FSB, HKMA und FCA verschärfen KI-Rechenschaftsregeln für Finanzunternehmen
Drei der einflussreichsten Finanzaufsichtsbehörden der Welt haben im Oktober 2026 innerhalb weniger Tage Leitlinien zur KI-Governance veröffentlicht, und die Botschaft ist eindeutig: Regulierte Unternehmen, die künstliche Intelligenz ohne solide Aufsicht auf Vorstandsebene, dokumentierte Anwendungsfälle und echte menschliche Kontrolle einsetzen, gehen regulatorische und operationelle Risiken ein, die sie möglicherweise nicht vollständig eingepreist haben. Für Krypto-native Unternehmen und die Buchhaltungs- und Compliance-Teams, die sie unterstützen, kommen diese Rahmenwerke zu einem Zeitpunkt, an dem KI-gestützte KYC-, Transaktionsüberwachungs- und On-Chain-Risikotools zur Standardausrüstung werden. Anbieter von Krypto-Buchhaltungssoftware und die Unternehmen, die sich auf sie verlassen, müssen verstehen, was die neuen Erwartungen in der Praxis bedeuten.
Die zwölf Sound Practices des FSB: Eine globale Baseline
Am 15. Oktober 2026 veröffentlichte der Financial Stability Board seinen Bericht zur KI-Governance für den Finanzsektor, der auf einer öffentlichen Konsultation earlier this year basiert. Das FSB operiert unter der G20 und der Bank für Internationalen Zahlungsausgleich, was seinen Ergebnissen erhebliches Gewicht verleiht, auch wenn sie, wie hier, nicht formell bindend sind.
Der Bericht identifiziert zwölf Sound Practices in zwei breiten Kategorien.
Unternehmensweite KI-Governance
Das FSB erwartet, dass Vorstände und das Senior Management die direkte Verantwortung für die KI-Strategie übernehmen und sie nicht vollständig an Technologieteams delegieren. Unternehmen sollten formelle Governance-Strukturen für KI-Systeme einrichten, jeden KI-Anwendungsfall dokumentieren und eine Risikobewertung dafür durchführen sowie diese Vereinbarungen überprüfen, während sich ihr KI-Einsatz weiterentwickelt. Eine Governance, die ausreichend war, als ein Unternehmen ein einziges enges Betrugserkennungsmodell betrieb, kann unzureichend sein, sobald agentische KI Zugriff auf Kundendaten, Zahlungswege oder Kreditentscheidungen hat.
KI-Lebenszyklusmanagement
Die zweite Kategorie befasst sich mit einem Fehlermodus, den das FSB wiederholt beobachtet hat: Unternehmen, die KI-Governance als einmalige Übung betrachten, die zum Zeitpunkt des Einsatzes abgeschlossen ist. Stattdessen möchte das FSB, dass Unternehmen die Aufsicht über den gesamten Lebenszyklus aufrechterhalten, vom ersten Design über die Live-Überwachung bis zur Außerbetriebnahme. Dazu gehören Data-Quality-Governance, kontinuierliche Tests und Validierung sowie Mechanismen, die Menschen wirklich in den Prozess einbeziehen und nicht nur nominell verantwortlich machen. Der Bericht hebt agentische KI, Systeme, die autonome Aktionen in vernetzten Umgebungen ausführen können, als besondere Sorge hervor und stellt fest, dass ein hohes Maß an Autonomie „bestimmte Risiken schaffen oder verstärken kann, die sich mit großer Geschwindigkeit materialisieren können.“ Zu den genannten spezifischen Risiken gehören unbefugte oder fehlerhafte Aktionen, Datenschutzverletzungen, Störungen vernetzter Systeme und die Erosion einer wirksamen menschlichen Aufsicht.
Da die Praktiken des FSB freiwillig sind, könnten einige Unternehmen versucht sein, dies als Abwarten-und-Beobachten-Situation zu betrachten. Das wäre ein Fehler. Wenn das FSB etwas als globalen Standard definiert, neigen nationale Regulierungsbehörden in G20-Jurisdiktionen dazu, mit bindenden Regeln zu folgen. Die Veröffentlichungen der HKMA und der FCA im selben Monat veranschaulichen genau dieses Muster.
HKMA's ART Framework: Verbindliche Pflichten in Hongkong
Die Hong Kong Monetary Authority hat ihr Accountability, Resilience, and Trust (ART) Framework am selben Tag gestartet, an dem das FSB seinen Bericht veröffentlichte, und die Version der HKMA hat Zähne. Das Framework gilt für von der HKMA beaufsichtigte Institute, was Banken und lizenzierte Unternehmen im Finanzsystem Hongkongs umfasst, einschließlich derer, die digitale Assets und Stablecoin-Aktivitäten abwickeln.
Drei konkrete Initiativen
Die HKMA geht gleichzeitig auf drei Fronten vor. Erstens hat sie aktualisierte aufsichtsrechtliche Leitlinien herausgegeben, die spezifische Pflichten festlegen: Vorstände und das Senior Management müssen KI-Strategien genehmigen und überwachen; jeder KI-Anwendungsfall muss einen benannten Verantwortlichen haben; die menschliche Aufsicht über jedes System ist obligatorisch; und Tests und Validierung müssen vor und während des Einsatzes erfolgen. Dies sind keine erstrebenswerten Prinzipien, sondern Compliance-Anforderungen.
Zweitens richtet die HKMA eine Plattform für das Teilen von KI-Trainingsdaten ein, um die Data-Quality-Governance im gesamten Sektor zu unterstützen. Schlechte Trainingsdaten sind eine der Hauptursachen für KI-Halluzinationen und verzerrte Ergebnisse, und die Aufsichtsbehörde positioniert sich so, dass sie Unternehmen dabei hilft, dies auf Branchenebene anzugehen, anstatt jede Institution allein damit zu lassen.
Drittens betreibt die HKMA eine GenAI Sandbox++, um agentische KI-Anwendungen im Bankwesen zu testen. Die Erkenntnisse aus dieser Sandbox werden in einen vorgeschlagenen regulatorischen Rahmen speziell für die Governance agentischer KI einfließen. Für Unternehmen, die in Hongkong tätig sind oder dies planen, ist dies das klarste Signal, dass ein eigenes Regelwerk für agentische KI kommt und dass die Beobachtungen aus der Sandbox es prägen werden.
Unternehmen, die KI in ihren AML-, KYC- oder Transaktionsüberwachungs-Workflows in Hongkong einsetzen, sollten die ART-Leitlinien als unmittelbar relevant für ihren nächsten internen Audit-Zyklus betrachten. Die Pflicht, für jeden KI-Anwendungsfall einen Verantwortlichen zu benennen, hat insbesondere direkte Auswirkungen darauf, wie Compliance- und Technologieteams die Rechenschaftspflicht strukturieren.
FCA-Beobachtungen: Wie gute und schlechte Praxis aussieht
Am 19. Oktober 2026 veröffentlichte die britische Financial Conduct Authority ihre Erkenntnisse zur KI-Praxis im Finanzdienstleistungssektor, die aus ihren AI-Lab-Initiativen einschließlich der Supercharged Sandbox stammen. Der Ansatz der FCA ist hier eher aufsichtsrechtlich als regelgebend, aber die praktischen Auswirkungen sind real: Unternehmen, deren KI-Praktiken den „Bad Practice“-Beispielen der FCA ähneln, haben ein höheres Risiko, regulatorisch geprüft zu werden.
Merkmale guter Praxis
Die FCA identifizierte mehrere Merkmale von Unternehmen, die KI verantwortungsvoll einsetzen. Dazu gehörten die Gestaltung und kontinuierliche Prüfung von Kontrollen zur Bewältigung von Risiken wie Verzerrung und Ungenauigkeit; die Beschränkung von KI-Systemen auf genehmigtes, qualitativ hochwertiges Quellmaterial zur Verringerung des Halluzinationsrisikos; die Einbettung risikobasierter Genehmigungsprozesse vor dem Einsatz; und die Vermittlung aussagekräftiger Schulungen für Mitarbeiter, um eine echte menschliche Aufsicht und nicht nur eine oberflächliche Freigabe zu unterstützen.
Merkmale schlechter Praxis
Die Feststellungen zu schlechter Praxis sind ebenso aufschlussreich, da sie Fehlermodi beschreiben, die Compliance-Teams sofort überprüfen können. Die FCA beobachtete schwache oder reaktive Governance-Vereinbarungen, die nach dem Auftreten von Problemen und nicht davor definiert wurden. Sie stellte außerdem eine übermäßige Abhängigkeit von Mitarbeitern fest, KI-Fehler zu erkennen, ohne dass diese Mitarbeiter über die Werkzeuge, Schulungen oder Zeit dafür verfügten, kombiniert mit unzureichenden Modelltests. Ein wiederkehrendes Thema war die mangelnde Klarheit darüber, welche Person für welches KI-System verantwortlich war.
Für britische regulierte Unternehmen im Krypto- und Digital-Asset-Bereich fungieren die Beobachtungen der FCA als inoffizielle Inspektionscheckliste. Ein Unternehmen, das nicht klar benennen kann, wer jedes KI-System besitzt, wer es genehmigt hat und welche Tests vor dem Livegang durchgeführt wurden, ist bereits im Rückstand.
OCC-Stablecoin-Regeln: Eine zusammenhängende Entwicklung
Neben den Veröffentlichungen zur KI-Governance hat das US Office of the Comptroller of the Currency eine 721-seitige vorgeschlagene Regel zur Umsetzung des Stablecoin-Regimes des GENIUS Act veröffentlicht, das derzeit ab dem 18. Januar 2027 in Kraft treten soll. Die Regel legt Pflichten für zugelassene Zahlungsstablecoin-Emittenten (PPSIs) fest und umfasst nationale Banken, föderale Sparkassen, ausländische Zahlungsstablecoin-Emittenten, bestimmte staatlich qualifizierte Emittenten und Nichtbanken, die eine Genehmigung zur Ausgabe von Zahlungsstablecoins anstreben.
Die Renditefrage bleibt ungelöst
Ein Punkt, den die vorgeschlagene Regel der OCC nicht geklärt hat, ist, ob Marktintermediäre wie Krypto-Börsen Zinsen an Kunden auf von ihnen gehaltene Stablecoins zahlen dürfen. Der GENIUS Act verbietet Emittenten, Rendite an Inhaber zu zahlen, äußert sich aber nicht zu Intermediären. Die Bankenbranche hat argumentiert, dass der Kongress diese Lücke schließen sollte, um Community-Banken und Kreditvergabetätigkeit zu schützen, während die Krypto-Branche geltend macht, dass Verbraucher Zugang zu Rendite haben sollten. Diese Debatte ist weiterhin aktuell und wird wahrscheinlich die endgültige Regel beeinflussen.
Der Stablecoin-Aspekt steht in direktem Zusammenhang mit dem KI-Governance-Thread: Stablecoin-Emittenten und die Börsen, die sie vertreiben, sind genau die Unternehmen, die KI-gestützte KYC-, Sanktionsprüfungs- und Transaktionsüberwachung im großen Maßstab einsetzen. Ein Unternehmen, das sich auf die Einhaltung des GENIUS Act vorbereitet und gleichzeitig agentische KI in seinem Compliance-Stack einsetzt, muss beide Anforderungssätze gleichzeitig erfüllen, und die Governance-Pflichten von FSB, HKMA und FCA werden beeinflussen, wie US-Regulierungsbehörden schließlich dasselbe Gebiet angehen.
Praktische Auswirkungen für Buchhaltungs- und Compliance-Teams
Die Konvergenz der KI-Governance-Erwartungen von FSB, HKMA und FCA schafft eine klare Reihe kurzfristiger Maßnahmen für Finanz- und Compliance-Fachleute, insbesondere für diejenigen, die in Unternehmen arbeiten oder diese beraten, die KI in ihren Digital-Asset-Operationen einsetzen.
Für Buchhaltungsfirmen und CFOs (B2B)
Vorstände benötigen eine formelle KI-Governance-Richtlinie und einen Nachweis, dass sie diese genehmigt haben. Dieses Dokument sollte jedes eingesetzte KI-System abbilden, einen Verantwortlichen benennen, die durchgeführte Risikobewertung beschreiben und den Test- und Validierungsprozess darlegen. Unternehmen, die Krypto-Buchhaltungssoftware oder Digital-Asset-Buchhaltungssoftware mit KI-gestützten Kategorisierungs-, Abstimmungs- oder Berichtsfunktionen nutzen, sollten bestätigen, ob diese Funktionen in den Anwendungsbereich fallen, und sie entsprechend dokumentieren. Prüfungsausschüsse werden zunehmend nach KI-Risiken als Teil ihrer Technologierisikoüberprüfung fragen, und ein bereits eingerichtetes Governance-Register verringert die Wahrscheinlichkeit eines reaktiven Ansturms später.
Die AML- und KYC-Dimension ist besonders akut. KI-gestützte Transaktionsüberwachung ist heute Standard in der Digital-Asset-Compliance, und sowohl das FSB als auch die HKMA nennen KYC-Workflows ausdrücklich als Anwendungsfall, der eine robuste Governance erfordert. Ein Unternehmen, das sich auf ein KI-Screening-Tool ohne dokumentierte Validierung, benannte Verantwortlichkeit oder einen menschlichen Eskalationspfad verlässt, trägt Compliance-Risiken, die möglicherweise noch nicht in seinem Risikoregister sichtbar sind.
Für einzelne Steuerzahler und privatnahe Unternehmen (B2C)
Wenn Sie eine Plattform oder einen Dienst nutzen, der KI zur Klassifizierung Ihrer Krypto-Transaktionen, zur Kennzeichnung verdächtiger Aktivitäten oder zur Erstellung von Steuerberichten einsetzt, haben Sie nun eine vernünftige Grundlage, den Anbieter zu fragen, welche Governance hinter dieser KI steht. Die Feststellungen der FCA deuten darauf hin, dass einige Unternehmen auf dem Markt die von ihnen eingesetzten Modelle nicht angemessen testen. Fehler in der KI-generierten Transaktionskategorisierung können direkt zu fehlerhaften Steuererklärungen führen, und die Haftung für eine falsch eingereichte Erklärung liegt beim Steuerzahler, nicht beim Softwareanbieter. Die Kenntnis der Governance-Position Ihres Tools ist kein Nischenthema mehr.
Unternehmen, die in der EU tätig sind, sollten zudem beachten, dass diese Entwicklungen neben den bestehenden MiCAR-Pflichten und den bevorstehenden AMLA-AML/CFT-Leitlinien stehen. Für den Kontext, wie diese Rahmenwerke mit operativen Compliance-Anforderungen interagieren, siehe unsere Berichterstattung über das Ende der MiCAR-Übergangsfrist und die AML/CFT-Leitlinien der AMLA für CASPs. Auf der Stablecoin-Seite steht die vorgeschlagene GENIUS-Act-Regel der OCC in Zusammenhang mit einem breiteren globalen Muster, das in unserem Beitrag über die regulatorische Prüfung von Stablecoins und Lobbying-Dynamiken untersucht wird.
Häufig gestellte Fragen
Sind die zwölf KI-Sound-Practices des FSB rechtlich bindend?
Nein. Das FSB veröffentlicht Leitlinien und Empfehlungen, keine durchsetzbaren Regeln. Allerdings haben die Ergebnisse des FSB erhebliches Gewicht bei nationalen Regulierungsbehörden in G20-Jurisdiktionen, und viele seiner Empfehlungen werden schließlich in bindende nationale oder regionale Regeln übernommen. Sie als erstrebenswert statt richtungsweisend zu behandeln, wäre ein strategischer Fehler.
Welche Unternehmen unterliegen direkt dem ART-Framework der HKMA?
Das ART-Framework gilt für Institute, die von der Hong Kong Monetary Authority beaufsichtigt werden. Das umfasst Banken und lizenzierte Finanzinstitute, die in Hongkong tätig sind, einschließlich derer, die unter der Aufsicht der HKMA an Digital-Asset-Aktivitäten beteiligt sind. Wenn Ihr Unternehmen eine Zulassung oder Lizenz der HKMA besitzt, sollten Sie die aktualisierte aufsichtsrechtliche Leitlinie als Compliance-Pflicht und nicht als freiwillige Empfehlung betrachten.
Was bedeutet die KI-Überprüfung der FCA für britische Krypto-Unternehmen?
Die FCA veröffentlichte ihre Feststellungen als aufsichtsrechtliche Beobachtungen und nicht als neue Regeln, aber sie signalisieren effektiv, was die FCA als angemessene und unangemessene Praxis betrachtet. In Großbritannien registrierte Krypto-Asset-Unternehmen, die KI in kundenorientierten oder Compliance-Funktionen einsetzen, sollten ihre internen Vereinbarungen mit den Good-Practice-Markern der FCA vergleichen: benannte Systemverantwortlichkeit, Tests vor dem Einsatz, Datenqualitätskontrollen und echte Mitarbeiterschulungen für die menschliche Aufsicht.
Wie hängt KI-Governance mit der Compliance von Krypto-Buchhaltungssoftware zusammen?
Viele Krypto-Buchhaltungs- und Digital-Asset-Buchhaltungssoftware-Tools integrieren heute KI für Transaktionsklassifizierung, Abstimmung oder Anomalieerkennung. Nach den aufkommenden Rahmenwerken von FSB, HKMA und FCA müssen regulierte Unternehmen, die solche Tools nutzen, die KI-Komponenten verstehen, sie als Anwendungsfälle dokumentieren, die damit verbundenen Risiken bewerten und eine menschliche Überprüfung der Ergebnisse sicherstellen. Unternehmen können die Rechenschaftspflicht für KI-generierte Ergebnisse nicht an einen Anbieter auslagern.
Was sollten Unternehmen jetzt im Vorfeld der GENIUS-Act-Stablecoin-Frist tun?
Unternehmen, die in den Anwendungsbereich der vorgeschlagenen OCC-Regel zur Umsetzung des GENIUS Act fallen, die ein Inkrafttreten im Januar 2027 anstrebt, sollten jetzt mit der Prüfung des 721-seitigen Entwurfs beginnen. Die wichtigsten kurzfristigen Schritte sind: Feststellen, ob das Unternehmen als zugelassener Zahlungsstablecoin-Emittent oder als abgedeckter Intermediär qualifiziert; Abgleichen der bestehenden KI-gesteuerten Compliance-Tools mit den neuen Governance-Erwartungen; und Beobachten der ungelösten Debatte über Renditen auf Stablecoins, da die endgültige Regel zu diesem Punkt sowohl Produktdesign als auch Bilanzierung beeinflussen könnte.
Quelle: Elliptic