US-Bankenaufsicht verschärft Kontrolle des KI-Einsatzes bei Kreditinstituten
OCC und Federal Reserve befragen Banken zu Datenzugriff, Governance und Drittanbieterrisiken beim Einsatz künstlicher Intelligenz.
Die US-Bankenaufsichtsbehörden intensivieren ihre Kontrolle darüber, wie Kreditinstitute künstliche Intelligenz einsetzen. Das Office of the Comptroller of the Currency (OCC) und die Federal Reserve verlangen im Rahmen routinemäßiger Bankenprüfungen eine detaillierte Darstellung, wie Banken KI-Technologie in Hochrisikobereichen nutzen. Betroffen sind insbesondere die Kreditvergabe, Know-Your-Customer-Prüfungen und Sanktionsüberprüfungen, wie drei mit der Angelegenheit vertraute Quellen berichten.
Banken haben künstliche Intelligenz in den vergangenen Jahren rasch eingeführt und ihren Einsatz von virtuellen Assistenten auf komplexere Funktionen wie die regulatorische Überwachung und die Kreditprüfung ausgeweitet. Diese Entwicklung hat die Aufmerksamkeit der Aufseher geweckt. Die Regulierungsbehörden verstärken ihre Prüfung, da sich der KI-Einsatz im gesamten Finanzdienstleistungssektor beschleunigt und den Sektor Cybersicherheits- sowie Betrugsrisiken aussetzt.
Detaillierte Fragen zu Kontrollen und Governance
Die Aufseher stellen den Banken konkrete Fragen dazu, wie sie Anbieter nutzen, Kundendaten schützen und ob sie über sogenannte „Kill Switches" – also Notabschaltungen – verfügen. Untersucht werden zudem Governance-Rahmenwerke einschließlich Schutzvorkehrungen und menschlicher Aufsicht, Risiken durch Drittanbieter und deren Überwachung, die Exposition gegenüber Subunternehmern sowie Notfallpläne für den Fall von Systemausfällen. Gespräche über den Einsatz von KI seien mittlerweile Teil jeder Bankenprüfung, sagte eine der Quellen.
Ein zentrales Anliegen der Aufseher ist es sicherzustellen, dass KI-Systeme ihre vorgesehenen Aufgaben oder Zugriffsberechtigungen nicht überschreiten. Die Regulierungsbehörden prüfen, ob Tools über autorisierte Grenzen hinaus auf Daten zugreifen oder diese ableiten können – insbesondere da KI-Modelle darauf ausgelegt sind, Informationen systemübergreifend zu extrahieren und zu verknüpfen. Dies werfe Risiken in Bezug auf Datenschutz, Vertraulichkeit und die Einhaltung von Vorschriften auf.
Anbieterrisiko rückt in den Fokus
Da Banken zunehmend auf Drittanbieter für KI-Tools angewiesen sind, hinterfragen die Regulierungsbehörden, wie die Institute sicherstellen, dass diese Anbieter und deren eigene Subunternehmer dieselben Governance- und Sicherheitsstandards erfüllen wie die Banken selbst. Die Aufseher erkundigen sich zudem, ob die Banken über Exit-Strategien verfügen, falls es zu einer Sicherheitsverletzung im System des Anbieters kommt. Diese Sorge wächst, da der Einsatz von KI immer tiefer in verschiedene Bankensysteme eingebettet wird.
Die Aufsichtsbehörden prüfen auch, wie Banken mit sich schnell entwickelnden Systemen wie dem KI-Modell Mythos von Anthropic umgehen. Cybersicherheitsexperten betonen, dass dieses System aufgrund seines Potenzials zur Ausnutzung von Cyber-Schwachstellen erhebliche Herausforderungen für die Bankenbranche und deren veraltete Technologiesysteme darstellt. Auch das US-Finanzministerium untersucht die Cybersicherheitsrisiken, die das neue KI-Modell aufwirft.
Prinzipienbasierte Aufsicht statt neuer Regeln
Vorerst geben die Regulierungsbehörden noch keine verbindlichen Vorschriften vor. Stattdessen stützen sie sich auf bestehende Rahmenwerke – einschließlich des Modellrisikomanagements, der Überwachung von Drittanbieterrisiken und Verbraucherschutzgesetzen –, um zu beurteilen, wie Banken mit der aufstrebenden Technologie umgehen. Im April erklärte das OCC, dass es gemeinsam mit der Fed und der Federal Deposit Insurance Corporation (FDIC) eine formelle Informationsanfrage zum KI-Einsatz der Banken plane, einschließlich generativer und agentenbasierter Systeme.
Gleichzeitig erweist sich die Geschwindigkeit, mit der sich KI entwickelt, als Herausforderung für die Regulierungsbehörden selbst. Die Technologie schreite in einem Tempo voran, das den traditionellen Zyklus von regulatorischem Lernen und Regelsetzung weit übertreffe, so die Quellen. Dies schüre die Sorge, dass formelle Leitlinien bereits bei ihrer Veröffentlichung veraltet sein könnten.
Michelle Bowman, die für die Bankenaufsicht zuständige Vizevorsitzende der Federal Reserve, brachte die Herausforderung in einer Rede im Mai auf den Punkt: „Heute verlassen sich die Banken auf bestehende Risikomanagement-Rahmenwerke, um ihren Einsatz von KI zu steuern. Während diese Aufsichtsinstrumente die Banken bei der Anwendung einer soliden Governance und eines soliden Risikomanagements unterstützen sollen, sollten wir prüfen, ob unsere Aufsichtsleitlinien zukunftsfähig sind." Infolgedessen wird erwartet, dass sich die Behörden vorerst auf eine breit angelegte, prinzipienbasierte Aufsicht verlassen – was sich jedoch ändern könnte.