Im April 2026 hat zum ersten Mal eine Künstliche Intelligenz ein echtes Geschäftskonto eröffnet. Kein Sandbox-Experiment, kein Demo-Video: echtes Geld, FDIC-versichert, abgewickelt über zwei US-Mitgliedsbanken. Die Plattform dahinter, Meow Technologies, lässt einen KI-Agenten per einzelnem Befehl das KYC-Onboarding durchlaufen, das Konto finanzieren, Firmenkarten ausgeben, Überweisungen anstoßen und Rechnungen schreiben.

Drei Wochen später meldete ein Agent erstmals eine eigene Firma an, holte sich eine Steuernummer und richtete eine Krypto-Wallet ein. Vollständig autonom. Damit ist eine Schwelle überschritten, über die in der Compliance-Welt noch immer erstaunlich leise gesprochen wird: Die Maschine ist nicht mehr nur Werkzeug des Kunden. Sie beginnt, im System wie der Kunde selbst zu erscheinen.

Die neue Bruchstelle heißt Zurechnung: Wer hat wirklich gehandelt, wer durfte handeln, und wer kann es später beweisen?

Vertrauen wird zur Marktinfrastruktur

Visa hat diesen Punkt früher verstanden als viele Aufseher. Der Konzern baut mit „Intelligent Commerce“ eine Infrastruktur für den Moment, in dem Agenten selbstständig einkaufen. Hinter der Produktlogik steckt eine Marktlogik: Wer kontrolliert, welcher Agent als legitim gilt, wer den Notausschalter hält und wer im Verzeichnis der vertrauenswürdigen Agenten steht, kontrolliert den Zugang zum Markt.

Die Belege dafür liegen offen. Visa beschreibt B2AI als Modell, in dem Agenten nicht nur empfehlen, sondern verhandeln und Transaktionen ausführen. In der eigenen Umfrage würden 53 Prozent der befragten US-Unternehmen Agenten Preise oder Bedingungen direkt mit anderen Agenten verhandeln lassen. Auf Verbraucherseite bleibt die Grenze scharf: Sichtbarkeit, Kontrolle und Eingriffsrecht sind die Bedingung für Akzeptanz.

Damit wird Vertrauen selbst zur Infrastruktur. Visa arbeitet mit Partnern an sicheren agenteninitiierten Transaktionen und verweist auf das Trusted Agent Protocol, das legitime Agenten von bösartigen Bots unterscheiden soll. An dieser Stelle entscheidet sich, wer Transaktionen auslösen darf, wer sie stoppen kann und wer im Streitfall die Beweiskette liefern muss.

Wo die Haftungskette reißt

Die unbequeme Frage ist deshalb nicht, ob Agenten nützlich sind. Die unbequeme Frage lautet: Wer steht gerade, wenn ein Agent das Konto leerräumt oder eine illegale Transaktion durchschiebt?

Hier reißt die klassische Autorisierungskette. Der Mensch hat den Agenten möglicherweise allgemein bevollmächtigt. Aber hat er diese konkrete Zahlung, diese konkrete Gegenpartei und diese konkrete Handlung wirklich gewollt? Juristische Einordnungen zu agentischer KI im Zahlungsverkehr deuten auf ein für Banken und Plattformen unangenehmes Ergebnis hin: Das Haftungsrisiko bleibt tendenziell bei dem Akteur hängen, der den Agenten in die Zahlungsinfrastruktur hineinlässt.

Genau das können viele Systeme heute nicht. Sie lassen Agenten handeln, ohne im Nachhinein sauber erklären zu können, wie der Entschluss zustande kam, welche Grenzen gesetzt waren und an welchem Punkt menschliche Freigabe gegriffen hätte. Dazu kommt ein zweites Problem: Starke Kundenauthentifizierung ist an Personen gebunden. Ein Agent kann Kriterien aus einem Auftrag ausführen, aber er ist nicht selbst der zahlende Mensch. Im Haftungsfall ist das kein Schönheitsfehler. Es ist ein Beweisproblem.

Auch die Rückabwicklung ist dafür schlecht vorbereitet. Wenn ein Agent ein Produkt falsch erkennt, einen Preis falsch interpretiert oder wegen einer Halluzination eine Zahlung auslöst, landet der Streit schnell bei Chargeback- und Dispute-Prozessen, die für klassische Karten- und Händlerlogik gebaut wurden. „Die KI war es“ ist dort keine saubere Kategorie.

Warum das ein FinCrime-Problem ist

Für Financial Crime Compliance liegt die eigentliche Sprengladung an einer anderen Stelle. Unsere Kontrollarchitektur setzt fast überall einen Menschen am anderen Ende voraus.

• KYC: Wie funktioniert Identifizierung, wenn der Kontoinhaber formal ein Unternehmen ist, operativ aber ein Agent das gesamte Onboarding durchläuft?
• Travel Rule: Wer ist Sender, wer Empfänger, wenn Agenten mit Agenten interagieren und mehrere Systeme im Namen Dritter handeln?
• Verdachtsmeldung: Wer trägt die Meldeverantwortung, wenn ein autonomes System strukturiert wäscht: die Bank, der Betreiber des Agenten, der Deployer oder der Modellanbieter?

Dasselbe agentische System, das heute Sanktionslisten screent, Alerts bündelt und SAR-Entwürfe vorbereitet, kann von der anderen Seite genauso als Angriffsfläche genutzt werden. Der Kontrollgewinn auf der einen Seite erzeugt eine neue Missbrauchsoberfläche auf der anderen.

Die Regulierung bewegt sich, aber auf altem Menschenmodell

Die Regulierung ist nicht untätig. Sie läuft nur mit einem anderen Referenzobjekt. Der EU AI Act entfaltet seine schärferen Pflichten ab dem 2. August 2026. Finanz-KI mit hohem Risiko landet dann unter bestehender sektoraler Aufsicht, in Deutschland also praktisch bei der BaFin und nicht bei einem abstrakten Tech-Regulierer.

Auch das Zahlungsrecht bewegt sich. Parlament und Rat erreichten am 27. November 2025 eine vorläufige politische Einigung zu PSD3 und PSR; der parlamentarische Legislative Train verzeichnete anschließend weitere Ausschussarbeit im Mai 2026. Das Paket stärkt Betrugsprävention, Zahlungsdienstleisterpflichten und offene Schnittstellen. Für agentische Zahlungen löst es aber nicht automatisch die Kernfrage: Wann ist ein Agent nur technischer Ausführer, und wann verändert er die Zurechnung der Zahlung?

Aber dieses Recht bleibt im Kern an menschliche oder institutionelle Akteure geeicht. Es beantwortet nur begrenzt die Frage, wie Zurechnung, Haftung und Nachweis aussehen müssen, wenn ein Agent innerhalb erlaubter Leitplanken eigenständig handelt. Eine Sache ist immerhin klar: Wer ein fremdes Modell in sein Produkt einbaut, kann die Verantwortung nicht an den Modellanbieter delegieren. Die Compliance bleibt beim Deployer.

Was jetzt fehlt: Know Your Agent

Was fehlt, ist ein belastbares Kontrollmodell. „Know Your Agent“ wäre der operative Name dafür.

• Eine klare Zuordnung des wirtschaftlich Berechtigten hinter jedem Agenten.
• Ein Haftungs-Wasserfall vom Betreiber über den Deployer bis zur Bank.
• Ein lückenloses Audit-Protokoll jeder Agenten-Transaktion, das Freigaben, Kontexte, Gegenparteien und Modellentscheidungen rekonstruierbar macht.
• Klare Regeln, wann ein Agent nur Assistenz ist und wann er regulatorisch wie ein eigenständiger Handlungsträger behandelt werden muss.

Die Infrastruktur für autonomes Geld wird gerade gebaut, jetzt, in diesen Monaten. Die Haftungs- und Meldepflichten dahinter werden noch nachgereicht. Solange diese Lücke offen bleibt, ist sie keine technische Randnotiz. Sie ist die nächste große Baustelle der Finanzkriminalität.