Agent Registry, Decision Logs, Permission Tiers – wo die Banken-IT jetzt nachlegen muss

Ein KI-Agent ist kein Chatbot. Er hat Systemzugriffe, plant mehrstufige Aktionen und trifft Entscheidungen. Trotzdem wird er von vielen Banken im Monitoring wie ein API-Call behandelt. Drei Dinge, die sich ändern müssen.

von Christian Schablitzki, Partner bei Infosys Consulting

Generative KI beantwortet Anfragen. Ein Agent tut mehr: Er besteht aus einem Sprachmodell, einem Planner, der Aufgaben in Teilschritte zerlegt, und Tool Calls, über die er auf Umsysteme zugreift – Datenbanken, APIs, Zahlungsinfrastruktur. Er plant, entscheidet und führt aus, in einer Schleife, oft ohne menschlichen Zwischenschritt.

Das ist schon lange kein reines Gedankenexperiment mehr. BNY Mellon betreibt über 130 sogenannte Digital Employees – autonome Agenten mit eigenen System-Accounts, die Zahlungen validieren und Sicherheitslücken in Code identifizieren. Santander und Mastercard haben im März 2026 Europas erste End-to-End-Zahlung durch einen KI-Agenten im regulierten Bankumfeld abgeschlossen. Goldman Sachs testet mit Devin einen autonomen Coding-Agenten, der neben 12.000 Entwicklern arbeitet.

Das Problem: Klassisches APM (Application Performance Monitoring) erfasst Latenz, HTTP-Status und Fehlerquoten. Es erfasst nicht, warum ein Agent eine Zahlung freigegeben hat – welche Daten er geprüft hat, welche Regeln er angewendet hat, welche Alternativen er verworfen hat. Die Entscheidung selbst ist eine Blackbox.

Drei Lücken, die in Produktion wehtun

Kein Inventar. In vielen Banken setzen Fachbereiche bereits LLM-basierte Werkzeuge ein, ohne dass die IT davon weiß – eigene API-Keys, eigene Wrapper, kein zentrales Deployment. Es gibt kein Registry, das erfasst, welche Agenten aktiv sind, welche Berechtigungen sie haben und wer fachlich verantwortlich ist. Wer unter DORA (Digital Operational Resilience Act) ein Register of Information für IKT-Drittanbieter führt, hat die Struktur bereits. Für Agenten fehlt sie jedoch.

Logs ohne Semantik. Standard-Logging erfasst den API-Call – Timestamp, Endpoint, Response Code. Es erfasst nicht den Entscheidungspfad: Welche Daten hat der Agent herangezogen? Welche Regeln hat er angewendet? An welchem Punkt hätte er anders entscheiden können? Art. 12 des EU AI Act (Artificial Intelligence Act) fordert für Hochrisiko-KI die automatische Protokollierung von Ereignissen über die gesamte Lebensdauer. Für Agenten heißt das: strukturierte Decision Logs mit Trace-ID, Tool-Call-Chain und angewandten Regeln – nicht nur Systemereignisse.

Eskalation ohne Pfad. „Human-in-the-Loop“ steht in jeder KI-Policy. Aber Art. 14 des EU AI Act definiert konkret, was „effective oversight“ bedeutet: Die zuständige Person muss das System und seine Grenzen verstehen, Anomalien erkennen können und das System jederzeit stoppen können. In der Praxis fehlt oft der operative Unterbau – kein definierter Eskalationspfad, keine Schwellenwerte, keine Reaktionszeiten. Ein Approval-Button ist kein Oversight.

Was konkret zu bauen ist

Agent Registry. Bevor eine Bank einen Agenten steuern kann, muss sie wissen, dass er existiert. Ein zentrales Agent Registry erfasst jeden aktiven Agenten mit den relevanten Metadaten: Agent-ID, Scope, Permissions, Owner, Status. BNY Mellon geht einen Schritt weiter – dort erhalten Agenten eigene System-Accounts und werden einem menschlichen Manager unterstellt, der für ihre Aktionen verantwortlich ist. Die Analogie liegt nahe: Was für IKT-Drittanbieter unter DORA das Register of Information ist, sollte für Agenten das Agent Registry sein.

Structured Decision Logs. Jede autonome Aktion eines Agenten muss nachvollziehbar protokolliert werden – nicht nur Input und Output, sondern der vollständige Entscheidungspfad: welche Tools aufgerufen wurden, in welcher Reihenfolge, mit welchen Parametern, und welche Ergebnisse zur finalen Entscheidung geführt haben. Pro Aktion eine Trace-ID, die sich durch die gesamte Tool-Call-Chain zieht. Die EZB hat die Erwartung klar formuliert: „If a bank cannot explain why an AI model behaves the way it does, in terms that are meaningful for decision-making, then it cannot truly control that model.“

Gestufte Berechtigungen. Kein Junior-Developer bekommt am ersten Tag vollen Zugriff auf die Produktionsumgebung. Dasselbe Prinzip sollte für Agenten gelten: Sie starten mit minimalen Rechten, die schrittweise erweitert werden – basierend auf nachgewiesener Zuverlässigkeit. Konkret: Schwellenwerte definieren, ab denen eine menschliche Freigabe erforderlich ist. Transaktionsbetrag, Entscheidungstyp, Abweichung vom Normalverhalten – jede dieser Dimensionen kann als Trigger dienen. Was unterhalb der Schwelle liegt, läuft autonom. Was darüber liegt, eskaliert. Das ist kein Misstrauen gegenüber der Technologie – es ist dasselbe Least-Privilege-Prinzip, das für Service Accounts längst Standard ist.

Wie weit die Skalierung im Markt bereits trägt, macht JPMorgan Ende April 2026 sichtbar, hebt das 2026er Technologiebudget auf 19,8 Milliarden US-Dollar und allokiert rund 1,2 Milliarden davon explizit für AI- und Modernisierungs-Workloads. Die hauseigene LLM Suite ist binnen acht Monaten auf 200.000 Mitarbeitende ausgerollt, mehrere hundert Use Cases laufen produktiv im Bankbetrieb – CEO Jamie Dimon hat 1.000 produktive Cases bis Jahresende 2026 als Zielgröße ausgegeben. Architektonisch bestätigt der Case die These dieses Beitrags: Pilot-Output skaliert nicht über die Vervielfachung von Modellen, sondern über die Standardisierung von Plattform, Datenfundament und Kontroll-Layer.

Der EU AI Act im August ist nicht die Deadline – es ist der Anfang

Der 2. August 2026 setzt mit dem EU AI Act Mindeststandards für Hochrisiko-KI: Dokumentation, Risikomanagement, menschliche Aufsicht. Für Banken, die Agenten produktiv betreiben, ist das notwendig – aber nicht ausreichend. Der AI Act adressiert Modelle. Er adressiert nicht Systeme, die in Schleifen planen, über Systemgrenzen hinweg agieren und Entscheidungsketten auslösen, die kein Mensch in Echtzeit überblickt.

Agent Registry, Decision Logs, gestufte Berechtigungen – das sind keine neuen Konzepte. Es sind bewährte Prinzipien aus IAM (Identity and Access Management), Audit-Logging und Zugriffssteuerung, angewendet auf eine neue Klasse von Akteuren. Die Frage ist nicht, ob Agentic AI den Bankbetrieb verändert. Die Frage ist, ob die IT-Organisation die Kontrolle behält – oder sie abgibt, ohne es zu merken.Christian Schablitzki, Partner bei Infosys Consulting