KYC rakennettiin ihmisille — nyt tarvitsemme Know Your Agentin

Yhdysvaltain tuntemasi-asiakas (KYC) -järjestelmä sai ensimmäiset todelliset hampaat osittain vuoden 1970 pankkitietojen salassapitosäännöksen (Bank Secrecy Act) ansiosta. Vuoden 2001 USA Patriot -lain (Patriot Act) §326 antoi sille sitten nykymuodon, vaatimuksena että pankilla on kohtuullinen usko siitä, että se tuntee jokaisen asiakkaan todellisen henkilöllisyyden ennen tilin avaamista.

Jokainen lähes kaikissa lainkäyttöalueissa noudatettu sääntö perii saman lähtöoletuksen. Asiakas on henkilö, luonnollinen tai oikeushenkilö, jolla on nimi, osoite ja tietue, jonka pankki voi tarkistaa. Tämä oletus kesti yli 50 vuotta, koska se oli riittävän vankka tukemaan globaalia vaatimustenmukaisuusteollisuutta. Nyt se ei enää ole yleisesti totta.

Luokitusvirhe

AI‑agentti, joka toimii jonkun puolesta, ei ole luonnollinen henkilö eikä, useimmissa lainkäyttöalueissa nykyään, oikeushenkilö. Sillä ei ole rekisteröityä nimeä, pankki ei voi lähettää postia sille osoitteeseen, eikä joissain tapauksissa ole tietuetta, joka olisi vanhempi kuin muutama minuutti edellä oleva tapahtuma. Tämän agentin läpikäyttäminen ihmisille ja yrityksille suunnatulla KYC‑prosessilla ei tuota väärää vastausta. Se tuottaa kysymyksen, johon prosessilla ei ole kenttää.

Tämä on se virhe, jonka vaatimustenmukaisuustiimit toistuvasti tekevät, kun ne kuvaavat agenttiriskin KYC:ksi, mutta vaikeammaksi. Se ei ole vaikeampi KYC. Se on täysin eri kysymys. KYC kysyy, onko henkilö se, jonka hän väittää olevansa. Agentin esittämä kysymys on, onko toiminnan takana oleva taho tällä hetkellä valtuutettu toteuttamaan se, ja voidaanko valtuutus vahvistaa juuri sillä hetkellä kun se on merkityksellinen sen sijaan, että sitä rakennettaisiin jälkikäteen. Nämä eivät ole samat kysymykset eri vaikeustasolla. Ne ovat kaksi erillistä kysymystä, jotka sattuvat jakamaan vaatimustenmukaisuuden osaston, ja toiselle tulisi oma nimensä: Know Your Agent, tai KYA.

Miksi KYA:n liittäminen KYC:hen epäonnistuu

Väite, että tätä tulisi pitää KYC:n jatkeena, on ymmärrettävä mutta väärä. KYC on perimmiltään hetkellinen harjoitus. Se vahvistaa henkilöllisyyden kerran ja valvoo merkittäviä muutoksia sen jälkeen, arkkitehtuuri, joka olettaa asiakkaan identiteetin ja käyttäytymisen olevan vakaita tosiasioita, jotka on määritelty aloitusvaiheessa eikä todennäköisesti muutu päivästä toiseen.

Agentin toimivalta ei ole vakaa tosiasia. Se on lupa, jonka voi myöntää, rajoittaa tai peruuttaa API‑kutsun aikana, ja taho, joka ohjaa agenttia klo 15.00, ei välttämättä ole se, joka provisionoi sen klo 9.00. Jaksottaiseen uudelleentarkistukseen perustuva vaatimustenmukaisuuskehys ei pysty hallitsemaan jatkuvasti tilaa muuttavaa asiaa. Tämä ei ole KYC:n kritiikki. Se on kuvaus työkalusta, jota käytetään sen ongelman ulkopuolella, johon se on alun perin suunniteltu.

Mitä Know Your Agentin on todellisuudessa tarkistettava

Yksi selitys siitä, miten KYC ja AML toimivat toisiinsa liittyvinä mutta erillisinä aloina on hyödyllinen malli tässä, koska se näyttää, miltä kahden vierekkäisen vaatimustenmukaisuustoiminnon erottaminen käytännössä näyttää. Kukin vastaa eri kysymykseen, käyttäen eri työkaluja, eri tahdissa, vaikka molemmat ruokkivat samaa riskikuvaa.

Know Your Agent tarvitsee samanlaisen erottelun KYC:stä, ei sen yhdistämistä. Kun KYC vahvistaa henkilöllisyyden, KYA:n on vahvistettava alkuperä ja voimassa oleva valtuutus, jäljittäen kuka on rakentanut agentin ja mitä oikeuksia sillä tällä hetkellä on, jotta ihmisen päämiehen ja autonomisen toiminnan välinen hallintaketju pysyy tarkistettavana reaaliajassa. Dynaaminen KYC‑orchestrointi, joka on rakennettu VIP‑rekisteröintiin, on lähempänä analogiaa: riskiperusteiset tarkistukset, jotka mukautuvat tiettyyn tapahtumaan sen sijaan, että kaikki kulkisivat saman staattisen portin. Agenttitoiminta tarvitsee saman reaaliaikaisen joustavuuden, sovellettuna eri kysymykseen.

Paperityöongelma, automatisoitu

Tämä ei ole teoreettista. AI‑agentti ei voi olla pankkitilin laillinen omistaja. Järjestelmä olettaa, että jokaisen tilin takana on ihminen, jolla on KYC‑tarkistukset, laillinen identiteetti ja vastuu, jotka liitetään nimettyyn henkilöön. Fintech-yritykset testaavat jo tätä reunaa. Meow Technologies lanseerasi huhtikuussa palvelun, jonka avulla agentti voi suorittaa KYC:n, avata yritystilin, myöntää yrityskortteja ja siirtää rahaa ilman, että ihmisen tarvitsee koskaan avata hallintapaneelia. Paperityön automatisointi ei ole sama asia kuin tilin omistajaksi tuleminen. Tili ja vastuu jäävät edelleen henkilölle, eikä mikään tuotesuunnittelu ole sulkenut tätä kuilua.

Tuon kategorian rakentaminen ei ole valinnaista, eikä se ole ongelma, jonka vaatimustenmukaisuustiimit voivat ratkaista hiljaisesti omillaan. Se vaatii saman julkisen tarkastelun, jonka KYC itse kävi läpi 50 vuotta sitten, tunnistuksen siitä, että instituution edessä oleva asiakas on muuttunut ja sääntöjen on muututtava sen mukana. Know Your Agent ei ole Know Your Customer -ominaisuus. Se on seuraava ala, jonka vaatimustenmukaisuus on rakennettava alusta alkaen.