Agentenidentitäten werden zur neuen Pflichtaufgabe für regulierte Unternehmen

Am 29. September 2026 kündigte RSA in einer Pressemitteilung die Einführung von Agent ID an – einer Plattform, die speziell für stark regulierte Branchen entwickelt wurde, um KI‑Agenten zu identifizieren, zu klassifizieren und deren Nutzung zu kontrollieren. Die Ankündigung richtet sich an Finanzinstitute, Versicherer, Gesundheitsdienste und andere Sektoren, die aufgrund gesetzlicher Vorgaben jede automatisierte Entscheidung nachvollziehen und dokumentieren müssen. RSA betont, dass die Lösung nicht nur ein technisches Add‑on, sondern ein integraler Bestandteil der Compliance‑Strategie werden soll, weil immer mehr Unternehmen von eigenständigen KI‑Agenten in kritischen Prozessen abhängig sind.

Was ist Agent ID?

Agent ID besteht aus drei Modulen – Discover, Secure und Govern – die zusammen ein vollständiges Lifecycle‑Management von KI‑Agenten ermöglichen. Das Modul Discover scannt Netzwerk‑ und Anwendungsumgebungen, erkennt sowohl genehmigte als auch nicht genehmigte Agenten und ordnet sie den jeweiligen Eigentümern zu. Zusätzlich identifiziert es MCP‑Server (Model‑Control‑Plane) und verknüpft diese mit den zugehörigen Agenten, um ein vollständiges Bild der eingesetzten KI‑Infrastruktur zu liefern. Die Ergebnisse werden in einer zentralen Übersicht bereitgestellt, sodass Verantwortliche sofort sehen, welche Agenten aktiv sind, wo sie laufen und wer für sie verantwortlich ist.

Das Secure‑Modul prüft in Echtzeit jede Tool‑Aufruf‑ und Argument‑Kombination gegen vordefinierte Richtlinien. Wenn ein Aufruf nicht den festgelegten Vorgaben entspricht, kann Secure eine separate, authentifizierte Freigabe verlangen, bevor die Aktion ausgeführt wird. Damit wird verhindert, dass unautorisierte oder potenziell riskante Agenten‑Operationen unbemerkt bleiben. RSA betont, dass die Inline‑Prüfung keine zusätzlichen Netzwerk‑Latenzen verursacht, weil die Policy‑Engine direkt im Datenfluss integriert ist. Unternehmen erhalten zudem detaillierte Protokolle über abgewiesene Aufrufe, was die Nachvollziehbarkeit und das Audit‑Reporting stärkt.

Wie funktioniert die Governance?

Govern, das dritte Modul von Agent ID, übernimmt das lückenlose Protokollieren aller Aktionen, die von KI‑Agenten ausgeführt werden. Jede Interaktion wird einem von zehn vordefinierten Regelwerken zugeordnet, die gängige regulatorische Anforderungen abbilden – von Datenschutz‑ über Finanz‑ bis hin zu Gesundheitsvorschriften. Die gesammelten Nachweise können automatisiert an Aufsichtsbehörden oder interne Revisionsteams weitergeleitet werden. RSA plant, Govern im ersten Halbjahr 2027 allgemein verfügbar zu machen, während Discover und Secure bereits am 16. November 2026 für Kunden bereitstehen. Die modulare Architektur erlaubt es Unternehmen, zunächst mit den beiden ersten Komponenten zu starten und Governance später zu ergänzen.

RSA liefert als einzigen quantitativen Hinweis, dass bei einer großen Bank bereits mehr als 4.000 Agenten im Einsatz seien, die einer internen Verbotspolitik unterliegen. Diese Angabe stammt von RSA selbst und ist nicht durch unabhängige Marktstudien verifiziert. Dennoch verdeutlicht sie das Ausmaß, das KI‑Agenten in regulierten Umgebungen bereits erreicht haben, und unterstreicht den Bedarf an einer strukturierten Identitäts‑ und Kontroll‑Schicht.

Implikationen für Haftung und Betriebsorganisation

Durch die Einführung von Agent ID erhalten Unternehmen ein Werkzeug, das die Zuordnung von Verantwortlichkeiten klarer macht. Wenn ein nicht genehmigter Agent eine fehlerhafte Entscheidung trifft, lässt sich anhand der Discover‑ und Govern‑Logs exakt bestimmen, welcher Entwickler, welches Team oder welcher Dienstleister die Kontrolle hatte. Das stärkt die rechtliche Durchsetzbarkeit von Haftungsansprüchen und reduziert das Risiko von Bußgeldern, weil regulatorische Vorgaben nachweislich eingehalten werden können. Operativ bedeutet dies, dass IT‑ und Compliance‑Abteilungen eng zusammenarbeiten müssen, um Richtlinien in Secure zu implementieren, regelmäßige Scans mit Discover durchzuführen und Governance‑Reports aus Govern zu prüfen.

• Einrichtung eines zentralen Agent‑Inventars über Discover.
• Definition und Implementierung von Richtlinien in Secure für alle kritischen Tool‑Aufrufe.
• Integration von Govern in bestehende Audit‑ und Reporting‑Prozesse.
• Schulung von Fachbereichen zu Verantwortlichkeiten bei KI‑Agenten.
• Regelmäßige Überprüfung und Aktualisierung der zehn Regelwerke gemäß regulatorischer Änderungen.

Ab sofort müssen regulierte Unternehmen Agent ID in ihre Compliance‑Strategie aufnehmen, um den wachsenden Anforderungen an Transparenz und Kontrolle von KI‑Agenten gerecht zu werden. Die Verfügbarkeit von Discover und Secure ab dem 16. November 2026 ermöglicht einen schnellen Einstieg, während Govern im kommenden Jahr die vollständige Nachweisführung sicherstellt. Unternehmen, die diese Pflichtaufgabe nicht proaktiv angehen, riskieren nicht nur regulatorische Sanktionen, sondern auch operative Unsicherheiten, weil unidentifizierte Agenten unvorhersehbare Entscheidungen treffen können. Agent ID stellt damit einen klaren Wendepunkt dar: Agentenidentitäten werden von einer optionalen Best Practice zu einer unabdingbaren Pflicht für jede regulierte Organisation.