Stilllegung von Mythos und Fable wird zum Stresstest für die KI-Governance in globalen Banken

Die globale Abschaltung von Claude Mythos 5 und Claude Fable 5 seit Freitag (12.) hat ein Thema in den Fokus gerückt, das amerikanische und europäische Bankenaufsichtsbehörden seit Monaten ohne nennenswerte praktische Druckforderungen thematisieren: Kontinuitätspläne für generative und agentenbasierte KI-Systeme in Banken. Innerhalb von 48 Stunden wechselte das Thema von der Agenda der Risikokomitees in die Routine der Aufsichtskontrollen der größten Banken des G10.

Die Federal Reserve, das Office of the Comptroller of the Currency (OCC) und die FDIC haben bereits seit längerem künstliche Intelligenz als permanentes Thema bei jeder Bankeninspektion in den Vereinigten Staaten behandelt. Der Druck konzentriert sich auf drei Punkte: Kill-Switches, Lieferketten und menschliche Governance über generative und agentenbasierte Systeme. Der Vorfall mit Anthropic hat ein hypothetisches Szenario in einen offiziellen Fallstudie verwandelt.

Der blinde Fleck der SR 26-2

Der regulatorische Ausgangspunkt ist die SR 26-2, ein Risikomanagement-Leitfaden für Modelle, der am 17. April gemeinsam von den drei amerikanischen Regulierungsbehörden veröffentlicht wurde. Der Leitfaden aktualisierte Standards zur Validierung klassischer quantitativer Modelle nach 15 Jahren ohne Überprüfung, schloss jedoch explizit generative KI und agentenbasierte Systeme aus dem Anwendungsbereich aus. In einer Fußnote weist das Dokument die Banken an, ihre eigenen Governance-Praktiken auf nicht abgedeckte Systeme anzuwenden, wodurch die Verantwortung, die der Regulierer offen ließ, auf den Risikodirektor übertragen wird.

Die Ausschlussklausel ließ jede Bank ihren eigenen Standard mit ihrem Prüfer verhandeln, eine klassische Regel, die Inkonsistenzen erzeugt. Fed, OCC und FDIC haben angekündigt, dass sie 2026 einen gemeinsamen RFI zu generativer und agentenbasierter KI veröffentlichen werden. Selbst vor dieser formellen Phase haben Prüfer bereits routinemäßig Fragen dazu eingebaut, wer die Autorität hat, ein in Produktion befindliches Modell abzuschalten, wie lange die Zeit zur Fehlererkennung ist und welche Inferenanbieter als kritisch angesehen werden.

Die Zahl, die die Banken erschreckte

Der World Cloud Report 2026 des Capgemini Research Institute hat ergeben, dass fast drei von vier Banken nicht mit Sicherheit sagen können, dass sie über die technische Fähigkeit verfügen, ein KI-Modell in Produktion mit schwerwiegenden Fehlern abzuschalten und den Fehler dem Regulierer zu melden. Die als grundlegend erachteten Kontrollen in jedem Vorfallreaktionsplan versagen in den beiden unmittelbarsten Tests: schnelle Identifizierung des Systems, das die falsche Entscheidung getroffen hat, und Trennung der Berechtigungen zum Abschalten.

Die gleiche Umfrage zeigt, dass 99 % der Finanzinstitute planen, bis Ende 2026 autonome Agenten in Produktion zu bringen, aber nur 11 % konnten eine effektive Implementierung nachweisen. Die Diskrepanz wurde als ein zeitliches Problem behandelt. Sie wird nun zu einem Governance-Problem, da die Abschaltung von Anthropic bewiesen hat, dass die Abhängigkeit von einem einzelnen Anbieter aufgrund externer Gründe unterbrochen werden kann, die nichts mit dem Risiko des Modells selbst zu tun haben.

Die regionale Lesart

JPMorgan verfügt im Jahr 2026 über ein Technologie-Budget von 19,8 Milliarden US-Dollar und 2.000 Fachkräfte, die sich mit KI beschäftigen. Goldman Sachs betreibt seit Dezember Agenten, die von Devin inspiriert sind, in der Ingenieurwissenschaft. Beide haben Verträge zwischen Anthropic, OpenAI und Eigenmodellen diversifiziert, aber die Cybersicherheitsteams, die die Abläufe im Mythos 5 standardisiert haben, verloren das neueste Element über Nacht.

In Europa hat die deutsche BaFin einen dokumentierten Exit-Plan für die Abhängigkeit von KI-Anbietern gefordert. Der Fall Anthropic wird in den nächsten Aufsichtssitzungen als Konzeptnachweis des Risikos erwähnt werden. Deutsche Bank, UBS und BNP Paribas, die aktive Verträge mit Anthropic haben, aktivierterten am Wochenende Kontingente in Gemini und eigenen Modellen. In Japan haben MUFG und Mizuho zwei Pilotprojekte eingefroren. In Brasilien halten Itaú, Bradesco und Santander Brasilien im Vergleich zu ihren amerikanischen Kollegen geringere Engagements, aber sie integrieren Bibliotheken über Partner wie Capgemini und CI&T. Die brasilianische Zentralbank hat noch keinen Leitfaden veröffentlicht, der mit der SR 26-2 vergleichbar ist.

Die Kosten der Nichtabdeckung durch die Regel

Amerikanische Banken hätten es vorgezogen, seit April von der SR 26-2 abgedeckt zu sein, selbst mit neuen Verpflichtungen, da der Leitfaden den Compliance-Aufwand standardisieren würde. Der Ausschluss hat ein Terrain geschaffen, auf dem jeder Prüfer leicht unterschiedliche Fragen stellt, die Auditkosten erhöhen und, schlimmer noch, jede Prüfung zu einem individuellen Verhandlungsprozess machen. Für mittelgroße Banken ist die Fragmentierung am belastendsten: Die Kosten für die Aufrechterhaltung von zwei Anbietern für kritische Modelle, mit parallelen Testpipelines und RACI für die Abschaltung, sind verhältnismäßig höher als für ein JPMorgan.

Der interne Witz unter Chief Risk Officers in den letzten 72 Stunden in Frankfurt, Tokio und São Paulo ist, dass die Compliance-Abteilung zum priorisierten Kunden desselben KI-Teams geworden ist, das sie überwachen muss. Die Stilllegung von Anthropic war das Ereignis, das das Argument untermauerte, das CROs intern seit April ohne große Resonanz vorgebracht hatten: Ein einzelner Anbieter, selbst von höchster Qualität, ist ein materielles Risiko, das einen Kapitalpreis verlangt, nicht nur eine vertragliche Minderung.