5 Best Practices für die Governance von Agenten-KI im Finanzwesen

Von Maneeza Malik, Produktmarketingdirektor

Agentische KI verändert Finanzdienstleistungen und Versicherungen schneller, als die Governance Schritt halten kann. Die Branche entwickelt sich über Copilots und Chatbots hinaus zu autonomen KI-Agenten, die im Produktionsmaßstab arbeiten. Dies erfordert einen fundamentalen Wandel bei Unternehmensrisiko, Governance und Kontrolle.

Gartner prognostiziert, dass bis 2028 das durchschnittliche Fortune-500-Unternehmen mehr als 150.000 KI-Agenten über alle Geschäftsbereiche hinweg einsetzen wird. Gleichzeitig warnt Gartner, dass Unternehmen – insbesondere solche in regulierten Branchen wie dem Finanzdienstleistungs- und Versicherungssektor – nicht ausreichend auf die Governance-, Sicherheits-, Compliance- und Betriebskomplexität vorbereitet sind, die der großflächige Einsatz von Agenten mit sich bringt.

Für Banken und Versicherungen schafft dies eine neue Realität. Jeder KI-Agent wird zu einem digitalen Akteur, der mit den Kerngeschäftssystemen interagiert. Jeder neue Agent vergrößert die Angriffsfläche des Unternehmens. Jeder autonome Workflow birgt neue operative, sicherheitsrelevante und regulatorische Risiken.

Aus diesem Grund kann agentische KI nicht wie eine weitere KI-Initiative oder eine weitere Ebene im Technologie-Stack behandelt werden. Sie erfordert Governance-, Identitäts-, Sicherheits-, Observability- und Compliance-Kontrollen, die im gesamten Unternehmen verankert sind.

Wie agentische KI das Finanzrisikomodell verändert

Traditionelle KI-Systeme erfüllten typischerweise eng definierte Aufgaben innerhalb etablierter Finanz-Workflows, wie etwa das Klassifizieren von Transaktionen, das Erstellen von Vorhersagen oder das Empfehlen von Aktionen. Unternehmenskontrollen wurden für diese begrenzten Anwendungsfälle konzipiert, wobei Menschen oder deterministische Geschäftsregeln den gesamten Workflow und die Ausführung steuerten.

Agentic AI ändert dieses Modell. KI-Agenten können mehrstufige Aufgaben planen und ausführen, Unternehmensanwendungen und APIs aufrufen, auf Daten über Systeme hinweg zugreifen, sich mit anderen Agenten koordinieren und ihre Aktionen an sich ändernde Kontexte anpassen. Anstatt eine einzelne Aufgabe zu unterstützen, können sie gesamte Geschäftsprozesse orchestrieren.

Da KI-Agenten zu aktiven Teilnehmern in Unternehmensabläufen werden, erweitert sich das Unternehmensrisikomodell. Finanzinstitute müssen nicht nur das KI-Modell steuern, sondern auch die Identität, die Berechtigungen, den Tool-Zugriff, die Entscheidungsgrenzen, den Datenzugriff und das Laufzeitverhalten jedes einzelnen Agenten während seines gesamten Lebenszyklus überwachen.

Dies führt drei wesentliche Veränderungen ein.

• Entscheidungsgrenzen werden weniger explizit. Während Agenten immer komplexere Arbeitsabläufe ausführen, benötigen Unternehmen klare Richtlinien, die definieren, wann ein Agent autonom agieren kann, wann eine menschliche Genehmigung erforderlich ist und wie Entscheidungen überwacht, gesteuert und geprüft werden.
• Integrationen werden Teil der Angriffsfläche. Agenten sind auf APIs, Unternehmensanwendungen, SaaS-Plattformen, Datenquellen und externe Dienste angewiesen, um Aufgaben zu erledigen. Jede Verbindung birgt potenzielle Risiken in Bezug auf Authentifizierung, Autorisierung, Datenpannen und Abhängigkeiten von Drittanbietern.
• Skalierung wird zu einer Governance-Herausforderung. Multi-Agenten-Systeme können schnell von einer Handvoll Agenten auf Hunderte oder Tausende anwachsen, die spezialisierte Funktionen ausführen. Ohne das Management des Lebenszyklus von KI-Agenten, Bestandsverzeichnis, Verantwortlichkeit, Durchsetzung von Richtlinien und kontinuierliche Überwachung riskieren Finanzinstitute und Versicherungen, die Übersicht darüber zu verlieren, worauf Agenten zugreifen können oder wie sie im gesamten Unternehmen miteinander interagieren.

Aufstrebende Standards wie die Modellkontextprotokoll (MCP) wird diesen Trend weiter beschleunigen, indem standardisiert wird, wie KI-Agenten eine Verbindung zu Unternehmenswerkzeugen und Datenquellen herstellen. Da die Integration von Agenten in Geschäftssysteme einfacher wird, benötigen Unternehmen einheitliche Identitäts-, Governance-, Richtliniendurchsetzungs- und Laufzeitkontrollen bei jeder Interaktion von Agenten.

Best Practices für die Implementierung von KI-Governance im Finanzwesen

Um diese Herausforderungen zu bewältigen, sollten Finanzinstitute Governance-Rahmenwerke etablieren, die sowohl das Risiko verringern als auch das Unternehmen auf unerwartetes Agentenverhalten vorbereiten. Die folgenden fünf Best Practices bilden eine Grundlage für:

• Reduzierung von Betriebs-, Sicherheits- und Compliance-Risiken die mit dem Einsatz von agentenbasierter KI im Unternehmensmaßstab verbunden sind.
• Entwicklung von Notfallplänen zu erkennen, einzudämmen und darauf zu reagieren, wenn KI-Agenten sich unerwartet verhalten, gegen Richtlinien verstoßen oder Betriebsausfälle erleiden.

Best Practice #1:
KI-Agenten als digitale Mitarbeiter steuern

Das erste Prinzip ist einfach: Behandle jeden KI-Agenten wie einen digitalen Mitarbeiter.

Jeder Agent sollte Folgendes haben:

• Eine klar definierte Rolle und ein klarer Zweck
• Ein abgegrenzter Verantwortungsbereich
• Zugriff mit den geringsten Rechten
• Freigegebene Werkzeuge und Datenquellen
• Klar definierte Entscheidungsgrenzen
• Menschliche Aufsicht (Human-in-the-Loop) wo angebracht

Ohne diese Kontrollen werden KI-Agenten zu ungesteuerten Akteuren, die in Unternehmenssystemen agieren.

Governance sollte zudem richtlinienbasiert statt manuell erfolgen. Unternehmen benötigen maschinenlesbare Richtlinien, die definieren, was Agenten tun dürfen, wann sie autonom agieren können und wann sie Freigaben durch den Menschen (Human-in-the-Loop) benötigen.

In regulierten Branchen wie dem Banken- und Versicherungswesen ist KI-Governance mehr als nur eine bewährte Praxis. Sie ist eine Notwendigkeit und eine Kontrollfunktion, die Prüfbarkeit, Rechenschaftspflicht und die Einhaltung gesetzlicher Vorschriften ermöglicht.

Best Practice #2:
Sichern Sie das gesamte Ökosystem der KI-Agenten

Ein häufiger Fehler besteht darin, sich bei der Sicherheit ausschließlich auf das Large Language Model (LLM) selbst zu konzentrieren. In der Realität erstreckt sich die Angriffsfläche im Unternehmen weit über das Modell hinaus, sobald man beginnt, KI-Agenten einzusetzen. KI-Agenten interagieren mit:

• APIs
• Datenbanken
• Identitätssysteme
• Unternehmensanwendungen und -systeme (z. B. CRM, ERP, Personalwesen, Finanzen usw.)
• Interne Arbeitsabläufe
• Externe Dienste
• MCP-kompatible Werkzeuge

Jede Verbindung, auf die ein KI-Agent zugreifen kann, wird Teil der Angriffsfläche des Unternehmens.

Da KI-Agenten immer autonomer werden, muss sich die Sicherheit über den Schutz der zugrunde liegenden Modelle hinaus auf die Sicherung des gesamten Agenten-Ökosystems erstrecken. Dazu gehören Identitäts- und Zugriffsmanagement, Authentifizierung und Autorisierung, API- und Werkzeugsicherheit, Datenzugriffskontrollen sowie die Durchsetzung von Richtlinien für sensible Daten – einschließlich personenbezogener Daten (PII) und vertraulicher Geschäftsinformationen. Eine kontinuierliche Laufzeitüberwachung zur Erkennung unautorisierten Verhaltens, von Richtlinienverstößen und neuen Bedrohungen ist zwingend erforderlich.

Jede Aktion, die ein Agent ausführt, sollte als privilegierte Unternehmenstransaktion behandelt werden. Vor dem Zugriff auf Daten, dem Aufruf eines Werkzeugs oder der Ausführung eines Workflows sollte das System die Identität überprüfen, Berechtigungen validieren, Richtlinien durchsetzen und die Aktion zu Auditierungszwecken protokollieren.

Für Finanzinstitute und Versicherungen bedeutet die Absicherung agentischer KI, KI-Agenten wie vollwertige Unternehmensidentitäten zu behandeln, die mit derselben Sorgfalt wie Mitarbeiter, Anwendungen und Dienstkonten kontrolliert werden.

Best Practice #3:
Implementierung des Agenten-Lebenszyklusmanagements

Die Verwaltung einer Handvoll KI-Agenten ist unkompliziert. Hunderte oder Tausende über Geschäftsbereiche, Umgebungen, Regionen und Anwendungsfälle hinweg zu steuern, ist jedoch eine unternehmerische Governance-Herausforderung. Ohne ein zentralisiertes Lebenszyklusmanagement für Agenten und die richtigen Kontrollen wird die Komplexität schnell unüberschaubar.

Organisationen benötigen einen zentralisierten Ansatz zur Verwaltung des gesamten Agenten-Lebenszyklus – von der Bereitstellung und Implementierung bis hin zu Überwachung, Optimierung, Aktualisierung und Außerbetriebnahme. Kein Agent sollte ohne Governance existieren oder unbegrenzt weiterbestehen.

Das Agenten-Lebenszyklusmanagement sollte Folgendes umfassen:

• Agentenbestand und -besitz
• Versions- und Konfigurationsmanagement
• Identitäts- und Anmeldeinformationsmanagement
• Laufzeit-Beobachtbarkeit und Performance-Monitoring
• Durchsetzung von Richtlinien und Einhaltung von Vorschriften
• Prüfprotokolle und Aktivitätsverlauf
• Kontinuierliche Evaluierung und Risikobeurteilung
• Sichere Außerbetriebnahme

Ohne diese Fähigkeiten verlieren Unternehmen schnell den Überblick darüber, welche Agenten im gesamten Unternehmen existieren (Inventar), warum sie existieren (Zweck) und wem sie gehören (Besitz, Rückverfolgbarkeit und Rechenschaftspflicht). Für regulierte Branchen ist die Aufrechterhaltung dieser Sichtbarkeit – und des zugrunde liegenden Audit-Trails – für Governance, Compliance und Risikomanagement von entscheidender Bedeutung.

In vielen Fällen werden Agenten für spezifische geschäftliche Funktionen oder Prozesse erstellt, aber mit der Zeit geht dieser Kontext verloren. Dies birgt das Risiko von unmanaged oder “Shadow”-KI-Agenten sowie Unsicherheiten darüber, auf welche Systeme sie zugreifen können, wie sie sich verhalten und ob sie weiterhin innerhalb der genehmigten Grenzen agieren.

Die Beobachtbarkeit ist ein wesentlicher Bestandteil des Lebenszyklusmanagements von Agenten. Im Gegensatz zu herkömmlichen Anwendungen treffen KI-Agenten dynamische Entscheidungen, rufen Tools auf und passen sich an wechselnde Kontexte an. Unternehmen benötigen Echtzeit-Einblick in die Aktivitäten der Agenten, die Tool-Nutzung, Richtlinienverstöße, Ausfälle und Ausführungswege, um die Reaktion auf Vorfälle, die Behebung von Betriebsstörungen und die Einhaltung gesetzlicher Vorschriften zu unterstützen.

Best Practice #4:
Definiere Agenten-Leistungskennzahlen

Finanzinstitute und Versicherungen müssen klare Leistungs- und Effektivitätsmetriken definieren, um sicherzustellen, dass KI-Agenten kontinuierlich einen geschäftlichen Mehrwert liefern und gleichzeitig innerhalb der genehmigten Risiko- und Compliance-Grenzen arbeiten.

Das Leistungsmanagement von Agenten sollte Folgendes umfassen:

• Geschäftsergebnis und Kennzahlen für den Aufgabenerfolg: messen, ob Agenten die beabsichtigten Geschäftsziele erreichen und den erwarteten Wert liefern.
• Entscheidungsqualität und Ergebniskonsistenz: die Genauigkeit, Zuverlässigkeit und Konsistenz von Entscheidungen und Antworten von Agenten kontinuierlich bewerten.
• Überwachung der Verhaltens- und Richtlinienkonformität: Erkennung nicht autorisierter Tools (usage), unerwarteter Ausführungswege oder Aktionen, die außerhalb der genehmigten Governance-Richtlinien liegen.
• Erkennung von Modell- und Verhaltensdrift: Identifizierung von Änderungen in der Modellleistung oder dem Agentenverhalten im Laufe der Zeit, die auf Modellverschiebung (Drift), Datenqualitätsprobleme, Prompt-Änderungen oder unbeabsichtigte Anpassungen hinweisen können.
• Metriken zur Betriebssundheit und menschlichen Überwachung: Verfügbarkeit, Latenz, Ausfälle, Eskalationsraten und menschliche Eingriffe überwachen, um sicherzustellen, dass Agenten zuverlässig und vertrauenswürdig bleiben.

Das Leistungsmanagement für agentenbasierte Systeme geht über die herkömmliche Anwendungsüberwachung hinaus. Unternehmen benötigen einen kontinuierlichen Einblick in die Entscheidungsqualität, die Ausführungswege, die Tool-Nutzung usage und Verhaltensänderungen während des gesamten Lebenszyklus eines Agenten. Abweichungen vom erwarteten Verhalten – sei es aufgrund von Modelldrift, Konfigurationsänderungen, sich verändernden Daten oder anderen Faktoren – sollten eine strukturierte Überprüfung und gegebenenfalls menschliches Eingreifen auslösen. Aus diesem Grund bleiben „Human-in-the-Loop“-Workflows und die Aufsicht eine entscheidende Kontrollmaßnahme im Rahmen der Governance.

Zusammen mit dem Agenten-Lebenszyklusmanagement bildet die kontinuierliche Leistungsmessung die operative Grundlage für die Steuerung agentischer KI im Unternehmensmaßstab.

Best Practice #5:
Compliance und menschliche Überwachung in Agenten-Workflows einbetten

In regulierten Branchen darf Compliance kein externer Validierungsschritt sein. Sie muss direkt in das Design, die Ausführung und die Überwachung von Agenten integriert werden.

Compliance-Anforderungen – darunter gesetzliche Vorschriften, interne Richtlinien, Standards zur Nachvollziehbarkeit sowie Regeln zur Datenverwaltung – müssen innerhalb der Arbeitsabläufe der Agenten kontinuierlich durchgesetzt werden. Dazu gehört die direkte Einbettung von Einschränkungen hinsichtlich der Daten usage, von länderspezifischen Kontrollen, der Nachvollziehbarkeit von Entscheidungen und der Aufbewahrungspflichten in die Ausführungslogik.

Die menschliche Überwachung (Human-in-the-loop) bleibt eine entscheidende Kontrollmaßnahme, muss jedoch selektiv und risikobasiert angewendet werden. Nicht alle Aktionen erfordern menschliches Eingreifen. Hochwirksame Aktionen wie Finanztransaktionen, kundenbezogene Entscheidungen oder der Zugriff auf sensible Daten sollten jedoch basierend auf definierten Risikoschwellenwerten menschliche Workflow-Prüfungen auslösen.

Die Aufsicht muss zudem strukturiert und konsistent sein. Unternehmen benötigen definierte Eskalationswege, Genehmigungsworkflows und Eingriffsmechanismen, die über alle Agenten hinweg standardisiert sind. Dies stellt sicher, dass die menschliche Beteiligung vorhersehbar, überprüfbar und auf die Risikorichlinien des Unternehmens abgestimmt ist, anstatt ad-hoc zu erfolgen.

Für Finanzinstitute und Versicherer ist die Einbettung von Compliance und menschlicher Aufsicht in Agenten-Workflows das, was Skalierung ohne Verlust der regulatorischen Kontrolle ermöglicht.

Mit Jitterbit Harmony agentenbasierte KI in die Praxis umsetzen

Die Herausforderung für Finanzinstitute und Versicherungen besteht nicht darin, KI-Agenten zu entwickeln, sondern sie mit durchgängiger Governance, Sicherheit, Compliance und Observability über hybride Unternehmensumgebungen hinweg zu operationalisieren.

Jitterbit Harmony löst dies mit einer einheitlichen, KI-gestützten Low-Code-Plattform, die Folgendes zusammenführt:

• iPaaS
• App-Entwicklung
• Vollständiges Lebenszyklus-API-Management
• KI-Assistenten und KI-Agenten

Mit Harmony können Finanzinstitute und Versicherer Datenquellen und Systeme integrieren und komplexe Workflows und Agenten im großen Maßstab orchestrieren – aus einer einzigen Umgebung heraus. Umfassende Sicherheits-, KI-Governance-, Observability- und Compliance-Kontrollen sind in die Plattform integriert. Dies ermöglicht es Unternehmen, die Automatisierung zu skalieren und gleichzeitig Folgendes zu gewährleisten:

• Operative Kontrolle
• Prüfbarkeit
• Regulatorische Angleichung
• Sicherheitsdurchsetzung

Jitterbit Agentic AI Services: Von der Strategie zur Produktion

Agentic AI Professional Services von Jitterbit Das Team hilft Unternehmen dabei, den Schritt von der Strategie bis zur produktionsreifen Bereitstellung von agentenbasierten Systemen zu vollziehen.

Mit umfassender Erfahrung in den Bereichen Integration, Workflow-Design und agentischen Architekturen unterstützt das Team die Entwicklung von:

• RAG-basierte Workflows
• Mensch-im-Kreis-Steuerung
• Sichere Agenten-Architektur
• Enterprise-Governance-Rahmenwerk

Organisationen können die Einführung beschleunigen und gleichzeitig sicherstellen, dass Agenten mit angemessenen Sicherheitsvorkehrungen, Rückverfolgbarkeit und operativer Überwachung eingesetzt werden.

Bereit, Ihre Reise in die agentische KI zu beginnen?

Sehen Sie, wie Jitterbit Finanzinstitute und Versicherer dabei unterstützt, agentische KI-Lösungen mit KI-Assistenten, KI-Agenten und der für den Wettbewerb in einem KI-getriebenen Markt erforderlichen Integrationsgrundlage aufzubauen, zu verbinden und zu skalieren.