protokolle bewahren sie nach Art. 26 (6) UAbs. 2 als Teil ihrer Dokumentation nach diesem Recht auf. Der Artikel zu den Fallbeispielen der britischen Financial Conduct Authority (FCA) hat diese Verweisung schon beschrieben. Für alle übrigen Agenten, darunter den Zahlungsagenten, gilt ohnehin nur dieses Governance-Recht. In beiden Fällen müsste ein Stufenmodell für Agenten in der EU also dort stehen, wo die Governance der Bank geregelt ist.

Dort ist es nicht auffindbar. Die 9. Novelle der Mindestanforderungen an das Risikomanagement (MaRisk) vom Juni 2026 behandelt KI in AT 4.3.4 unter der „Verwendung von Modellen“, ohne Agenten eigens zu nennen, und gilt für die von der EZB direkt beaufsichtigten Institute nicht. Der Digital Operational Resilience Act (DORA) kommt ohne das Wort „künstliche Intelligenz“ aus und ist auf Verfügbarkeit, Integrität und Vertraulichkeit gebaut. Ob ein verfügbarer, aber falsch handelnder Agent ein Vorfall der Informations- und Kommunikationstechnologie (IKT) ist, bleibt Auslegung. Die Orientierungshilfe der BaFin zu IKT-Risiken beim Einsatz von KI vom 18. Dezember 2025 ist wie der OCC-Rahmen nicht verbindlich, sie „definiert keine aufsichtlichen Erwartungen“, und empfiehlt risikobasiert eine „lückenlose Protokollierung von KI-Entscheidungen, Modellversionen und Trainingsdaten (soweit datenschutzrechtlich zulässig)“. Agenten erwähnt sie auf 38 Seiten nicht, und statt Stufen unterscheidet sie Systeme in kritischen oder wichtigen Funktionen von Assistenten, die vollständig unter menschlicher Überwachung stehen.

Am Zahlungsagenten greift in der EU ein anderes Recht: Nach Art. 97 der zweiten Zahlungsdiensterichtlinie (Payment Services Directive, PSD2) ist beim Auslösen einer Zahlung eine starke Authentifizierung zu verlangen, und eine nicht autorisierte Zahlung erstattet das Institut nach Art. 73 spätestens bis zum Ende des folgenden Geschäftstags. So gelesen folgt diese Haftung einer Logik der Folgen, die der des OCC näher steht als der des AI Act. Ob eine vom Agenten ausgelöste Zahlung dabei als vom Zahler ausgelöst gilt, ist eine offene Rechtsfrage. Was das OCC auf 22 Seiten aufschreibt, findet ein deutsches Institut heute verteilt auf mehrere Regelwerke, vom EU AI Act über MaRisk und DORA bis zur PSD2.

Deutsche Institute erreicht der Rahmen in New York nur an wenigen Stellen

Als unmittelbarer Prüfmaßstab gilt der Rahmen für National Banks, Federal Savings Associations und Federal Branches ausländischer Banken. Nach den Institutslisten des OCC zum 30. September 2026 und den Strukturdaten der Fed führen die Deutsche Bank, die Commerzbank, die DZ BANK, die Helaba, die LBBW, die NORD/LB und die HypoVereinsbank ihre New Yorker Niederlassungen als State Branches, beaufsichtigt vom Bundesstaat New York und der Fed. Auch die Deutsche Bank Trust Company Americas ist keine National Bank, sondern eine State Member Bank unter der Fed. Beim OCC liegen aus der Deutsche-Bank-Gruppe nur zwei Treuhandbanken, die Deutsche Bank National Trust Company und die Deutsche Bank Trust Company, N.A., und unter den Landesbanken hat allein die BayernLB eine Federal Branch. Unter den europäischen Häusern stehen Santander und UBS mit Federal Branches und eigenen National Banks im Perimeter, BNP Paribas, Société Générale, Crédit Agricole und Rabobank nicht. Für die meisten deutschen Institute ist der Rahmen damit kein Prüfmaßstab. Er ist aber eine ausformulierte Vorlage einer Bundesbankaufsicht für das, was im eigenen Governance-Recht noch fehlt.

Handlungsempfehlungen für Risikocontrolling, Modellrisiko und Interne Revision

Begriffserklärung

Christian Schablitzki – the agentic banker

Strategy & Management Consultant · Agentic-AI-Experte für Finanzinstitute

Über 20 Jahre in Investmentbanking und Derivatehandel, anschließend mehr als 10 Jahre als Berater für Finanzinstitute. Zertifiziert als Claude Partner – Claude Code (Anthropic), außerdem in Google AI, Generative AI Leader (Google Cloud) und IBM RAG and Agentic AI.

LinkedIn-Profil → · agenticbanker.ai →