Die US-Staatenaufsicht schreibt auf, was Washington zu KI-Agenten offenlässt

Am 16. September 2026 hat die Conference of State Bank Supervisors (CSBS), der Verband der Bankaufsichtsbehörden der US-Bundesstaaten, ein Prüfraster für Künstliche Intelligenz in Banken und Finanzdienstleistern veröffentlicht. Das CSBS Artificial Intelligence Supervisory Framework besteht aus fünf Dokumenten: einem Leitfaden für Prüfer, einem Arbeitsprogramm mit den einzelnen Prüfschritten, Ergänzungen für Nichtbanken, einem optionalen Formular zur Risikoeinstufung einzelner Anwendungsfälle und einer Quellenliste. Es beginnt mit acht Einstiegsfragen, führt 21 Prüfverfahren und enthält einen eigenen Prüfschritt für KI-Agenten.

Die naheliegende Lesart ist die einer freiwilligen Checkliste ohne Folgen. Die CSBS sagt selbst, das Raster schaffe keine neuen Pflichten, und nach Durchsicht von Presse, Kanzleiberichten und den Mitteilungen der CSBS hat bis Mitte Oktober kein Bundesstaat öffentlich erklärt, es zu übernehmen. Wichtig wird es durch das, was auf Bundesebene fehlt. Die Bankaufseher in Washington haben generative KI und Agenten im April ausdrücklich aus ihrer neu gefassten Leitlinie zum Modellrisiko herausgenommen, und eine angekündigte Konsultation zu KI im Modellrisiko ist bis Mitte Oktober nicht erschienen. Was ein Prüfer zu KI-Agenten fragen und welche Unterlagen er sehen kann, hat deshalb nicht Washington aufgeschrieben, sondern die Staatenaufsicht. Was das Raster schließt, ist keine Lücke bei den Pflichten, sondern eine bei der Formulierung.

Washington hat Agenten in eine Fußnote verschoben

Am 17. April 2026 haben Federal Reserve, OCC und FDIC ihre gemeinsame Leitlinie zum Modellrisiko neu gefasst. Das Rundschreiben SR 26-2 der Federal Reserve ersetzt nach eigenem Wortlaut die Leitlinie SR 11-7 aus dem Jahr 2011, die anderthalb Jahrzehnte lang Maßstab für Modellvalidierung in amerikanischen Banken war. Die neue Fassung enthält eine Fußnote, die für die KI-Debatte folgenreicher ist als ihr Haupttext: „Generative AI and agentic AI models are novel and rapidly evolving. As such, they are not within the scope of this guidance." Ihre Grundsätze gelten nach derselben Fußnote für klassische statistische Modelle und für KI-Modelle, die weder generativ noch agentisch sind.

Ein Vakuum ist das zwar nicht. Dieselbe Fußnote verweist auf das allgemeine Risikomanagement, das die angemessenen Kontrollen für alles bestimmen soll, was die Leitlinie nicht erfasst. Michelle W. Bowman, Vice Chair for Supervision der Federal Reserve, hat die Absicht in einer am 27. April gehaltenen und am 1. Mai veröffentlichten Rede offen benannt. Die Aufsicht habe die Leitlinie im Lauf der Jahre über ihren ursprünglichen Zweck hinaus ausgedehnt, und künftig sollten andere Risikomanagement- und Governance-Praktiken die Einführung generativer und agentischer KI so begleiten, dass Innovation gefördert wird. Doch welche Praktiken das sind, hat seither keine der drei Behörden in einer Leitlinie aufgeschrieben. Im Bulletin 2026-13 des OCC zur Neufassung kündigten die drei Behörden eine Konsultation (Request for Information, RFI) zum Modellrisiko an, die sich ausdrücklich mit generativer KI und Agenten befassen soll, und zwar „in the near future". Im Federal Register ist sie bis Mitte Oktober nicht erschienen.

Den Baustein, den Michelle W. Bowman ausdrücklich nannte, eine überarbeitete Leitlinie zum Drittparteirisiko, gibt es inzwischen als Entwurf. Am 15. September 2026, einen Tag vor dem CSBS-Raster, haben OCC, Federal Reserve, FDIC und die National Credit Union Administration (NCUA), die Aufsicht der Kreditgenossenschaften, den Entwurf einer neuen Leitlinie zum Drittparteirisiko im Federal Register veröffentlicht. Der Entwurf umfasst rund 9.000 Wörter und erwähnt nach eigener Volltextsuche künstliche Intelligenz, generative Modelle und Agenten kein einziges Mal. Wer KI-Dienste von Drittanbietern bezieht, findet dort Regeln für Dienstleister im Allgemeinen, aber keinen Satz zu Modellen, die ein Anbieter in sein Produkt eingebaut hat. Kommentare nimmt die Aufsicht bis zum 16. November 2026 entgegen.

Das Raster beginnt mit der Frage, ob überhaupt KI im Haus ist

Das Raster der Staaten setzt eine Stufe früher an als jede Modellvalidierung. Die erste der acht Einstiegsfragen im Leitfaden für Prüfer lautet: „Does the institution use artificial intelligence in any products, services, operations, compliance activities, or internal support functions?" Die übrigen fragen nach einem Inventar, nach kundennahem und entscheidungsunterstützendem Einsatz, nach der Abhängigkeit von Drittanbietern, nach KI, die in zugekaufte Produkte eingebettet ist, nach generativer KI, nach einer Unterscheidung der Anwendungsfälle nach Risiko und schließlich danach, ob Kundendaten oder vertrauliche Daten durch KI-Systeme oder Plattformen Dritter laufen. Erst danach folgen die 21 eigentlichen Prüfverfahren, sieben zur Governance, sechs zum Inventar und acht zu generativer KI und neuen Einsatzformen.

Bemerkenswert ist, wie misstrauisch das Raster gegenüber einer schnellen Verneinung ist. Fällt die Antwort auf die erste Frage negativ oder unklar aus, kann der Prüfer sie nach dem Leitfaden gegen das Verzeichnis der Dienstleister, das Software-Inventar, die freigegebenen Werkzeuge und jüngste Produktänderungen abgleichen, bevor er schließt, dass das Raster nicht greift. Das Arbeitsprogramm nennt den Grund: KI werde leicht übersehen, wenn sie in Software eingebettet ist oder als Funktion gilt statt als eigenes System. Wer auf dem Trading-Floor Limitsysteme gepflegt hat, kennt das Muster: Das Risiko, das niemand gebucht hat, steht in keinem Limitbericht. Ein KI-Inventar, das nur selbst gebaute Modelle führt, wird an dieser Stelle der Prüfung schnell zur Liste dessen, was fehlt.

Für Agenten genügt ein Satz, und er ist präzise

Der Abschnitt zu generativer KI führt acht Verfahren. Das sechste prüft, wie ein Institut mit Ungenauigkeit, Halluzinationen, Prompt Injection, also dem Einschleusen fremder Anweisungen in die Eingabe eines Sprachmodells, und dem Abfluss von Daten umgeht. Das achte, GE-8, trägt im Arbeitsprogramm die Überschrift Agentic AI Controls und besteht im Leitfaden aus einem einzigen Satz. Er nennt fünf Prüfgegenstände für Systeme, die mit wenig menschlicher Anleitung handeln: die zulässigen Handlungen, die menschlichen Kontrollpunkte, die Protokollierung, die Umkehrbarkeit und die Möglichkeit, das System einzuschränken oder anzuhalten.

Jeder der fünf Gegenstände lässt sich mit einem Dokument belegen oder eben nicht. Umkehrbarkeit etwa beantwortet die Frage, die nach einem Fehler zuerst gestellt wird: Lässt sich zurückdrehen, was der Agent getan hat? Im Handel ist das die Stornierung eines fehlerhaften Auftrags, für einen Agenten, der Stammdaten ändert oder Zahlungen anstößt, muss ein Haus erst festlegen, was Zurückdrehen überhaupt heißt. Hinzu kommt die Liste der Unterlagen, die ein Prüfer nach dem Leitfaden anfordern kann. Sie reicht von KI-Richtlinien und Gremienprotokollen über das KI-Inventar und eine Liste der zugekauften Produkte mit eingebetteter KI bis zu Stichproben dessen, was KI gegenüber Kunden erzeugt hat, ausdrücklich einschließlich Kundenhinweisen und Chatbot-Protokollen. Gefragt wird auch nach Vertragsklauseln dazu, ob ein Anbieter Kundendaten verwenden, speichern, weitergeben oder für das Training seiner Systeme nutzen darf. Wer diese Liste vor einer Prüfung durchgeht, sieht, welche Nachweise im eigenen Haus vorliegen und welche erst entstehen müssten.

Die Einstufung folgt dem schlechtesten Faktor

Das Formular zur Risikoeinstufung ist ausdrücklich optional und nach eigenem Schlusssatz nicht als offizielle Aufsichtsvorgabe einer Staatsbehörde zu verstehen. Lehrreich ist es trotzdem, weil es eine Entscheidung festhält, die jedes KI-Rahmenwerk treffen muss. Für jeden Anwendungsfall werden vier Faktoren als niedrig, mittel oder hoch eingestuft: Kundenwirkung, menschliche Aufsicht, Schadenspotenzial und Datensensibilität. Ein Punktesystem, das gute Werte gegen schlechte verrechnet, gibt es nicht. Nach dem Formular soll der am höchsten eingestufte Faktor in der Regel die vorläufige Risikostufe bestimmen. Ein Chatbot mit geringer Kundenwirkung, der aber sensible Daten verarbeitet, landet damit vorläufig in der obersten der drei Stufen.

Die oberste Stufe beschreibt das Formular als Anwendungsfälle mit direkter Wirkung auf Kunden, sensiblen personenbezogenen Daten, begrenzter menschlicher Prüfung, erheblicher betrieblicher Abhängigkeit oder wesentlichem Schadenspotenzial bei Fehlern oder Ausfällen. Hohe Einstufung bei der menschlichen Aufsicht heißt nach dem Formular, dass Handlungen allein auf Grundlage der KI-Ausgabe automatisch erfolgen oder ein Mensch erst prüft, wenn die Handlung den Kunden schon erreicht hat. Abweichungen von der vorläufigen Stufe sind zulässig, brauchen aber eine dokumentierte Begründung, und jede Herabstufung soll über die Governance des Instituts freigegeben werden. Die Kontrollen bauen aufeinander auf: neun für die unterste Stufe, acht weitere für die mittlere, sieben weitere für die oberste, darunter eine unabhängige Modellvalidierung, ein eigener Prozess für KI-Vorfälle und ein Bericht an Senior Management und Board.

Freiwillig heißt hier nicht folgenlos

Der stärkste Einwand gegen die Bedeutung des Rasters stammt aus ihm selbst. Es versteht sich nach der Darstellung auf der CSBS-Website als Werkzeug im Ermessen der Prüfer und schickt diese für die Tiefenprüfung zurück zu den vorhandenen Ressourcen für Dienstleister, Modellrisiko, Verbraucherschutz und operationelles Risiko. Im Kern sagt es damit dasselbe wie die Bundesfußnote: Institute sollen ihre bestehende Governance nutzen. Und dass eine Staatsbehörde es öffentlich übernommen hätte, ist in Presse, Kanzleiberichten und CSBS-Mitteilungen bislang nicht belegt.

Beruhigend ist das für die Institute freilich nur bedingt. Ein Ermessenswerkzeug muss niemand übernehmen, damit ein Prüfer es benutzt. Die CSBS wendet sich auf ihrer Website ausdrücklich auch an die Institute, die das Raster nutzen können, um sich auf Prüfungen vorzubereiten. Hinzu kommt die Doppelstruktur der amerikanischen Aufsicht. Nach Angaben der CSBS haben 79 Prozent der US-Banken eine staatliche Lizenz, und diese Banken beaufsichtigt der jeweilige Bundesstaat zusammen mit der Federal Reserve oder der FDIC. In derselben Bank können damit ein Prüfer, für den generative KI außerhalb der Modellrisiko-Leitlinie liegt, und einer mit dem Prüfschritt zu Agenten aufeinandertreffen. Gegen den Bund richtet sich das Raster dabei nicht: Die CSBS führt die neue Bundesleitlinie in ihrer Quellenliste, und ihr Präsident Brandon Milhorn hob am 6. Oktober die Partnerschaft zwischen der Federal Reserve und den Staatenaufsehern hervor.

Inzwischen fragt laut Reuters auch der Bund. Nach dem Bericht vom 13. Oktober, der sich auf mit den Vorgängen vertraute Personen beruft, richten Federal Reserve, OCC und FDIC schriftliche und mündliche Anfragen an große, mittlere und kleinere Banken. Gefragt werde unter anderem, welche Grenzen für Systeme gelten, wie ihre Handlungen überwacht und freigegeben werden, ob sich Entscheidungen von Agenten nachverfolgen lassen und wie Banken autonome Systeme abschalten können. Die Behörden lehnten nach dem Bericht eine Stellungnahme ab, und die Aufseher sammelten noch Informationen, ohne Vorgaben zu machen. Eine Verbindung zum CSBS-Raster ist nicht belegt, die inhaltliche Nähe zu dessen Prüfschritt für Agenten ist es. Eine veröffentlichte Fassung dieser Fragen gibt es auf Bundesebene bislang nicht, bei den Staaten steht sie seit dem 16. September im Raster.

Fast gleiche Modelldefinition, unterschiedlicher Umgang mit generativer KI

Für deutsche Leser liegt der Vergleich mit den Mindestanforderungen an das Risikomanagement (MaRisk) der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) nahe, und er fällt aufschlussreicher aus als erwartet. Beide Aufsichten definieren ein Modell nahezu gleich. Die BaFin spricht in den Erläuterungen zu AT 4.3.4 von einer quantitativen Methode, einem System oder einem Ansatz, der statistische oder mathematische Theorien anwendet, um Eingabedaten zu quantitativen Schätzungen zu verarbeiten. Die amerikanische Leitlinie verwendet dieselbe Konstruktion mit statistischen, ökonomischen oder finanzwirtschaftlichen Theorien. Aus fast derselben Definition ziehen beide Seiten für generative KI verschiedene Schlüsse.

Die BaFin nennt künstliche Intelligenz im Modellmodul ausdrücklich, und zwar nicht erst seit der jüngsten Novelle. Schon das Rundschreiben 06/2024 vom 29. Mai 2024 hielt in AT 4.3.5 fest, die Anforderungen fänden auch Anwendung bei automatisierten Modellen, technologiegestützter Innovation und künstlicher Intelligenz, und verlangte für solche Modelle eine hinreichende Erklärbarkeit. Die 9. Novelle, Rundschreiben 06/2026 mit Stand vom 30. Juni 2026, hat die Anforderungen als AT 4.3.4 bestätigt. Ihre Erläuterungen halten fest: Ein Modell gilt als erklärbar, wenn sich die Wirkungszusammenhänge zwischen Eingangs- und Ausgangsgrößen aufzeigen lassen. Die US-Behörden haben generative KI und Agenten im selben Halbjahr aus ihrer Leitlinie herausgenommen.

Die Gegenüberstellung hat allerdings zwei Grenzen, die den Befund schärfen, statt ihn aufzuheben. Erstens ist auf beiden Seiten offen, ob ein Sprachmodell, das Text erzeugt, überhaupt quantitative Schätzungen liefert und damit unter die Definition fällt. Die US-Behörden nennen generative KI und Agenten in ihrer Fußnote selbst Modelle und nehmen sie trotzdem aus, die BaFin lässt die Frage offen. Zweitens gilt die MaRisk seit der 9. Novelle nicht mehr für die bedeutenden Institute unter direkter Aufsicht der Europäischen Zentralbank (EZB), also nicht für Häuser wie die Deutsche Bank, die DZ BANK oder die Landesbank Baden-Württemberg (LBBW), die Einheiten in den USA führen. Wer in Frankfurt eine Großbank führt, hat damit in der Regel drei Bezugspunkte: die Aufsicht der EZB für die Gruppe, die Federal Reserve für die US-Holding und, wo eine Tochter eine staatliche Lizenz hat, die Aufsicht eines Bundesstaates. Das CSBS-Raster betrifft nur den dritten, dort aber mit ausformulierten Fragen zu Agenten, wie sie auf Bundesebene bislang fehlen.

Mindestens ein deutsches Haus liegt im Adressatenkreis

Mindestens eine deutsche Bank gehört zu den Adressaten. Die Deutsche Bank Trust Company Americas ist nach dem Jahresbericht der Deutschen Bank für die US-Börsenaufsicht (Form 20-F) eine Bank mit Lizenz des Bundesstaates New York, beaufsichtigt von der Federal Reserve und vom New York State Department of Financial Services (NYDFS). Sie fällt damit in den Kreis der staatlich lizenzierten Banken, an den sich das Raster richtet. Ob es sich auch auf die New Yorker Filialen ausländischer Banken erstreckt, die eine staatliche Lizenz tragen, etwa die der DZ BANK oder der LBBW, sagen die Dokumente nicht. Sie nennen staatlich lizenzierte Banken und Finanzdienstleister ohne Banklizenz, Filialen ausländischer Institute erwähnen sie nicht. Für die betroffenen Häuser ist das eine Frage, die sich im nächsten Prüfungsgespräch mit dem NYDFS stellen lässt, bevor sie sich dort von selbst stellt.

Was das für die Praxis heißt

Für Verantwortliche in KI-Governance, Risikomanagement und Revision ergeben sich aus dem Raster fünf Ansatzpunkte. Keiner verlangt eine neue Struktur, alle setzen an Unterlagen an, die ein Prüfer nach dem Leitfaden anfordern kann.

Begriffserklärung

Christian Schablitzki – the agentic banker

Strategy & Management Consultant · Agentic-AI-Experte für Finanzinstitute

Über 20 Jahre in Investmentbanking und Derivatehandel, anschließend mehr als 10 Jahre als Berater für Finanzinstitute. Aktuell Partner bei Infosys Consulting in Deutschland. Zertifiziert als Claude Partner – Claude Code (Anthropic), außerdem in Google AI, Generative AI Leader (Google Cloud) und IBM RAG and Agentic AI.

LinkedIn-Profil → · agenticbanker.ai →