Der US-Finanzsektor schreibt sein eigenes KI-Regelwerk: das FS AI RMF und seine 230 Control Objectives

Am 12. Februar 2026 lancierten das Cyber Risk Institute (CRI) und der Financial Services Sector Coordinating Council (FSSCC) das Financial Services AI Risk Management Framework (FS AI RMF) — einen branchenspezifischen Rahmen, von über 100 Finanzinstituten erstellt, um Banken, Versicherern und Marktteilnehmern zu helfen, ihren Einsatz künstlicher Intelligenz zu beherrschen. Den Kern bildet ein Katalog von 230 Control Objectives, geordnet über den Lebenszyklus der KI-Adoption.

Dies ist kein Gesetz und keine Verordnung. Keine Aufsichtsbehörde erließ es und kein Gesetzestext stützt es; es ist ein branchengetragenes Instrument, das Institute nach eigenem Ermessen übernehmen. Seine Autorität ist von derselben Art wie die der Sound Practices des FSB und des NIST-Rahmens: Es wirkt, weil es zur Referenz wird, zu der Aufsichtsbehörden, Prüfer und Gegenparteien konvergieren, nicht weil es die Einhaltung erzwingt.

Woher es kommt

Der Rahmen ist bislang das substanziellste Produkt der AI Executive Oversight Group (AIEOG), eines öffentlich-privaten Gremiums, das der FSSCC Ende 2024 gemeinsam mit Treasurys Financial and Banking Information Infrastructure Committee (FBIIC) gründete. Die AIEOG übersetzt die KI-Anliegen des Sektors — Betrug, Modellrisiko, Erklärbarkeit, Drittparteienkonzentration — in geteilte, operative Leitlinien. In den ersten Monaten 2026 lieferte sie eine Reihe von Produkten: ein AI-Lexicon und Arbeiten zu Identität und Authentifizierung im Februar sowie Deliverables zu Erklärbarkeit, Data-Nutrition-Labeling und KI-verstärktem Betrug im März. Das FS AI RMF ist davon das tragende Stück.

Was darin steckt

Der Rahmen erfindet die Risikotaxonomie bewusst nicht neu. Er ist strukturell auf das NIST AI Risk Management Framework abgestimmt — die amerikanische freiwillige Grundlinie — und erweitert dieses zu etwas, woran ein Finanzinstitut tatsächlich arbeiten kann. Er besteht aus vier Komponenten:

• einem AI Adoption Stage Questionnaire, das ein Institut auf einer

Reifeskala verortet, sodass die Controls verhältnismäßig angewandt werden können;

• einer Risk and Control Matrix (RCM) — den 230 Control Objectives selbst,

verknüpft mit der Stelle im KI-Lebenszyklus, an der jedes Objective ansetzt;

• einem Guidebook, das erklärt, wie die Matrix zu verwenden ist; und
• einem Control Objective Reference Guide, der die Objectives mit bestehenden

Normen und Aufsichtserwartungen verknüpft.

Der Entwurfsgedanke ist Schichtung, kein Ersatz: Ein Institut, das bereits das NIST AI RMF betreibt oder ein ISO/IEC-42001-Managementsystem führt, kann darauf abbilden, statt neu zu beginnen. CRI-Vorstandsvorsitzender Josh Magri rahmte die Lancierung genau um diese strategische Haltung — dass "die Zukunft der Finanzdienstleistung zunehmend mit KI verwoben ist, was eine proaktive und verantwortungsvolle Governance zu einer strategischen Notwendigkeit macht".

Warum es über die Vereinigten Staaten hinaus zählt

Ein freiwilliger amerikanischer Branchenrahmen wäre eine lokale Geschichte, wenn der Finanzsektor nicht global wäre. Das ist er nicht. Dieselben systemrelevanten Banken, die sich in New York am FS AI RMF orientieren, haben Töchter in Frankfurt und Singapur, und eine Gruppe, die ein einziges KI-Governance-System baut, will, dass es zugleich Aufsichtsbehörden überall Antwort gibt. Deshalb konvergiert die Soft-Law-Ebene: das FS AI RMF, die 12 Sound Practices des FSB, das KI-Risiko-Toolkit der MAS und das Hiroshima-Berichtsrahmenwerk der G7 beschreiben zunehmend denselben Governance-Gegenstand in vereinbarem Vokabular.

Für eine europäische Bank oder Versicherung kommt das FS AI RMF zum verbindlichen Recht hinzu, nicht an dessen Stelle. DORA regelt bereits das IKT- und Drittparteienrisiko, und die KI-Verordnung stuft die Kreditwürdigkeitsbewertung und die Prämienkalkulation von Lebens- und Krankenversicherungen als Hochrisikoanwendungen ein. Was der amerikanische Rahmen hinzufügt, ist keine Pflicht, sondern ein detailliertes Control-Vokabular, mit dem ein international tätiges Institut ein einziges kohärentes KI-Risikosystem vielen Aufsichtsbehörden zugleich zeigen kann — ein amerikanisch geprägtes Gegenstück zum verbindlichen europäischen Stapel und zum breiteren Netz der internationalen KI-Governance, das gemeinsame Begriffe setzt, ohne die Macht, sie durchzusetzen.