KI-Agenten im Finanzwesen: Was Banken und Versicherer unter EU-Regeln betreiben können

KI-Agenten laufen im Finanzwesen heute bei eng begrenzter, beaufsichtigter Backoffice-Arbeit: Payment Repair, Trade Exceptions, Dokumentenprüfungen und kleine Versicherungsschäden, wobei weiterhin ein Mensch das Geld freigibt oder über die Auszahlung entscheidet. Die Kreditwürdigkeitsprüfung natürlicher Personen und die Preisbildung in der Lebens- und Krankenversicherung sind nach der KI-Verordnung (EU AI Act) hochriskant, Autonomie ist dort also schwierig. Die beiden Aufsichtsdokumente, die wir nach Agentenbegriffen durchsucht haben, die KI-Orientierungshilfe der BaFin und die Stellungnahme der Europäischen Aufsichtsbehörden zu Frontier-KI-Modellen, enthalten keinen agentenspezifischen Text. Wir lesen das so, dass Agenten je nach Verwendungszweck unter die bestehenden Regeln fallen. Alles hier gilt mit Stand November 2026 und ist eine technische Lesart dieser Dokumente, keine Rechtsberatung.

Was Banken und Versicherer öffentlich eingesetzt haben

Die öffentliche Beleglage ist dünner, als Anbietermaterial vermuten lässt, und vieles davon ist Selbstauskunft. Das hier konnten wir auf eine namentlich genannte Quelle zurückführen.

Fast jeder Eintrag ist ein abgegrenzter Prozess mit klarer Falldefinition, und das konkreteste Versicherungsbeispiel deckelt Schäden bei 500 AUD. Derselbe Sibos-Rückblick von R. Beri (Oktober 2026) berichtet, dass kein Live-Einsatz Zahlungen ohne Aufsicht freigibt. Das ist ein einzelner Newsletter, also eine Beobachtung und keine Vollerhebung. Die europäischen Namen hier sind zudem große Konzerne. Der Status von Ada bei der Deutschen Bank blieb in diesem Rückblick unklar, und einen öffentlichen Agenteneinsatz mit Zahlen bei einer deutschen Bank können wir nicht nennen.

Rückzieher verdienen dieselbe Aufmerksamkeit. Im Juli 2025 strich die Commonwealth Bank of Australia 45 Servicestellen, im Zusammenhang mit KI. Am 21. August 2025 räumte sie einen Fehler ein und entschuldigte sich, und die Gewerkschaft FSU sprach von einem großen Erfolg (Information Age). Wenn der Business Case eines Agenten auf dem Personalbestand beruht, prüfen Sie die Annahme an realen Volumen, bevor jemand sie verkündet.

Kundennahe Bots bringen eine eigene Haftungslektion mit. In Moffatt v. Air Canada (2024 BCCRT 149) machte ein kanadisches Tribunal für Bagatellstreitigkeiten die Fluggesellschaft wegen fahrlässiger Falschdarstellung (negligent misrepresentation) durch ihren Chatbot haftbar und wies das Argument zurück, der Bot sei eine eigenständige Einheit. Der Fall betraf einen Chatbot und eine Fluggesellschaft, und er bindet kein europäisches Gericht. Trotzdem würden wir davon ausgehen, dass das, was der Agent einer Bank einem Kunden sagt, das ist, was die Bank dem Kunden gesagt hat.

Anwendungsfälle, nach Ort der Arbeit

KI-Agenten in Banken und Versicherungen lassen sich in wenige Gruppen einteilen, sobald man fragt, wer die Folgen eines falschen Schritts trägt.

Ausnahmen im operativen Betrieb sind die stärkste Gruppe. Payment Repair und Trade Exceptions haben einen definierten Fehler, einen bekannten Lösungsraum und einen Menschen, der das Ergebnis freigeben kann. Der Agent sammelt Daten, schlägt eine Korrektur vor und übergibt einen vollständigen Fall.

Danach kommt die Dokumentenarbeit: Prüfungen beim Onboarding, Extraktion für das Trade Accounting, das Zusammenstellen einer Akte für die Kredit- oder die Schadenbearbeitung. Ein Fehler zeigt sich als Nacharbeit, vorausgesetzt, jemand liest die Ausgabe wirklich.

Für kleine Versicherungsschäden gibt es ein öffentliches Beispiel mit einer menschlichen Entscheidung am Ende. Das Design von Project Nemo zeigt auch, wie eng „Agent“ in der Praxis sein kann: eine Schadenart, eine Obergrenze, sieben Agenten rund um eine menschliche Auszahlungsentscheidung.

Alerts zu Betrug und Finanzkriminalität passen gut zur Ermittlungsunterstützung, bei der der Agent Belege zu einem Alert sammelt und eine Zusammenfassung schreibt. Auf den Alert zu reagieren, etwa durch die Sperrung eines Kontos, ist etwas anderes, denn ein Fehlalarm trifft einen Kunden.

Dann folgen die Fälle, die eine Entscheidung über eine Person berühren: Kreditvergabe, Versicherungspreise, Anlageberatung. Die Regulierung setzt hier am direktesten an.

Was die Aufsichtsdokumente über Agenten sagen

Nichts Spezifisches, in den beiden Dokumenten, die wir durchsucht haben. Eine Textsuche in der Guidance on ICT Risks in the Use of AI at Financial Entities der BaFin ergab keinen Abschnitt zu Agenten, und eine Textsuche in der Stellungnahme der Europäischen Aufsichtsbehörden zu Frontier-KI-Modellen, JC 2026 25 (31. Juli 2026), ergab keine Agentenbegriffe. Die anderen in diesem Artikel genannten Dokumente haben wir nicht auf dieselbe Weise durchsucht, über sie treffen wir also keine solche Aussage.

Diese Aussage gilt nur für diese Dokumente. Wir konnten nicht feststellen, dass keine EU-Aufsichtsbehörde irgendwo über Agenten geschrieben hat, und britische, US-amerikanische und internationale Aufsichtsbehörden sind nicht Gegenstand dieses Artikels.

In der Praxis würden wir erwarten, dass eine Aufsicht oder Prüfung bei der Funktion des Agenten und dem IKT-System ansetzt, auf dem er läuft. Das Wort „Agent“ verschafft Ihnen weder eine Ausnahme noch eine eigene Kategorie.

Die Position der EBA weist in dieselbe Richtung. Ihr Factsheet vom November 2025 stellte „No significant contradictions“ zwischen KI-Verordnung und Bankrecht fest und kein „immediate need“ für neue oder überarbeitete EBA-Leitlinien, hält aber auch fest, dass das Factsheet weder eine Leitlinie noch eine offizielle Position ist. Das Schreiben des EBA-Vorsitzes vom 21. November 2025 ergänzt, dass es in der KI-Verordnung keine Ausnahmen für menschliche Aufsicht, Data Governance und Cybersicherheit gibt und dass DORA Cybersicherheit und Business Continuity abdeckt („extensively covers“). Die ESMA erklärte im Mai 2024, dass die Pflichten aus MiFID II bestehen bleiben, wenn Firmen KI in Wertpapierdienstleistungen für Privatkunden einsetzen.

DORA: den Agenten als IKT-System behandeln

DORA, Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025. Die beiden durchsuchten Dokumente enthalten keine Agentenregel, also behandeln wir einen Agenten als IKT, die das Finanzunternehmen steuern muss.

Nach unserer praktischen Lesart entscheiden drei Fragen darüber, wie aufwendig das wird, und wir würden sie vor dem ersten Prototyp beantworten:

1. Unterstützt der Agent eine kritische oder wichtige Funktion? Die unten besprochene Orientierungshilfe der BaFin nutzt diese Unterscheidung, und ein Agent im Zahlungsbetrieb liegt viel näher an der Grenze als ein Suchwerkzeug für Richtlinien.
2. Welche Abhängigkeiten von Dritten gibt es? Bei einem Agenten gehören dazu der Modellanbieter, das Framework, jeder MCP-Server und jedes SaaS-Tool, das er aufruft. Ihre Teams für IKT-Risiko und Anbietermanagement werden jeden davon auf ihrer Liste haben wollen, auch die, die ein Entwickler der Bequemlichkeit halber ergänzt hat.
3. Was passiert, wenn er ausfällt? Der manuelle Prozess muss bei abgeschaltetem Agenten weiter funktionieren, und jemand muss ihn ohne Release abschalten können.

Für die Bedrohungsseite (Injection, Tool Poisoning, Zugangsdaten) siehe unseren Artikel zur Sicherheit von KI-Agenten. Das wiederholen wir hier nicht, mit einer Ausnahme, die bei einer Bank schwerer wiegt: Angesichts der EBA-Anmerkung dazu, dass DORA Cybersicherheit und Business Continuity abdeckt, würden wir ein Sicherheitsversagen eines Agenten auch als Frage der operationalen Resilienz behandeln.

KI-Verordnung: Hochrisiko hängt von der Verwendung ab

Zwei Einträge in Anhang III sind für diese Branche am wichtigsten. Nr. 5 Buchst. b erfasst KI-Systeme, die die Kreditwürdigkeit oder Bonität natürlicher Personen bewerten, außer Systemen zur Aufdeckung von Finanzbetrug. Nr. 5 Buchst. c erfasst Risikobewertung und Preisbildung in Bezug auf natürliche Personen in der Lebens- und Krankenversicherung. Das haben wir einem Textspiegel des Anhangs entnommen, der keine Omnibus-Änderungen zeigt. Prüfen Sie den Wortlaut also am Amtsblatt.

Aus dem Wortlaut folgen einige Konsequenzen, und jede davon ist eine Frage an Ihre Rechtsberatung:

• Pauschale Aussagen wie „Versicherungspreise sind hochriskant“ gehen zu weit. Der Text nennt Leben und Kranken. Kfz- und Sachversicherungspreise sind in Buchst. c nicht genannt, auch wenn für sie andere Regeln gelten.
• Der Krediteintrag betrifft natürliche Personen. Eine Kreditvorlage für Firmenkunden liegt außerhalb des Wortlauts, ein Einzelunternehmer womöglich nicht.
• Ein System zur Betrugserkennung liegt außerhalb von Buchst. b. Diese Ausnahme sagt nichts darüber, was ein Agent danach mit dem Konto tun darf, und nichts zum Datenschutz.
• Eine menschliche Freigabe am Ende zeigt für sich genommen nicht, dass ein Agent, der eine Kreditakte vorbereitet, außerhalb von Buchst. b liegt. Ohne Beratung würden wir das nicht annehmen.

Termine

Die Europäische Kommission bestätigt die Daten des Digital-Omnibus in der Tabelle. Verordnungsnummer und Amtsblattdatum beruhen auf Sekundärquellen: Cooley (3. August 2026) und der NicFab-Blog (24. Juli 2026) nennen die Verordnung (EU) 2026/1744, veröffentlicht im Amtsblatt am 24. Juli 2026. Den Amtsblatttext selbst konnten wir nicht lesen.

Art. 50 ist für alles Kundennahe relevant. Unser Artikel zur Entwicklung von KI-Agenten erklärt, was die Offenlegung für einen Agenten bedeutet. Davon getrennt wirft ein Kreditagent auch die Frage nach Art. 22 DSGVO zu automatisierten Einzelentscheidungen auf, was unser Prozessartikel zusammen mit Datenschutz-Folgenabschätzung und den Schritten mit dem Betriebsrat behandelt.

BaFin und die deutschen Regeln

Das veröffentlichte Material der BaFin gibt eine Richtung vor, ohne Erwartungen zu setzen, und die Statusangaben sind genaues Lesen wert. Die Guidance on ICT Risks in the Use of AI at Financial Entities (erstmals veröffentlicht am 18. Dezember 2025, englische Fassung vom 23. Januar 2026) bezeichnet sich als „non-mandatory“ und sagt, sie sei weder eine verbindliche Auslegung von DORA noch eine Darstellung aufsichtlicher Erwartungen. Ein Projektplan sollte also nicht unter Berufung auf dieses Dokument behaupten, „die BaFin verlangt X“.

Sie sagt allerdings, dass KI in kritischen oder wichtigen Funktionen mehr Kontrollen braucht als Self-Service-Assistenten unter voller menschlicher Aufsicht, und sie enthält eine Fallstudie zu einem LLM-Assistenten. Ein Agent mit Schreibzugriff auf ein Zahlungs- oder Kernbanksystem liegt auf dieser Skala weiter außen als der Assistent in der Fallstudie. Dieser letzte Schritt ist unsere Schlussfolgerung, denn die Orientierungshilfe hat keinen Abschnitt zu Agenten.

Zur KI-Verordnung selbst beschreibt ein BaFin-Interview vom Juli 2026 das Mandat als Überwachung, in Abgrenzung zur Aufsicht, ausgeübt durch Stichproben. Die Hochrisiko-Überwachung beginnt im Dezember 2027, und als Hochrisiko-Beispiel dient die Kreditwürdigkeitsprüfung natürlicher Personen durch Banken. KI im HR-Bereich fällt in die Zuständigkeit der Bundesnetzagentur, eine Bank kann es bei zwei verschiedenen Agenten also mit zwei Behörden zu tun haben.

Die MaRisk sind der deutsche Text, der der Modellebene am nächsten kommt. Die 9. Novelle, Rundschreiben 06/2026 (BA) vom 30. Juni 2026, behandelt „künstliche Intelligenz“ in AT 4.3.4 zu Modellen und verlangt Erklärbarkeit. AT 7.2 bleibt erhalten, von DORA erfasste IKT-Dienstleistungen fallen aus AT 9 heraus, und direkt von der EZB beaufsichtigte Institute scheiden aus dem Anwendungsbereich aus. Ein Anwendungsdatum nennen wir nicht, weil wir es nicht aus einer Primärquelle bestätigen konnten; entnehmen Sie es dem Rundschreiben. Ob ein Agent als Ganzes als Modell im Sinne von AT 4.3.4 gilt, können wir anhand des Gelesenen nicht klären. Wir würden es so dokumentieren, als ob er es wäre, zumindest für jeden Schritt, der eine Risikoentscheidung beeinflusst: welches Modell, welche Version, welche Eingaben und warum diese Ausgabe.

Die BAIT laufen aus. Laut Bundesbank werden sie zum Ablauf des 31. Dezember 2026 vollständig aufgehoben; Institute im Anwendungsbereich von DORA sind bereits ausgenommen, und weitere Nicht-CRR-Institute wechseln am 1. Januar 2027 zu DORA. Ein heute geplantes Agentenprojekt sollte sein Kontroll-Mapping nicht auf die BAIT stützen.

Das Material der BaFin richtet sich an Finanzunternehmen allgemein, MaRisk und BAIT sind aber Banktexte. Versicherer sollten diese beiden also nicht übertragen. Die entsprechenden Rundschreiben für Versicherungen haben wir für diesen Artikel nicht geprüft.

Heute realistisch, und was die Aufsicht schwer macht

Das ist unsere Einschätzung, und Ihre Aufsicht und Rechtsberatung können einen konkreten Fall anders einordnen.

Bei schwierigen Fällen ist ein konventionelles, validiertes Modell oft schon das richtige Werkzeug. Kreditscoring ist ein Vorhersageproblem und profitiert selten von einer offenen Tool-Schleife. Unser Projekt zum Kreditscoring war Machine-Learning-Arbeit, kein Agent, und das ist bei dieser Art von Aufgabe meist die richtige Form.

Einen Agenten bauen, der eine Prüfung übersteht

Eine Prüfung in einem regulierten Unternehmen läuft besser, wenn die Akte konkrete Fragen beantwortet, ohne dass ein Engineer im Raum ist. Diese Entscheidungen prägen die Akte.

Der Freigabepunkt folgt aus dem Risiko. OpenAIs A practical guide to building agents nennt Zahlungen und hohe Erstattungen unter den hochriskanten Aktionen, die „sensitive, irreversible, or have high stakes“ sind, und das passt zu dem, was die öffentlichen Einsätze tun: Die Freigabe liegt bei einem Menschen. Machen Sie die Freigabe aussagekräftig, indem Sie die genaue Zahlungsanweisung oder Schadenentscheidung anzeigen, und halten Sie fest, wer freigegeben hat und was diese Person gesehen hat.

Führen Sie die Dokumentation pro Fall. Für jeden Lauf: die Eingabe, abgerufene Dokumente, jeder Modell- und Tool-Aufruf, die Modellversion, Richtlinienentscheidungen und die menschliche Aktion. Prüfende können einen Fall dann noch Monate später nachvollziehen, und Sie haben zugleich das Material, um einen modellgetriebenen Schritt zu erklären.

Messen Sie gegen den heutigen Prozess. Die 80 % der Allianz sind eine Aussage über die Zeit bei einer Schadenart. Ihre eigene Zahl braucht eine vor dem Pilot erhobene Baseline und daneben eine Fehlerquote. Unser Artikel zu KI-Agenten für Unternehmen enthält eine Bewertungstabelle für die Wahl des ersten Falls.

Häufig gestellte Fragen

Gibt es EU-Regeln speziell für KI-Agenten im Finanzwesen?

Nicht in den beiden Dokumenten, die wir durchsucht haben: der KI-Orientierungshilfe der BaFin und der Stellungnahme JC 2026 25 der ESAs. Über andere Dokumente treffen wir keine Aussage.

Ist Kreditscoring mit einem KI-Agenten hochriskant?

Die Bewertung der Kreditwürdigkeit oder Bonität natürlicher Personen steht in Anhang III Nr. 5 Buchst. b, unabhängig von der Architektur. Die Europäische Kommission nennt den 2. Dezember 2027 als Geltungsbeginn der Pflichten nach Anhang III.

Sind alle Versicherungspreise nach der KI-Verordnung hochriskant?

Nein. Anhang III Nr. 5 Buchst. c nennt Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung. Andere Sparten sind dort nicht genannt, auch wenn für sie andere Regeln gelten.

Hat die BaFin Erwartungen an KI-Agenten formuliert?

Ihre KI-Orientierungshilfe bezeichnet sich als „non-mandatory“, sagt, dass sie keine aufsichtlichen Erwartungen setzt, und hat keinen Abschnitt zu Agenten. Sie sagt allerdings, dass KI in kritischen oder wichtigen Funktionen mehr Kontrollen braucht als Self-Service-Assistenten unter voller menschlicher Aufsicht.

Welche Anwendungsfälle für KI-Agenten im Bankwesen sind heute realistisch?

Payment Repair, Trade Exceptions und Dokumentenprüfungen, mit einem Menschen, der das Ergebnis freigibt oder genehmigt. Der von uns zitierte Sibos-2026-Rückblick berichtet von keinem Live-Einsatz, der Zahlungen ohne Aufsicht freigibt.

Zusammenarbeit mit AI Superior

AI Superior ist ein KI-Engineering-Unternehmen in Darmstadt, 2019 von KI-Wissenschaftlern gegründet. Wir bauen LLM-Anwendungen, RAG-Systeme und KI-Agenten für B2B-Kunden. Den Branchenkontext finden Sie auf unseren Seiten zu KI im Finanzwesen und KI in Versicherungen. Um einen Agenten für einen beaufsichtigten Prozess zuzuschneiden, beginnen Sie mit unseren Leistungen zur KI-Agenten-Entwicklung.

Quellen und weiterführende Literatur

• Verordnung (EU) 2022/2554 (DORA); EIOPA, Seite zum Digital Operational Resilience Act.
• Anhang III der KI-Verordnung, Textspiegel auf artificialintelligenceact.eu (zeigt keine Omnibus-Änderungen).
• Europäische Kommission, Seite zum Rechtsrahmen für KI, Daten des Digital-Omnibus.
• Cooley, Beitrag zum Digital and AI Omnibus, 3. August 2026; NicFab-Blog, 24. Juli 2026.
• BaFin, Guidance on ICT Risks in the Use of AI at Financial Entities, 18. Dezember 2025, englische Fassung vom 23. Januar 2026.
• BaFin, Interview mit Obermöller zur KI-Verordnung, 29. Juli 2026.
• BaFin, Rundschreiben 06/2026 (BA), 9. MaRisk-Novelle, 30. Juni 2026.
• Deutsche Bundesbank, Seite zu BAIT und DORA.
• EBA, Factsheet zu den Auswirkungen der KI-Verordnung auf den EU-Bankensektor, November 2025; Schreiben des EBA-Vorsitzes, 21. November 2025.
• ESMA, Stellungnahme zu KI in Wertpapierdienstleistungen für Privatkunden, 30. Mai 2024.
• Europäische Aufsichtsbehörden, Toward a consistent and risk-based approach for ICT risks from frontier AI models, JC 2026 25, 31. Juli 2026.
• CNBC, Bericht über BNY, 9. Februar 2026.
• American Banker, Bericht über Goldman Sachs, 13. Februar 2026.
• The Fintech Times, Bericht über die Lloyds Banking Group, 5. Februar 2026.
• Beri, R., Rückblick auf die Sibos 2026, 2. Oktober 2026.
• Allianz, Artikel zu Project Nemo, 3. November 2025.
• Information Age, Bericht über die Commonwealth Bank, 2025.
• Moffatt v. Air Canada, 2024 BCCRT 149; Zusammenfassung von McCarthy Tétrault, 19. Februar 2024.
• OpenAI, A practical guide to building agents, 2025.