Die neue KI-Umfrage der Bank of England und der Financial Conduct Authority gibt Teams im Finanzdienstleistungssektor einen praktischen Anlass, noch einmal zu prüfen, was nach der Freigabe zur Bereitstellung geschieht. Die Befragten berichteten deutlich häufiger von ersten Prüfungen als von fortlaufendem Monitoring. Für Compliance- und Modellrisikoverantwortliche ist der sinnvolle nächste Schritt zu prüfen, ob für ein bereitgestelltes System hinter seinen Kontrollen noch aktuelle Nachweise stehen.
Der gemeinsame Bericht, veröffentlicht am 26. Oktober 2026, beschreibt die Praktiken der teilnehmenden Unternehmen. Er kündigt keine neue KI-Vorschrift an und stellt nicht fest, dass die Kontrollen eines bestimmten Unternehmens versagt haben.
Was die Umfrage belegt
Der Bericht erhielt 196 Antworten, darunter 105 vollständig ausgefüllte Fragebögen. Soweit nicht anders angegeben, basieren die Ergebnisse auf der vollständigen Umfrage und den für jede Frage gültigen Antworten. Mehr als 90 % nannten menschliche Freigabe, Prüfung vor der Bereitstellung und Sorgfaltsprüfung von Anbietern als Kontrollen für Datenrisiken. Rund die Hälfte nannte fortlaufendes Monitoring, Tests auf Datenabfluss sowie regelmäßige Überprüfung oder Rezertifizierung. Systeme von Drittanbietern machten 53 % der gemeldeten KI-Systeme mit hoher Wesentlichkeit aus.
Dies sind selbstberichtete Ergebnisse, keine unabhängige Inspektion oder sektorweite Vollerhebung. Auch die Formulierung der Fragen und die Zusammensetzung der Befragten schränken Vergleiche mit früheren Umfragen ein. Die unabhängige Berichterstattung von The Perimeter Report bestätigt die Monitoring-Lücke in den veröffentlichten Ergebnissen; sie testet die zugrunde liegenden Kontrollen nicht unabhängig.
Machen Sie aus Freigabenachweisen ein fortlaufendes Protokoll
Maetras Analyse ist, dass eine Freigabe den Lebenszyklus von Nachweisen beginnen sollte. Eine Bewertung vor dem Start kann für sich genommen nicht erklären, was sich danach verändert hat. Ein Anbieter kann ein Modell überarbeiten, ein Anwendungsverantwortlicher kann ein Tool hinzufügen oder ein Workflow kann anfangen, eine andere Art von Informationen zu verarbeiten. Jede Veränderung wirft die Frage auf, ob die frühere Bewertung das System noch beschreibt.
Betrachten Sie bei einem hypothetischen Kundenservice-Assistenten eine anfängliche Erlaubnis, Antwortentwürfe zu erstellen. Wenn eine spätere Integration ihm erlaubt, Nachrichten zu versenden, sollte das Kontrollprotokoll die neue Fähigkeit, ihren Verantwortlichen und den Grund nennen, warum die bisherigen Nachweise weiterhin ausreichen oder überarbeitet werden müssen. Eine erfolgreiche Startprüfung würde diese Fragen für sich allein nicht beantworten.
Ein nützliches Nachweisprotokoll verknüpft daher das System und den Workflow mit der geprüften Kontrolle. Es erfasst das Testdatum, die getestete Version, den Verantwortlichen, das Ergebnis und den nächsten Prüfungsanlass. So hat eine prüfende Person etwas Konkretes, das sie überprüfen kann, wenn eine Mitteilung des Anbieters oder eine interne Änderung eintrifft.
Bitten Sie Anbieter um Nachweise, die veralten können
Ein Assurance-Dokument eines Anbieters kann eine Entscheidung stützen, ohne jede lokale Bereitstellungsentscheidung abzudecken. Teams sollten festlegen, auf welche Assurance-Aussage sie sich stützen, welche Komponente sie abdeckt und unter welchen Bedingungen sie veraltet. Das Ziel ist, die Abhängigkeit für jemanden überprüfbar zu machen, der den ursprünglichen Vertrag nicht ausgehandelt hat.
Nützliche Fragen an den Anbieter sind, ob der relevante Test die bereitgestellte Version abdeckte, ob verbundene Tools einbezogen wurden und wie Kunden Mitteilungen über wesentliche Änderungen erhalten. Eine fehlende Antwort sollte zu einer zugewiesenen Nachverfolgung mit Fälligkeitsdatum werden. Sie sollte nicht in der allgemeinen Aussage verschwinden, der Anbieter sei bewertet worden.
Halten Sie Nachweise von Anbietern getrennt von Nachweisen, die im Unternehmen selbst erzeugt wurden. Ein Sicherheitstest des Anbieters und ein lokaler Workflow-Test können dieselbe Kontrolle stützen, beantworten aber unterschiedliche Fragen. Behalten Sie ihren Geltungsbereich und ihre Daten bei, wenn Sie sie einer Anforderung zuordnen, damit Wiederverwendung keine Abdeckungslücke verdeckt.
Überprüfen Sie diese Woche einen laufenden Workflow
Das Folgende ist eine operative Empfehlung, keine von den Aufsichtsbehörden herausgegebene Checkliste:
- Wählen Sie einen bereitgestellten KI-Workflow aus, dessen Ausgabe oder Aktion einen Kunden betreffen könnte.
- Identifizieren Sie sein aktuelles Modell, den Anbieter, die Tools, den Datenzugang und den verantwortlichen Eigentümer.
- Ermitteln Sie den letzten Test der tatsächlich bereitgestellten Konfiguration.
- Legen Sie fest, welche Änderungen eine erneute Prüfung erfordern und wer dafür verantwortlich ist, sie zu erkennen.
- Legen Sie den nächsten Prüfungstermin fest und dokumentieren Sie, wie mit einem überfälligen Nachweis umgegangen wird.
Bei einem Agenten, der Aktionen ausführt, sollte die Grenze zwischen einer Empfehlung und der Ausführung einbezogen werden. Für einige Aktionen kann eine menschliche Prüfung angemessen sein, während andere Aktionen innerhalb definierter Berechtigungen ablaufen können. Entscheidend sind Nachweise dafür, dass die gewählte Kontrolle dort wirkt, wo die Aktion stattfindet.
Ein Nachweisprotokoll für KI-Audits kann helfen, die Fragen zu Versionen, Entscheidungen und Ergebnissen zu strukturieren. Es sollte mit dem Workflow verbunden bleiben, statt zu einem losgelösten Archiv zu werden.
Halten Sie die Compliance-Interpretation verhältnismäßig
Die Umfrage ist ein nützliches Diagnoseinstrument für Governance-Diskussionen. Sie kann einem Unternehmen nicht sagen, welche rechtlichen Anforderungen für seine eigenen Dienstleistungen gelten, und auch nicht beweisen, dass zusätzliches Monitoring Compliance erzeugt. Diese Entscheidungen brauchen die einschlägigen Verpflichtungen des Unternehmens, seine Risikobewertung und seine Nachweise.
Für Teams, die Maetra nutzen, unterstützt Comply das Mapping von Frameworks und die Aktualität von Nachweisen, während Audit den relevanten Verlauf bewahrt. Keines von beiden ersetzt eine Anbieterbewertung oder Anwendungstests. Beginnen Sie mit einer Kontrolle, deren Nachweise schwer auffindbar geworden sind oder deren Datum unklar ist, und nutzen Sie Maetras Framework-Ressourcen, um sie mit einem verantwortlichen Prüfprozess zu verknüpfen.
Quellen
- Bank of England and FCA: Künstliche Intelligenz in britischen Finanzdienstleistungen, 2026, 26. Oktober 2026. Primäre Umfrage und Methodik.
- The Perimeter Report: BoE/FCA-KI-Umfrage 2026, 26. Oktober 2026. Unabhängige Berichterstattung über dieselbe Umfrage.