Singapur legt IA-Risikoleitlinien für Banken fest

Die Monetary Authority of Singapore (MAS) veröffentlichte am Mittwoch (7.) die endgültige Version ihrer Richtlinien zur Risikomanagement von Künstlicher Intelligenz, die am 7. Oktober 2027 für alle Aufsichtsinstitutionen in Kraft treten. Der Text deckt alle Formen der KI-Technologie ab, einschließlich generativer Modelle und Agenten, und ermöglicht eine phasenweise Implementierung bis zum 7. Oktober 2028.

Die Richtlinien schließen einen Prozess ab, der am 13. November 2025 begann, als die MAS das Konsultationsdokument P017-2025 veröffentlichte, mit einer Frist für Kommentare bis zum 31. Januar 2026. Die endgültige Version wurde zusammen mit der Antwort der Behörde auf die eingegangenen Beiträge veröffentlicht. Es handelt sich um eine Erwartung an die Aufsicht, nicht um ein Gesetz: Der Regulierer verlangt die Einhaltung bei Inspektionen, aber der Text schafft keine eigenen Sanktionen wie die im europäischen AI Act vorgesehenen.

Anforderungen an die Banken

Die erste Anforderung ist, zu wissen, wo die KI eingesetzt wird. Laut MAS müssen die Institutionen Prozesse implementieren, um den Einsatz von KI in der gesamten Organisation zu identifizieren, aktualisierte Inventare zu führen und die Wesentlichkeit des Risikos jedes Einsatzes aus drei Dimensionen zu bewerten: Auswirkung, Komplexität und Grad der Abhängigkeit. Die Kontrollen, so der Regulierer, müssen im Verhältnis zu dieser Bewertung stehen.

Der Vorstand und das obere Management sind für die Aufsicht über das KI-Risiko verantwortlich, was das Festlegen von Rollen, Risikobereitschaft und Richtlinien umfasst. Die MAS stellte jedoch klar, dass niemand gezwungen ist, nur zur Einhaltung der Richtlinien ein KI-Gremium einzurichten: Bestehende Governance-Strukturen sind ausreichend, solange sie angemessen sind. Laut der MAS baten die Teilnehmer der Konsultation um Klarstellung zu diesem Punkt, sowie über den Umgang mit in Drittanbieterprodukten eingebetteter KI.

Zur Verantwortung gegenüber Anbietern gilt die Regel, dass diese nicht delegiert werden kann. Die Institution muss angemessene Garantien über die gekaufte KI erhalten, bewerten, ob sie dem beabsichtigten Einsatz dient, und ausgleichende Kontrollen anwenden. Falls das Risiko nicht in die festgelegte Risikobereitschaft passt, sieht der Text vor, dass der Service eingeschränkt, ausgesetzt oder ersetzt wird. Die Liste der Kontrollbereiche umfasst Daten-Governance, Tests, Cybersicherheit, menschliche Aufsicht, Monitoring und Änderungsmanagement.

Agenten kommen später

Der endgültige Text enthält keine spezifischen Regeln für autonome Agenten. Laut der Webseite Blockhead erklärte die MAS, dass spezifische Leitlinien für agentenbasierte KI im Jahr 2027 kommen werden, und die jetzt veröffentlichten Richtlinien verlangen regelmäßige Überprüfungen, während sich dieser Typ von Systemen verbreitet.

Die Perspektive in drei Märkten

In Singapur gelten die Richtlinien für lokale Banken wie DBS, OCBC und UOB, sowie für die Tochtergesellschaften globaler Gruppen, die von der MAS lizenziert sind. Dies bedeutet, dass die Betriebe von HSBC, Citi und JPMorgan in der Stadt unter dasselbe Inventar und dieselbe Wesentlichkeitsbewertung fallen. Für eine globale Bank bedeutet dies mindestens eine Übersicht über den KI-Einsatz, die mit den Anforderungen anderer Jurisdiktionen, in denen sie tätig ist, übereinstimmen muss.

In der Eurozone zieht der Zeitplan früher an. Die Europäische Zentralbank versandte am 7. Juli einen Brief, unterzeichnet von Claudia Buch, der Präsidentin des Aufsichtsrats, in dem sie die 110 Banken, die sie direkt überwacht, aufforderte, bis zum 31. Oktober 2026 Aktionspläne gegen durch KI verstärkte Cyberbedrohungen vorzulegen. Im AI Act wurden die Verpflichtungen für hochriskante Systeme, zu denen auch die Kreditbewertung gehört, aufgrund der in diesem Jahr genehmigten vereinfachenden Überarbeitung auf den 2. Dezember 2027 verschoben, so die Europäische Kommission. Das Resultat ist, dass eine Bank mit Betrieben in Frankfurt und Singapur mit zwei Governance-Regelungen für KI konfrontiert wird, die mit zwei Monaten Unterschied in Kraft treten.

Der Unterschied im Design ist wichtig für Dienstleister. Das europäische Modell klassifiziert das System nach der Nutzungskategorie und imposiert Verpflichtungen darauf. Das Modell von Singapur beruht auf der Wesentlichkeitsbewertung, die von der Institution selbst vorgenommen wird, und ist daher weniger vorschreibend. Ein Beratungsunternehmen, das Governance-Frameworks für globale Banken anbietet, kann keine einheitliche Matrix mehr liefern: Es benötigt ein Inventar, das beide Logiken nährt.

Wo der Text Spielraum lässt

Der wichtigste offene Punkt ist das Kriterium der Wesentlichkeit selbst. Die Bewertung von Auswirkung, Komplexität und Abhängigkeit obliegt jeder Institution, und zwei Banken können dasselbe Kreditmodell unterschiedlich klassifizieren. Ab dem 7. Oktober 2027, wenn die Richtlinien durchgesetzt werden, hört das Inventar jeder Bank auf, ein internes Dokument zu sein und wird zur Grundlage des Gesprächs mit dem Aufseher über den Umfang des Einsatzes von geringem Risiko.