Die britische Finanzaufsicht Financial Conduct Authority (FCA) will signifikante Ausfälle und Beinahe-Vorfälle mit künstlicher Intelligenz in die Meldungen beaufsichtigter Finanzunternehmen einbeziehen. Jessica Rusu, bei der FCA für Daten, Informationen und Intelligence zuständig, erklärte am 19. Oktober 2026, bestehende Meldepflichten für größere Vorfälle müssten auch erhebliche KI-Fehler und knapp vermiedene Schäden erfassen.
Betroffen sind damit Banken, Versicherer und andere regulierte Finanzdienstleister in Großbritannien, die KI in ihren Prozessen einsetzen. Die FCA hat allerdings noch keine eigenständige KI-Meldeordnung mit neuen Fristen, Schwellenwerten oder einer verbindlichen Definition des Beinahe-Vorfalls vorgestellt. Zunächst formuliert sie, wie die bestehenden Pflichten bei zunehmend autonomen Systemen verstanden werden sollen.
Genau darin liegt die operative Bedeutung der Forderung: Einen eingetretenen Systemausfall kann ein Unternehmen vergleichsweise eindeutig erfassen. Ein KI-System, dessen problematische Aktion noch rechtzeitig gestoppt wurde, hinterlässt dagegen nur dann einen meldefähigen Vorgang, wenn das Unternehmen seine Entscheidungen, Eingriffe und Kontrollmechanismen überhaupt nachvollziehen kann.
Bestehende Meldepflichten sollen auch für KI gelten
Schlecht kontrollierte KI könne Verbraucherschäden, Cyberrisiken und operative Ausfälle verursachen – möglicherweise mit größerer Geschwindigkeit und Reichweite, sagte Rusu bei der UK Policy Series von Bloomberg. Mit zunehmender Autonomie müsse deshalb klar sein, wer für Entscheidungen und Folgen verantwortlich ist.
Die Aussage ist keine abstrakte Warnung vor Sprachmodellen. Die Aufsicht richtet den Blick auf Systeme, die nicht nur Inhalte erzeugen, sondern innerhalb vorgegebener Rechte selbstständig Schritte ausführen oder Entscheidungen vorbereiten. Je weiter solche Agenten in Geschäftsprozesse eingreifen, desto weniger genügt eine allgemeine Freigabe des verwendeten Modells. Relevant werden der konkrete Auftrag, die verfügbaren Berechtigungen, die wirksamen Kontrollpunkte und die Frage, ob ein Mensch eine problematische Aktion tatsächlich erkennen und stoppen kann.
Die Verbreitung ist bereits hoch. Ein gemeinsamer Bericht der FCA und der Bank of England kommt nach den vorliegenden Angaben zu dem Ergebnis, dass 86 Prozent der befragten Finanzunternehmen KI nutzen. Zugleich gehört die Branche zu den wichtigsten Teilen der britischen Wirtschaft: Finanzdienstleistungen trugen 2025 rund 223,6 Milliarden Pfund bei, entsprechend acht Prozent der Wirtschaftsleistung.
Ein Beinahe-Vorfall muss zuerst sichtbar werden
Die Forderung nach Meldungen verschiebt einen Teil der regulatorischen Arbeit in die technischen und organisatorischen Abläufe der Unternehmen. Bevor eine Firma entscheiden kann, ob ein KI-Vorfall signifikant und damit meldepflichtig ist, muss sie ihn erkennen, rekonstruieren und einer verantwortlichen Stelle zuordnen können.
Bei deterministischer Software lässt sich ein Fehler häufig über einen Absturz, einen Alarm oder einen klaren Regelverstoß identifizieren. Bei KI kann die Abweichung subtiler sein: Ein Ergebnis wird verworfen, eine Transaktion nicht freigegeben oder ein Mitarbeiter korrigiert eine Entscheidung, bevor ein Kunde betroffen ist. Ohne Protokollierung und einen festgelegten Eskalationsweg bleibt daraus im Alltag möglicherweise nur eine erfolgreiche manuelle Korrektur – und kein dokumentierter Beinahe-Vorfall.
Für Finanzunternehmen folgt daraus eine praktische Aufgabe, auch wenn die FCA noch keine detaillierte KI-Spezialregel veröffentlicht hat. Sie müssen bestehende Incident-Prozesse darauf prüfen, ob diese neben Ausfällen auch gestoppte Fehlentscheidungen autonomerer Systeme erfassen. Verantwortlichkeit beginnt dabei nicht erst mit der Meldung an die Behörde, sondern mit der internen Zuständigkeit: Wer bewertet einen Vorfall, wer entscheidet über seine Signifikanz und wer kann den Einsatz eines Systems begrenzen?
Das Vorbild Luftfahrt erklärt den regulatorischen Ansatz
Steven Adler, Mitgründer und Chefwissenschaftler der gemeinnützigen Organisation Guidelight AI Standards, verwies vor britischen Abgeordneten auf die Luftfahrt. Dort ist die Meldung von Beinahe-Zusammenstößen und anderen sicherheitsrelevanten Ereignissen in vielen Rechtsordnungen verpflichtend. Das Ziel ist, nicht erst aus Katastrophen zu lernen, sondern aus Ereignissen, bei denen Schutzmechanismen gerade noch funktioniert haben.
Die Analogie beschreibt den gewünschten Lernmechanismus, lässt sich aber nicht vollständig übertragen. In der Luftfahrt sind Ereigniskategorien, technische Aufzeichnungen und Verantwortungsbereiche über Jahrzehnte entwickelt worden. Bei agentischer KI fehlen bislang vergleichbar gefestigte Definitionen. Ohne einheitliche Kriterien können Unternehmen dasselbe Ereignis unterschiedlich behandeln: als Qualitätsproblem, normalen menschlichen Kontrollschritt, IT-Störung oder regulatorisch relevanten Beinahe-Vorfall.
Für die FCA wird deshalb nicht nur die Zahl der Meldungen entscheidend sein. Die Aufsicht muss deutlich machen, welche Art von Ereignis sie erwartet und ab wann ein Vorgang als signifikant gilt. Zu niedrige Schwellen produzieren große Mengen wenig aussagekräftiger Meldungen; zu hohe Schwellen lassen genau jene schwachen Signale verschwinden, aus denen sich wiederkehrende Fehler erkennen ließen.
Die Gesetzgebung ist noch nicht abgeschlossen
Die Debatte reicht über die Finanzaufsicht hinaus. Der britische KI-Minister Kanishka Narayan kündigte an, gemeinsam mit dem Parlament und technischen Fachleuten zu prüfen, wie sich der Schutz vor KI-gestützten Cyberbedrohungen und Kontrollverlust verbessern lässt. Dazu sollen auch die Identifizierung und Meldung schwerer Vorfälle sowie von Beinahe-Vorfällen gehören.
Ob KI-spezifische Bestimmungen in das Cyber Security and Resilience (Network and Information Systems) Bill aufgenommen werden, ist jedoch noch offen. Nach Angaben des zuständigen Ministeriums werden entsprechende Änderungen geprüft. Im Januar 2026 hatte bereits der Treasury Committee des Unterhauses gefordert, Finanzaufsichtsbehörden sollten Stresstests für KI-getriebene Marktschocks durchführen und klare Verantwortlichkeiten für schädliche oder unfaire Ergebnisse festlegen.
Damit entsteht die regulatorische Praxis vorerst aus mehreren Ebenen: bestehenden Vorfallpflichten, Erwartungen der FCA, parlamentarischen Forderungen und einer noch nicht abgeschlossenen Gesetzgebung. Finanzunternehmen können deshalb nicht darauf warten, dass ein einzelnes KI-Gesetz alle Details vorgibt. Wer autonome Systeme einsetzt, muss schon heute belegen können, welche Aktionen stattgefunden haben, welche Kontrolle einen Schaden verhindert hat und wer für die Bewertung zuständig war.
Die eigentliche Verschärfung besteht somit nicht allein in einer zusätzlichen Meldung an die FCA. Sie liegt in der Voraussetzung dafür: Aus einer knapp verhinderten Fehlentscheidung muss ein rekonstruierbarer Vorgang werden. Unternehmen, deren KI-Systeme keine belastbaren Spuren hinterlassen oder deren Zuständigkeiten unklar sind, können auch das nicht zuverlässig melden, was gerade noch gut gegangen ist.
