KYC blev bygget til mennesker — nu har vi brug for Kend din agent

USA’s know‑your‑customer (KYC)-regime fik sine første reelle tænder takket være Bank Secrecy Act fra 1970. Sektion 326 i 2001‑USA Patriot Act gav den derefter sin moderne form og kræver, at en bank har en rimelig tro på, at den kender den egentlige identitet på hver kunde, inden den åbner en konto.

Hver regel, der er blevet fulgt i næsten alle jurisdiktioner, arver den samme grundlæggende forudsætning. En kunde er en person, naturlig eller juridisk, med et navn, en adresse og en registreret identitet, som en bank kan kontrollere. Denne forudsætning holdt i mere end 50 år, fordi den var robust nok til at understøtte en global compliance‑industri. Nu er den ikke længere universelt sand.

Kategorifejlen

En AI‑agent, der handler på vegne af en person, er hverken en naturlig person eller, i de fleste jurisdiktioner i dag, en juridisk. Den har intet navn, som et register anerkender, ingen adresse, som en bank kan sende post til, og i nogle tilfælde ingen registreret identitet, der går forud for transaktionen med mere end et par minutter. At køre den agent gennem en KYC‑proces, der er designet til mennesker og virksomheder, giver ikke et forkert svar. Den skaber et spørgsmål, som processen ikke har et felt til.

Det er den fejl, compliance‑teams fortsat begår, når de beskriver agentisk risiko som KYC, men sværere. Det er ikke en sværere KYC. Det er et helt andet spørgsmål. KYC spørger, om en person er den, de påstår at være. Det spørgsmål, en agent rejser, er, om den enhed, der står bag handlingen, har myndighed til at udføre den lige nu, og om den myndighed kan bekræftes i det øjeblik, det er vigtigt, i stedet for at blive rekonstrueret bagefter. Det er ikke det samme spørgsmål på et andet sværhedsniveau. Det er to forskellige spørgsmål, der tilfældigvis deler en compliance‑afdeling, og det andet fortjener sit eget navn: Kend din agent, eller KYA.

Hvorfor det fejler at fastgøre KYA til KYC

Instinktet om at behandle dette som en udvidelse af den eksisterende KYC er forståeligt, men forkert. KYC er grundlæggende en øjeblikkelig øvelse. Den verificerer identitet én gang og overvåger for væsentlige ændringer bagefter, en arkitektur der antager, at en kundes identitet og adfærd er stabile fakta, fastlagt ved onboarding, og som sjældent ændrer sig fra dag til dag.

En agents beføjelse til at handle er ikke en stabil fakt. Det er en tilladelse, der kan gives, afgrænses eller tilbagekaldes på den tid, det tager at kalde et API, og den enhed, der faktisk styrer agenten kl. 15.00, er måske ikke den, der provisionerede den kl. 9.00. Et compliance‑rammeværk bygget omkring periodisk genverificering kan ikke styre noget, der konstant skifter tilstand. Det er ikke en kritik af KYC. Det er en beskrivelse af et værktøj, der anvendes uden for det problem, det blev skabt til at løse.

Hvad Kend din agent faktisk skal verificere

En forklaring på, hvordan KYC og AML fungerer som relaterede, men separate discipliner er en nyttig model her, fordi den viser, hvordan adskillelsen af to tilstødende compliance‑funktioner ser ud i praksis. Hver svarer på et andet spørgsmål, bruger forskellige værktøjer, med en anden frekvens, selvom begge bidrager til det samme risikobillede.

Kend din agent har brug for den samme form for adskillelse fra KYC, ikke en sammensmeltning med den. Mens KYC verificerer identitet, skal KYA verificere oprindelse og gældende myndighed, spore hvem der har bygget en agent, og hvilke tilladelser den aktuelt har, så kæden af ansvar mellem den menneskelige principal og den autonome handling forbliver kontrollerbar i realtid. Dynamisk KYC-orchestrering, bygget til VIP‑onboarding, er den nærmeste analog: risikobaserede kontroller, der tilpasses den specifikke transaktion i stedet for en enkelt statisk port, som alle passerer på samme måde. Agentisk aktivitet har brug for den samme realtidsfleksibilitet, anvendt på et andet spørgsmål.

Papirarbejdsproblemet, automatiseret

Dette er ikke teoretisk. En AI‑agent kan ikke være den juridiske ejer af en bankkonto. Systemet antager, at der er et menneske bag hver konto, med KYC‑kontroller, juridisk identitet og ansvar, som knytter sig til en navngivet person. Fintech‑virksomheder tester allerede denne kant. Meow Technologies lancerede i april en tjeneste, der lader en agent gennemføre KYC, åbne en erhvervskonto, udstede firmakort og flytte penge uden at et menneske nogensinde behøver at åbne et dashboard. At automatisere papirarbejdet er ikke det samme som at blive kontohaver. Kontoen og ansvaret påhviler stadig en person, og intet produktdesign har lukket dette hul.

At opbygge denne kategori er ikke valgfrit, og det er ikke et problem, som compliance‑afdelinger kan løse stille og roligt på egen hånd. Det kræver den samme offentlige erkendelse, som KYC gennemgik for 50 år siden, en indseelse af, at kunden foran institutionen har ændret sig, og at reglerne skal ændre sig med den. Kend din agent er ikke en funktion af Know Your Customer. Det er den næste disciplin, som compliance skal opbygge fra bunden.