KYC wurde für Menschen entwickelt – jetzt benötigen wir Know Your Agent

Amerikas Know‑Your‑Customer‑Regime (KYC) erhielt dank des Bankgeheimnisgesetzes von 1970 seine ersten wirklichen Zähne. Abschnitt 326 des USA‑Patriot‑Acts von 2001 gab ihm dann seine moderne Form, indem er verlangte, dass eine Bank mit vernünftiger Sicherheit die wahre Identität jedes Kunden kennt, bevor sie ein Konto eröffnet.

Nahezu jede Vorschrift in fast jedem Rechtsraum beruht auf derselben Ausgangsannahme. Ein Kunde ist eine natürliche oder juristische Person mit einem Namen, einer Anschrift und einem dokumentierten Hintergrund, den eine Bank überprüfen kann. Diese Annahme trug mehr als 50 Jahre lang eine weltweite Compliance-Branche. Heute gilt sie nicht mehr ausnahmslos.

Der Kategorienfehler

Ein KI-Agent, der im Auftrag einer Person Transaktionen ausführt, ist weder eine natürliche Person noch in den meisten heutigen Rechtsordnungen eine juristische Person. Er besitzt keinen in einem Register geführten Namen, keine Anschrift, an die eine Bank Post senden könnte, und mitunter keinen dokumentierten Hintergrund, der älter ist als die gerade vorliegende Transaktion. Einen solchen Agenten durch ein für Menschen und Unternehmen entwickeltes KYC-Verfahren zu schicken, liefert keine falsche Antwort. Es stellt eine Frage, für die das Verfahren überhaupt kein Feld vorsieht.

Genau hier liegt der Fehler, den Compliance-Teams machen, wenn sie agentenbezogene Risiken als bloß schwierigere KYC-Prüfung beschreiben. Es ist keine schwierigere KYC-Prüfung, sondern eine völlig andere Frage. KYC fragt, ob eine Person diejenige ist, für die sie sich ausgibt. Bei einem Agenten lautet die Frage, ob die hinter dieser Handlung stehende Einheit gerade jetzt dazu befugt ist und ob sich diese Befugnis im entscheidenden Moment bestätigen lässt, statt sie später rekonstruieren zu müssen. Das sind nicht dieselben Fragen mit unterschiedlichem Schwierigkeitsgrad. Es sind zwei verschiedene Fragen, die zufällig in dieselbe Compliance-Abteilung fallen. Die zweite verdient einen eigenen Namen: Know Your Agent oder KYA.

Warum das Anbringen von KYA an KYC scheitert

Der Impuls, dies als Erweiterung bestehender KYC-Verfahren zu behandeln, ist verständlich, aber falsch. KYC ist im Kern eine punktuelle Prüfung. Die Identität wird einmal verifiziert; danach überwacht man wesentliche Veränderungen. Diese Architektur setzt voraus, dass Identität und Verhalten eines Kunden beim Onboarding als stabile Tatsachen festgestellt werden und sich voraussichtlich nicht täglich ändern.

An agent’s authority to act is not a stable fact. It is a permission that can be granted, scoped or revoked in the time it takes to call an API, and the entity actually directing the agent at 3 p.m. may not be the one that provisioned it at 9 a.m. A compliance framework built around periodic re‑verification cannot govern something that continuously changes state. That is not a criticism of KYC. It is a description of a tool being used outside the problem it was built to solve.

Was Know Your Agent tatsächlich verifizieren muss

Eine Erklärung, wie KYC und AML als verwandte, aber unterschiedliche Disziplinen funktionieren ist hier ein nützliches Modell, weil es zeigt, wie die Trennung zweier benachbarter Compliance‑Funktionen in der Praxis aussieht. Jede beantwortet eine andere Frage, nutzt andere Werkzeuge, in einem anderen Rhythmus, obwohl beide dasselbe Risikobild liefern.

Know Your Agent braucht dieselbe klare Trennung von KYC, keine Verschmelzung. Während KYC die Identität verifiziert, muss KYA Herkunft und aktuell geltende Befugnisse prüfen: Wer hat den Agenten erstellt, und welche Berechtigungen besitzt er derzeit? So bleibt die Kontrollkette zwischen menschlichem Auftraggeber und autonomer Handlung in Echtzeit überprüfbar. Dynamic KYC orchestration, das für das Onboarding von VIP-Kunden entwickelt wurde, ist die passendere Analogie: risikobezogene Prüfungen, die sich an die jeweilige Transaktion anpassen, statt eines einzigen statischen Tores, das alle auf dieselbe Weise passieren. Agentenaktivitäten benötigen dieselbe Flexibilität in Echtzeit, jedoch für eine andere Fragestellung.

Das Papierkram‑Problem, automatisiert

Das ist keine Theorie. Ein KI-Agent kann nicht rechtmäßiger Eigentümer eines Bankkontos sein. Das System nimmt hinter jedem Konto einen Menschen an, verbunden mit KYC-Prüfungen, rechtlicher Identität und Haftung einer namentlich bekannten Person. Fintech-Unternehmen erproben diese Grenze bereits. Meow Technologies hat im April einen Service gestartet, der einem Agenten ermöglicht, KYC zu erledigen, ein Geschäftskonto zu eröffnen, Firmenkarten auszugeben und Geld zu bewegen, ohne dass ein Mensch jemals ein Dashboard öffnen muss. Automating the paperwork is not the same as becoming the account holder. The account and the liability still land on a person, and no product design has closed that gap.

Den Aufbau dieser Kategorie zu wählen ist nicht optional, und es ist kein Problem, das Compliance‑Abteilungen stillschweigend allein lösen können. Es erfordert dieselbe öffentliche Abrechnung, die KYC vor 50 Jahren durchlief, also die Erkenntnis, dass sich der Kunde vor der Institution geändert hat und die Regeln sich mit ihm ändern müssen. Know Your Agent ist kein Feature von Know Your Customer. Es ist die nächste Disziplin, die Compliance von Grund auf neu aufbauen muss.