Bank of Americas Mythos-Patchrechnung ist ein neuer Kostenposten

Ist ein KI-Modell, das Ihre Fehler findet, ein Produktivitätswerkzeug oder eine Rechnung? Für die Bank of America lautete die Antwort in diesem Quartal: beides – und die Rechnung kam zuerst.

Das ist der Stand. Konzernchef Brian Moynihan sagte gegenüber CNBC, die Bank habe im zweiten Quartal 1.000 externe Kräfte eingesetzt, um Softwarelücken zu schließen, die fortgeschrittene Modelle aufgedeckt hatten, darunter Anthropics Mythos. Auch The Register berichtete über die zusätzlichen Einstellungen. Die Externen sind weiterhin im Einsatz, zusätzlich zu den rund 3.000 Beschäftigten, die in diesem Bereich bereits arbeiteten. Im dritten Quartal gab die Bank für Softwarebehebung und Probleme bei der Compliance zur Geldwäschebekämpfung zusammen „ein paar hundert Millionen plus“ aus. Die Aktie fiel an jenem Tag um bis zu 8 %.

Moynihans Botschaft an die Anleger: Das sei vorübergehend. „Wenn man einmal gepatcht hat, muss man nicht mehr so viel patchen. … Die Pipeline läuft durch.“ Die Bank rechnet damit, dass die Behebungskosten mit der Zeit sinken.

Die Einmaleffekt-Erzählung verdient Skepsis

Wir hoffen, dass Moynihan recht hat, würden das aber noch nicht einpreisen. Ein Stau alter Schwachstellen löst sich irgendwann auf. Was sie gefunden hat, verschwindet nicht. CNBC weist darauf hin, dass Mythos im April an eine kleine Gruppe von Banken, Technologiefirmen und Behörden ausgegeben wurde und dass solche Modelle jahrzehntealte Softwarelücken aufspüren und ausnutzen können. Verbessern sich die Werkzeuge weiter und erhalten andere vergleichbare, wird die Entdeckungsrate zum festen Bestandteil des Besitzes großer Codemengen.

Das ist unsere Lesart, nicht die von Moynihan oder CNBC. Doch die Logik in Moynihans eigenen Worten ist aufschlussreich: „Wir müssen ihnen voraus bleiben.“ Voraus zu bleiben ist kein Projekt mit Enddatum. Es klingt nach einer Dauerfunktion, eher Miete als Renovierung.

Auffällig ist auch, dass die 1.000 Externen Monate später noch da sind. Zeitarbeit, die ein Quartal überdauert, ist die übliche Vorstufe wiederkehrender Kosten.

Die Grenze ist unscharf – und das ist das eigentliche Anlegerproblem

Die genannte Zahl fasst Behebung und Compliance zur Geldwäschebekämpfung zusammen. Wir können nicht sagen, wie viel der „paar hundert Millionen plus“ mit Mythos zu tun hat. Das ist wichtig, denn Kosten, die sich nicht isolieren lassen, lassen sich nicht prognostizieren, und wer nicht auf „Wie viel im nächsten Jahr?“ festgelegt werden kann, behauptet leicht, sie würden sinken.

CNBC bezeichnet dies als einige der ersten Aussagen eines großen US-Konzerns, die Personal und Dollarbeträge für diese Art von Arbeit beziffern. Damit ist die Bank of America ein nützlicher früher Datenpunkt, zugleich aber eine Erinnerung daran, dass sich Wettbewerber kaum geäußert haben. Schweigen heißt nicht, dass nichts ausgegeben wird. Uns würde überraschen, wenn andere Großbanken mit weitläufigem Altcode und vielen Dienstleistern vor einem grundlegend anderen Problem stünden.

Wer das einplant, ist die Frage

Moynihan wies außerdem auf eine unangenehme Abhängigkeit hin: Die Leute, die die Software entwickeln, sind dieselben, die den Banken die Dienstleistungen verkaufen wollen. Die Bank behebt Lücken im eigenen Code und im Code von Zulieferern; ein Teil der Rechnung könnte daher mit Lieferanten verhandelt werden, die auch die Lösung verkaufen wollen.

Die Einspargeschichte ist real, aber davon getrennt. Die Bank hat etwa 130 interne KI-Projekte; die Einsparungen sollen von 300 Millionen Dollar in diesem Jahr auf 700 Millionen Dollar 2027 steigen, und die Mitarbeiterzahl sank im vergangenen Jahr um rund 3.400. CNBC zufolge ist unklar, wie viel davon auf KI zurückgeht. Die glatte Version der Erzählung lautet, dass KI-Einsparungen die KI-Abwehr bezahlen. Wir würden das als Hypothese behandeln. Eine Bank könnte Produktivitätsgewinne in einer Abteilung verbuchen, während die Abwehrkosten in Technologie, Risiko oder Compliance anfallen und niemand für die Nettozahl verantwortlich ist.

Was also sollte ein Aktionär tun? Weder in Panik geraten noch das Etikett „vorübergehend“ auf Treu und Glauben hinnehmen. In Telefonkonferenzen zu den Quartalszahlen sollte er drei schlichte Fragen stellen: Wie viel der Behebungsausgaben hängt mit durch KI entdeckten Lücken zusammen, welche Mitarbeiterzahl wird in einem Jahr erwartet, und welche Führungskraft verantwortet die kombinierte Zahl aus KI-Einsparungen und KI-Abwehr? Dies ist Analyse, keine Anlageberatung, und ein Quartal entscheidet nichts.

Unser Fazit: Die 1.000 Externen sind weniger als Zahl wichtig denn als Signal. KI-Sicherheit ist vom Thema des Risikoausschusses zu einem Budgetposten geworden, und Banken, die zeigen können, wer dafür verantwortlich ist, verdienen mehr Vertrauen als jene, die von einem Einmaleffekt sprechen.