Die Monetary Authority of Singapore hat kürzlich ihren ersten Leitfaden zum Risikomanagement künstlicher Intelligenz (KI) für Finanzinstitute veröffentlicht. Darin wird verlangt, dass lokale Finanzinstitute KI-Anwendungsfälle vor der Überführung in die Produktionsumgebung von einer unabhängigen Partei prüfen lassen, die nicht an der Entwicklung beteiligt war. Der Leitfaden tritt am 7. Oktober 2027 in Kraft.
Als Zentralbank und Finanzaufsichtsbehörde Singapurs weist die Monetary Authority of Singapore darauf hin, dass KI zwar die Leistung in zahlreichen Geschäfts- und Funktionsbereichen verbessern kann, ihre Komplexität und probabilistische Natur jedoch die Unsicherheit erhöhen und schwer erkennbare anomale oder abweichende Verhaltensweisen hervorrufen können. Generative KI birgt aufgrund komplexerer Modelle höhere Risiken; Rauschen in Trainingsdaten, unzureichende Repräsentativität der Daten sowie Situationen, in denen das Modell auf Szenarien außerhalb seines Trainingsbereichs trifft, können die Ausgabe beeinflussen. Agentic KI könnte die damit verbundenen Risiken weiter verstärken.
Finanzinstitute in Singapur müssen KI-Risikomanagement-Leitfaden befolgen
Gemäß dem Leitfaden sollen Finanzinstitute KI in ihre bestehenden Risikomanagement-Rahmenwerke integrieren; Vorstand und oberste Führungsebene sind für die Umsetzung verantwortlich. Die unabhängige Prüfung vor der Bereitstellung muss die zugrunde liegenden Systeme oder Modelle abdecken und sicherstellen, dass Kontrollmaßnahmen wie Bewertung und Tests umgesetzt werden; zudem sind technische und Cybersicherheitsprüfungen durchzuführen, um sicherzustellen, dass KI auf kontrollierte und sichere Weise in die Produktionsumgebung überführt wird.
Nach dem Go-live von KI-Systemen müssen Finanzinstitute die Modellleistung kontinuierlich überwachen, um Daten-Drift, Modell-Drift, Leistungsabfall und Modellalterung entgegenzuwirken. Die gleichen Anforderungen gelten auch für KI-Produkte und -Dienste von Drittanbietern. Die Aufsichtsbehörde stellt klar, dass Ausfälle bei Drittanbieterdiensten die Verantwortung der Finanzinstitute nicht entbinden. Wenn sich Risiken nicht auf ein für das Institut akzeptables Maß begrenzen lassen, sollten Einschränkung, Aussetzung oder Austausch der betreffenden Dienste in Betracht gezogen werden.
Darüber hinaus müssen Finanzinstitute ein aktuelles Verzeichnis ihrer KI-Anwendungen führen. Für Fälle, in denen Drittanbieterdienste die KI-Nutzung nicht offenlegen, sind ebenfalls Maßnahmen zum Management potenzieller Risiken zu ergreifen. Hochrisiko-KI-Anwendungen müssen zudem Notfall- und Alternativpläne vorsehen, einschließlich der Aktivierung von Backup-Systemen oder manueller Prozesse, um die Geschäftskontinuität zu gewährleisten.