Central Bank AI: US-Regeln für Drittanbieter

Vier Behörden, ein Termin, ein offener Text zur Stellungnahme

Das Dossier Central Bank AI erhielt eine indirekte Antwort am 11. September 2026, als vier US-Bundesbehörden Stellungnahmen zu einem Richtlinienentwurf zur Verwaltung von Risiken in Beziehungen zu Drittanbietern anforderten. Die gemeinsame Mitteilung^[1] ist von der Federal Deposit Insurance Corporation, dem Federal Reserve Board, der National Credit Union Administration und dem Office of the Comptroller of the Currency unterzeichnet.

Der Text basiert auf Aufsichtserfahrungen der Behörden und Erkenntnissen aus Inspektionen von Praktiken im Lieferantenmanagement. Das erklärte Ziel ist es, Banken und Kreditgenossenschaften dabei zu helfen, ihre Praktiken an das Risiko des jeweiligen Geschäftsbeziehung anzupassen.

Der Entwurf folgt einem prinzipiengestützten Ansatz. Die Aufsichtsrichtlinie ist von Natur aus nicht rechtsverbindlich. Stellungnahmen müssen innerhalb von sechzig Tagen nach Veröffentlichung im Federal Register eingereicht werden.

Der regulatorische Unterschied: Aufhebung, Ersetzung, Kohärenz

Bis heute arbeitet der Sektor mit der bereits geltenden zwischenbehördlichen Richtlinie zu Beziehungen mit Drittanbietern.

Die Mitteilung kündigt den nächsten Schritt mit Klarheit an. Nach Fertigstellung des neuen Textes planen die Behörden, die bestehende Richtlinie aufzuheben und durch die endgültige Version zu ersetzen. Erklärtes Ziel: Aufsichtskohärenz und umsichtige Innovation im Bankensektor.

Der Unterschied betrifft zunächst die Methode, nicht nur den Inhalt. Eine prinzipiengestützte Richtlinie verlangt von der Bank, ihre Kontrollen an das Profil des jeweiligen Anbieters anzupassen. Eine Liste spezifischer Pflichten hätte dem General Counsel eine Checkliste mit festen Terminen gegeben.

Dieser Unterschied wiegt bei der Vorbereitung auf die Aufsichtsprüfung. Der Geltungsbereich bleibt weit gefasst und die Beweislast für Angemessenheit liegt bei der Bank, die ihre Kalibrierungsentscheidungen dokumentieren muss.

Core Service Provider: Die Taxonomie, die die Aufsicht regelt

Mit einem separaten Schritt haben die gleichen Behörden eine Erklärung zum Verhältnis zwischen Community Banks und Core Service Providern veröffentlicht. Das Dokument nennt einige Faktoren, die die Behörden in Aufsichts- und Enforcement-Entscheidungen zu diesen Beziehungen berücksichtigen werden.

Die Kategorie beschreibt, wer die zentrale Verarbeitungsinfrastruktur bereitstellt: Konten, Zahlungen, Buchführung, digitale Kanäle. Sie ist das operative Rückgrat von Tausenden kleiner Institute.

Die Taxonomie ist das stärkste Regierungsinstrument des gesamten Pakets. Wer in die Kategorie fällt, zieht die Aufmerksamkeit der Aufsicht auf sich und hat ein anderes Gewicht am Verhandlungstisch. Wer außerhalb bleibt, wird wie ein gewöhnlicher Lieferant behandelt, mit von der Bank selbst kalibrierten Kontrollen.

Eine verbreitete Lesart sieht in dieser Entscheidung eine Erleichterung für kleinere Institute. Eine gegensätzliche Lesart interpretiert sie als Aufforderung, die Abhängigkeit von wenigen konzentrierten Anbietern besser zu dokumentieren. Der Konsultationstext trägt beide Lesarten.

Wo landen die Modelle, die an einen Anbieter vergeben werden

Ein in der Cloud bereitgestelltes Kreditbewertungsmodell ist juristisch gesehen eine Beziehung zu einem Dritten. Das gilt auch für einen Gesprächsassistenten in der Filiale oder ein anderswo trainiertes Geldwäsche-Erkennungssystem.

Die Mitteilung vom 11. September 2026 kündigt einheitliche Prinzipien für alle diese Beziehungen an. Eine spezialisierte Kategorie für Modelle fehlt dem veröffentlichten Text.

Die Entscheidung erlaubt zwei legitime Lesarten. Erstens: Prinzipien altern besser als technische Kategorien, und eine geschlossene Liste von Systemen würde in achtzehn Monaten veraltet sein. Zweitens: Das Fehlen einer spezialisierten Klasse lässt die Bank die Last tragen zu beweisen, dass das Modell des Anbieters wirklich kontrolliert wird.

Für den Chief Risk Officer ist die Folge operativ. Das Vertragsregister und das Modellverzeichnis, die fast immer von verschiedenen Funktionen geführt werden, müssen vor dem nächsten Inspektionszyklus miteinander verbunden sein.

Fehlende Rechtsverbindlichkeit, konkrete Aufsichtswirkungen

Eine nicht rechtsverbindliche Richtlinie hat dennoch messbare Folgen. Der Prüfer nutzt sie als Maßstab im Kontrollzyklus, und festgestellte Mängel landen in Bemerkungen, Abhilfeplänen und in schweren Fällen in formellen Vereinbarungen.

Das Thema wird auch außerhalb der USA diskutiert. Im September 2026 veranstaltete das Financial Stability Board einen runden Tisch über die Zusammenarbeit zwischen öffentlichem und privatem Sektor zur Stärkung der operativen Widerstandskraft (FSB, September 2026^[2]). Die Abhängigkeit von Drittanbietern steht nun auf internationalen Agenden.

Währungsbehörden sprechen zum Markt durch Stellungnahmen und Interviews, ein anderes Instrument als Normen mit Artikeln und Sanktionen. Die Bank of England kündigte in diesem Register ein Interview des Gouverneurs im September 2026 an (Bank of England^[3]).

Das Ergebnis ist ein Rahmen aus Erwartungen, Stellungnahmen und Inspektionspraxis. Stichtage und Sanktionen, typisch für europäisches Recht, bleiben außerhalb dieses Bereichs.

Das Governance-Signal: Ein Name, schriftlich, vor dem Deployment

Das Governance-Signal ist klar: Die US-Aufsicht überlässt der Bank die Wahl der internen Rollen und die Gestaltung der Kontrollen.

Die Frage, die der General Counsel lösen muss, ist inhaltlich eins. Welche benannte Rolle in der Organisation ist verantwortlich für das Verhalten des von einem Dritten bereitgestellten Modells, namentlich, schriftlich, vor dem Deployment?

Die Europäische Union hat einen anderen Weg gewählt. Die Verordnung (EU) 2024/1689 unterscheidet zwischen Anbieter und Betreiber, ordnet Transparenzpflichten in Artikel 50 an und klassifiziert hochriskante Systeme in Anlage III. Der als Digital Omnibus bekannte Vorschlag, noch in Verhandlung, verschiebt die Anwendung hochriskanter Anforderungen auf Dezember 2027.

Eine Bank, die an beiden Seiten des Atlantiks tätig ist, unterliegt daher zwei Regimen. Rechenschaftspflicht mit einem Namen, Audit Trails und jetzt aufgebaute Risikoclassifizierung bieten einen Wettbewerbsvorteil, wenn das Enforcement ernst wird.

Drei Entscheidungen für den Vorstand

Das Paket vom 11. September 2026 eröffnet ein sechzigiges Fenster ab Veröffentlichung im Federal Register. Der Audit- und Risikoausschuss hat Stoff für drei Beschlüsse.

1. Teilnahme an der Konsultation: Beschluss zur Einreichung einer formellen Stellungnahme vor Ablauf der Frist, mit ausdrücklicher Position zu Modellen von Drittanbietern.
2. Karte der kritischen Anbieter: Genehmigung einer Überprüfung des Vertragsregisters zur Identifizierung von Beziehungen, die Core Service Providern gleichkommen, und der in diese Verträge integrierten Modelle.
3. Inhaber mit einem Namen: Schriftliche Zuweisung des Lebenszyklus von Fremdmodellen an eine bestehende Rolle mit regelmäßiger Berichterstattung an den Ausschuss.

Jeder Beschluss hinterlässt eine Spur im Protokoll. Das Protokoll ist der erste Beweis, den der Prüfer verlangt, und der Abstand zwischen Governance und Dokumentation verläuft dadurch.

Der Chief Compliance Officer findet hier den Rahmen seiner Arbeit: Audit-Rechte, Ausstiegsklauseln, operative Kontinuität und Service Level für konzentrierte Anbieter. Der CEO findet stattdessen die strategische Beschränkung: Die Wahl des Modellanbieters wird zu einer Risikobeschlussfassung im Vorstand.

Regulatory Horizon

Aktueller Stand: Entwurf in öffentlicher Konsultation, nicht rechtsverbindlich, offen für Stellungnahmen für sechzig Tage ab Veröffentlichung im Federal Register.

Jurisdiktion: Vereinigte Staaten, Banken und Kreditgenossenschaften unter Aufsicht von FDIC, Federal Reserve Board, NCUA und OCC. Die Aufhebung der bestehenden Richtlinie tritt mit Fertigstellung des neuen Texts an einem noch offenen Termin in Kraft.

Auf europäischer Seite liegt die relevante Frist für hochriskante Systeme im Dezember 2027 im Verhandlungsvorschlag. Die Transparenzpflichten des Artikels 50 bleiben die Referenz für Systeme für die Öffentlichkeit. Das amerikanische staatliche Regelwerk bewegt sich unterdessen je nach politischer Position.

Die Frage nach der Existenz von Regeln für Anbieter hat nun eine Antwort. Eine zweite Frage hat sich geöffnet: Welche Kategorie wird die Modelle aufnehmen, wenn die endgültige Richtlinie die derzeitige ersetzt.