Taiwan eröffnet Konsultation zur Sicherheit von KI-Agenten vor ihrem Einsatz in Finanzsystemen

30 Tage für die Debatte über Schutzmaßnahmen für handlungsfähige KI

Die taiwanische Finanzaufsichtsbehörde Financial Supervisory Commission (FSC) hat am 13. Oktober 2026 eine 30-tägige öffentliche Konsultation eröffnet. Sie schlägt Sicherheitsvorkehrungen für KI-Agenten vor, die sich mit den Betriebssystemen von Finanzinstituten verbinden, diese bedienen oder Aktionen darin auslösen können. Der Vorschlag sieht vier Risikostufen von L1 bis L4 vor. Aktionen mit dem höchsten Risiko sollen nur mit den erforderlichen Genehmigungen, Prüfungen oder Mechanismen zur Unterbindung der Ausführung möglich sein.

Das Dokument mit dem Titel Consultation Document on the Safe Use of Agentic AI in the Financial Sector erscheint, bevor solche Systeme weit verbreitet eingesetzt werden. Lin Yu-tai, Leiter der Abteilung für Informationsmanagement der Kommission, sagte, die meisten Finanzinstitute experimentierten noch oder führten kleine Tests in kontrollierten Umgebungen durch. Ihm sei nicht bekannt, dass Institute diese Agenten bereits im laufenden Geschäftsbetrieb einsetzten.

Im Mittelpunkt der Bedenken der Kommission steht der Übergang von KI, die Informationen liefert, zu KI, die handelt. Ein Assistent, der Kundenbeschwerden zusammenfasst, stellt ein anderes Sicherheitsrisiko dar als ein System, das vertrauliche Unterlagen abrufen, Angaben in einem System ändern oder direkt einem Kunden antworten kann.

Die Konsultation konzentriert sich daher auf Berechtigungen und Verantwortlichkeit, nicht allein auf die Genauigkeit der Modelle. Institute müssten festlegen, auf welche Informationen ein Agent zugreifen darf, welche Werkzeuge er nutzen kann, welche Aktionen er ausführen darf und wie Mitarbeitende ihn stoppen oder übernehmen können, wenn etwas schiefgeht.

Das Dokument ist weder eine neue Verordnung noch eine formelle Leitlinie. Es ersetzt keine bestehenden Gesetze, Aufsichtsanforderungen, Regeln zur Auslagerung oder internen Kontrollen. Die Kommission hofft, dass die Konsultation spätere Leitlinien unterstützen wird, hat dafür aber keinen Zeitplan festgelegt.

Warum der Zugriff auf operative Systeme das Risiko verändert

Agentische KI kann Schritte planen, Softwarewerkzeuge aufrufen und Informationen aus verschiedenen Systemen abrufen, um eine Aufgabe zu erledigen. Damit unterscheidet sie sich von einer dialogorientierten Anwendung, deren Hauptaufgabe darin besteht, eine Antwort zu erstellen, die ein Mensch bewertet. Das Sicherheitsproblem wird dringlicher, wenn eine falsche Antwort unmittelbar zu einer operativen Aktion führen kann.

Lin nannte vier Hauptrisiken: Ein Agent kann von seinem vorgesehenen Ziel abweichen, Werkzeuge missbrauchen oder seine Berechtigungen überschreiten, vertrauliche Informationen offenlegen und Fehler durch eine Abfolge von Aktionen weitertragen. Diese Risiken können sich verbinden. Ein Agent könnte Informationen abrufen, die er nicht verwenden sollte, sie in eine Nachricht aufnehmen und diese anschließend nach außerhalb des Instituts senden.

Halluzinationen der KI, also plausibel klingende, aber falsche Ausgaben, bleiben ein Thema. Lin schilderte ein Szenario, in dem ein Agent personenbezogene Daten in eine externe E-Mail aufnimmt, wo sie nicht hingehören. Dies war ein Beispiel für einen möglichen Fehler und kein bekannt gewordener Vorfall bei einem Finanzinstitut.

Auch die Geschwindigkeit verändert das Ausmaß möglicher Folgen. Lin stellte einer Person, die vielleicht einen Fall pro Stunde bearbeitet, einen Agenten gegenüber, der potenziell 100 Fälle bearbeiten könnte. Das Beispiel deutet auf einen hundertfachen Unterschied beim Bearbeitungsvolumen hin, nicht auf ein gemessenes Produktivitätsergebnis. Sein Punkt war, dass sich automatisierte Fehler auf zahlreiche Fälle ausbreiten könnten, bevor Mitarbeitende eingreifen.

Die Aufgabe steuern, nicht nur die Technologie

Die Konsultation gliedert ihre Vorschläge in drei Bereiche: Sicherheitsgovernance, Risikoklassifizierung und Sicherheitskontrollen. Als bevorzugte Steuerungseinheit gilt das Anwendungsszenario, also die konkrete Aufgabe, die ein Institut einem Agenten übertragen möchte, und nicht ein KI-Produkt für sich genommen.

Für jedes Szenario sollte das Institut den Geschäftszweck, die verantwortlichen Personen, die zulässigen Daten, die verfügbaren Werkzeuge und die erlaubten Aktionen festlegen. Außerdem sollte es bestimmen, wohin Ergebnisse gesendet oder geschrieben werden dürfen und was geschieht, wenn sich der Agent ungewöhnlich verhält.

Durch diesen Ansatz gelten für dieselbe Software je nach Einsatz unterschiedliche Kontrollen. Ein Agent, der Sicherheitsinformationen analysiert, ohne Maßnahmen zu ergreifen, unterscheidet sich von einem Agenten, der ein Betriebssystem ändern darf. Eine Änderung der Berechtigungen kann daher ebenso wichtig sein wie eine Änderung des zugrunde liegenden Modells.

Die Governance würde über eine anfängliche Genehmigung hinausgehen. Die Vorschläge sehen je nach Risiko Prüfungen, Überwachung, Inspektionen, eine Einschränkung der Funktionen, eine Aussetzung und Wiederherstellungsmechanismen vor. Die Einstufung soll Genehmigungsschwellen, Testbedingungen, Einsatzentscheidungen und die spätere Aufsicht bestimmen; bei Änderungen der Anwendung soll sie neu bewertet werden.

Vier Risikostufen, bewertet anhand von drei Achsen

Die vorgeschlagene Einstufung von L1 bis L4 beruht auf drei Achsen: Sensibilität der Daten, Auswirkungen von Aktionen sowie Funktionsgrenzen oder die mögliche Ausbreitung von Folgen. Maßgeblich ist dabei das höhere Risiko; ein Merkmal mit geringerem Risiko kann ein gefährlicheres nicht ausgleichen.

Bei der Datensensibilität geht es darum, welche Informationen der Agent sehen kann. Der Zugriff auf öffentliche Informationen unterscheidet sich vom Zugriff auf personenbezogene Daten oder Geschäftsgeheimnisse. Bei den Auswirkungen von Aktionen geht es darum, was der Agent mit diesen Informationen tun kann: vom Lesen bis zum Ändern von Datensätzen oder zur Kommunikation nach außerhalb des Instituts.

Die dritte Achse berücksichtigt Umfang und Reichweite der Aktivitäten. Ein Agent, der auf eine einzelne Aufgabe beschränkt ist, unterscheidet sich von einem, der Stapel von Vorgängen verarbeiten, rund um die Uhr weiterarbeiten oder mehrere miteinander verbundene Schritte ausführen kann. Hier fließt die Möglichkeit in die Bewertung ein, dass sich ein kleiner Fehler zu einem größeren operativen Problem auswächst.

Bei Anwendungen der Stufe L4 soll der Vorschlag verhindern, dass Aktionen mit hohem Risiko automatisch ausgeführt werden, sofern nicht die erforderlichen Genehmigungen, Prüfungen oder Sperrmechanismen vorhanden sind. Bei Anwendungen mit geringerem Risiko sollen weiterhin Spielräume für Tests bestehen. Die Kommission erklärt, ihr Ansatz orientiere sich an Risiko, Verhältnismäßigkeit und Technologieoffenheit sowie an internationalen Sicherheitsrahmenwerken.

Kundenservice zeigt, warum Berechtigungen wichtig sind

Lin veranschaulichte den praktischen Unterschied am Beispiel des Kundenservice. Ein Agent, der Beschwerden sammelt und Zusammenfassungen erstellt, fällt in den niedrigen bis mittleren Risikobereich. Kann er außerdem Antworten an Kunden senden, stuft Lin ihn als mittel bis höher ein, weil er nach außen handeln kann.

Entscheidend ist nicht einfach, ob beide Anwendungen KI nutzen. Im ersten Fall kann ein Mitarbeiter die Zusammenfassung prüfen, bevor sie sich auf einen Kunden auswirkt. Im zweiten kann der Agent seine Interpretation in eine externe Mitteilung umsetzen. Die Berechtigung, eine Nachricht zu versenden, verändert die Folgen eines Fehlers.

Eine weitere Grenze entsteht durch die Berechtigung, Informationen zu schreiben. Ein Agent, der nur lesen darf, kann die ursprünglichen Datensätze nicht aufgrund dieser Berechtigung verändern. Sobald Schreibzugriff erlaubt ist, können Fehler Informationen ändern oder löschen. Kontrollen müssen daher sowohl die Qualität der Ausgabe als auch die Integrität der berührten Systeme berücksichtigen.

Das Beispiel zeigt auch, warum eine einzige Einstufung für das gesamte KI-Programm eines Instituts unzureichend wäre. Zwei Anwendungen desselben Agenten können unterschiedliche Genehmigungsbedingungen, Überwachungs- und Wiederherstellungsmaßnahmen erfordern, weil sie sich beim Datenzugriff und bei den erlaubten Aktionen unterscheiden.

Auch ein digitaler Mitarbeiter braucht menschliche Aufsicht

Lin bezeichnete einen KI-Agenten als digitalen Mitarbeiter, weil er eine Aufgabe aktiv voranbringen kann. Der Vergleich geht über die Zuweisung einer Rolle hinaus: Das Institut muss festlegen, was der Agent tun darf, ihn vor dem Einsatz testen, seine Aktivitäten überwachen und ein Verfahren bereithalten, um seine Arbeit zu stoppen.

Zur Verantwortung für den Einsatz stellte Lin klar, dass die Übertragung einer Aufgabe an einen Agenten die menschliche Verantwortung nicht aufhebt. In der englischen Übersetzung sagte er:

KI kann nur ein Assistent sein; die letztliche Aufsicht liegt beim Menschen.

Nach diesem Grundsatz sind Menschen dafür verantwortlich, die Befugnisse des Agenten festzulegen und auf Fehler zu reagieren. Bestehende Sicherheitskontrollen dürfen nicht einfach umgangen werden, nur weil ein KI-Agent beteiligt ist. Das Institut braucht sowohl eine verantwortliche menschliche Entscheidungsinstanz als auch technische Mittel, um die von ihr genehmigten Grenzen durchzusetzen.

Der Fokus der Kommission ist enger als der gesamte KI-Einsatz durch Mitarbeitende. Persönliche Assistenten, die innerhalb der bestehenden Befugnisse einer Person arbeiten, lassen sich über bestehende interne Kontrollen und Sicherheitsvorkehrungen steuern. Wird ein Agent mit den Betriebssystemen eines Finanzinstituts verbunden, müssen Risiken und Informationssicherheit neu bewertet werden.

Identitäts- und Zugriffskontrollen gelten auch für Agenten

Die Sicherheitsvorschläge behandeln einen Agenten als nichtmenschliche Identität und als Software-Workload. Praktisch muss das Institut wissen, welcher Agent handelt und welche Berechtigungen für ihn gelten. Seine Aktivitäten sollten nicht von denen anderer Nutzer oder automatisierter Prozesse zu unterscheiden sein.

Der Ansatz orientiert sich an Zero-Trust-Prinzipien: Der Zugriff gilt nicht allein deshalb als sicher, weil ein System innerhalb der Organisation betrieben wird. Identität und Berechtigungen müssen überprüft, der Zugriff auf das für die Aufgabe Erforderliche beschränkt und Aktionen nachvollziehbar gemacht werden.

Die Kontrollen umfassen Identitäten, Geräte und Ausführungsumgebungen, Netzwerke, Anwendungen und Workloads sowie den Datenschutz. Die Vorschläge enthalten grundlegende und weiterführende Sicherheitsanforderungen und Kontrollziele. Verhaltenskontrollen, Transparenz und Analyse gehören ebenfalls zum Ansatz.

Lin nannte mehrere konkrete Maßnahmen. Agenten sollten in angemessen isolierten Umgebungen laufen, Netzwerkverbindungen aufgabenbezogen beschränkt und Werkzeuge auf eine genehmigte Liste begrenzt werden. Der Datenzugriff sollte dem Prinzip der minimal erforderlichen Berechtigung folgen. Diese Maßnahmen setzen an verschiedenen Wegen an, über die ein Agent seine vorgesehene Rolle überschreiten könnte, statt sich allein auf Anweisungen an das Modell zu verlassen.

Tests müssen Fehler in ganzen Arbeitsabläufen abdecken

Für Anwendungen, die einen Arbeitsablauf voranbringen können, fordert die Konsultation vor dem Einsatz Tests auf Prompt-Injection, Werkzeugmissbrauch, übernommene Berechtigungen und Verunreinigungen des Gedächtnisses. Diese Tests untersuchen, wie sich ein Agent verhält, wenn Informationen, Werkzeuge oder Befugnisse ihn von der genehmigten Aufgabe abbringen.

Bei einer Prompt-Injection versuchen in gelesenen Materialien versteckte Anweisungen, das Verhalten eines Agenten umzulenken. Werkzeugmissbrauch betrifft die unangemessene Nutzung verbundener Software. Übernommene Berechtigungen können einem Agenten Zugriff verschaffen, der von einem anderen Konto oder Prozess stammt. Eine Verunreinigung des Gedächtnisses liegt vor, wenn gespeicherte Informationen spätere Aktivitäten unbeabsichtigt beeinflussen.

Die operativen Ziele gehen über die Vermeidung von Fehlern hinaus. Systeme sollten beobachtbar, einschränkbar oder stoppbar, wiederherstellbar und nachvollziehbar sein. Mitarbeitende müssen sehen können, was ein Agent tut, schädliche Aktivitäten unterbrechen und betroffene Abläufe nach Möglichkeit wiederherstellen können.

Aufzeichnungen über die Aktivitäten des Agenten sollten Untersuchungen und Audits unterstützen. Das Stoppen eines Agenten allein löst einen Fehler möglicherweise nicht, wenn er bereits falsche Informationen eingetragen oder weitere Aktionen ausgelöst hat. Deshalb verbinden die Vorschläge das Unterbrechen mit Wiederherstellung und einer Dokumentation des Geschehens.

Konsultation statt endgültiger Einsatzregel

Die Kommission veröffentlichte das Dokument im Bereich für öffentliche Diskussionen der taiwanischen Plattform Public Policy Network Participation Platform. Nach ihren Angaben soll die Konsultation praktische Erfahrungen in den Rahmen einbringen und eine Grundlage für die politische Arbeit, mögliche Leitlinien und Gespräche über die Aufsicht schaffen.

Lin sagte, der rasche technologische Wandel sei ein Grund dafür, vorerst keine feste Leitlinie zu veröffentlichen. Die Kommission könne außerdem nicht davon ausgehen, bereits alle relevanten Risiken erkannt zu haben. Die Absicht, auf Leitlinien hinzuarbeiten, hängt daher von Rückmeldungen und weiteren Entwicklungen ab und ist keine Zusage, ein endgültiges Dokument zu einem festgelegten Termin vorzulegen.

Die von der Kommission beschriebene Abfolge lautet:

• Juli 2026: Die FSC schlug Strategien zur Abwehr von KI-Angriffen vor. Lin bezeichnete dies als Vorarbeit für die aktuelle Initiative.
• 13. Oktober 2026: Die FSC veröffentlichte das Konsultationsdokument zur Sicherheit agentischer KI.
• Nach der Veröffentlichung: Eine 30-tägige öffentliche Kommentierungsfrist ermöglicht Rückmeldungen zum vorgeschlagenen Ansatz.
• Nach der Konsultation: Ob formelle Leitlinien folgen, hängt von den Rückmeldungen und der technologischen Entwicklung ab; ein Veröffentlichungstermin wurde nicht bekannt gegeben.

Die derzeitigen Tests tragen dazu bei, den Zeitpunkt zu erklären. Lin sagte, viele Experimente fänden im Bereich Cybersicherheit statt, etwa bei der Analyse von Sicherheitsinformationen, ohne direkt operative Maßnahmen zu ergreifen. Die Kommission will Schutzvorkehrungen bereitstellen, bevor Agenten stärker in Verwaltungs- und Geschäftsprozesse eingebunden werden. Der nächste konkrete Schritt ist die Konsultation; der endgültige Wortlaut und der Status möglicher Leitlinien sind noch offen.

Die wichtigsten Punkte

• Die taiwanische FSC hat am 13. Oktober 2026 eine 30-tägige Konsultation zum sicheren Einsatz agentischer KI im Finanzwesen eröffnet.
• Im Mittelpunkt stehen Agenten, die sich mit den Betriebssystemen von Finanzinstituten verbinden, diese bedienen oder Aktionen darin auslösen können.
• Der Vorschlag sieht vier Risikostufen vor, die anhand der Datensensibilität, der Auswirkungen von Aktionen und der Funktionsgrenzen bewertet werden.
• Aktionen mit dem höchsten Risiko erfordern die notwendigen Genehmigungen, Prüfungen oder Mechanismen, um ihre Ausführung zu verhindern.
• Institute sollten Berechtigungen beschränken, Aktivitätsprotokolle führen sowie Agenten stoppen und sich von Fehlern erholen können.
• Auch wenn ein KI-Agent eine Aufgabe ausführt, bleibt die menschliche Verantwortung bestehen.
• Die meisten Anwendungen befinden sich noch in der Erprobung. Das Dokument ist keine formelle Leitlinie; ein Zeitplan für eine solche wurde nicht festgelegt.