MAS AIRG: Übergangsplan für agentische KI bis Oktober 2027 und 2028

Was die AIRG sind und wo sie stehen¶

AIRG ist die Kurzbezeichnung für die Guidelines on Artificial Intelligence Risk Management der MAS. Die MAS konsultierte vom 13. November 2025 (Konsultationspapier P017-2025) bis zum 31. Januar 2026 zu einem Entwurf und veröffentlichte die endgültigen Leitlinien am 7. Oktober 2026. Sie legen die aufsichtlichen Erwartungen der MAS in vier Bereichen fest: KI-Aufsicht durch den Verwaltungsrat (das Leitungsorgan) und die Geschäftsleitung (Abschnitt 3); zentrale Systeme, Richtlinien und Verfahren des KI-Risikomanagements für Identifizierung, Bestandsverzeichnis und Bewertung der Risikowesentlichkeit (Abschnitt 4); KI-Lebenszykluskontrollen (Abschnitt 5); sowie KI-Fähigkeiten und -Kapazitäten (Abschnitt 6).

Ziffer 1.8 legt den Zeitplan fest: „Diese Leitlinien treten am 7. Oktober 2027 in Kraft. FIs können die in den Abschnitten 3 bis 4 dargelegten Erwartungen ab dem 7. Oktober 2027 und die Abschnitte 5 und 6 der Leitlinien bis zum 7. Oktober 2028 erfüllen.“ Die Konsultation hatte eine einheitliche Übergangsfrist von 12 Monaten vorgeschlagen. Der endgültige Text behält 12 Monate für die Governance bei und räumt 24 Monate für die Kontrollen ein.

Der KI-Begriff ist bewusst weit gefasst. KI bezeichnet „maschinenbasierte Systeme oder Modelle, die Ausgaben aus erlernten Prämissen ableiten, etwa aus den Daten oder Eingaben, die sie erhalten“. Die beispielhafte Liste umfasst maschinelles Lernen, Deep Learning, Verarbeitung natürlicher Sprache, Computer Vision, generative KI und „KI-Agenten (einschließlich Multi-Agenten-Systemen)“. Regelbasierte Systeme, manuell festgelegte Formeln und Robotic Process Automation ohne Lernkomponente fallen nicht darunter.

In der parlamentarischen Antwort vom August 2026, die der stellvertretende Premierminister Gan Kim Yong als Vorsitzender der MAS gab, hieß es, die Leitlinien „gelten für alle KI-Anwendungsfälle von FIs, einschließlich agentischer KI, und werden in Kürze finalisiert“. Der endgültige Text bestätigt den ersten Teil. Speziell zu Agenten erklärt die MAS: „2027 beabsichtigt die MAS, den Finanzsektor weiter dazu zu konsultieren, welche zusätzlichen Leitlinien zu agentischer KI nützlich wären.“

Wer in den Anwendungsbereich fällt und wie die Verhältnismäßigkeit wirkt¶

Die Leitlinien gelten für alle FIs im Sinne von Section 2 des Financial Services and Markets Act 2022 und für „alle Formen von KI-Technologien“. Für lokal gegründete FIs, die der konsolidierten Aufsicht der MAS unterliegen oder Eigentümer kritischer Informationsinfrastruktur sind, gelten sie auf Gruppenebene. Ein FI in einer globalen Gruppe kann das Rahmenwerk der Gruppe nutzen, sofern dieses den Leitlinien entspricht, und die lokale Geschäftsleitung muss der MAS darlegen können, wie sie ihre Aufsichtspflichten wahrnimmt.

Die Anwendung ist entlang zweier Achsen verhältnismäßig. Die erste ist das Institut: Aufsicht, Richtlinien und Verfahren skalieren mit Größe und Art der Geschäftstätigkeit, dem Einsatz von KI und dem Risikoprofil. Die zweite ist die KI selbst: Lebenszykluskontrollen werden an der bewerteten Risikowesentlichkeit jedes Anwendungsfalls ausgerichtet.

Die Ziffern 2.3 bis 2.5 beschreiben einen vereinfachten Weg. Ein FI kann grundlegende KI-Governance-Richtlinien anwenden, wenn eine schlechte Leistung oder Nichtverfügbarkeit seiner KI „voraussichtlich keine wesentlichen nachteiligen Auswirkungen auf das FI, seine Kunden oder andere Stakeholder hat“. Das Basisset umfasst ein verantwortliches Mitglied der Geschäftsleitung, zulässige und unzulässige Verwendungen mit Anforderungen an die menschliche Überprüfung, eine Liste genehmigter KI-Tools, Schulungen für Mitarbeitende, regelmäßige Compliance-Prüfungen und eine periodische Prüfung, ob das FI die Voraussetzungen weiterhin erfüllt. Als Beispiele nennt die MAS das Verfassen von Entwürfen, Zusammenfassungen, interne Analysen und interne Suche, bei denen ein Mensch die Ausgabe prüft. Ein Agent, der in einem Produktionsworkflow AML-Alerts triagiert, Zahlungen screent oder Kreditbeurteilungen entwirft, passt nicht zu diesem Weg.

Ziffer 1.11 erklärt, warum Agenten am anspruchsvollen Ende landen. Ein Agent mit Tool-Zugriff „könnte autonom nicht autorisierte oder fehlerhafte Aktionen ausführen, die nicht mit den Geschäftszielen eines FI oder dem besten Interesse eines Kunden im Einklang stehen“, und ein kompromittierter Agent könnte „sensible Daten exfiltrieren oder in großem Umfang bösartige Befehle ausführen“.

Wie sich die AIRG zu SAFR verhalten¶

AIRG und SAFR liegen auf unterschiedlichen Ebenen. Die AIRG legen die aufsichtlichen Erwartungen der MAS fest. SAFR (Safeguards for Agentic Finance at Runtime), das im Juli 2026 erstmals veröffentlichte White Paper aus dem BuildFin.ai-Programm der MAS, beschreibt, wie Agentenaktionen autorisiert werden, wie menschliche Aufsicht ausgelöst wird und was zum Zeitpunkt jeder folgenreichen Entscheidung aufgezeichnet wird. Die parlamentarische Antwort vom August 2026 beschrieb SAFR in diesen Worten und nannte das Project MindForge AI Risk Management Toolkit als zweite Branchenressource.

Die endgültigen Leitlinien erwähnen SAFR nicht. SAFR Version 1.1, veröffentlicht am 9. Oktober 2026, hält fest, dass es „keine regulatorische Leitlinie oder aufsichtliche Erwartung darstellt und auch keine künftige Ausrichtung solcher Leitlinien oder Erwartungen vorschreibt oder vorwegnimmt“. SAFR bleibt freiwillig, und die MAS hat sich nicht verpflichtet, es verbindlich zu machen.

Für die Planung bleibt SAFR dennoch relevant. Die AIRG legen fest, was Verwaltungsrat, Kontrollfunktionen und KI-Verantwortliche eines FI nachweisen können müssen. SAFR beschreibt Laufzeitmechanismen, die diesen Nachweis für Agenten erzeugen: verifizierte Agentenidentität, explizite Mandate, eine Disposition für jede vorgeschlagene Aktion und ein Append-only-Audit-Log. Die vollständige Erläuterung steht in SAFR, erklärt, die Umsetzungsanleitung mit einem ausgearbeiteten Mandat und Entscheidungsdatensatz in SAFR implementieren.

Die AIRG-Erwartungen, die über Ihr Agentenprogramm entscheiden¶

Fünf Gruppen von Erwartungen in den endgültigen Leitlinien tragen für agentische KI das meiste Gewicht.

Verantwortung von Verwaltungsrat und Geschäftsleitung (Abschnitt 3). Der Verwaltungsrat oder ein von ihm beauftragter Ausschuss genehmigt den übergreifenden Governance-Ansatz und stellt sicher, dass KI-Risiken im Rahmenwerk für den Risikoappetit berücksichtigt werden, „einschließlich qualitativer Aussagen und, soweit angemessen, quantitativer Messgrößen für solche Risiken“. Die Geschäftsleitung weist Rollen über die drei Verteidigungslinien zu, richtet „einen internen Eskalationsprozess für den Umgang mit wesentlichen Risiken und Ausnahmen aus dem KI-Einsatz, etwa KI-Vorfällen,“ ein und unterrichtet den Verwaltungsrat zeitnah über wesentliche KI-Risikothemen. Die MAS verlangt keinen eigenen KI-Ausschuss; bestehende Governance-Strukturen können genutzt werden.

Identifizierung, Bestandsverzeichnis und Risikowesentlichkeit (Abschnitt 4). Eine benannte Kontrollfunktion verantwortet die Identifizierung und ist „die letzte Instanz bei der Entscheidung, ob eine bestimmte Verwendung einen KI-Einsatz darstellt“. Das Bestandsverzeichnis erfasst Zweck, genehmigten Einsatzumfang, Modelltyp, verwendete Daten, Abhängigkeiten, Lebenszyklusstatus, Einstufung der Risikowesentlichkeit, Überprüfungsstatus und Verantwortliche. Für Agenten ergänzt Fußnote 25 „agentenspezifische Kennungen, Informationen zu den Tools und Systemen, auf die der Agent zugreifen kann, seine Komponenten sowie die zur Risikosteuerung auferlegten Guardrails“. Wesentlichkeitsbewertungen decken mindestens Auswirkung, Komplexität und Abhängigkeit ab, und die Abhängigkeit umfasst „das Ausmaß der dem KI-System oder -Modell eingeräumten Autonomie und den Grad der menschlichen Beteiligung oder Aufsicht“.

Lebenszykluskontrollen (Abschnitt 5). Der Lebenszyklus reicht von der Konzeption bis zur Außerbetriebnahme und ist an ISO/IEC 22989 angelehnt. Die Kontrollen umfassen Datenmanagement, Transparenz und Erklärbarkeit, Fairness, menschliche Aufsicht, Drittanbieter-KI, Auswahl, Evaluierung und Tests, Technologie und Cybersicherheit, Reproduzierbarkeit und Prüfbarkeit, Prüfung vor dem Einsatz, Überwachung, Änderungsmanagement und Außerbetriebnahme. Anwendungsfälle mit hoher Wesentlichkeit benötigen vor dem Einsatz eine formelle unabhängige Validierung sowie Notfallpläne mit Rückfalloptionen; für KI mit Kill-Switch „sollten klare Protokolle für die Aktivierung von Notfallmaßnahmen vorhanden sein und regelmäßig getestet werden“.

Menschliche Aufsicht (5.9). Klare Rollen mit Eskalations- und Entscheidungsprozessen, Personal mit „der erforderlichen Befugnis und Fähigkeit zum Eingreifen“, Systeme mit Mechanismen, die Ausgaben zur menschlichen Prüfung eskalieren, „wenn vordefinierte Bedingungen (z. B. zu Zuverlässigkeit und Genauigkeit) erfüllt sind“, und eine dokumentierte Überprüfung von Aufsichtsentscheidungen und Eingriffen einschließlich Beinahe-Vorfällen. Die Leitlinien nennen Automatisierungsbias und Entscheidungsmüdigkeit als Risiken für die Aufsicht.

Gleichbehandlung von Drittanbieter-KI (5.10–5.11). „Die Entscheidung, KI von Dritten einzuführen und zu nutzen, ist letztlich eine Entscheidung des FI, und das FI behält die primäre Verantwortung.“ FIs sollten Drittanbieter-KI in ihren eigenen Anwendungsfällen mit ihren eigenen Daten testen, kompensierende Tests durchführen, wo die Offenlegung nicht ausreicht, sich vertraglich Einblick in die Einführung von KI und spätere Änderungen sichern, Lieferketten- und Konzentrationsrisiken bewerten und erwägen, einen Dienst einzuschränken, auszusetzen oder zu ersetzen, dessen Restrisiko den Risikoappetit übersteigt. Ein Agent eines Anbieters, der in Ihren Workflow eingebettet ist, fällt unter Ihre AIRG-Verantwortung.

Der Übergangsplan: Oktober 2026 bis Oktober 2028¶

Der folgende Plan ordnet die beiden Fristen für ein FI, das Agenten in Produktion betreibt oder dorthin bringt. Die Reihenfolge folgt der Logik der Leitlinien: zuerst Governance, Bestandsverzeichnis und Wesentlichkeit, weil sie zuerst gelten und alles Weitere auf ihnen aufbaut; danach Laufzeitkontrollen für Agenten mit hoher Wesentlichkeit, weil ihr Aufbau am längsten dauert und sie die Nachweise erzeugen, auf die die Erwartungen von 2028 zurückgreifen; zuletzt Validierung, Überwachung und Assurance, weil sie prüfen, was in den früheren Quartalen entstanden ist.

Zwei Daueraufgaben laufen über alle acht Quartale. Nachweisaufbewahrung: Bewahren Sie ab dem ersten Quartal die Aufzeichnungen auf, die ein unabhängiger Prüfer benötigen würde, also Entwicklungsdokumentation, Validierungsberichte, Aufsichtsentscheidungen und Eingriffe, Überwachungsergebnisse, Vorfälle und Änderungsaufzeichnungen, mit Aufbewahrungsregeln, die einmal in einer Richtlinie festgelegt werden. Berichterstattung an den Verwaltungsrat: Die Geschäftsleitung unterrichtet den Verwaltungsrat durchgehend über wesentliche KI-Risikothemen; der formelle Berichtsrhythmus wird vor der ersten Frist festgelegt.

Eine Planungsannahme: Die MAS beabsichtigt, 2027 zu zusätzlichen Leitlinien für agentische KI zu konsultieren. Bauen Sie die Agentenkontrollen so, dass eine neue Erwartung eine Richtlinie oder ein Datensatzfeld hinzufügt, ohne den Ausführungspfad neu zu gestalten.

Laufzeitkontrollen und die Autorisierung jeder Agentenaktion¶

Die schwierigsten AIRG-Erwartungen für Agenten setzen voraus, dass das FI belegen kann, was die KI getan hat. Die Überwachung sollte, soweit relevant, „Informationsflüsse und Entscheidungswege in Workflows, die KI nutzen, etwa Reasoning-Prozesse, ausgeführte Aktionen und genutzte Tools“ abdecken. Menschliche Aufsicht erfordert Personal mit der Befugnis und Fähigkeit zum Eingreifen sowie dokumentierte Aufsichtsentscheidungen. Reproduzierbarkeit und Prüfbarkeit erfordern Aufzeichnungen, mit denen ein unabhängiger Prüfer arbeiten kann. Bei einem statischen Modell können Protokollierung und regelmäßige Überprüfung diese Erwartungen erfüllen. Bei einem Agenten, der seine nächste Aktion zur Laufzeit wählt, erfordern sie einen Kontrollpunkt im Ausführungspfad.

Ein Laufzeit-Autorisierungs-Checkpoint ist dieser Kontrollpunkt. Jede vorgeschlagene Agentenaktion wird vor der Ausführung abgefangen und anhand der genehmigten Richtlinie einem von vier Ergebnissen zugeordnet: allow, warn, require_approval oder block. Die SAFR-Spezifikation formalisiert dasselbe Muster als ihre vier Dispositionen und ergänzt die Eigenschaft, auf die es bei mehrstufigen Agenten ankommt: Eine Autorisierung in einem Schritt überträgt keine Befugnis auf den nächsten, sodass Schritt drei eines Workflows ebenso unabhängig geprüft wird wie Schritt eins.

Diese Struktur beantwortet die AIRG-Erwartungen direkt. Der require_approval-Pfad gibt der menschlichen Aufsicht den Eskalationsmechanismus, den Ziffer 5.9 beschreibt, mit einem benannten Prüfer, einer Entscheidung und einem Datensatz, bevor die Aktion ausgeführt wird. Das Entscheidungsprotokoll liefert der Überwachung den Nachweis je Aktion: was vorgeschlagen wurde, welche Richtlinie galt und was geschah. Das Ergebnis block gibt zusammen mit einem Kill-Switch der Erwartung an Notfallmaßnahmen ihren Durchsetzungsmechanismus. Derselbe Checkpoint vor einem Agenten eines Anbieters unterstützt die Gleichbehandlung von Drittanbieter-KI ohne Änderungen am Code des Anbieters. KLA Control Plane setzt dieses Muster um und ordnet die vier SAFR-Dispositionen eins zu eins allow, warn, require_approval und block zu; die Zuordnung der Komponenten steht auf der SAFR-Implementierungsseite.

Eine Lehre zur Kalibrierung haben wir in unseren eigenen Testmandanten gezogen. Die erste AML-Richtlinie, die wir angelegt hatten, fiel auf block zurück, wenn keine Regel griff. Jeder unvorhergesehene Fall wurde gestoppt, keine Anfrage erreichte einen Prüfer, und aus Sicht des Compliance-Nutzers wirkte die Kontrolle defekt. In der später erstellten Richtlinie für die Zahlungsfreigabe ist der Standard ohne Regeltreffer require_approval, sodass ein Fall, den die Regeln nicht vorhergesehen haben, eine Person mit Entscheidungsbefugnis erreicht. Für Agenten im Anwendungsbereich von Ziffer 5.9 ist dies der Standard, mit dem Sie beginnen sollten.

Die Aufbewahrung zählt ebenso viel wie die Durchsetzung. Ein Checkpoint, der entscheidet, aber nicht dauerhaft aufzeichnet, verfehlt die Erwartung an die Prüfbarkeit; eine Aufbewahrung, die Protokolle ohne Entscheidungsstruktur erfasst, verfehlt die Erwartung an die Aufsicht. Der Datensatz zu jeder folgenreichen Aktion sollte die vorgeschlagene Aktion, die geprüfte Richtlinienversion, das Ergebnis, die menschliche Entscheidung, sofern eine erforderlich war, und das Ausführungsergebnis enthalten, für den in Ihrer Aufbewahrungsrichtlinie festgelegten Zeitraum aufbewahrt werden und abrufbar sein, wenn ein Validierer oder die MAS danach fragt.

Was in diesem Quartal zu tun ist¶

Drei Schritte passen in das Quartal bis Dezember 2026. Erstens: Führen Sie die Lückenanalyse durch und bewerten Sie Ihren aktuellen Stand bei Bestandsverzeichnis, Mandaten, Kontrollen, Dispositionen, Eskalation und Nachweisen mit der SAFR Readiness Checklist. Zweitens: Informieren Sie den Verwaltungsrat. Abschnitt 3 richtet sich ab Oktober 2027 an ihn, und das SAFR Executive Briefing ist für dieses Publikum geschrieben. Drittens: Wählen Sie den ersten Agenten mit hoher Wesentlichkeit aus und stellen Sie einen Laufzeit-Autorisierungs-Checkpoint davor, damit die Kontrollen für 2028 auf einer funktionierenden Referenzimplementierung aufbauen.