Außerhalb des Anwendungsbereichs heißt nicht außerhalb des Risikos: Die Modellrisiko-Novelle 2026 lässt genau die Modelle aus, die Banken tatsächlich einsetzen

Fünfzehn Jahre Modellrisiko-Doktrin wurden im April neu geschrieben, und der folgenreichste Absatz ist jener, der sagt, was die Leitlinien nicht abdecken. Am 17. April 2026 veröffentlichten die Federal Reserve, das OCC und die FDIC überarbeitete aufsichtliche Leitlinien zum Modellrisikomanagement und lösten damit den Rahmen von 2011 ab, um den sich die Branche anderthalb Jahrzehnte lang organisiert hat. Die Überarbeitung ist sorgfältig, risikobasiert und weitgehend willkommen. Sie hält zugleich ausdrücklich fest, dass generative und agentische KI-Modelle nicht in ihren Anwendungsbereich fallen — ein Konsultationsaufruf soll folgen. Banken befinden sich damit in einer Übergangszeit: Sie setzen genau die Modelle ein, die der Rahmen ausnimmt, unter einem Rahmen, der noch nicht geschrieben ist.

Zusammenfassung für die Geschäftsleitung

Der Konsens von 2011 ist Geschichte. SR 26-2 und OCC Bulletin 2026-13, beide vom 17. April 2026, lösen die langjährigen Leitlinien von 2011 und ihr Begleitdokument von 2021 ab. Die Drei-Säulen-Architektur — solide Entwicklung, wirksame Überprüfung, laufende Überwachung — bleibt erhalten.

Proportionalität ist nun ausdrücklich verankert. Die Behörden erklären, die Leitlinien seien voraussichtlich für Bankorganisationen mit einer Bilanzsumme von über 30 Mrd. US-Dollar am relevantesten, blieben aber für kleinere Institute mit erheblichem Modellrisiko einschlägig. Das ist eine spürbare Schwerpunktverlagerung, keine Ausnahmeregelung.

Die KI-Frage wurde vertagt, nicht beantwortet. Generative und agentische KI sind aus diesen Leitlinien ausgenommen; ein Konsultationsaufruf soll folgen, der das Modellrisikomanagement allgemein und den KI-Einsatz der Banken im Besonderen behandelt.

Vertagung ist keine Erlaubnis. Richtig gelesen heißt das: Die Behörden haben noch nicht entschieden, wie sie diese Modelle beaufsichtigen — was etwas völlig anderes ist als die Entscheidung, sie bräuchten keine Governance.

Was die Behörden tatsächlich geändert haben

Ohne den Kommentar drumherum tut die April-Novelle dreierlei.

Sie beendet den Konsens von 2011. Die überarbeiteten Leitlinien lösen die 2011 veröffentlichten Modellrisiko-Leitlinien und ihr Begleitdokument von 2021 ab und schließen damit ein fünfzehnjähriges Kapitel, in dem SR 11-7 weit über die gebundenen Institute hinaus zur faktischen globalen Referenz für Modell-Governance wurde.

Sie macht Proportionalität ausdrücklich. Die Leitlinien sind voraussichtlich für Bankorganisationen mit einer Bilanzsumme von über 30 Mrd. US-Dollar am relevantesten und bleiben für kleinere Organisationen mit erheblichem Modellrisiko einschlägig, wenn deren Modelle oder Aktivitäten außerhalb des klassischen Regionalbankgeschäfts zahlreich und komplex sind. Der Reifegrad soll Größe, Komplexität und Risikoprofil folgen.

Sie behält die Architektur bei. Konzeptionelle Solidität in der Entwicklung, wirksame Überprüfung durch unabhängige Prüfung und laufende Überwachung gegen dokumentierte Schwellenwerte bleiben allesamt bestehen. Institute, die gegen den Rahmen von 2011 sauber gebaut haben, fangen nicht von vorn an.

Tabelle 1: Was sich geändert hat und was fortbesteht

Element	Rahmen 2011	Überarbeitete Leitlinien 2026
Status	SR 11-7 und Begleitdokument 2021	Abgelöst und ersetzt, 17. April 2026
Kernarchitektur	Entwicklung, Validierung, Governance	Weitgehend unverändert übernommen
Proportionalität	Implizit, über die Aufsicht angewandt	Ausdrücklich: zugeschnitten auf Größe, Komplexität und Risikoprofil
Erklärte Relevanz	Breit	Am relevantesten oberhalb 30 Mrd. US-Dollar Bilanzsumme; darunter weiterhin einschlägig, wo das Modellrisiko erheblich ist
Generative und agentische KI	Liegt vor der Fragestellung	Ausdrücklich außerhalb des Anwendungsbereichs, mit angekündigtem Konsultationsaufruf

Der Satz, auf den es ankommt

Der Großteil der Überarbeitung ist Fortschreibung. Eine Passage ist es nicht:

Generative KI- und agentische KI-Modelle sind neuartig und entwickeln sich rasch weiter. Daher fallen sie nicht in den Anwendungsbereich dieser aufsichtlichen Leitlinien.

Zusammen mit der Zusage, einen Konsultationsaufruf zum Modellrisikomanagement allgemein und zum Einsatz von KI einschließlich generativer und agentischer KI im Besonderen zu veröffentlichen, ist die Bedeutung klar genug. Die Behörden sagen nicht, diese Systeme seien risikoarm. Sie sagen, sie hätten noch nicht geklärt, wie sie sie beaufsichtigen, und wollten lieber konsultieren als einen Rahmen festschreiben, den eine schnelllebige Technologie binnen eines Zyklus überholt.

Das ist vertretbares Regulierungshandwerk. Es ist zugleich eine unangenehme Lage für eine Bank, die generative KI bereits produktiv betreibt.

Denn die praktische Frage eines Risikokomitees lautet nicht "Fällt das in den Anwendungsbereich der April-Leitlinien?" Sie lautet "Was wird man uns fragen, wenn das schiefgeht?" Und die Antwort auf die zweite Frage hat sich nicht geändert.

Außerhalb des Anwendungsbereichs heißt nicht außerhalb des Risikos

Der teuerste Lesefehler, der 2026 zur Verfügung steht, ist die Annahme, die Ausnahme aus den Modellrisiko-Leitlinien bedeute die Ausnahme aus der Aufsicht. Das tut sie nicht. Ein Modell, das aus diesem einen Rahmen herausfällt, sitzt weiterhin mitten in mehreren anderen.

Tabelle 2: Wo ein ausgenommenes GenAI-System dennoch landet

Das Modell tut dies	Rahmen, dem es weiterhin unterliegt	Die Frage, die man Ihnen stellen wird
Läuft auf einem Foundation Model eines Anbieters	Drittparteirisiko und Auslagerungsrisiko	Können Sie Due Diligence, Ausstiegs- und Konzentrationsanalyse zum Anbieter belegen?
Berührt eine Kredit- oder Preisentscheidung	Verbraucherschutz und diskriminierungsfreie Kreditvergabe	Können Sie zeigen, dass das Ergebnis nicht diskriminierend war, und nachvollziehen, wie es zustande kam?
Sitzt in einem kundennahen oder operativen Prozess	Operationelles Risiko und Resilienz	Was passiert, wenn die Qualität nachlässt, und wer merkt es?
Erzeugt Ergebnisse, auf die sich Mitarbeitende verlassen	Governance und Verantwortung der Geschäftsleitung	Wem gehört dieses System, und was hat man dieser Person über seine Grenzen gesagt?
Wird in der EU oder im Vereinigten Königreich eingesetzt	EU AI Act; PRA SS1/23	Hier fällt die Antwort zum Anwendungsbereich anders aus — siehe unten

Keine dieser Pflichten ist neu. Genau das ist der Punkt: Die April-Leitlinien haben verengt, was sie abdecken, und nichts aus irgendetwas anderem herausgenommen.

Es gibt zudem eine Asymmetrie bei den aufsichtlichen Erwartungen, die man klar benennen sollte. Wenn ein Rahmen schweigt, schweigen die Prüfer nicht. Sie greifen auf allgemeine Erwartungen an Sicherheit und Solidität zurück, die breiter und weniger vorhersehbar sind als ein geschriebener Modellrisiko-Standard. Außerhalb des Anwendungsbereichs einer konkreten Regel zu liegen bedeutet häufig, an einer vageren gemessen zu werden.

Die transatlantische Spaltung, die eine Gruppenbank jetzt aushalten muss

Für ein Institut, das auf beiden Seiten des Atlantiks tätig ist, schafft die April-Entscheidung eine reale Divergenz.

Die britische aufsichtliche Erklärung zu den Grundsätzen des Modellrisikomanagements für Banken, SS1/23, trat am 17. Mai 2024 in Kraft. Sie ruht auf fünf Grundsätzen — Identifikation und Modellinventar, Governance, Entwicklung sowie Implementierung und Nutzung, unabhängige Validierung sowie Minderungsmaßnahmen für Modelle mit Mängeln — und sie ist bewusst technologieneutral. Künstliche Intelligenz und maschinelles Lernen sind nicht ausgenommen; sie sind mitgedacht.

Dasselbe generative Modell, in derselben Gruppe, in derselben Geschäftssparte eingesetzt, liegt damit innerhalb des britischen Modellrisiko-Perimeters und außerhalb des neu gefassten US-amerikanischen. Nimmt man für einen europäischen Einsatz die Pflichten des EU AI Act hinzu, sind es drei Antworten, nicht zwei.

Institute haben genau zwei stimmige Reaktionen.

Einen Rahmen nach dem strengsten Standard betreiben. Generative KI so steuern, als fiele sie überall in den Anwendungsbereich — weil sie irgendwo darunterfällt und nach Abschluss des Konsultationsaufrufs breiter darunterfallen wird. Das kostet jetzt mehr und ist in jeder Jurisdiktion vertretbar.

Wirklich getrennte Perimeter betreiben. Rechtlich möglich, operativ eine Zumutung. Es bedeutet zwei Inventare, zwei Validierungsstandards und zwei Nachweispakete für ein Modell — dazu das Reputationsrisiko, nach einem Vorfall erklären zu müssen, dass die Fassung der Kontrolle, die ihn verhindert hätte, in der anderen Jurisdiktion galt.

Die erste ist für nahezu jedes Institut die richtige Antwort, das groß genug ist, damit sich die Frage stellt. Die zweite ist das, was standardmäßig passiert, wenn niemand entscheidet.

Was in der Übergangszeit zu tun ist

Der Konsultationsaufruf kommt. Das Fenster zwischen heute und einem gefestigten Rahmen ist der Teil, der bewusst gesteuert werden muss, denn es ist die Phase, in der der Einsatz weiterläuft und die Dokumentation nicht.

Drei Festlegungen machen diese Übergangszeit überstehbar.

Jetzt inventarisieren, später klassifizieren. Das wertvollste einzelne Artefakt ist ein vollständiges Register darüber, wo generative und agentische Systeme tatsächlich laufen — einschließlich jener, die als Funktion innerhalb von SaaS-Produkten eingekauft wurden, wo sich die meisten von ihnen verstecken. Ob jedes davon nach irgendeiner künftigen Definition formal ein "Modell" ist, lässt sich beantworten, sobald man weiß, dass es existiert. Was Sie nicht gefunden haben, können Sie nicht klassifizieren.

Den Validierungsansatz aufschreiben, den Sie verteidigen würden. Klassisches Backtesting überträgt sich nicht sauber auf ein nicht-deterministisches System, und genau deshalb haben die Behörden vertagt. Das ist kein Grund, gar keinen Ansatz zu haben. Generierungstests gegen zurückgehaltene Fälle, Nachverfolgung menschlicher Übersteuerungen, parallele Ergebnisanalyse gegen den bestehenden Prozess und dokumentierte Akzeptanzschwellen sind heute verfügbar und für eine Aufsicht allesamt lesbar.

Auf den Konsultationsaufruf antworten. Ein Institut, das in der Übergangszeit einen funktionierenden Ansatz gebaut hat, hat etwas Konkretes zu sagen, und in der Konsultation wird der spätere Standard geformt. Häuser, die schweigen, erben, was die Lauten aushandeln.

Das operative Playbook

Jetzt gegen die überarbeiteten Leitlinien neu justieren. Prüfen Sie, welche Ihrer bestehenden Modelle sich durch die ausdrückliche Proportionalitätssprache verschieben, und zwar in beide Richtungen. Manche brauchen weniger, manche mehr.
Nehmen Sie wegen der KI-Ausnahme nichts aus dem Modellinventar. Eine Streichung ist eine Entscheidung, die sich im Rückblick sehr schlecht liest, und Wiederentdeckung kostet mehr als Beibehaltung.
Kennzeichnen Sie jedes generative und agentische System im Inventar als klassifizierungspflichtig. Machen Sie die Übergangszeit im Register sichtbar, statt sie daraus verschwinden zu lassen.
Ordnen Sie jedes System den Rahmen zu, denen es sehr wohl unterliegt — Drittpartei, operationell, Verbraucherschutz, diskriminierungsfreie Kreditvergabe — und stellen Sie sicher, dass jedes dort einen benannten Eigentümer hat.
Machen Sie den strengeren transatlantischen Standard zur Gruppenrichtlinie. Ein Inventar, eine Validierungslatte, ein Nachweispaket.
Bereiten Sie eine Antwort auf den Konsultationsaufruf vor. Es ist der billigste verfügbare Einfluss auf den Standard, an dem Sie geprüft werden.

Die Behörden haben im April etwas Vernünftiges getan: Sie haben es abgelehnt, eine Regel für eine Technologie zu schreiben, die sie noch nicht gut genug verstehen, um sie einzugrenzen. Die entsprechend vernünftige Handlung einer Bank ist, es abzulehnen, das als Erlaubnis zu behandeln.

Häufig gestellte Fragen

Bedeuten die Leitlinien vom April 2026, dass generative KI im US-Bankwesen unreguliert ist?
Nein. Sie bedeuten, dass generative und agentische KI-Modelle außerhalb des Anwendungsbereichs dieser konkreten Leitlinien liegen. Diese Systeme unterliegen weiterhin dem Management von Drittparteirisiken, dem operationellen Risiko, dem Verbraucherschutz, der diskriminierungsfreien Kreditvergabe und den allgemeinen Erwartungen an Sicherheit und Solidität. Die Behörden haben zudem einen Konsultationsaufruf zum Einsatz von KI durch Banken zugesagt, einschließlich generativer und agentischer KI.

Was genau wurde abgelöst?
Die überarbeiteten Leitlinien, veröffentlicht am 17. April 2026 von der Federal Reserve, dem OCC und der FDIC, lösen die Leitlinien zum Modellrisikomanagement von 2011 und ihr Begleitdokument von 2021 ab. Die Kernarchitektur — solide Entwicklung, wirksame Überprüfung, laufende Überwachung — bleibt bestehen.

Bedeutet die Schwelle von 30 Mrd. US-Dollar, dass kleinere Banken dies ignorieren können?
Nein. Die Leitlinien halten fest, dass sie voraussichtlich für Organisationen oberhalb dieser Größe am relevantesten sind, und ergänzen, dass sie auch für kleinere Organisationen mit erheblichem Modellrisiko einschlägig sein können, wenn deren Modelle zahlreich und komplex sind oder Aktivitäten außerhalb des klassischen Regionalbankgeschäfts vorliegen. Das ist eine Aussage zur Proportionalität, keine Freistellungsgrenze.

Wie verhält sich das zur britischen SS1/23?
Es weicht von ihr ab. SS1/23, in Kraft seit dem 17. Mai 2024, ist technologieneutral und nimmt KI oder maschinelles Lernen nicht aus. Eine Gruppenbank, die dasselbe Modell in beiden Jurisdiktionen betreibt, steht nun vor unterschiedlichen Antworten zum Anwendungsbereich — weshalb die Steuerung nach dem strengeren Standard der praktikable Weg ist.

Sollten wir generative KI-Werkzeuge jetzt aus dem Modellinventar nehmen, da sie außerhalb des Anwendungsbereichs liegen?
Nein — und das ist die Entscheidung, die man am ehesten bereuen wird. Ein vollständiges Inventar ist billig zu pflegen und teuer wieder aufzubauen. Kennzeichnen Sie diese Systeme stattdessen als klassifizierungspflichtig, damit das Register beim Inkrafttreten des Rahmens abbildet, was tatsächlich im Einsatz ist.

Quellen

Board of Governors of the Federal Reserve System, 2026. SR 26-2: Revised Guidance on Model Risk Management. Washington, DC: Federal Reserve. Verfügbar unter: Board of Governors of the Federal Reserve System, 2026..
Office of the Comptroller of the Currency, 2026. OCC Bulletin 2026-13, Model Risk Management: Revised Guidance. Washington, DC: OCC. Verfügbar unter: Office of the Comptroller of the Currency, 2026..
Prudential Regulation Authority, 2023. SS1/23, Model risk management principles for banks. London: Bank of England. Verfügbar unter: Prudential Regulation Authority, 2023..
European Parliament and Council of the European Union, 2024. Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Brüssel: Amtsblatt der Europäischen Union. Verfügbar unter: European Parliament and Council of the European Union, 2024..

Zuletzt überprüft 2026-08-08.

Diesen Artikel republizieren

Außerhalb des Anwendungsbereichs heißt nicht außerhalb des Risikos — Sebastien Rousseau

Die Modellrisiko-Novelle vom April 2026 nimmt generative und agentische KI ausdrücklich aus dem Anwendungsbereich. Das Risiko bleibt, die PRA auch.

Dieser Artikel ist lizenziert unter Creative Commons Attribution 4.0 International. Eine Republikation erfordert Attribution zur kanonischen URL.

Außerhalb des Anwendungsbereichs heißt nicht außerhalb des Risikos — Sebastien Rousseau

Die Modellrisiko-Novelle vom April 2026 nimmt generative und agentische KI ausdrücklich aus dem Anwendungsbereich. Das Risiko bleibt, die PRA auch.

Originally published at https://sebastienrousseau.com/de/2026-07-30-model-risk-management-generative-ai-out-of-scope-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER