KI-Governance in Banken: FSB nimmt Vorstände in die Pflicht

Beim Thema KI-Risiko im Finanzsektor wendet sich das Financial Stability Board zuerst an die Leitungsorgane der Institute und erst danach an das System als Ganzes.

Im Oktober 2026 hat das FSB der G20 seinen Abschlussbericht mit 12 Sound Practices für einen verantwortungsvollen KI-Einsatz^[1] vorgelegt. Die Praktiken sind freiwillig. Vorstände, Aufsichtsräte und obere Führungsebene sollen sie als Maßstab für Strategie, Technologieentscheidungen und Risikomanagement heranziehen.

Anlass für den Bericht sind die rasanten Fortschritte bei generativer und agentischer KI, also bei Systemen, die mehrstufige Aufgaben selbstständig erledigen. Die Praktiken sind in zwei Gruppen unterteilt. Die erste betrifft die Governance des gesamten Unternehmens, die zweite das Risikomanagement über den gesamten Lebenszyklus eines Modells.

Das ABA Banking Journal^[2] hat über die finale Fassung berichtet, die nach einer öffentlichen Konsultation und einem Workshop fertiggestellt wurde.

Meine Einschätzung ist eindeutig. Die Antwort auf das KI-Risiko kommt heute in Form interner Governance der einzelnen Bank. Das ist die Phase vor der Regulierung, und die Basler Geschichte zeigt das sehr genau.

Basel, 1974: erst die Grundsätze, dann das Kapital

Am 26. Juni 1974 schlossen die deutschen Behörden das Bankhaus Herstatt mitten im Handelstag. Die Gegenparteien im Dollargeschäft blieben auf ihren ungedeckten Positionen sitzen. Zum Jahresende gründeten die Notenbankgouverneure der G10 in Basel den Ausschuss für Bankenaufsicht.

Sein erstes Ergebnis war das Konkordat von 1975. Es war ein freiwilliger Text ohne Gesetzeskraft. Er teilte die Aufsicht über ausländische Zweigstellen zwischen Herkunfts- und Gastland auf.

Dreizehn Jahre später folgte das Kapital.

Im Juli 1988 legte die Basler Eigenkapitalvereinbarung eine Mindestquote von 8 % zwischen Eigenkapital und risikogewichteten Aktiva fest. Die Banken mussten sie bis Ende 1992 erfüllen. Die einzelnen Länder setzten sie anschließend in nationales Recht um.

Der zweite Fall liegt näher am heutigen Thema. Im Januar 2013 veröffentlichte der Basler Ausschuss die BCBS-239-Grundsätze zur Aggregation von Risikodaten, adressiert an Leitungsorgane und obere Führungsebene der global systemrelevanten Banken.

Die Banken sollten sie bis 2016 umsetzen. Im Mai 2024 hat die EZB einen Leitfaden veröffentlicht, der diese Grundsätze in präzise Aufsichtserwartungen übersetzt.

Das Muster ist in beiden Fällen dasselbe. Zuerst kommt ein Text für diejenigen, die die Bank führen, dann eine Regel, die die Aufsicht durchsetzt.

Wo wir im Zyklus stehen

Die 12 Praktiken des FSB stehen im ersten Feld dieses Schemas.

Das verraten schon die Verben. Das Leitungsorgan «richtet aus», das Unternehmen «legt fest», «dokumentiert», «bewertet». Es ist das Vokabular der Governance, dasselbe wie 1975 und 2013.

• Praxis 1: Das Leitungsorgan verknüpft den KI-Einsatz mit Geschäftsmodell, Risikoappetit und Strategie.
• Praxis 3: Das Unternehmen dokumentiert jeden KI-Einsatz innerhalb seines Risikomanagement-Rahmenwerks.
• Praxis 5: Jeder Anwendungsfall wird von Beginn an und fortlaufend nach Wesentlichkeit und Risiko bewertet.
• Praxis 8: Manche KI-Typen sind schwerer erklärbar als andere; wo nötig, ergänzt das Unternehmen kompensierende Kontrollen.

Das Muster ist strukturell und reicht über Jahrzehnte. Jede neue Quelle von Bankrisiken, von den Devisengeschäften der Siebzigerjahre bis zu den Daten nach 2008, hat dieselbe Abfolge durchlaufen.

Warum es beim Leitungsorgan beginnt

Eine Aufsichtsbehörde schreibt eine systemweite Regel, wenn sie das Risiko messen kann. Bei KI fehlt dieser Maßstab noch.

Die Behörden wissen wenig darüber, wie viele Modelle die Banken einsetzen, bei wem sie sie beziehen und für welche Aufgaben. Deshalb verlangt der erste Schritt von den Banken, zu erfassen und zu dokumentieren. Dieses Inventar wird zur Datengrundlage, auf der eine Aufsicht später eine Anforderung formulieren kann.

Der zweite Grund ist die Zeit. Eine Einigung auf Anforderungen zwischen den G20-Jurisdiktionen dauert Jahre, ein freiwilliger Text schafft dagegen sofort eine gemeinsame Sprache.

Hier sehe ich die Schwäche des Dokuments.

Die Praktiken blicken in die einzelne Bank hinein. Das Risiko, das mich beunruhigt, liegt in den gemeinsamen Verflechtungen, denn viele Banken nutzen dieselben wenigen Modelle und dieselben Cloud-Anbieter. Praxis 6 zur Modellauswahl spricht von den Zielen und technischen Anforderungen des einzelnen Unternehmens.

Eine gut aufgestellte Governance in jeder einzelnen Bank lässt diese gemeinsame Abhängigkeit unberührt. Genau dort entsteht das Systemrisiko.

Drei Konsequenzen für Kapitalverantwortliche

1. Innerhalb von 24 Monaten wird KI-Governance Gegenstand von Prüfungen. Banken, die heute ein Modellregister führen, werden weniger aufwenden müssen, wenn die Aufsicht Nachweise verlangt. Wer in börsennotierte Banken investiert, kann das Management fragen, ob es dieses Register gibt und wer es freigibt.
2. Innerhalb von 36 Monaten wird die Anbieterabhängigkeit zum Thema der zweiten Phase. In den heutigen Risikomodellen fällt die Abhängigkeit von wenigen KI-Anbietern kaum ins Gewicht. Es lohnt sich, ein Szenario durchzuspielen, in dem ein großer Anbieter für mehrere Banken gleichzeitig tagelang ausfällt.
3. Ab sofort gehört die Investorenkommunikation auf den Prüfstand. Ein Unternehmen, das KI als reines Kostensenkungsprogramm verkauft, wird seine Zahlen korrigieren müssen, sobald die Compliance-Kosten anfallen. Besser ist es, die Ausgaben für Governance, Daten und Kontrollen schon jetzt einzupreisen.

Ein Verhaltenskodex als Vorstufe zur Regel

Meine Position ist klar. Die 12 Praktiken eröffnen die Phase der Anforderungen, und wer sie als Endpunkt betrachtet, liest die Geschichte der Bankenaufsicht falsch.

Meine Meinung würde ich bei konkreten Entwicklungen ändern.

• Das FSB oder der Basler Ausschuss erklären die Arbeit an KI für die kommenden Jahre für abgeschlossen.
• EZB und PRA (Prudential Regulation Authority, die britische Bankenaufsicht) verweisen auf die Praktiken als ausreichenden Standard ohne verbindliche Folgeschritte.
• Die von den Banken erhobenen Daten zeigen eine geringe und fragmentierte Abhängigkeit von Modellanbietern.

Drei Signale, die man verfolgen sollte

• Das nächste Arbeitsprogramm des FSB für die G20: Ich suche nach einem Kapitel zur Abhängigkeit von Drittanbietern bei KI.
• Die Aufsichtsleitfäden von EZB und PRA: Ich zähle, wie viele davon auf die 12 Praktiken verweisen.
• Die Geschäftsberichte der Großbanken: Ich achte darauf, ob ein vom Leitungsorgan freigegebenes Inventar der KI-Anwendungsfälle auftaucht.

Das Register kommt vor der Regel. Wer es heute führt, bestimmt, was es ihn morgen kostet.