Am 4. November 2026 hat das US-amerikanische Office of the Comptroller of the Currency (OCC) seinen ersten Prüfungsrahmen für den Einsatz künstlicher Intelligenz bei Banken veröffentlicht: den „OCC Supervisory Framework on Bank Use of Super Intelligence", begleitet vom Bulletin 2026-54. Das Dokument richtet sich an Prüferinnen und Prüfer, nicht als neue Regel direkt an Banken: Es legt keine durchsetzbaren Standards fest und verlangt von Banken keine eigene Risikoappetit-Erklärung für KI. Sein Maßstab ist klar — beurteilt wird, welche Folgen ein Fehler hat, nicht wie fortschrittlich das Modell selbst ist.
Geprüft wird nicht, wie fortschrittlich das Modell ist, sondern was ein Fehler kostet
Das OCC verlangt von seinen Prüfern, Super Intelligence als Ergänzung der bestehenden Prüfungspraxis zu behandeln, nicht als eigene Risikokategorie. „Super Intelligence" ist im Dokument der einheitliche Begriff der Exekutive und umfasst herkömmliche künstliche Intelligenz ebenso wie autonome Agenten — nicht nur hypothetische Systeme jenseits menschlicher Fähigkeiten. Die Prüfung stützt sich weiterhin auf das bestehende Modellrisikomanagement, die Governance, die Technik, die Compliance und die operationellen Risiken der Banken und fügt für jeden konkreten Einsatz eine weitere Fragerunde hinzu: Wer trägt den Verlust bei einem Fehler, lässt sich der Vorgang rückgängig machen, und an welcher Stelle kann ein Mensch noch eingreifen?
Ein Beispiel verdeutlicht den Maßstab: Ein einfacher Agent, der direkt Transaktionen auslösen darf, kann riskanter sein als ein technisch komplexes Modell, das nur interne Dokumente entwirft. Systeme, die in Echtzeit Kreditentscheidungen treffen oder Zahlungen eigenständig abschließen, stehen am oberen Ende; Werkzeuge, die nur die interne Effizienz unterstützen, am unteren. Die Prüfungstiefe wird an Größe und Geschäftscomplexität der Bank angepasst.
Was Banken zuerst vorbereiten sollten
Für national tätige Banken und Bundessparkassen unter OCC-Aufsicht steht zuerst eine Bestandsaufnahme der Agenten an, die „Geld bewegen" können: Welche Transaktionen dürfen sie auslösen, wo sind ihre Befugnisgrenzen festgehalten, wer prüft Handlungen außerhalb der Befugnis, und sind Transaktionslimits und Überwachung vorhanden? Als beispielhafte Schutzmaßnahmen nennt der Rahmen Identitätsprüfung, delegierte Berechtigungen, Transaktionslimits und laufende Überwachung sowie die Möglichkeit, den Zugang bei Auffälligkeiten auszusetzen oder zu entziehen; für Systeme, die im laufenden Betrieb weiter schädliche Entscheidungen treffen, werden außerdem Circuit Breaker, Ratenbegrenzungen und eine Notabschaltung erwähnt. Das sind Kontrollpunkte, nach denen Prüfer fragen können — keine neuen harten Pflichten des Dokuments selbst. Banken müssen sie weiterhin im Rahmen bestehender Gesetze und der Anforderungen an eine sichere und solide Geschäftsführung umsetzen.
Externe Agenten sind ein weiterer Schwerpunkt. Auch wenn ein Agent von Kunden, Fintech-Unternehmen oder anderen Firmen betrieben wird und die Bank ihn nicht direkt steuert, kann er ein Risiko darstellen, sobald er über einen Bankkanal auf ein Konto zugreift. Banken müssen normale, vom Kunden genehmigte Zugriffe von Handlungen außerhalb der Befugnis unterscheiden und nachvollziehbare Aufzeichnungen führen; sonst lässt sich kaum beurteilen, ob eine ungewöhnliche Transaktion dem Willen des Kunden entspricht oder ob ein Agent seine Befugnisse überschritten hat.
Dieses Dokument ist kein neues Gesetz: Wo seine Grenzen liegen
Sein rechtlicher Status muss klar bleiben: Es schafft keine neuen regulatorischen Anforderungen, und Banken können es nicht als Checkliste für eine Selbsteinschätzung verwenden. Reuters wies darauf hin, dass das Dokument zwar nicht rechtsverbindlich ist, Banken solche Prüfungsleitlinien aber in der Regel sehr ernst nehmen und allein Veränderungen in der Prüfungspraxis reale Wirkung entfalten können. Sein Anwendungsbereich beschränkt sich auf das vom OCC beaufsichtigte Bankensystem der USA; er lässt sich nicht direkt auf andere Länder übertragen und ist keine weltweite Regel für Bank-KI. Bestehende gesetzliche Pflichten gelten weiterhin — der Rahmen sagt Prüfern lediglich, welche zusätzlichen Fragen sie innerhalb des bestehenden Rahmens stellen sollen. Entscheidend ist nun, wie die Fragenliste in tatsächlichen Prüfungen genutzt wird und ob das OCC das Dokument mit dem technischen Wandel aktualisiert.
