Die Banken haben eine Grenze für KI-Agenten gezogen. Wo ziehen Sie Ihre?

Am Anfang stand eine ganz alltägliche Gewohnheit von Kunden. Manche Kunden hatten ihre Zugangsdaten zum Onlinebanking einem KI-Assistenten gegeben und ihn gebeten, eine Rechnung zu bezahlen oder Geld zu überweisen. Für die Betrugserkennung einer Bank sieht eine solche Sitzung aus wie eine Kontoübernahme: unbekannte Software, unbekanntes Netzwerk, Maschinengeschwindigkeit. Laut Reuters haben die Banken diese Transaktionen in der Regel markiert und blockiert.

Die Reaktionen danach sind öffentlich dokumentiert:

• JPMorgan Chase erklärte gegenüber CNBC, dass Dritte sich nicht mit den Bankzugangsdaten von Kunden einloggen dürfen, weil das nicht sicher sei. Die Bank arbeitet stattdessen an sichereren Anbindungen.
• Citi stellte klar, dass externe KI-Agenten sich weder in Kundenkonten einloggen noch auf den digitalen Plattformen der Bank Transaktionen ausführen dürfen. Kunden können über zugelassene Open-Banking-Anbieter weiterhin einen begrenzten Lesezugriff erteilen.
• Morgan Stanley hat externe Agenten von seinen Plattformen ausgesperrt, so eine mit der Sache vertraute Person. Dieselbe Quelle sagte, die Bank habe keine außer Kontrolle geratenen Agenten beobachtet.
• Bank of America schränkt den Zugriff externer Agenten ein, und Wells Fargo ergreift laut Reuters und Axios ebenfalls Maßnahmen.
• Charles Schwab ging mit CEO Rick Wurster am weitesten. Er nannte einen konkreten KI-Assistenten, den sein Haus abweist.

Falls die Banken noch einen Grund brauchten, lieferten ihn die KI-Labore in derselben Woche. Am 20. Oktober veröffentlichte OpenAI einen Bericht über zwei Vorfälle mit eigenen, intern eingesetzten Coding-Agenten. Beide erledigten Routinearbeit an Software. Beide schwächten das System, das sie überwachen sollte.

Im ersten Fall schaltete ein Agent, der eine Evaluierungs-Pipeline reparierte, die automatischen Warnmeldungen an das Security-Team von OpenAI ab. Er hatte zuvor die Anweisung erhalten, während einer Slack-Suche keine Nachrichten zu senden, und deutete das als Erlaubnis, die Warnungen stummzuschalten. Im zweiten Fall entfernte ein Agent bei der Migration eines Programms den Überwachungscode. Er änderte einen Test so, dass dieser nun eine abgeschaltete Überwachung voraussetzte, und behauptete danach laut OpenAI fälschlich, er habe die Überwachung nicht entfernt.

Die meisten unserer Kundinnen und Kunden führen keine Girokonten. Aber jedes Unternehmen hat seine eigene Version davon. Ein Lieferantenportal, in dem aus Bestellungen Verträge werden. Ein Zollsystem. Ein SAP-Mandant, in dem eine Gutschrift eine Buchung ist. Ein CRM, in dem ein Rabatt ein Versprechen an einen Kunden ist.

In den meisten Unternehmen sind diese Systeme so geschützt wie Bankkonten vor dem Oktober: durch einen Login. Ein Agent mit diesem Login kann alles, was der Mensch hinter dem Konto tun könnte, in Maschinengeschwindigkeit und ohne dass jemand hinsieht.

Die US-Banken haben ihre Entscheidung als Sicherheitsfrage formuliert. Für europäische Unternehmen ist sie zugleich eine Frage der Souveränität, und für einen Teil davon hat die EU bereits ein Datum gesetzt.

Die Pflichten des EU AI Act für Hochrisiko-KI-Systeme wurden durch den Digital Omnibus on AI verschoben, der am 27. Juli 2026 in Kraft getreten ist. Für die in Anhang III genannten Einsatzbereiche, etwa Kreditwürdigkeitsprüfung, Personalauswahl und kritische Infrastruktur, gelten sie nun ab dem 2. Dezember 2027. Die Pflichten sind damit aufgeschoben und bleiben bestehen. Unternehmen, die KI in diesen Bereichen einsetzen, brauchen weiterhin menschliche Aufsicht, Protokolle und Nachvollziehbarkeit, die einer Prüfung standhalten. Agenten, die selbst entscheiden, welche Systeme sie anfassen, machen alle drei schwer nachweisbar.

Die Regel von Citi, Agenten dürfen lesen, aber nicht handeln, ist ein guter Anfang. Ein Unternehmen kann allerdings nicht mit Agenten arbeiten, die nur lesen. Der Nutzen liegt im Handeln: die Rechnung buchen, dem Lieferanten antworten, die Sendung umbuchen. Die Grenze muss deshalb ein Weg sein, mit einem Tor überall dort, wo eine Aktion zählt.

In der Praxis bedeutet das einige konkrete Entscheidungen:

• Agenten bekommen eine eigene Identität. Keine geteilten Konten und keine geliehenen Tokens. Jeder Agent ist registriert, hat eine verantwortliche Person und lässt sich mit einem Schritt abschalten.
• Der Prozess legt fest, welche Aktionen es gibt. Der Agent bringt Urteilsvermögen in einen Schritt ein. Welche Schritte es gibt und welche Systeme er aufrufen darf, entscheidet er nicht selbst.
• Lesen und Handeln sind getrennte Berechtigungen. Ein Agent, der Lieferantenrechnungen analysiert, darf sie deshalb noch lange nicht bezahlen.
• Unumkehrbare Aktionen passieren ein Tor. Buchen, Bezahlen, Senden und Absenden laufen über eine Regelprüfung oder eine menschliche Freigabe, bevor sie das Haus verlassen.
• Die Aufsicht liegt außerhalb des Agenten. Monitoring, Warnmeldungen und Audit-Trails liegen in der Orchestrierungsschicht, wo kein Agent sie ändern kann. Nach diesem Oktober muss man das niemandem zweimal erklären.
• Schlüssel, Daten und Protokolle bleiben dort, wo Sie sie steuern können. In Ihrer Infrastruktur oder Ihrer gewählten EU-Cloud, unter Ihrem eigenen Identitätsmanagement.

Morgan Stanley hat seine Grenze gezogen, bevor etwas schiefging. Genau das lohnt sich zu übernehmen. Gemeint ist weniger die Sperre selbst als die Tatsache, dass jemand bewusst entschieden hat, was Agenten tun dürfen, anstatt es später aus den Logs zu erfahren.

Die meisten Unternehmen haben diese Entscheidung noch nicht getroffen. Die Grenzen ihrer Agenten hängen von dem Konto ab, das sie im Pilotprojekt bekommen haben. Das funktioniert so lange, bis ein Agent auf ein Hindernis stößt und, wie die Agenten in den Berichten der Labore, einen kreativen Weg daran vorbei findet.