Glossar
Aktualisiert
Wer veröffentlicht das FS AI RMF, und ist es verpflichtend?
Das Framework wurde vom US-Finanzministerium in Partnerschaft mit dem Cyber Risk Institute veröffentlicht und unter Mitwirkung von mehr als 100 Finanzinstituten sowie Regierungsbehörden und Normungsorganisationen entwickelt. Es ist freiwillig und branchengeführt, stellt keine aufsichtsrechtliche Vorschrift dar, und eine Nichtbeachtung zieht keine direkten Sanktionen nach sich. Dennoch neigen freiwillige Frameworks, die gemeinsam mit dem Finanzministerium entwickelt und im gesamten Sektor weithin angenommen werden, dazu, der Referenzpunkt zu werden, den Prüfer heranziehen, wenn sie nach der Governance von KI in einem Unternehmen fragen.
Was beinhaltet das Framework?
Das FS AI RMF ist so konzipiert, dass es direkt einsatzfähig ist und nicht nur auf Prinzipien basiert. Unternehmen durchlaufen drei Stufen. Ein AI Adoption Stage Questionnaire klassifiziert den KI-Reifegrad. Eine Risk and Control Matrix (RCM) identifiziert, welche der 230 Kontrollziele für diese Stufe relevant sind. Implementierung und Dokumentation folgen anschließend dem Guidebook und dem Control Objective Reference Guide. Dieses mehrstufige Design stellt sicher, dass eine Regionalbank, die mit einem einzigen Tool eines Drittanbieters beginnt, und ein multinationaler Konzern, der Modelle im Handel und Underwriting einsetzt, nicht an denselben Kontrollen gemessen werden.
Wie verhält es sich zum NIST AI RMF?
Das FS AI RMF ist auf das NIST AI RMF abgestimmt und fungiert als branchenspezifischer Aufsatz. Es behält die Struktur von NIST bei, übersetzt diese jedoch in Kontrollen, die den Verpflichtungen von Finanzdienstleistern Rechnung tragen: Erklärbarkeit bei Kreditentscheidungen, Überwachung von Vorurteilen über demografische Gruppen hinweg, Risiken aus Drittanbieter-Beziehungen sowie operationelle Risiken durch agentische Systeme im Handel und Underwriting. Unternehmen, die bereits mit NIST arbeiten, erweitern damit ein bestehendes Programm, anstatt ein neues zu beginnen.
Warum gewinnt es nach SR 26-2 an Bedeutung?
Als SR 26-2 im April 2026 SR 11-7 ersetzte, wurden generative und agentische KI außerhalb des Anwendungsbereichs der Leitlinien zum Modellrisikomanagement (MRM) angesiedelt. Dadurch verfügen US-Banken zwar über etablierte MRM-Frameworks, die jedoch definitionsgemäß nicht ihre am schnellsten wachsende KI-Kategorie abdecken. Das FS AI RMF ist derzeit das am weitesten entwickelte Sektor-Framework, das diesen Bereich abdeckt. Somit ergänzen sich die beiden Ansätze, anstatt sich zu überschneiden: Die MRM-Leitlinien gelten für Modelle, das FS AI RMF für die KI, die das MRM nun ausdrücklich ausschließt.
Beispiel
Eine US-Regionalbank betreibt ein ausgereiftes Modellrisikomanagement-Programm, das für SR 11-7 entwickelt und an SR 26-2 neu ausgerichtet wurde. Ihr GenAI-Kundenservice-Assistent fällt jedoch gänzlich aus diesem Leitfaden heraus. Anstatt ein zweites Governance-Regime einzuführen, füllt die Bank den Fragebogen zur KI-Einführungsphase aus, identifiziert die für ihren Reifegrad geltenden FS AI RMF-Kontrollziele und überträgt diese auf ihre bestehende MRM-Nachweisstruktur. Dabei nutzt sie dasselbe Inventar, dieselben Eigentumsnachweise und denselben Überprüfungsrhythmus. Wenn Aufsichtsbehörden fragen, wie KI reguliert wird, gibt es ein einziges Register, das sowohl Modelle als auch KI-Systeme abdeckt, wobei das jeweils anwendbare Rahmenwerk für jeden Eintrag erfasst ist.