Due Diligence -kysymys, jota kukaan ei vielä esitä

Jo niin kauan kuin pankit ovat avanneet tilejä, noudattamisen perusta on ollut yksi oletus: että jokaisen tilin takana on todellinen, tunnistettavissa oleva henkilö. Varmistetaan, että henkilö on todistettu rekisteröinnin yhteydessä ja että kaikki myöhemmät toimet periytyvät tähän luottamukseen. Tämä oletus rapautuu kahdesta suunnasta samanaikaisesti. AI‑agentit tekevät nyt transaktioita ihmisten puolesta, ja synteettiset identiteetit esiintyvät ihmisinä, joita ei koskaan ole ollut. Vahvistaa, että aito ihminen on tilin takana ja että hän aikoo sen toiminnan, on koskaan ollut näin vaikeaa.

Viranomaiset ovat huomanneet asian, vaikka niiden toiminta on epätasaista eikä ne ole vielä nimenneet agenteja omaksi luokakseen. Kaksi oikeusaluetta osoittavat vaihtelun.

Kaksi sääntelijää, kaksi suuntaa

Selkein signaali tulee Euroopasta. Euroopan unionin tekoälyasetus siirtyy merkittävimpään täytäntöönpanovaiheeseensa 2. elokuuta 2026, jolloin koko joukko korkean riskin järjestelmävelvoitteita ja artikla 50:n läpinäkyvyysvaatimukset tulevat sovellettaviksi, samoin kuin komission omat täytäntöönpanovalta, jonka voi määrätä enintään 3 % maailmanlaajuisesta liikevaihdosta tai 15 miljoonaa euroa, kumpi tahansa on suurempi, sakkoja edistyneimmille yleiskäyttöisille tekoälymalleille. Asetus ei määrittele tekoäly‑agenttia omaksi oikeudelliseksi luokakseen. Sitä ei tarvitse. Mikä tahansa järjestelmä, joka vastaanottaa syötteen, käsittelee sen ja toteuttaa toiminnon, täyttää jo olemassa olevan tekstin mukaan tekoälyjärjestelmän määritelmän, ja agentti, joka suorittaa korkean riskin tehtävän lainanannossa, vakuutuksessa tai henkilöllisyyden tarkistuksessa, perii samat velvoitteet kuin ihmisen operoima järjestelmä.

Singapore otti päinvastaisen lähestymistavan. 22. tammikuuta 2026 World Economic Forum -tapahtumassa Digital Development and Information -ministeriö esitteli Agenttien tekoälyn mallihallintakehyksen, ensimmäisen hallintamallin, joka on rakennettu erityisesti autonomisia järjestelmiä varten eikä sovitettu yleisiin tekoälysääntöihin. Se on vapaaehtoinen, mutta se määrittelee, miltä muodollinen kehys näyttää: agentin autonomian taso arvioidaan, sille annetaan ihmisen vastuukirjasto, ja sen riski rajoitetaan suunnittelussa sen sijaan, että se havaittaisiin jälkikäteen — kaksi sääntelijää, jotka lähestyvät samaa ongelmaa kirjanpakan vastakkaisista päistä. Toinen venyttää olemassa olevia lakeja kattamaan agentit. Toinen kirjoittaa uudet säännöt luokalle, jota ei ollut olemassa, kun vanhat säännökset laadittiin.

Kuka vastaa agentista

Molempien lähestymistapojen alla on kysymys, johon noudattamistiimit eivät ole aiemmin pystyneet vastaamaan selkeästi: kun agentti toimii, kuka on vastuussa? Baker McKenzyn oikeudellinen analyysi, julkaistu 1. heinäkuuta 2026, toteaa, että tuomioistuimet ja viranomaiset lähestyvät vastausta, ainakin toistaiseksi. Vastuu kuuluu agentin takana oleville ihmisille ja organisaatioille, ei itse agentille, ja kesäkuun 2026 Yhdysvaltain toimeenpanomäärä, jossa oikeusministeriötä ohjataan priorisoimaan tekoälyyn perustuvan hakkeroinnin täytäntöönpanoa, vahvistaa tätä periaatetta. Tämä vastaus on toimiva oikeudellinen oletus. Se ei kuitenkaan ole operatiivinen ratkaisu.

Tieto siitä, että ihminen on lopulta vastuussa, ei kerro noudattamistiimille, mikä ihminen on vastuussa, kun tapahtuma vahvistetaan. Se ei kerro, onko agentin takana oleva organisaatio tarkistettu kerran rekisteröinnin yhteydessä vai jatkuvasti agentin oikeuksien muuttuessa. Hyötyomistajuussäännökset on suunniteltu vastaamaan kysymykseen “kuka omistaa tämän”, pääosin kertaluontoisena. Agenttitoiminta esittää jatkuvan kysymyksen: kuka ohjaa tätä juuri nyt, ja voiko tuo vastaus muuttua ilman, että siitä ilmoitetaan?

Noudattamistoiminnon todellinen tehtävä

Useimmat noudattamistoiminnot eivät tällä hetkellä pysty seuraamaan tätä ketjua alusta loppuun, ja työkalut siihen ovat yhä rakenteilla eikä valmiina ostettavina. Yksi kehyksistä adaptiiviseen AML‑ohjelman suunnitteluun väittää, että jäykät, yhtenäiset seulontasäännöt, joita sovelletaan identtisesti jokaiselle asiakkaalle ja oikeusalueelle, eivät pysty pitämään tahdin riskin muutoksille, jotka muokkaantuvat näin nopeasti, ja että konfiguroitavat seulontaprofiilit, jotka vastaavat todellista riskiä kiinteän sääntökirjan sijaan, ovat ainoa riittävän joustava rakenne. Sama logiikka pätee luonnollisesti agenttitoimintaan. Seulontaprogrammi, joka ei pysty mukautumaan uuteen päävastuullisen kategoriaan, ei ole varustettu hallitsemaan sitä.

Agenttien oma hallinto noudattaa samaa logiikkaa. Viimeaikainen ohjeistus AI‑työkalujen pääsystä riskisignaaleihin puoltaa lupapohjaisia, lokitettuja yhteyksiä, jotka perivät olemassa olevat roolipohjaiset käyttöoikeudet. Näin agentin toimet saavat saman auditointijäljen kuin ihmisanalyytikon, eikä niille muodostu seurantaa välttelevää oikotietä. Tämä on pienimuotoinen versio tarkalleen siitä ongelmasta, jonka sääntelijät nyt tarkastelevat koko rahoitusjärjestelmän tasolla: agentin toimet on voitava liittää reaaliaikaisesti vastuulliseen tahoon niiden takana, eikä niitä tarvitse rekonstruoida jälkikäteen.

Olemassa olevan formalisoiminen

Mikä tahansa teollisuus lopulta kutsuu sitä, Tunne agenttisi on oma erillinen ala, eikä se ole asiakas- ja liiketoimintahuolellisuustarkastustiimien alaryhmä. Suunta on melkein varma: tekoälyasetuksen täytäntöönpanovaihe, Singaporen hallintakehys ja nouseva oikeudellinen konsensus vastuullisuudesta osoittavat kaikki samaan päämäärään, muodollisiin sääntöihin siitä, kuka tai mikä saa toimia ja kenen valtuutuksella.

Ainoa todellinen kysymys on ajankohdassa, rakentavatko rahoituslaitokset kyseisen toimialan ennen mandaattia vai yrittävätkö ne koota sen jälkikäteen. Sääntelijät harvoin palkitsevat jälkimmäistä. Ja vaikeampi ongelma piilee sääntöjen alla kummassakin tapauksessa: asiakkaan, joka on instituution edessä, ei enää voida luotettavasti pitää henkilönä, eikä mikään paperityön virtaviivaistaminen tee tilin takana olevaa ihmistä helpommin luotettavaksi.