Banken setzen zunehmend auf künstliche Intelligenz, doch die Regulierer wollen wissen, ob die Finanzinstitute die Technologie unter Kontrolle halten können.
US-amerikanische Bankenaufseher befragen Banken zur Nutzung autonomer KI-Agenten, zu den Sicherheitsvorkehrungen für deren Handlungen und zu ihrer Abhängigkeit von im Ausland entwickelten Modellen, berichtet Reuters. Auch europäische Behörden untersuchen, wie gut Banken darauf vorbereitet sind, schwerwiegenden Cybervorfällen standzuhalten und sich davon zu erholen.
In Europa drängen die Regulierer Banken, ihre Fähigkeit zu stärken, sich von schwerwiegenden Cybervorfällen zu erholen – ein Ausdruck einer umfassenderen Sorge ist, dass sich die Fähigkeiten von KI möglicherweise schneller entwickeln als die zur Kontrolle erforderlichen Maßnahmen.
Die verstärkte Prüfung erfolgt zu einem Zeitpunkt, an dem KI-Tools zunehmend in der Lage sind, mehrstufige technische Aufgaben auszuführen, und dadurch möglicherweise sowohl Verteidigern als auch Angreifern helfen, Schwachstellen in Software zu identifizieren. Für Banken besteht die Herausforderung darin, diese Fähigkeiten zu nutzen, ohne KI-Systemen übermäßigen Zugriff auf sensible Daten, kritische Infrastruktur oder Finanzgeschäfte zu gewähren.
Regulierer wollen wissen, wie Banken KI-Agenten kontrollieren
KI-Entwickler mögen versprechen, dass ihre Modelle sicher sind, doch Bankenaufseher wollen wissen, was geschieht, wenn diese Systeme in Finanzinstituten eingesetzt werden.
Laut Reuters, fragen in den USA die Federal Reserve, das Office of the Comptroller of the Currency (OCC) und die Federal Deposit Insurance Corporation (FDIC) Banken nach ihrer Nutzung autonomer KI-Agenten, den Kontrollmechanismen für deren Handlungen und den von ihnen eingesetzten Modellen.
Eine Sorge ist die Nachvollziehbarkeit. Ob Banken rekonstruieren können, was ein KI-Agent getan hat, wann er es getan hat und warum er eine bestimmte Handlung ausgeführt hat.
Die Regulierer untersuchen außerdem, wie Banken diese Systeme überwachen und ihre Handlungen einschränken – unter anderem, ob eine menschliche Genehmigung erforderlich ist, bevor ein Agent sensible Vorgänge ausführt.
Beispielsweise könnte eine Bank verlangen, dass ein Mitarbeiter eine von einer KI erstellte Empfehlung prüft, bevor ein Konto gesperrt oder eine Zahlungsanweisung geändert wird. Solche Kontrollen könnten Instituten dabei helfen, von Automatisierung zu profitieren, ohne KI-Systemen uneingeschränkte Entscheidungsgewalt über folgenreiche Entscheidungen zu geben.
Fragen zur Nutzung ausländischer KI-Modelle deuten ebenfalls darauf hin, dass die Regulierer die Technologien untersuchen, von denen Banken abhängen, auch wenn die konkreten Gründe für diese Fragen noch geklärt werden müssen.
Die verstärkte Prüfung durch die Regulierer macht zwei miteinander verbundene Herausforderungen deutlich: die Kontrolle von in Banken eingesetzten KI-Systemen und die Sicherstellung, dass Finanzinstitute ihren Betrieb fortsetzen können, wenn die Cybersicherheitsmaßnahmen versagen.
Warum KI neue Cybersicherheitsrisiken für Banken mit sich bringt
KI-Tools können Finanzinstituten dabei helfen, technische Aufgaben zu automatisieren, Informationen zu analysieren und potenzielle Sicherheitsbedrohungen zu erkennen. Wenn diese Systeme jedoch mehr Autonomie erhalten, wirft das auch Fragen darüber auf, was geschieht, wenn sie Fehler machen, bösartigen Anweisungen folgen oder über ihre vorgesehene Befugnis hinaus handeln.
Jüngste Entwicklungen – von gemeldeten KI-gestützten Angriffen auf die Abwehrmaßnahmen südkoreanischer Banken bis hin zu den Warnungen des Internationalen Währungsfonds (IWF) vor Cyberangriffen, die das Vertrauen in die Finanzmärkte untergraben, deuten darauf hin, dass die Folgen über einzelne Institute hinausreichen könnten.
An erster Stelle stehen umfassendere Vorfälle, bei denen KI-Sandboxen umgeht und in externe, nicht autorisierte Systeme vordringt. Die Sorge besteht darin, dass KI dies, wenn sie es in anderen Branchen tun kann, auch in einem sensiblen Bereich wie dem Bankwesen tun könnte.
Zusammen erklären diese Entwicklungen, warum die Regulierer Banken dazu drängen, sowohl ihre KI-Kontrollen als auch ihre Fähigkeit zu stärken, den Betrieb wieder aufzunehmen, wenn die Cyberabwehr versagt.
Was eine strengere KI-Aufsicht für Banken bedeuten könnte
Eine strengere Prüfung durch die Regulierer könnte Banken dazu bringen, nachzuweisen, dass ihre KI-Systeme innerhalb klar definierter Grenzen arbeiten und dass Mitarbeiter bei Bedarf eingreifen können.
Für Finanzinstitute könnte das strengere Tests, bessere Aufzeichnungen über KI-Aktivitäten, engere Beschränkungen für den Zugriff und die Änderungsbefugnisse autonomer Agenten sowie robustere Vorkehrungen zur Wiederherstellung kritischer Dienste bedeuten.
Die Auswirkungen erstrecken sich auch auf Kunden. Ein schwerwiegender Cybervorfall könnte Zahlungen stören, den Kontozugriff einschränken oder sensible Finanzinformationen offenlegen. Eine wirksame Aufsicht und eine gute Wiederherstellungsplanung können Banken helfen, diese Folgen zu begrenzen, selbst wenn sich ein Angriff nicht verhindern lässt.
Die zentrale Frage für die Regulierer lautet, ob Banken nachweisen können, dass KI gegenüber den Menschen und Systemen, die für den Schutz des Finanzbetriebs verantwortlich sind, rechenschaftspflichtig bleibt.
Weitere Nachrichten: Berichte über manipulierte Ledger-Hardware-Wallets zeigen, wie physische Angriffe auf die Lieferkette Kryptowährungsbestände gefährden.