KI-Verantwortung, CFTC-Regelsetzung und FCA: Krypto-Regulierungsrundblick

In einem Zeitfenster von zwei Wochen zwischen Ende September und Anfang Oktober 2026 haben die einflussreichsten Finanzregulierungsbehörden der Welt eine koordinierte, wenn auch nicht formell abgestimmte Reihe von Signalen zur Governance künstlicher Intelligenz im Finanzsektor ausgesandt. Die Bank of England, die Europäische Zentralbank, die Bank für Internationalen Zahlungsausgleich und die Monetary Authority of Singapore zogen alle dieselbe grundlegende Grenze: KI darf laufen, aber Menschen müssen in der Lage sein, das Steuer zu übernehmen. Gleichzeitig eröffnete die US Commodity Futures Trading Commission einen wegweisenden Regelsetzungsprozess, der erstmals ein eigenes Aufsichtsregime für Retail-Krypto-Rohstofftransaktionen schaffen würde. Für Wirtschaftsprüfungsgesellschaften, CFOs und Compliance-Beauftragte, die Krypto-Praktiken aufbauen, sind diese Entwicklungen kein Hintergrundrauschen. Sie bestimmen, was Ihre KI-gestützten Tools leisten müssen, wie Sie deren Einsatz dokumentieren und in welchen Regulierungsregistern Ihre Mandanten möglicherweise bald erscheinen müssen.

Was globale Regulierer zu KI und Finanzdienstleistungen sagten

Die Häufung der Erklärungen war in ihrer geografischen Breite bemerkenswert. Innerhalb von etwa zehn Tagen gaben hochrangige Vertreter von vier großen Institutionen öffentliche Erklärungen zur KI-Governance ab, die jeweils eine andere Dimension desselben Kernanliegens hinzufügten.

Bank of England: Menschliche Aufsicht als nicht verhandelbares Prinzip

In einem am 30. September veröffentlichten Artikel konzentrierte sich der Gouverneur der Bank of England, Andrew Bailey, auf das, was er rekursive, selbstverstärkende KI-Systeme nannte, also Modelle, die in Schleifen lernen und handeln, ohne diskrete menschliche Kontrollpunkte. Seine Sorge war, dass Systeme mit diesen Eigenschaften "die Fähigkeit der Gesellschaft, eine sinnvolle Aufsicht und Intervention auszuüben, verringern könnten" und dass dieses Risiko umso akuter wird, je leistungsfähiger das System ist.

Bailey hütete sich davor, ein Verbot zu fordern. Er warnte ausdrücklich vor einer voreiligen Regulierung schnelllebiger Technologie und erkannte an, dass KI bedeutende Effizienzgewinne, Wirtschaftswachstum und Wohlstand in allen Branchen fördern kann. Sein Argument betraf die Governance-Architektur: politische Entscheidungsträger sollten sich darauf konzentrieren, sicherzustellen, dass Menschen die praktische Fähigkeit behalten, einzugreifen und Grenzen zu setzen, anstatt zu versuchen, die Technologie selbst einzuschränken. Der dringendste kurzfristige Mechanismus, den die Bank of England identifizierte, ist rigoroses Pre- und Post-Deployment-Testing von Frontier-KI-Modellen, das das Vereinigte Königreich bereits durch ein spezielles Testregime ermöglicht. Cyber-Sicherheitsrisiken, insbesondere die Gefahr, dass Frontier-Modelle die operative Nachhaltigkeit der Finanzinfrastruktur untergraben könnten, wurden als Bereich der größten Besorgnis hervorgehoben.

EZB-Aufsichtsgremium: Klarheit der Verantwortung über den gesamten KI-Lebenszyklus

Das EZB-Aufsichtsratsmitglied Patrick Montagner griff in einer am 1. Oktober gehaltenen Rede viele von Baileys Themen auf. Er stimmte zu, dass Frontier-KI-Modelle erhebliche neue Cyber-Sicherheitsrisiken für den Bankensektor mit sich bringen, fügte jedoch einen differenzierteren Punkt hinzu: Banken können dieselben Frontier-Fähigkeiten auch defensiv nutzen. Bedrohungserkennung, die von derselben Modellklasse angetrieben wird, die Kriminelle ausnutzen könnten, ist bereits ein praktischer Anwendungsfall.

Montagners Bedingungen für eine verantwortungsvolle KI-Einführung im Bankwesen konzentrierten sich auf drei Anforderungen: Verantwortlichkeiten müssen klar zugewiesen sein, die Datenqualität muss ausreichen, um die vom Modell getroffenen Entscheidungen zu stützen, und die Überwachung muss während der gesamten operativen Lebensdauer des Systems aufrechterhalten werden. Der letzte Punkt, die lebenszyklusübergreifende Aufsicht, wird von vielen Unternehmen derzeit als Aktivität in der Bereitstellungsphase und nicht als fortlaufende Aufgabe behandelt.

BIS Financial Stability Institute: Systemische Resilienz, nicht nur Governance auf Unternehmensebene

Fernando Restoy, Vorsitzender des BIS Financial Stability Institute, bot im September die breiteste Perspektive. Sein Argument war, dass KI nicht nur verändert, wie Banken intern operieren, sondern auch das Umfeld, in dem diese Banken tätig sind. Diese Unterscheidung ist für Regulierer wichtig, die systemische Risiken auf Netzwerkebene bedenken müssen und nicht nur, ob jedes einzelne Unternehmen ein KI-Richtliniendokument hat.

Restoy wies auf eine spezifische Spannung im Kontext der Cyber-Sicherheit hin: KI ermöglicht es Banken, Bedrohungen schneller und genauer zu erkennen, aber diese verbesserte Erkennung erfordert auch eine schnellere Echtzeit-Behebung. Betriebliche Resilienzrahmenwerke, die für Incident-Response in menschlicher Geschwindigkeit ausgelegt sind, sind möglicherweise nicht geeignet, um Bedrohungslandschaften in KI-Geschwindigkeit zu bewältigen. Aufsichtsbehörden müssen seiner Ansicht nach ihre eigenen Rahmenwerke aktualisieren, um dieser Verzögerung Rechnung zu tragen.

MAS finalisiert KI-Governance-Leitlinien für Finanzinstitute

Das konkreteste kurzfristige regulatorische Ergebnis kam aus Singapur. Am 7. Oktober veröffentlichte die Monetary Authority of Singapore ihre finalisierten Aufsichtserwartungen für die verantwortungsvolle KI-Einführung durch regulierte Finanzinstitute. Die Leitlinien wurden nach einer im November 2025 eröffneten Konsultation entwickelt.

Das MAS-Rahmenwerk legt vier Kernanforderungen für regulierte Unternehmen fest. Erstens müssen Unternehmen eine klare Aufsicht und Verantwortlichkeit für KI-bezogene Risiken aufrechterhalten. Zweitens müssen sie Risiken über den gesamten KI-Lebenszyklus bewerten und steuern, von der Modellauswahl über die Bereitstellung bis hin zur eventuellen Außerbetriebnahme. Drittens müssen sie Drittrisiken berücksichtigen, wenn KI-Systeme von externen Anbietern bezogen werden oder auf diese angewiesen sind. Viertens müssen die Kontrollen den Risiken angemessen sein, die das KI-System darstellt.

Die Leitlinien treten ab Oktober 2027 in Kraft, wobei bestimmte Bestimmungen ab Oktober 2028 gelten. In Singapur regulierte Unternehmen, die Krypto-Geschäfte betreiben, und internationale Unternehmen mit MAS-lizenzierten Einheiten haben nun einen definierten Zeitrahmen, um Compliance-Programme aufzubauen. Unternehmen ohne MAS-Exposition sollten dies dennoch als Frühindikator betrachten: Die Erklärungen der Bank of England und der EZB deuten darauf hin, dass sich ähnliche Erwartungen im Vereinigten Königreich und in der EU auf eine Formalisierung zubewegen.

CFTC öffnet die Tür für ein eigenes Krypto-Marktrahmenwerk

Separat veröffentlichte die US Commodity Futures Trading Commission am 5. Oktober eine Advanced Notice of Proposed Rulemaking, in der sie ihre Absicht darlegt, einen umfassenden Regulierungsrahmen für Retail-Rohstofftransaktionen mit Krypto-Assets aufzubauen. Für Unternehmen und ihre Mandanten, die an US-Kryptomärkten aktiv sind, ist dies ein bedeutender Verfahrensschritt, auch wenn es sich in diesem Stadium noch um einen Vorschlag handelt.

Was die ANPRM tatsächlich vorschlägt

Die ANPRM enthält zwei miteinander verbundene Vorschläge. Der erste, mit der Bezeichnung "Regulation Crypto Asset Transactions", identifiziert Kategorien von Krypto-Asset-Transaktionen, die nach Ansicht der CFTC in den Anwendungsbereich des Commodity Exchange Act fallen. Das Schlüsselkonzept ist das "covered offer": jede Vereinbarung, durch die ein Retail-Kunde Krypto-Assets auf gehebelter, marginierter oder finanzierter Basis handelt. Unternehmen, die solche Produkte anbieten, wären verpflichtet, diese Transaktionen auf Anzeichen von Marktmissbrauch zu überwachen.

Der zweite Vorschlag, "Regulation Crypto Asset Markets", würde Börsen und andere Marktteilnehmer, die covered Produkte anbieten, verpflichten, sich bei der CFTC als designierte Crypto Asset Markets (CAMs) zu registrieren. Der Vorschlag beschreibt, wie Unternehmensstruktur und Dienstintegration die Designierung eines Unternehmens beeinflussen würden, legt Entwurfs-Listing-Standards für covered Krypto-Asset-Transaktionen fest und lädt zu öffentlichen Stellungnahmen zu einer Reihe zusätzlicher Faktoren ein, die die CAM-Aufsicht betreffen.

Warum das für Unternehmen wichtig ist: Schließung einer langjährigen Lücke

Bisher konnten sich Krypto-Asset-Börsen, die Futures oder andere Produkte innerhalb des bestehenden CFTC-Perimeters anbieten, bei der Kommission registrieren, aber es gab kein speziell für die breitere Palette von Krypto-Marktaktivitäten geschaffenes Rahmenwerk. Diese Lücke hat anhaltende Unsicherheit erzeugt, insbesondere dort, wo sich die Zuständigkeiten von CFTC und SEC potenziell überschneiden. Die ANPRM würde diese Lücke, wenn sie durch formelle Regelsetzung finalisiert wird, erstmals schließen.

Der Zeitpunkt ist bewusst gewählt. Der Kongress hat noch keine Marktstrukturgesetzgebung verabschiedet, die die Spannung zwischen CFTC und SEC durch ein Gesetz auflösen würde. Mit etwa zwei verbleibenden Jahren in der aktuellen Regierung scheinen beide Regulierer die Regelsetzung aus eigener Initiative voranzutreiben, anstatt auf gesetzgeberische Klarheit zu warten. Wirtschaftsprüfungsgesellschaften und CFOs, die Mandanten im US-Kryptomarkt beraten, müssen diesen Prozess genau verfolgen. Die Registrierung als CAM, falls sie verpflichtend wird, bringt Aufzeichnungs-, Berichts- und Überwachungspflichten mit sich, die sich direkt darauf auswirken, wie Mandantentransaktionen in digitaler Asset-Buchhaltungssoftware erfasst und klassifiziert werden.

Für Hintergrundinformationen zur breiteren CFTC-Regelsetzungsentwicklung und zum politischen Zeitplan lesen Sie unsere frühere Analyse des CFTC-Krypto-Rahmenwerks und des Risikos der Frist 2028. Die Wechselwirkung zwischen dieser ANPRM und dem Rückzug der FinCEN CVC-Mixing-Regel ist ebenfalls relevanter Kontext; Details finden Sie in unserem Beitrag zum Rückzug der FinCEN CVC-Mixing-Regel und zur Überprüfung des CFTC-Retail-Rahmenwerks.

Buchhaltungs- und Compliance-Implikationen über Jurisdiktionen hinweg

Diese Entwicklungen fallen nicht isoliert an. Sie beeinflussen, wie Unternehmen ihre KI-gestützten Arbeitsabläufe strukturieren, wie sie diese Arbeitsabläufe für Audit-Zwecke dokumentieren und auf welche regulatorischen Registrierungen ihre Mandanten sich möglicherweise vorbereiten müssen.

KI-Tools in Krypto-Buchhaltung und Compliance: Governance-Lücken, die jetzt geschlossen werden müssen

Viele Wirtschaftsprüfungsgesellschaften und Compliance-Teams nutzen bereits KI-gestützte Tools für Transaktionskategorisierung, On-Chain-Überwachung und Berichtserstellung. Die MAS-Leitlinien und die richtungsweisenden Aussagen der Bank of England und der EZB deuten darauf hin, dass Regulierer zunehmend erwarten werden, dass Unternehmen nachweisen, dass diese Tools definierte Governance-Standards erfüllen und nicht nur genaue Ergebnisse liefern.

Praktisch bedeutet das mehrere Dinge. Die Verantwortung für KI-generierte Ergebnisse muss einer namentlich benannten Person oder Funktion zugewiesen werden und darf nicht als geteilte Annahme bestehen bleiben. Datenqualitätskontrollen, die das KI-System speisen, müssen dokumentiert und regelmäßig überprüft werden. Das System muss laufend überwacht werden, nicht nur zum Zeitpunkt der Bereitstellung validiert. Wenn das KI-Tool von einem Dritten bereitgestellt wird, benötigen Unternehmen vertragliche und operative Mechanismen, um die Risiken zu bewerten und zu steuern, die der Anbieter mit sich bringt.

Für Unternehmen, die Krypto-Buchhaltungssoftware oder digitale Asset-Buchhaltungssoftware mit integrierten KI-Funktionen nutzen, ist dies ein Anlass, die Anbieterdokumentation jetzt zu überprüfen. Kann Ihr Anbieter nachweisen, dass sein Modell die Art von Governance-Standards erfüllt, die die MAS formalisiert hat? Weisen Ihre eigenen internen Verfahren eine klare Verantwortlichkeit für KI-gestützte Ergebnisse zu, bevor diese ein Mandantendeliverable oder eine regulatorische Einreichung erreichen? Dies sind die Fragen, die Auditoren und Regulierer mit größerer Häufigkeit stellen werden.

CFTC ANPRM: Aufzeichnungs- und Berichtspflichten am Horizont

Wenn sich die CFTC-Vorschläge auf endgültige Regeln zubewegen, werden Börsen und andere Einrichtungen, die gehebelte oder marginierte Krypto-Produkte an Retail-Kunden in den USA anbieten, mit neuen Registrierungs-, Überwachungs- und Berichtspflichten konfrontiert. Für Wirtschaftsprüfungsgesellschaften mit US-ansässigen Krypto-Börsenmandanten ist die operative Veränderung wesentlich. Die CAM-Registrierung würde wahrscheinlich eine systematische Transaktionsüberwachung, strukturierte Aufzeichnung in Übereinstimmung mit CFTC-Berichtsstandards und potenziell neue interne Kontrollrahmenwerke erfordern, die das Audit-Team verstehen und testen muss.

CFOs von Krypto-Unternehmen sollten jetzt ihre Produktangebote gegen die Definition des "covered offer" abgleichen. Selbst im ANPRM-Stadium signalisiert der vorgeschlagene Rahmen, wohin sich der Compliance-Perimeter der CFTC bewegt. Unternehmen, die ihre operativen und buchhalterischen Infrastrukturen frühzeitig um diesen Perimeter herum aufbauen, werden bei Inkrafttreten endgültiger Regeln weniger Störungen erleben.

Grenzüberschreitende Dimension: Wo diese Rahmenwerke interagieren

Ein Unternehmen mit Einheiten in Singapur, dem Vereinigten Königreich und den USA sieht sich einer dreischichtigen Landschaft gegenüber. MAS-KI-Governance-Regeln gelten ab Oktober 2027. Die Erwartungen der Bank of England sind zwar noch nicht als verbindliche Regeln formalisiert, bewegen sich aber eindeutig auf ähnliche Anforderungen zu, und das bestehende britische KI-Testregime ist bereits aktiv. In den USA ist die ANPRM der CFTC für öffentliche Stellungnahmen geöffnet, und die Reiserichtung geht hin zu formellen Registrierungspflichten für Teilnehmer am Krypto-Rohstoffmarkt.

Für internationale Konzerne lautet der praktische Rat, KI-Governance- und Krypto-Markt-Compliance-Programme nach dem anspruchsvollsten Standard in den Jurisdiktionen aufzubauen, in denen sie tätig sind, und dann zu bewerten, wo lokale Anforderungen abweichen. Das MAS-Rahmenwerk ist als detailliertestes und zeitgebundenstes ein vernünftiges Ausgangsmuster für diese Übung.

Häufig gestellte Fragen

Was verlangt das MAS-KI-Governance-Rahmenwerk, und wann gilt es?

Die finalisierten Leitlinien der Monetary Authority of Singapore verlangen von regulierten Finanzinstituten, eine klare Verantwortlichkeit für KI-Risiken aufrechtzuerhalten, diese Risiken über den gesamten KI-Lebenszyklus zu steuern, KI-Risiken Dritter zu bewerten und angemessene Kontrollen umzusetzen. Das Rahmenwerk tritt ab Oktober 2027 in Kraft, wobei bestimmte Bestimmungen auf Oktober 2028 verschoben sind. Unternehmen mit MAS-regulierten Einheiten sollten jetzt mit Gap-Assessments beginnen.

Schafft die KI-Leitlinie der Bank of England verbindliche Pflichten für britische Krypto-Unternehmen?

Der Artikel von Gouverneur Bailey war eine politische Erklärung, keine verbindliche Regel. Er signalisiert jedoch die Richtung der Aufsichtserwartungen der Prudential Regulation Authority und der Financial Conduct Authority. Britische Unternehmen sollten die von Bailey dargelegten Prinzipien, menschliche Aufsicht, rigoroses Testing, definierte Verantwortlichkeit, als Grundlage für ihre eigenen KI-Governance-Rahmenwerke behandeln, bevor formelle Regelsetzung erfolgt.

Was ist ein "covered offer" im Rahmen der vorgeschlagenen Regulation Crypto Asset Transactions der CFTC?

Nach der ANPRM ist ein covered offer jede Vereinbarung, durch die ein Retail-Kunde Krypto-Assets auf gehebelter, marginierter oder finanzierter Basis handeln kann. Unternehmen, die covered offers anbieten, wären verpflichtet, diese Transaktionen auf Marktmissbrauchsindikatoren zu überwachen und sich nach dem begleitenden Vorschlag bei der CFTC als designierte Crypto Asset Markets zu registrieren.

Wie wirkt sich die CFTC ANPRM auf Unternehmen aus, die Krypto-Buchhaltungssoftware zur Steuerung der Mandantenberichterstattung nutzen?

Wenn die Vorschläge zu endgültigen Regeln werden, werden Börsen und Marktteilnehmer, die der CAM-Registrierung unterliegen, mit strukturierten Aufzeichnungs- und Berichtspflichten konfrontiert, die an CFTC-Standards ausgerichtet sind. Wirtschaftsprüfungsgesellschaften, die diese Mandanten betreuen, müssen sicherstellen, dass ihre digitale Asset-Buchhaltungssoftware Transaktionen in einem Format erfassen und klassifizieren kann, das mit den neuen Berichtsanforderungen kompatibel ist. Diese Kompatibilität jetzt zu bewerten, bevor endgültige Regeln veröffentlicht werden, reduziert Umsetzungsrisiken.

Sind EU-Krypto-Unternehmen von diesen KI-Governance-Entwicklungen betroffen?

Der EU AI Act etabliert bereits einen risikobasierten Rahmen für KI-Systeme, einschließlich solcher, die im Finanzdienstleistungssektor eingesetzt werden. Die Äußerungen des EZB-Aufsichtsgremiums vom Oktober 2026 deuten darauf hin, dass Aufsichtsbehörden Erwartungen entwickeln, die über die Mindestanforderungen des AI Act hinausgehen, insbesondere in Bezug auf Lebenszyklusüberwachung und Datenqualität. EU-Krypto-Unternehmen und ihre Prüfer sollten die EZB- und EBA-Leitlinien zur KI-Governance im Bankwesen auf Entwicklungen beobachten, die sich auf Krypto-Asset-Dienstleister erstrecken könnten.

Quelle: Elliptic