Im Juli 2026 veröffentlichte das BuildFin.ai-Programm der Monetary Authority of Singapore SAFR (Safeguards for Agentic Finance at Runtime), ein Whitepaper, das mit acht Branchenmitgliedern verfasst wurde: Ant International, Circle, HSBC, J.P. Morgan Chase, Manulife, Mastercard, OCBC und Visa. SAFR ist ein Referenzansatz für eine Laufzeit-Governance-Schicht: ein Prüfpunkt, der zwischen einem KI-Agenten und den Systemen, auf denen er agiert, sitzt und jede vorgeschlagene Aktion bewertet, bevor diese Aktion ausgeführt wird.
Die These des Papiers passt in eine Zeile: „Keine Agentenhandlung gelangt zur Ausführung, ohne dass sie erklärt, genehmigt und bewertet wurde.“
Diese Erklärung deckt die vollständige Spezifikation ab: die vier Laufzeitkomponenten, den Governance-Umschlag, Mandate, die vier Dispositionen und ihre Kalibrierungsfaktoren, die Autorisierung pro Aktion in mehrstufigen Arbeitsabläufen, die beiden Bereitstellungsmuster und wo SAFR im Verhältnis zu Leitplanken, Compliance-Plattformen und Abrechnungsschienen steht. Es richtet sich an Compliance-Beauftragte, KI-Risikoleiter und Plattformteams, die herausfinden möchten, was die Einführung von SAFR tatsächlich erfordern würde.
Warum es SAFR gibt
Finanzinstitute setzen agierende KI-Agenten ein. Sie veranlassen Zahlungen, erteilen Handelsaufträge, genehmigen Kreditanträge, reichen behördliche Berichte ein und regeln Versicherungsansprüche: oft in hoher Frequenz, ohne dass ein Mensch jede einzelne Aktion überprüft. Das Papier nennt fünf Anwendungsbereiche, in denen die Governance-Bedenken größer sind: Zahlungen, Liquiditätsmanagement, Compliance-Triage, Bonitätsbeurteilung und Post-Transaktionsverarbeitung.
Es gibt auch eine systemische Dimension. Wenn viele Institutionen auf eine kleine Anzahl gängiger KI-Dienstanbieter angewiesen sind, können sich ihre Agenten auf korrelierte Weise verhalten. Das Financial Stability Board hat diesen Zusammenhang als potenzielle systemische Schwachstelle identifiziert.
Vor diesem Hintergrund identifiziert SAFR drei Lücken in der Governance-Infrastruktur, die Institutionen bereits betreiben.
Lücke 1: Sicherheit vor der Ausführung. Das Modellrisikomanagement validiert ein System vor der Bereitstellung. Audit untersucht, was im Nachhinein passiert ist. Keine der beiden Disziplinen erfasst eine problematische Entscheidung eines Agenten in dem Moment, bevor sie ausgeführt wird.
Lücke 2: die Mensch-Agent-Governance-Schnittstelle. Die Eskalation an einen Menschen erfolgt heute ad hoc (eine Benachrichtigung, eine E-Mail-Benachrichtigung, eine Dashboard-Flagge) ohne Frist, ohne Standardentscheidungsformat und ohne Prüfprotokoll. Das Papier nennt dies „den Anschein menschlicher Aufsicht ohne deren Substanz“.
Lücke 3: Fragmentierung. Jede Bereitstellung erstellt ihre eigenen Leitplanken. Die Ergebnisse sind nicht interoperabel und können nicht in einem einheitlichen Format innerhalb der gesamten Einrichtung geprüft werden.
SAFR ist eine vorgeschlagene Antwort auf alle drei: ein ständiger Kontrollpunkt im Ausführungspfad, ein strukturierter Eskalationsvertrag mit Fristen und Entscheidungsaufzeichnungen sowie ein einheitliches Governance-Format für alle Agenten.
Was ist SAFR?
In den eigenen Worten des Papiers definiert SAFR „Datenstrukturen, Bewertungslogik und Eskalationsverträge für den Agenten-KI-Einsatz. Es sitzt zwischen dem Agenten und den Systemen, auf denen es agiert, bewertet vorgeschlagene Aktionen vor der Ausführung und arbeitet gleichzeitig mit bestehenden Zahlungsschienen, Abwicklungsprotokollen, Compliance-Engines und Kernbanksystemen.“
Für jeden, der es mit einem Compliance-Auftrag liest, sind drei Grenzen wichtig.
Erstens hat SAFR keine Aufsichtsgewalt. Das Papier stellt klar: „Es handelt sich nicht um regulatorische Leitlinien oder aufsichtsrechtliche Erwartungen.“ Jedes Institut bleibt dafür verantwortlich, zu bestimmen, wie sein eigener Einsatz mit den geltenden aufsichtsrechtlichen Erwartungen und internen Governance-Anforderungen in Einklang steht.
Zweitens ist SAFR eine Spezifikation, auf der Institutionen aufbauen können. „Es dient Institutionen als Branchenreferenz zur Implementierung in ihrer eigenen Infrastruktur und unter Verwendung ihrer eigenen Regelkonfigurationen und Governance-Vereinbarungen.“ Es gibt keinen von MAS betriebenen SAFR-Dienst, den Sie abonnieren können.
Drittens ist SAFR auf die Laufzeitentscheidung beschränkt. Es definiert, wie eine vorgeschlagene Aktion zum Zeitpunkt der Aktion identifiziert, genehmigt, bewertet und aufgezeichnet wird. Modellvalidierung, Lebenszyklusmanagement und umfassendere KI-Risiko-Frameworks runden das Ganze ab (mehr zu diesem Ökosystem weiter unten).
Die vier SAFR-Laufzeitkomponenten
Die Architektur von SAFR besteht aus vier Komponenten, die über eine gemeinsame Datenstruktur, den Governance Envelope, interagieren. Jede Komponente beantwortet eine Frage zu einer vorgeschlagenen Aktion.
Agent Identity bindet jede vorgeschlagene Aktion an einen anerkannten, registrierten Agenten, der anhand des Registrierungseintrags dieses Agenten überprüft wird, bevor eine andere Bewertung durchgeführt wird. In einer Closed-Loop-Umgebung antwortet das institutseigene Register mit einer direkten Suche. In offenen Netzwerken kann ein Agent in mehreren Identitätsdatenbanken registriert sein (das interne Register des Instituts, das Agentenregister eines Zahlungsnetzwerks, ein interinstitutionelles Verzeichnis) und die Komponente bestimmt, welches Register für die jeweilige Aktion maßgeblich ist. Eine fehlgeschlagene Identitätsprüfung führt zu einer sofortigen Ablehnung, die im Audit-Protokoll aufgezeichnet wird.
Im Controls Repository kodiert die Institution ihre Regeln. Die Kontrollen basieren auf Organisationsrichtlinien, behördlichen Anforderungen, Produktregeln und von Benutzern erteilten Mandaten oder Befugnissen. Generische Kontrollen wie Autorisierungsprüfungen und Expositionsgrenzwerte sind deterministisch. KI-spezifische Kontrollen wie Beweisqualität und Umschlagintegrität können probabilistische oder semantische Bewertungen beinhalten. Jede Kontrolle kodiert fünf Dinge: die zulässigen Aktionstypen, die Entscheidungslogik, die Eskalationsbedingungen, einen Gültigkeitszeitraum und die dahinter stehende Hauptautorität.
Die Disposition Engine wertet jede in den Geltungsbereich fallende Aktion deterministisch anhand der abgerufenen Kontrollen aus und erzeugt „ein definiertes, verbindliches Ergebnis für jede vorgeschlagene Aktion, die auf das spezifische Risiko abgestimmt ist, das sie darstellt“. Die vier möglichen Ergebnisse werden im Folgenden ausführlich behandelt.
Das Audit-Protokoll zeichnet jede Governance-Entscheidung in einer reinen, manipulationssicheren Form auf. Jeder Eintrag erfasst sechs Elemente: den Governance-Umschlag in der übermittelten Form, das Mandat, anhand dessen die Aktion überprüft wurde, das von der Disposition Engine erzeugte Ergebnis, die spezifischen angewandten Regeln, die Grundlage für dieses Ergebnis und die in jeder Phase verstrichene Zeit. In dem Papier heißt es: „Das Protokoll ist die maßgebliche Aufzeichnung, unabhängig von jeder Partei, die ein Interesse daran hat, wie Ereignisse im Nachhinein charakterisiert werden.“
Der Lebenszyklus verbindet die vier miteinander. Eine vorgeschlagene Maßnahme wird in einem Governance-Umschlag verpackt und auf Vollständigkeit und Kohärenz überprüft. Die Identität des Agenten wird anhand der entsprechenden Registrierung überprüft. Ein Fehler bedeutet eine sofortige, protokollierte Ablehnung. Das Controls Repository identifiziert, welche Steuerelemente überprüft werden sollen. Die Disposition Engine bestimmt die anwendbaren Schwellenwerte und gibt eines von vier Ergebnissen zurück. Das Audit-Protokoll zeichnet die vollständige Governance-Nachverfolgung für jedes Ergebnis auf, einschließlich Aktionen, die ohne Intervention durchgeführt wurden.
| Komponente | Die Frage, die es beantwortet | Was es hält oder tut |
|---|---|---|
| Agentenidentität | Welcher Agent schlägt diese Aktion vor und wird sie erkannt? | Überprüft jede Aktion anhand des Registrierungseintrags des Agenten, bevor eine andere Auswertung durchgeführt wird |
| Steuerelement-Repository | Welche Regeln gelten für diese Aktion? | Das konfigurierbare Regelwerk der Institution: Richtlinien, regulatorische Anforderungen, Produktregeln, Benutzermandate |
| Dispositionsmaschine | Darf diese Aktion fortgesetzt werden und zu welchen Bedingungen? | Wertet die Aktion anhand der abgerufenen Steuerelemente aus und gibt eines von vier verbindlichen Ergebnissen zurück |
| Audit-Protokoll | Was genau wurde beschlossen und warum? | Eine unveränderliche, manipulationssichere, nur anhängebare Aufzeichnung jeder Governance-Entscheidung |
Der Governance-Umschlag
Bevor eine Agentenaktion ausgeführt wird, wird sie mit dem für ihre Bewertung erforderlichen Kontext verpackt. Der Umschlag enthält drei Arten von Informationen.
Der Umschlag weist ein Integritätsproblem auf, mit dem das Papier direkt konfrontiert ist. Sowohl die Aktionsspur als auch die Aktionsdetails werden vom Agenten deklariert, was bedeutet, dass eine ausgeklügelte gegnerische Injektion sie zusammenfügen könnte: eine plausibel aussehende Spur, die um eine nicht autorisierte Aktion gewickelt ist. Die Antwort der Zeitung: „Der Umschlag wird daher als ein Dokument behandelt, das anhand seiner Herkunft authentifiziert werden muss, und nicht nur als eine Aufzeichnung dessen, was der Agent gemeldet hat.“ Implementierungen benötigen eine Möglichkeit, um zu überprüfen, ob der Umschlag das widerspiegelt, was tatsächlich an seiner Quelle passiert ist.
| Informationskurs | Inhalt |
|---|---|
| Aktion | Der Aktionstyp sowie der Umfang und die Parameter der vorgeschlagenen Aktion |
| Aktionsverfolgung | Die tatsächlichen Schritte, die der Agent ausgeführt hat, um zum Vorschlag zu gelangen: getätigte Tool-Aufrufe, abgerufene Daten, durchgeführte Prüfungen |
| Kontextmetadaten | Die Agentenidentität, das geltende Mandat, der aktuelle Konto- oder Systemstatus und operative Richtlinienbeschränkungen |
Mandate und fähigkeitsbasierte Autorität
„Ein Mandat ist der Mechanismus, durch den ein Benutzer die Grenzen der an einen Agenten delegierten Befugnisse definiert.“ Es ist explizit und maschinenlesbar: was der Agent tun darf, innerhalb welcher Grenzen, unter welchen Bedingungen.
Das Design stützt sich auf fähigkeitsbasierte Sicherheit, eine Abstammung, die das Papier auf die Arbeit von Dennis und Van Horn aus dem Jahr 1966 zurückführt: dieselbe Tradition, die OAuth 2.0 zugrunde liegt. Die tragende Eigenschaft: „Ein Agent kann den Umfang eines Mandats nicht durch seine eigenen Überlegungen oder Schlussfolgerungen erweitern. Autorität ist explizit, strukturiert und durch das Mandat definiert, nicht durch den Agenten abgeleitet.“ So fließend die Rechtfertigung eines Agenten für die Überschreitung seiner Grenzen auch sein mag, das Mandat ist die Grenze.
Als prominentes Branchenbeispiel nennt das Papier das Agent Payments Protocol (AP2) mit kryptografisch signierten Mandaten.
Die vier SAFR-Dispositionen: Verweigern, Eskalieren, Automatische Ausführung, Beobachten
Die Dispositions-Engine führt jede Aktion innerhalb des Gültigkeitsbereichs zu einem von vier Ergebnissen aus. Alle vier füttern das Audit-Protokoll.
Observe ermöglicht es einer Institution, die risikoarme Automatisierung am Laufen zu halten und gleichzeitig eine überprüfbare Aufzeichnung der Fälle zu erstellen, die sie später im Auge behalten möchte.
Welche Disposition eine Aktion erhält, ist eine Kalibrierungsfrage, die zur Entwurfszeit durch die Governance-Parameter der Kontrollen geklärt wird. Das Papier nennt fünf Kalibrierungsfaktoren: Handlungsumkehrbarkeit, finanzielle Wesentlichkeit, Schwere der Kundenauswirkungen, regulatorische Sensibilität und Neuheit oder Anomalie, d. h. Abweichung von etablierten Mustern innerhalb des Mandats. Profile mit höherem Risiko verschieben die Ergebnisse in Richtung „Verweigern“ oder „Eskalieren“.
| Disposition | Wenn es zutrifft | Was passiert |
|---|---|---|
| Leugnen | Die Aktion verstößt gegen eine strenge behördliche oder politische Einschränkung oder ihr Risikoprofil überschreitet definierte Schwellenwerte | Vor der Ausführung abgelehnt, mit Angabe eines konkreten Grundes |
| Eskalieren | Innerhalb des Geltungsbereichs und unterhalb der harten Einschränkungen, aber oberhalb der Schwelle für die autonome Ausführung | Wird bis zur menschlichen Überprüfung festgehalten, bevor fortgefahren wird |
| Automatisch ausführen | Innerhalb des Geltungsbereichs, unterhalb harter Einschränkungen, innerhalb definierter Risikoschwellen | Erfolgt ohne menschliches Eingreifen |
| Beobachten | Unterhalb der Eskalationsschwelle, aber im Einklang mit einem Muster oder Signal, das die Institution als aufmerksamkeitswürdig konfiguriert hat | Wird ausgeführt, während eine strukturierte Beobachtung zur späteren Überprüfung protokolliert wird |
Keine Autorität überträgt zwischen Schritten weiter
Agentische Prozesse sind selten eine einzelne Aktion. Ein Agent reichert Daten an, ruft Tools auf, passt sich an Zwischenergebnisse an und schlägt basierend auf dem, was er gerade gelernt hat, seinen nächsten Schritt vor. Die Antwort von SAFR ist Pro-Action-Governance: Der Kontrollfluss gilt unabhängig für jede Agentenaktion.
Das Papier geht präzise auf die Konsequenz ein: „Ein Auto-Execute- oder Observe-Ergebnis in einem Schritt überträgt keine Autorität auf den nächsten.“ Eine vorherige Genehmigung wird nicht übertragen, da sich der Agent an Zwischenergebnisse und sich ändernde Bedingungen anpasst. Schritt drei eines Workflows erhält die gleiche Identitätsprüfung, den gleichen Kontrollabruf und die gleiche Disposition wie Schritt eins. Für Institutionen schließt dies das Szenario aus, in dem ein Agent vorzeitig eine Genehmigung erhält und dann vollständig „autorisiert“ in ein Gebiet abdriftet, das niemand überprüft hat.
Die beiden SAFR-Bereitstellungsmuster
SAFR beschreibt zwei Möglichkeiten, den Prüfpunkt in den Stapel einer Institution einzufügen.
Das Papier bietet eine Sequenzierungsanleitung für Institutionen, die bereits Agenten betreiben: „Für Institutionen mit vielen vorhandenen Agenten dient das Gateway-Muster als praktischer Ausgangspunkt, indem es zuerst die Abdeckung aufbaut und dann die native Instrumentierung für neue Builds folgen kann.“ Zuerst die Berichterstattung, dann die Tiefe.
| Muster | Wie es funktioniert | Geeignet für |
|---|---|---|
| Systemeigene Integration | Der Agent ist so ausgestattet, dass er vor jeder vorgeschlagenen Aktion einen Governance-Umschlag ausgibt. Der SAFR-Validator wertet es anhand des Kontroll-Repositorys aus und gibt ein Ergebnis zurück, bevor der Agent handelt | Bereitstellung neuer Agenten; Engste Integration, detaillierteste Aufzeichnung, sauberster Prüfpfad |
| Gateway-Integration | Ein SAFR-Gateway fängt ausgehende API-Aufrufe auf der Infrastrukturebene ab, verpackt jeden Aufruf in einen Governance-Umschlag und wertet ihn ohne Änderungen am Agentencode aus | Legacy-Systeme, Agenten von Drittanbietern, bestehende Bereitstellungen |
Welche Institutionen konfigurieren: die vier Kontrollkategorien
SAFR überlässt das Regelwerk der Institution. In Tabelle 1 sind vier Kontrollkategorien definiert, die eine Implementierung unterstützen sollte.
Zwei Designnotizen aus dem Papier stechen hervor. Expositionsgrenzwerte sollten die delegierten Autoritätsrahmen widerspiegeln, die die Institution bereits für Menschen betreibt, damit sich die Agentenautorität in ein bestehendes Governance-Vokabular einfügt. Und die Qualität der Beweise funktioniert unabhängig vom Wert: Eine Handlung mit geringem Vertrauen gelangt zu einem Menschen, selbst wenn der Betrag, um den es geht, unbedeutend ist.
| Kontrollkategorie | Was die Institution definiert |
|---|---|
| Autorisierung | Welche Agenten dürfen für welche Auftraggeber tätig werden; Wer kann Autorität an wen delegieren und in welchem Ausmaß? welche Aktionstypen jede Agentenklasse initiieren darf |
| Expositionsgrenzen | Schwellenwerte pro Aktion und Gesamtwert; darunter sind autonome Aktionen erlaubt; über ihnen ist eine menschliche Überprüfung erforderlich oder die Aktion wird blockiert |
| Ratenbeschränkungen | Maximale Aktionsrate pro Zeitfenster; schützt vor außer Kontrolle geratenen Agenten, Daten-Feed-Fehlern und gegnerischen Prompt-Injections, die zu abnormaler Geschwindigkeit oder Lautstärke führen |
| Beweisqualität | Mindestkonfidenzschwelle und erforderliche Nachweise für die autonome Ausführung; Aktionen, bei denen das angegebene Vertrauen des Agenten unter den Schwellenwert fällt, führen unabhängig vom Wert zu einer menschlichen Überprüfung |
Betrieb des Eskalationspfades
Eine Eskalationsdisposition ist nur so gut wie der menschliche Überprüfungsprozess dahinter. SAFR nennt drei operative Dimensionen, die Institutionen bewusst gestalten müssen.
Eskalationsvolumen. Eine Eskalationsfunktion, die mehr Bewertungen generiert, als die Institution sinnvoll verarbeiten kann, verfehlt ihren eigenen Zweck. Schwellenwerte müssen anhand der tatsächlichen Prüferkapazität kalibriert werden.
Überprüfungsbearbeitung. Eskalationen sollten ein Timeout-Fenster beinhalten. Wenn darin keine Entscheidung getroffen wird, wird standardmäßig die Aktion block ausgeführt oder an einen leitenden Prüfer eskaliert. Das Zeitfenster sollte die realistische Verfügbarkeit der Prüfer widerspiegeln, einschließlich der Abdeckung über Nacht und am Wochenende.
Autorität des Prüfers. Prüfer müssen eindeutig befugt sein, die Maßnahme zu genehmigen, zu ändern oder abzulehnen, und ihre Entscheidungen „haben das gleiche institutionelle Gewicht wie die ursprüngliche Entscheidung des Agenten.“ Ein Rezensent, der die Lücke, die SAFR schließen wollte, nur gutheißen kann.
Wo SAFR im Stapel sitzt
Eine nützliche Möglichkeit, SAFR zu lesen, ist als Schicht mit definierten Nachbarn. Der Ablauf: Der KI-Agent erstellt eine vorgeschlagene Aktion (seine Leitplanken können die Ausgabe beeinflussen); SAFR überprüft die Identität und Autorität des Agenten und bewertet die Aktion anhand von Kontrollen deterministisch, indem es „Auto-Execute“, „Observe“, „Escalate“ oder „Deny“ zurückgibt. Die Finanzschienen werden nur dann ausgeführt, wenn die Aktion genehmigt wurde.
Bezogen auf KI-Leitplanken. Inhaltsfilterung, Prompt-Injection-Verteidigung und Ausgabefilterung sind in der Regel probabilistisch und bestimmen, was das Modell erzeugt. Ob eine vorgeschlagene Finanzmaßnahme genehmigt und ausführbar ist, ist eine gesonderte Entscheidung, die von SAFR getroffen wird. SAFR arbeitet nach der Inhaltsfilterung und vor der Ausführung.
Im Vergleich zu Compliance-Plattformen. SAFR generiert den strukturierten Governance-Datensatz, auf den bestehende Compliance-Plattformen zurückgreifen können. Es gibt ihre Einschätzungen nicht wieder.
Bezogen auf Abwicklungsschienen. Zahlungssysteme und Abwicklungsschienen bewegen Geld. SAFR regelt die Entscheidung, es zu verschieben. Die Durchsetzung auf Abwicklungsebene (Kartennetzwerkregeln, SWIFT-Standards, ACH-Regeln, Machine Payments Protocol (MPP), Purpose Bound Money (PBM), Stablecoin-Kontrollen) erfolgt, nachdem SAFR festgestellt hat, ob der Agent überhaupt handeln darf.
Bezogen auf ein Produkt. SAFR ist eine Spezifikation. Es gibt keinen verwalteten Service, den Sie bei MAS kaufen können. Jede Institution implementiert das Muster in ihrer eigenen Infrastruktur oder übernimmt entsprechende Tools.
Wer hat SAFR geschrieben und das Ökosystem darum herum?
SAFR ging aus einem speziellen Arbeitsstrom MAS hervor, der im Rahmen seines BuildFin.ai-Programms eingerichtet wurde, um Implementierungsressourcen für Agenten-KI-Risiken zu entwickeln. Es wurde mit acht Branchenmitgliedern geschrieben: Ant International, Circle, HSBC, J.P. Morgan Chase, Manulife, Mastercard, OCBC und Visa. Das Papier begründet die Spezifikation in Fallstudien von Mitgliedern: Agentic Treasury Protocol von Ant International, Agent Pay und Agentic Tokens von Mastercard, Visa Intelligent Commerce, Agent Wallet von Circle, ERC-8004, Circle Payments Network und Compliance Engine, OCBC mit Source of Wealth Assistant (SOWA) der Bank of Singapore neben einem internen Corporate-Banking-Markt und Client-Intelligence-Briefagenten sowie Manulifes GenAI-Sales-Enablement-Arbeit. HSBC und J.P. Morgan Chase haben zu dem Papier beigetragen, ohne Fallstudien zu nennen.
SAFR hat in der Governance-Literatur auch Nachbarn definiert. Projekt MindForge (MAS mit einem Konsortium von Finanzinstituten aus den Bereichen Banken, Versicherungen und Kapitalmärkte) startete seine Phase 2 im November 2024 und veröffentlichte im November 2025 auf dem Singapore FinTech Festival: ein Executive Handbook mit 17 Überlegungen in vier Abschnitten (Umfang und Aufsicht, AI Risk Management, AI Lifecycle Management, Enablers) und ein Operationalisierungshandbuch, das die geringsten Rechte für Agenten-Tool- und Datenzugriff, Agentenzertifizierung, Verantwortlichkeitsabteilung zur Entwurfszeit, Kill-Switches usw. abdeckt Zeitüberschreitungen und Rückverfolgbarkeit durch durchsuchbare Protokollierung. IMDAs Model AI Governance Framework for Agentic AI (2026) umrahmt Agentensysteme um vier Kernkomponenten (Modelle, Speicher, Tools, Aktionen) und ein vierteiliges Governance-Modell (Eingrenzung von Anwendungsfällen, Zugriffsbeschränkung, menschliche Aufsicht, Verantwortlichkeit der Haupthierarchie). NISTs AI RMF (2023) trägt zum Zyklus „Karte, Messung, Verwaltung, Steuerung“ bei. SAFR ist die laufzeitspezifische Schicht dieses Stapels: die Datenstrukturen, die Auswertungslogik und die Eskalationsverträge für den Moment der Aktion.
Das Papier schließt mit einer offenen Einladung: „FinTechs und Finanzinstitute sind eingeladen, einen Beitrag zu SAFR und der BuildFin.ai-Arbeitsgruppe zu leisten, indem sie Pilotergebnisse teilen, Lücken in der Spezifikation identifizieren und noch nicht berücksichtigte Domänenanforderungen erhöhen.“
Was als nächstes zu tun ist
Für ein Team, das beurteilt, wo es im Vergleich zu SAFR steht, ist der produktive erste Schritt eine strukturierte Lückenbewertung über die eigenen Dimensionen des Papiers hinweg: Agentenbestand und -identität, Mandate, Kontrollen, Verfügungen, Umschlag und Abstammung, Eskalationsvorgänge, Prüfung und Beweise sowie Einsatzmuster. Die SAFR Readiness Checklist durchläuft etwa 35 Fragen im Assessor-Stil in diesen acht Abschnitten und bewertet die Bereitschaft pro Abschnitt, mit einer bearbeitbaren Tabellenkalkulationsversion für Arbeitssitzungen.
Teams, die die vergangene Bewertung abgeschlossen haben und in die Build-Planung einsteigen, sollten das Begleitstück Wie man SAFR implementiert: Architektur, Muster und Build vs. Buy lesen, das die Referenzarchitektur, Beispiele für erarbeitete Kontrollen und eine Build-versus-Buy-Analyse behandelt.
Wie KLA SAFR zugeordnet wird
KLA Control Plane implementiert das SAFR-Muster und wird heute ausgeliefert: Agent Registry für Agent Identity, Policy Builder für das Controls Repository, KLA Policy Engine für die Disposition Engine und Audit Trail für das Audit Log, wobei die vier Dispositionen eins zu eins zugeordnet sind: Verweigern zu block, Eskalieren zu require_approval, Automatische Ausführung zu allow und Beobachten zu warn. Die vollständige Komponente-für-Komponenten-Zuordnung, einschließlich Betriebsanforderungen und aktuellen Statusflags, finden Sie auf der SAFR-Implementierungsseite.
Häufig gestellte Fragen
Wofür steht SAFR?
SAFR steht für Safeguards for Agentic Finance at Runtime. Es handelt sich um ein Whitepaper (Version 1.0, Juli 2026), das vom BuildFin.ai-Programm der Monetary Authority of Singapore veröffentlicht wurde und einen Referenzansatz für eine Laufzeit-Governance-Schicht für agentische KI in Finanzdienstleistungen beschreibt.
Ist SAFR obligatorisch?
Nein. In dem Papier heißt es, dass SAFR „keine regulatorischen Leitlinien oder aufsichtsrechtlichen Erwartungen darstellt“. Es handelt sich um eine Branchenreferenz. Jedes Institut bleibt dafür verantwortlich, zu bestimmen, wie sein Einsatz mit den geltenden aufsichtsrechtlichen Erwartungen und seinen internen Governance-Anforderungen in Einklang steht.
Wer hat SAFR veröffentlicht?
Das BuildFin.ai-Programm von MAS wurde durch einen speziellen Arbeitsablauf zur Entwicklung von Implementierungsressourcen für Agenten-KI-Risiken eingerichtet. Es wurde mit acht Branchenmitgliedern geschrieben: Ant International, Circle, HSBC, J.P. Morgan Chase, Manulife, Mastercard, OCBC und Visa.
Was sind die vier SAFR-Dispositionen?
Verweigern (die Aktion verstößt gegen eine harte Einschränkung oder überschreitet Risikoschwellenwerte und wird vor der Ausführung abgelehnt, wobei ein bestimmter Grund aufgezeichnet wird), Eskalieren (die Aktion wird bis zur menschlichen Überprüfung zurückgehalten), Automatisch ausführen (die Aktion wird ohne menschliches Eingreifen fortgesetzt) und Beobachten (die Aktion wird ausgeführt, während eine strukturierte Beobachtung zur späteren Überprüfung protokolliert wird). Alle vier Ergebnisse werden im Audit-Protokoll aufgezeichnet.
Was ist ein Governance-Umschlag?
Die Datenstruktur, die eine vorgeschlagene Agentenaktion vor der Ausführung mit dem für ihre Bewertung erforderlichen Kontext verpackt. Es enthält drei Informationsklassen: die Aktion (Typ, Umfang, Parameter), die Aktionsverfolgung (die Tool-Aufrufe, den Datenabruf und die vom Agenten tatsächlich durchgeführten Überprüfungen) und Kontextmetadaten (Agentenidentität, anwendbares Mandat, Konto- oder Systemstatus, operative Richtlinieneinschränkungen). Da sein Inhalt vom Agenten deklariert wird, wird der Umschlag als Dokument behandelt, das anhand seiner Herkunft authentifiziert werden muss.
In welcher Beziehung steht SAFR zum Projekt MindForge?
Beide sind das Ergebnis einer Zusammenarbeit zwischen MAS und der Industrie. Project MindForge veröffentlicht umfassende Handbücher zur Agenten-KI-Governance im gesamten KI-Lebenszyklus: ein Executive-Handbuch mit 17 Überlegungen und ein Operationalisierungshandbuch, das Praktiken wie geringste Privilegien, Agentenzertifizierung, Kill-Switches und Rückverfolgbarkeit abdeckt. SAFR ist die laufzeitspezifische Referenz: konkrete Datenstrukturen, Bewertungslogik und Eskalationsverträge zur Bewertung jeder vorgeschlagenen Aktion vor ihrer Ausführung.
Gilt SAFR außerhalb von Singapur?
SAFR verfügt in keiner Gerichtsbarkeit über eine Aufsichtsbehörde, sodass eine Institution es überall als Branchenreferenz implementieren kann, während sie gleichzeitig dafür verantwortlich bleibt, den Einsatz an den Erwartungen ihrer eigenen Regulierungsbehörden auszurichten. Informationen zum Zusammenhang von SAFR mit dem EU-KI-Gesetz und der FINMA finden Sie unter SAFR, das EU-KI-Gesetz und die FINMA: Regulierungsbehörden konvergieren hinsichtlich Laufzeitnachweisen.
Müssen wir den Agentencode ändern, um SAFR einzuführen?
SAFR definiert zwei Bereitstellungsmuster. Native Integration veranlasst den Agenten, vor jeder vorgeschlagenen Aktion einen Governance-Umschlag auszugeben, und das Papier empfiehlt dies für neue Bereitstellungen. Die Gateway-Integration fängt ausgehende API-Aufrufe auf der Infrastrukturebene ab und verpackt jeden in einen Governance-Umschlag, ohne dass Änderungen am Agentencode vorgenommen werden müssen. Auf diese Weise können Legacy-Systeme, Agenten von Drittanbietern und vorhandene Bereitstellungen unter Governance gebracht werden. Das Papier schlägt zunächst eine Gateway-Abdeckung für Institutionen mit vielen vorhandenen Agenten vor, gefolgt von nativer Instrumentierung für neue Builds.
Die wichtigsten Erkenntnisse
SAFR bietet der Branche ein gemeinsames, konkretes Vokabular zur Steuerung von KI-Agenten in dem Moment, in dem sie handeln: Identitätsprüfung, explizite Mandate, deterministische Verfügungen und ein eigenständiges Prüfprotokoll. Es handelt sich um einen Referenzansatz, der für Institutionen zur Implementierung in ihrer eigenen Infrastruktur veröffentlicht wird. Der Arbeitsablauf dahinter besteht darin, öffentlich Pilotergebnisse und Lückenberichte einzuholen.
Der praktische Ablauf für die meisten Teams: Bewerten Sie Ihren aktuellen Status mit der SAFR Readiness Checklist und lesen Sie dann den SAFR-Implementierungsleitfaden, um den Build zu planen.
Quelle: Safeguards for Agentic Finance at Runtime, Whitepaper v1.0, MAS BuildFin.ai, Juli 2026. Zitierte Passagen © Monetary Authority of Singapore. SAFR ist eine Branchenreferenz und stellt keine regulatorischen Leitlinien oder aufsichtsrechtlichen Erwartungen dar. KLA ist unabhängig von MAS oder BuildFin.ai und weder mit diesen verbunden, noch von diesen unterstützt oder zertifiziert.