Laut Insidern verschärfen die Bankenaufsichtsbehörden die Überprüfung im Bereich KI, da die Sorgen um die Stabilität zunehmen
- von Nupur Anand und Phoebe Seers und Tommy Reggiori Wilkes
NEW YORK/LONDON, 13. Okt (Reuters) - Die Bankenaufsichtsbehörden verstärken ihre Bemühungen, die wachsenden KI-Risiken einzudämmen, sagten sechs mit der Angelegenheit vertraute Personen. Einige wiesen dabei auf das Potenzial von Cyberangriffen auf Banken oder „abtrünnige“ KI-Agenten hin, die die globale Finanzstabilität untergraben könnten.
Die behördliche Überprüfung, über die hier erstmals neue Details berichtet werden, spiegelt die wachsende Erkenntnis wider, dass Fortschritte im Bereich der Pionier-KI kostspielige Investitionen in die Cyber-Notfallwiederherstellung, eine stärkere Beachtung der Abhängigkeiten von externen Technologieanbietern und in einigen Rechtsräumen formellere regulatorische Leitlinien erfordern könnten, so die Insider.
Drei führende Aufsichtsbehörden in den Vereinigten Staaten, darunter die Federal Reserve, befragen Banken zu deren Einsatz fortschrittlicher KI-Modelle, wie zwei der Personen gegenüber Reuters angaben; dies ergänzt frühere Überprüfungen (link).
Zu den Fragen gehört, ob sie in China entwickelte Technologien einsetzen, KI-Agenten zur Cyberabwehr nutzen und zunehmend autonome Systeme kontrollieren können, sagten drei der Informanten.
In Europa drängen Aufsichtsbehörden wie die Bank of England und die Europäische Zentralbank die Banken dazu, ihre Notfallpläne zu verbessern, da sie befürchten, dass rasante Fortschritte im Bereich der KI früher als bisher befürchtet ernsthafte Schäden und Störungen auf den Finanzmärkten verursachen könnten, sagten drei Personen, die über deren Überlegungen informiert sind.
Ein leitender Angestellter einer großen europäischen Bank sagte, auch sie seien besorgt über potenziell erhebliche Schäden für den Banken- und Finanzmarkt „innerhalb von sechs Monaten“.
Die Debatte über die KI-Aufsicht hat sich angesichts von Warnungen aus der Branche nach den jüngsten Vorfällen verschärft. Jamie Dimon, CEO von JPMorgan JPM.N, forderte Unternehmensführer auf, sich einer auf die USA ausgerichteten Branchenvereinigung anzuschließen, um KI-Risiken anzugehen, wie Reuters berichtete (link).
Das US-Cybersicherheitsunternehmen CrowdStrike teilte diesen Monat mit, dass eine Person in China bei einem Hackerangriff (link) auf südkoreanische Banken wahrscheinlich einen in China entwickelten KI-Agenten sowie den „Claude Code“ von Anthropic eingesetzt habe. Von OpenAI entwickelte „Rogue“-KI-Agenten waren unterdessen an einem Angriff auf die KI-Plattform Hugging Face beteiligt, wie Reuters berichtete (link).
Forscher von Anthropic haben davor gewarnt, dass immer leistungsfähigere KI-Systeme letztendlich der menschlichen Kontrolle entgleiten und sogar eine existenzielle Bedrohung darstellen könnten, was Forderungen nach strengeren Vorschriften laut werden ließ (link).
Banken wetteifern um die Einführung von „agentischer KI“ (link), die Aufgaben mit minimaler menschlicher Aufsicht erledigen kann, während sie gleichzeitig mit den Herausforderungen neuer Modelle zu kämpfen haben, darunter IT-Schwachstellen, auf die das Tool „Mythos“ von Anthropic (link) hinweist.
„Die Einführung von KI schreitet oft schneller voran als die Fähigkeit, entsprechende Kontrollmechanismen zu etablieren“, sagte Michael Woodbridge, Partner für Cybersicherheit bei Grant Thornton in London.
US-BEDENKEN RICHTEN SICH AUF AGENTISCHE KI
Im Mittelpunkt der Untersuchungen der US-Aufsichtsbehörden steht die Frage, wie Banken agentische KI in Bereichen wie der Cybersicherheit einsetzen, wobei der Schwerpunkt darauf liegt, ob KI-Agenten zur Identifizierung, Priorisierung und Reaktion auf Bedrohungen genutzt werden.
Fragen des Office of the Comptroller of the Currency (OCC) sowie der Federal Deposit Insurance Corporation und der Fed konzentrieren sich darauf, welche Beschränkungen für die Systeme gelten, wie deren Handlungen überwacht und genehmigt werden und ob Banken die Entscheidungen von KI-Agenten eindeutig nachverfolgen und prüfen können, sagten zwei der Informanten.
Außerdem wird gefragt, welche Sicherheitsvorkehrungen es gibt, um zu verhindern, dass Agenten ihre Befugnisse überschreiten, ob Menschen weiterhin an wichtigen Entscheidungen beteiligt sind und wie Banken autonome Systeme abschalten können.
Die OCC, die Fed und die FDIC lehnten eine Stellungnahme ab.
Mit ihren Fragen untersuchen die Aufsichtsbehörden spezifischere Themen im Zusammenhang mit fortschrittlichen KI-Modellen, darunter den Einsatz autonomer KI-Agenten, im Ausland entwickelte Modelle und neue Cyberrisiken, sagten die drei Personen, die über die Überlegungen der Aufsichtsbehörden informiert sind.
Die schriftlichen und mündlichen Anfragen an große, mittelgroße und kleinere Banken zeigen, dass sich die Aufsichtsbehörden auf Schwachstellen beim Einsatz von KI durch die Banken und deren Handlungsbereitschaft konzentrieren, fügten sie hinzu.
Die Aufsichtsbehörden sammeln derzeit noch Informationen und geben noch keine verbindlichen Vorgaben dazu, was die Kreditinstitute tun sollten, sagten sie.
EUROPÄER SORGEN SICH UM DIE WIEDERERHOLUNG
Die britischen Aufsichtsbehörden ermutigen die größten Banken separat dazu, sogenannte „Bare-Metal“-Wiederherstellungspläne zu prüfen, sagten zwei der mit ihren Überlegungen vertrauten Personen. Diese Systeme sind völlig unabhängig von der Haupt-IT-Infrastruktur einer Bank und können zum Einsatz kommen, wenn die primären Betriebssysteme kompromittiert werden.
Der Aufbau und die Wartung solcher hochmoderner Wiederherstellungssysteme seien jedoch kostspielig, so die Informanten.
Anstatt neue Anforderungen einzuführen, beabsichtigen die britischen Behörden, eng mit der Branche zusammenzuarbeiten, fügten sie hinzu.
Die BoE lehnte eine Stellungnahme ab.
Die EZB hatte den Kreditinstituten im Juli eine Frist bis Ende Oktober gesetzt, um Pläne zur Abwehr von KI-gestützten Cyberbedrohungen vorzulegen (link), darunter verbesserte Backup- und Wiederherstellungsmaßnahmen.
Auf die Frage nach ihrer Strategie zur Regulierung von KI verwies die EZB auf ihr Schreiben vom Juli sowie auf eine Rede des Vorstandsmitglieds Frank Elderson vom Juni, in der er betonte, dass hinsichtlich der Bedrohungen ein Gefühl der Dringlichkeit, nicht jedoch der Panik geschaffen werden müsse.
Die Notwendigkeit aufsichtsrechtlicher Maßnahmen hat zusätzlich an Dringlichkeit gewonnen, nachdem europäische Banken und Aufsichtsbehörden (link) ihre Frustration darüber zum Ausdruck gebracht hatten, dass sie in diesem Jahr nur begrenzten Zugang zu Mythos erhielten – vor dem Hintergrund der Befürchtung, dass US-Banken als Erste die Möglichkeit erhalten würden, Pioniermodelle zu testen.
Wie ihre US-Kollegen fordern auch die britischen Aufsichtsbehörden die Banken auf, „Frontier-KI“ einzusetzen, um Schwachstellen zu identifizieren und die Behebung dieser Schwachstellen zu beschleunigen, sagten zwei Personen; eine fügte hinzu, dass die Kreditinstitute bisher gute Arbeit leisteten.
Die dritte Person sagte, dass Banken in der Eurozone zudem aufgefordert würden, den Einsatz von KI in ihren Unternehmen und bei Drittanbietern zu erfassen, um wichtige Abhängigkeiten zu verstehen und sicherzustellen, dass sie Systeme auf kontrollierte Weise abschalten und neu starten können.
Bei einigen Unternehmen bestünden jedoch weiterhin erhebliche Lücken, fügten sie hinzu.
„Zum Schutz vor Angriffen ist eine schnelle Wiederherstellung genauso wichtig wie Prävention“, sagte Sukand Ramachandran, Geschäftsführer und Senior Partner bei BCG.
Ohne separat geführte, einwandfreie und sichere Kopien kritischer Daten „könnte ein schwerwiegender Angriff Kunden den Zugriff auf ihre Konten verwehren und den Zahlungsverkehr in der gesamten Wirtschaft stören“, erklärte Ramachandran gegenüber Reuters.
(Als Service bietet die Nachrichtenagentur Reuters eine automatische Übersetzung einiger englischer Artikel in eine Reihe von Sprachen an, darunter auch Deutsch. Da durch eine maschinelle Übersetzung Fehler entstehen können und der notwendige Kontext möglicherweise fehlt, übernimmt Reuters keine Gewähr für die Korrektheit der automatisch übersetzten Texte. Sie werden ausschließlich als Service zur Verfügung gestellt. Reuters lehnt eine Haftung für etwaige Schäden oder Verluste jeglicher Art ab, die aus der Nutzung der automatischen Übersetzungen entstehen.)