MAS-Leitlinien zum KI-Risikomanagement sind final: Was Banken bis 2027 und 2028 umsetzen müssen

Was die MAS veröffentlicht hat¶

Die Guidelines on Artificial Intelligence Risk Management tragen das Veröffentlichungsdatum 7. Oktober 2026. Laut MAS gelten sie für alle Finanzinstitute (FIs) und alle Formen von KI-Technologien. Finanzinstitute werden über Section 2 des Financial Services and Markets Act 2022 definiert, und für lokal gegründete Finanzinstitute, die der konsolidierten Aufsicht der MAS unterliegen oder kritische Informationsinfrastruktur besitzen, gelten die Leitlinien auf Gruppenebene.

Die Definition von KI stellt auf erlerntes Verhalten ab. KI bezeichnet maschinenbasierte Systeme oder Modelle, die Ergebnisse aus erlernten Prämissen ableiten, etwa aus den Daten oder Eingaben, die sie erhalten. Regelbasierte Systeme, von Hand festgelegte Formeln und Robotic Process Automation, die festen Anweisungen ohne Lernen folgt, fallen nicht darunter. Die beispielhafte Liste dessen, was darunter fällt, nennt generative KI und KI-Agenten (einschließlich Multi-Agenten-Systemen).

Die Leitlinien ergänzen bestehende MAS-Instrumente. Die FEAT-Grundsätze (Fairness, Ethics, Accountability and Transparency) gelten weiter, und für KI von Dritten gelten die Erwartungen der MAS an Auslagerung und Drittparteien. Ein Finanzinstitut in einer globalen Gruppe kann das Rahmenwerk der Gruppe nutzen, sofern es die Leitlinien erfüllt; die lokale Geschäftsleitung muss der MAS zeigen können, wie sie ihre Aufsichtsverantwortung wahrnimmt.

Zwei Anwendungstermine¶

Ziffer 1.8 legt den Zeitplan fest: Die Leitlinien treten am 7. Oktober 2027 in Kraft. Finanzinstitute können die Erwartungen der Abschnitte 3 bis 4 ab dem 7. Oktober 2027 und die der Abschnitte 5 und 6 bis zum 7. Oktober 2028 erfüllen. Das Konsultationspapier hatte einen einzigen Übergangszeitraum von 12 Monaten nach Veröffentlichung vorgeschlagen. Der finale Text belässt es bei 12 Monaten für die Governance-Ebene und gibt ein weiteres Jahr für die Kontrollebene.

Die Aufteilung folgt dem Aufbau des Dokuments. Die Abschnitte 3 und 4 klären, wem das KI-Risiko gehört und welche KI das Institut einsetzt. Die Abschnitte 5 und 6 klären, wie jeder Anwendungsfall gebaut, getestet, überwacht, geändert und stillgelegt wird. Ein Finanzinstitut kann Lebenszykluskontrollen erst kalibrieren, wenn es ein Inventar und eine Wesentlichkeitseinstufung hat; die Reihenfolge der Termine entspricht also der Reihenfolge der Arbeit.

Was bis zum 7. Oktober 2027 stehen muss¶

Aufsicht. Das Leitungsorgan oder ein von ihm beauftragter Ausschuss genehmigt den übergreifenden Governance-Ansatz für das KI-Risikomanagement und stellt sicher, dass Risiken aus dem KI-Einsatz im Rahmenwerk für den Risikoappetit berücksichtigt werden, soweit angemessen einschließlich qualitativer Aussagen und quantitativer Kennzahlen für solche Risiken. Die MAS nennt Beispiele für quantitative Kennzahlen: Schwellenwerte für die Anzahl oder die finanziellen Auswirkungen KI-bezogener Vorfälle, die Anzahl wesentlicher KI-Anwendungsfälle, die von einem einzigen Anbieter abhängen, und die Anzahl wesentlicher Anwendungsfälle, die Leistungsschwellen verletzen. Die Geschäftsleitung legt die Rollen über die drei Verteidigungslinien fest, richtet einen internen Eskalationsprozess für den Umgang mit wesentlichen Risiken und Ausnahmen aus dem KI-Einsatz ein, etwa KI-Vorfällen, und informiert das Leitungsorgan zeitnah über wesentliche KI-Risikothemen.

Identifizierung. Eine benannte Kontrollfunktion verantwortet den Identifizierungsprozess und ist die letzte Instanz bei der Frage, ob eine bestimmte Nutzung einen KI-Einsatz darstellt. Die Identifizierung muss auch KI erfassen, die in Leistungen wesentlicher Drittanbieter eingebettet ist, einschließlich Software, die ohne KI-Etikett verkauft wird.

Inventar. Das Finanzinstitut führt ein genaues Inventar der KI-Anwendungsfälle, -Systeme oder -Modelle. Vorgeschlagene Attribute sind Zweck, genehmigter Nutzungsumfang, Modelltyp, verwendete Daten, Abhängigkeiten, Lebenszyklusstatus, Einstufung der Risikowesentlichkeit, Prüfstatus, Verantwortliche und Verweise auf die Dokumentation. Für Agenten ergänzt Fußnote 25 agentenspezifische Kennungen, Informationen über die Tools und Systeme, auf die der Agent zugreifen kann, seine Komponenten und die zur Risikosteuerung auferlegten Schutzmaßnahmen.

Risikowesentlichkeit. Jeder KI-Anwendungsfall wird mindestens nach drei Dimensionen bewertet: Auswirkung, Komplexität und Abhängigkeit. Zur Abhängigkeit gehört das Maß an Autonomie, das dem KI-System oder -Modell eingeräumt wird, und der Grad menschlicher Beteiligung oder Aufsicht. Die Bewertung umfasst inhärente und residuale Wesentlichkeit, und die residuale Einstufung muss vor dem Einsatz innerhalb des Risikoappetits liegen. Eine benannte Kontrollfunktion genehmigt die Einstufungen oder entscheidet über sie.

Was bis zum 7. Oktober 2028 stehen muss¶

Abschnitt 5 verlangt Kontrollen über den gesamten Lebenszyklus jedes Anwendungsfalls, abgestuft nach seiner Risikowesentlichkeit. Für Agenten zählen vier Erwartungen am meisten.

Menschliche Aufsicht (5.9). Klare Rollen mit Eskalations- und Entscheidungsprozessen, Personal mit der nötigen Befugnis und Fähigkeit, einzugreifen, Systeme mit Mechanismen, die KI-Ergebnisse oder -Empfehlungen zur menschlichen Prüfung eskalieren, wenn vorab festgelegte Bedingungen (z. B. zu Zuverlässigkeit und Genauigkeit) erfüllt sind, und eine dokumentierte Überprüfung von Aufsichtsentscheidungen und Eingriffen, einschließlich Beinahe-Vorfällen. Der Text nennt außerdem Automatisierungsbias und Entscheidungsmüdigkeit.

Prüfung vor dem Einsatz (5.18–5.19). Prüfung durch Beteiligte, die nicht an der Entwicklung mitgewirkt haben, und eine formelle unabhängige Validierung vor dem Einsatz bei Anwendungsfällen mit hoher Wesentlichkeit.

Überwachung und Vorfälle (5.23). Kennzahlen mit gestaffelten Schwellenwerten und Drift-Prüfungen. Soweit relevant, sollen auch Informationsflüsse und Entscheidungswege über Workflows mit KI hinweg überwacht werden, etwa Denkprozesse, ausgeführte Aktionen und verwendete Tools. Bei KI mit hoher Wesentlichkeit sollten Finanzinstitute „Kill Switches“ oder Übersteuerungsmechanismen erwägen, und bei KI-Agenten eine erweiterte Dokumentation, etwa die Protokollierung von Prompts und Modellantworten mit Modellversionen und Denkprozessen.

Änderungsmanagement (5.25). Wesentliche Änderungen lösen Prüfung und erneute Genehmigung aus, die Änderungskontrolle läuft unter menschlicher Aufsicht, und die Versionskontrolle ermöglicht ein Zurücksetzen. Abschnitt 6 verlangt dann kompetentes Personal, ausreichende Ressourcen und eine technische Infrastruktur, die zum Anwendungsfall passt.

Bei der Änderungskontrolle haben wir aus unseren eigenen Tests am meisten gelernt. In KLA erzeugt die Veröffentlichung einer Policy-Änderung eine Vier-Augen-Freigabe, und die neue Version bleibt inaktiv, bis eine andere freigebende Person sie abzeichnet. In unseren Test-Tenants scheiterte ein Agentenlauf gegen eine Policy, die genehmigt, aber noch nicht aktiv war, sicher geschlossen mit einer allgemeinen Prüfmeldung, und der Operator konnte den Grund nicht erkennen. Wir haben die Meldung so geändert, dass sie den Grund und den nächsten Schritt nennt. Die Lehre für 5.25: Jede Policy-Version braucht einen sichtbaren Status (Entwurf, genehmigt, aktiv), und der Datensatz jeder Agentenaktion sollte die Version nennen, die bei ihrer Ausführung aktiv war.

Was der finale Text zu KI-Agenten sagt¶

Agenten kommen an vier Stellen vor. Ziffer 1.5 hält fest, dass die Leitlinien Erwartungen für Finanzinstitute setzen, die KI einsetzen, einschließlich generativer KI und neuerer Entwicklungen wie KI-Agenten. Ziffer 1.11 beschreibt das Risiko: Ein Agent mit Tool-Zugriff könnte autonom unbefugte oder fehlerhafte Aktionen ausführen, die nicht mit den Geschäftszielen eines Finanzinstituts oder dem besten Interesse eines Kunden übereinstimmen, und kompromittierte Agenten könnten sensible Daten exfiltrieren oder bösartige Befehle in großem Umfang ausführen. Die Inventar-Fußnote nennt Agentenattribute, und die Ziffer zur Überwachung nennt Aktionen und Tools.

Die MAS verweist Finanzinstitute außerdem auf das Model AI Governance Framework for Agentic AI der IMDA als Referenz für agentenspezifische Praktiken. Die Pressemitteilung nennt den nächsten Schritt: 2027 will die MAS den Finanzsektor weiter dazu konsultieren, welche zusätzlichen Leitlinien zu agentischer KI sinnvoll wären. Bis dahin sind die Leitlinien die aufsichtliche Grundlage für Agenten, angewandt über dieselben Erwartungen an Inventar, Wesentlichkeit, Aufsicht und Überwachung wie für jede andere KI.

Zusammen gelesen beschreiben diese Passagen ein Agentenprogramm, das die MAS beaufsichtigen kann: Jeder Agent ist mit seinen Tools und Schutzmaßnahmen registriert, Autonomie wird unter Abhängigkeit bewertet, es gibt einen festgelegten Punkt, an dem vorgeschlagene Aktionen an eine Person mit Eingriffsbefugnis eskalieren, Aktionen und Tool-Aufrufe werden aufgezeichnet, und es gibt einen getesteten Weg, den Agenten zu stoppen.

Was sich gegenüber dem Konsultationsentwurf geändert hat¶

Zeitplan. Die Konsultation schlug 12 Monate ab Veröffentlichung vor. Der finale Text gibt 12 Monate für die Abschnitte 3 und 4 und 24 Monate für die Abschnitte 5 und 6.

Ausschüsse. Die Konsultation schlug einen eigenen funktionsübergreifenden Ausschuss vor, wenn das KI-Risiko eines Finanzinstituts wesentlich ist. Laut Pressemitteilung können bestehende Governance-Strukturen genutzt werden, und ein eigener KI-Ausschuss ist nicht erforderlich. Das Leitungsorgan oder ein von ihm beauftragter Ausschuss trägt die Verantwortung nach Abschnitt 3.

Basisrichtlinien. Die Ziffern 2.3 bis 2.5 legen einen eigenen Weg für Finanzinstitute fest, deren KI-Einsatz keine wesentlichen nachteiligen Auswirkungen hätte, wenn er schlecht funktionierte oder ausfiele. Diese Institute können grundlegende KI-Governance-Richtlinien anwenden: eine verantwortliche Führungskraft, erlaubte und verbotene Nutzungen mit Anforderungen an die menschliche Prüfung, eine Liste genehmigter KI-Tools, Schulung der Mitarbeitenden, regelmäßige Compliance-Prüfungen und eine periodische Prüfung, ob das Institut die Voraussetzungen weiterhin erfüllt. Als Beispiele dienen Formulierungshilfe, interne Zusammenfassungen und interne Suche. Ein Agent, der in einem produktiven Workflow handelt, gehört nicht dazu.

Wo SAFR steht¶

Die finalen Leitlinien erwähnen SAFR (Safeguards for Agentic Finance at Runtime) nicht, das White Paper aus dem BuildFin.ai-Programm der MAS. Zwei Tage nach den Leitlinien, am 9. Oktober 2026, veröffentlichte BuildFin.ai SAFR Version 1.1, die Anwendungsbereich und Umsetzungsansatz präzisiert und Fallstudien ergänzt. Version 1.1 hält fest, dass SAFR keine regulatorische Leitlinie oder aufsichtliche Erwartung darstellt und künftige Richtungen solcher Leitlinien oder Erwartungen weder vorschreibt noch vorwegnimmt.

SAFR bleibt damit eine freiwillige Referenz, und die MAS hat sich nicht verpflichtet, es verbindlich zu machen. Sein Nutzen für ein Finanzinstitut ist praktisch: Es beschreibt Laufzeitmechanismen (Agentenidentität, Mandate, eine Disposition für jede vorgeschlagene Aktion und ein Audit-Log), die die Aufsichts- und Überwachungsnachweise erzeugen, die Abschnitt 5 verlangt. Der SAFR-Erklärartikel behandelt die Spezifikation, und SAFR umsetzen führt durch ein ausgearbeitetes Mandat und einen Entscheidungsdatensatz.

Was vor dem 7. Oktober 2027 zu tun ist¶

Die erste Frist ist eine Governance-Frist, und der Großteil der Arbeit ist Bestandsaufnahme. Drei Aufgaben passen in die nächsten zwei Quartale. Benennen Sie die Kontrollfunktionen für Identifizierung, Inventar und Wesentlichkeit, und lassen Sie das Leitungsorgan den Governance-Ansatz und die Kennzahlen zum KI-Risikoappetit genehmigen. Bauen Sie das Inventar mit den Agentenattributen aus Fußnote 25 auf, einschließlich KI von Dritten und eingebetteter KI. Bewerten Sie jeden Anwendungsfall nach Auswirkung, Komplexität und Abhängigkeit, damit die Agenten mit hoher Wesentlichkeit bekannt sind, bevor die Lebenszyklusarbeit beginnt.

Beginnen Sie bei Agenten mit hoher Wesentlichkeit früh mit der Arbeit für 2028. Ein Laufzeit-Checkpoint, der jede vorgeschlagene Aktion vor ihrer Ausführung bewertet, festgelegte Fälle an eine benannte prüfende Person leitet und Aktion, Policy-Version, Ergebnis und jede menschliche Entscheidung aufzeichnet, erzeugt die Aufsichts- und Überwachungsnachweise, die Abschnitt 5 beschreibt. KLA Control Plane setzt dieses Muster mit vier Ergebnissen um: allow, warn, require_approval und block.