FSB-Sound-Practices für verantwortungsvolle KI-Einführung: ein freiwilliges Menü für den globalen Finanzsektor

Am 10. Juni 2026 veröffentlichte das Financial Stability Board (FSB) — das G20-Gremium, das die Finanzregulierung zwischen Jurisdiktionen koordiniert — einen Konsultationsbericht mit dem Titel Sound Practices for Responsible Adoption of Artificial Intelligence (AI). Er schlägt 12 Sound Practices vor, die Finanzinstitute auf ihre KI-Governance und auf die Art und Weise anwenden können, wie sie KI über den gesamten Lebenszyklus steuern. Die Konsultation steht bis zum 22. Juli 2026 offen.

Dies ist kein Gesetz und keine Norm. Das FSB stellt ausdrücklich fest, dass der Bericht "nicht darauf abzielt, eine internationale Norm zu etablieren" und keinen vorschreibenden Ansatz auferlegt; es ist ein Menü, aus dem Institute jeder Art — Banken und Nichtbanken — schöpfen können, im Verhältnis dazu, wie und in welchem Umfang sie KI nutzen. Diese Rahmung ist von Bedeutung: Das FSB hat keine bindende Regulierungsbefugnis, und seine Instrumente wirken, indem sie zum gemeinsamen Bezugspunkt werden, zu dem nationale Aufsichtsbehörden und Institute konvergieren.

Warum ein Stabilitätsgremium über KI schreibt

Der Bericht ist das praxisorientierte Gegenstück zu früheren FSB-Arbeiten. Im Oktober 2025 veröffentlichte das FSB Monitoring Adoption of Artificial Intelligence and Related Vulnerabilities in the Financial Sector, mit direkten und indirekten Indikatoren, mit denen Behörden den KI-Vormarsch und die damit verbundenen Verwundbarkeiten verfolgen können — Konzentration bei Drittparteien, Modellkorrelation, Abhängigkeit von Datenqualität und operationelle Fragilität. Die Sound Practices von 2026 kehren diesen Aufsichtsblick um und fragen, was einzelne Institute tun sollten. Die zugrunde liegende Sorge ist systemisch: Wenn viele Institute auf dieselbe kleine Gruppe von Modellanbietern und Cloud-Plattformen setzen, kann ein einzelner Governance-Fehler zu einem sektorweiten Fehler werden.

Die 12 Practices, in drei Schichten

Die Pressemitteilung gruppiert die Practices in drei Bereiche:

• Organisationsweite Governance (Practices 1-4). Vorstand und Geschäftsleitung

bestimmen den übergreifenden Ansatz und führen Aufsicht, damit die KI-Einführung zum Geschäftsmodell, zur Risikobereitschaft und zur Strategie des Instituts passt — bevor, nicht nachdem, eine Anwendung gebaut oder beschafft wird.

• KI-Risiko über Entwicklung und Einsatz steuern (Practices 5-10).

Leistungsbewertung, Tests und laufende Überwachung im Verhältnis zur Materialität und zum Risiko einer Anwendung; und menschliche Aufsicht, abgestimmt auf Materialität, Risiko, Autonomie, Komplexität und Erklärbarkeit jeder Anwendung — eine Formulierung, die still einräumt, dass eine einheitliche "Mensch in der Schleife"-Rhetorik bei hochvolumigen automatisierten Systemen nicht standhält.

• Cyber-, IKT- und Drittparteirisiko (Practices 11-12). KI-Cyber- und

IKT-Risikoszenarien in Tests und Übungen aufnehmen, Informationen mit wichtigen Beteiligten teilen und — wo angemessen — KI-Instrumente im Cyber- und IKT-Risikomanagement selbst einsetzen.

Was er bewusst außer Betracht lässt

Zwei Abgrenzungen verdienen Aufmerksamkeit, da beide sekundärer Berichterstattung widersprechen, die den Bericht überinterpretiert hat. Erstens stellt das FSB fest, dass die Practices nicht entwickelt wurden, um die Risiken von Frontier-KI-Modellen zu adressieren, auch wenn einige helfen können. Zweitens geht die Konsultation nicht davon aus, dass sie die aufkommende KI gelöst hat: Eine der Fragen legt den Befragten vor, ob die Practices neuere und komplexere Formen von KI hinreichend abdecken, etwa generative KI und agentische KI. Der Bericht eröffnet diese Frage, statt sie zu beantworten.

Wofür es für europäische Institute steht

Für eine Bank oder einen Versicherer in der EU kommen die FSB-Practices zu einem bindenden Stapel hinzu, nicht an dessen Stelle. DORA regelt bereits IKT- und Drittparteirisiko für dieselben Institute, und die KI-Verordnung stuft KI für die Bewertung der Kreditwürdigkeit und für die Preisbildung in der Lebens- und Krankenversicherung als Hochrisiko ein. Die Practices 11-12 des FSB decken sich nahezu eins zu eins mit dem IKT-Drittparteiregime von DORA, und die Governance-Schicht reimt sich auf die Qualitätsmanagement- und Menschliche-Aufsicht-Pflichten der KI-Verordnung. Der Wert des FSB-Textes ist keine neue Verpflichtung, sondern ein gemeinsames Vokabular, in dem ein global tätiges Institut ein einziges KI-Governance-System Aufsichtsbehörden in mehreren Jurisdiktionen zugleich beschreiben kann.

Er fügt sich auch in die Soft-Law-Schicht neben zwei Instrumenten ein, die bereits in dieser Wissensdatenbank stehen: dem NIST-abgeleiteten Ansatz der Vereinigten Staaten (siehe das NIST-KI-Risikomanagement-Rahmenwerk, die Grundlage für die Finanzsektor-Bearbeitung des US-Finanzministeriums) und dem Hiroshima-KI-Berichtsrahmen der G7. Zusammen gelesen zeigen sie einen Finanzsektor, der doppelt gesteuert wird — einmal durch bindendes regionales Recht und einmal durch ein sich verdichtendes Netz freiwilliger internationaler Praxis, das stets dieselbe Sprache spricht. Die FSB-Konsultation ist der Moment, in dem dieses Netz den aufsichtsrechtlichen Kern des Systems erreicht. Das breitere Bild internationaler KI-Governance erklärt, warum Gremien ohne Regulierungsmacht dennoch die Begriffe setzen.