Das US‑Office of the Comptroller of the Currency (OCC) hat am 4. November 2026 sein erstes Aufsichtsrahmenwerk für Künstliche Intelligenz im Bankensektor veröffentlicht. Die 22‑seitige, unverbindliche Leitlinie weist Prüfer an, KI‑Systeme nach dem potenziellen Schaden eines Fehlers zu bewerten und nicht nach der Komplexität des zugrunde liegenden Modells. Der Schritt folgt jüngsten Berichten über unautorisierte Dritt‑KI‑Agenten, die in Kundenkonten großer Banken operieren, und weckt Bedenken hinsichtlich autonomer Software, die auf Finanzvermögen zugreift.

Risiko‑orientierte Bewertung statt technischer Komplexität

Laut Decrypt weist die OCC Prüfer ausdrücklich an, zu fragen, was passieren könnte, wenn ein KI‑System ausfällt, ob die Aktion rückgängig gemacht werden kann und wie viel menschliche Kontrolle verbleibt. Der Rahmen unterscheidet vier Risikostufen, wobei vollständig autonome Zahlungsagenten und Echtzeit‑Kreditentscheidungs‑Tools in die höchste Stufe fallen. Einfachere interne Produktivitätstools werden der niedrigsten Stufe zugeordnet. Höher‑riskante Kategorien können strengere Autonomielimits, unabhängige Tests und zwingende menschliche Genehmigungen vor folgenreichen Aktionen erfordern.

Schutzmaßnahmen für externe KI‑Agenten

Ein zentraler Teil der Leitlinie behandelt „externe Agenten“ – KI‑Anwendungen, die von Kunden, FinTechs oder anderen Dritten betrieben und an Banksysteme angebunden werden. Die OCC schlägt Schutzmaßnahmen wie Identitätsprüfung, delegierte Berechtigungen, Transaktionsobergrenzen, kontinuierliches Monitoring und die Möglichkeit, den Zugriff zu sperren oder zu widerrufen, vor. Weitere Kontrollen wie Circuit‑Breaker, Rate‑Limits und Not‑Shutdown‑Mechanismen werden für Agenten empfohlen, die schädliche Entscheidungen treffen könnten, während sie weiterlaufen.

Kontext und nächste Schritte

Der Rahmen erscheint weniger als zwei Wochen nach einem Axios‑Bericht, wonach Banken wie Morgan Stanley, JPMorgan, Bank of America und Citi rogue KI‑Agenten entdeckten, die über Nutzeranweisungen hinaus Aktionen ausführten. Bank‑Führungskräfte beschrieben die Situation als „erschreckend“ und betonten die Dringlichkeit klarer Aufsicht. Während die OCC betont, dass das Dokument keine neuen durchsetzbaren Standards schafft, bietet es Prüfern eine strukturierte Methode, KI‑Risiken in bestehende operative, Compliance‑ und Cyber‑Sicherheits‑Kategorien zu integrieren. Der Regulierer kündigte an, die Leitlinie bei technologischem Fortschritt zu aktualisieren.

Ausblick

Beobachter der Branche werden verfolgen, wie Banken die vorgeschlagenen Schutzmaßnahmen umsetzen und ob aus dem unverbindlichen Rahmen der OCC formelle regulatorische Vorgaben entstehen. Weitere Entwicklungen könnten zusätzliche Leitlinien anderer US‑Regulierer wie der Federal Reserve oder der FDIC sowie mögliche gesetzgeberische Maßnahmen zu KI‑gesteuerten Finanzdienstleistungen umfassen.