KYC is voor mensen gebouwd—nu hebben we Know Your Agent nodig

Het Amerikaanse know‑your‑customer (KYC) regime kreeg zijn eerste echte tanden mede dankzij de Bank Secrecy Act van 1970. Sectie 326 van de USA Patriot Act uit 2001 gaf het vervolgens zijn moderne vorm, waarbij een bank moet kunnen aantonen dat zij redelijkerwijs gelooft de ware identiteit van elke klant te kennen voordat een rekening wordt geopend.

Elke regel die bijna overal wordt toegepast, erft diezelfde uitgangsprincipe. Een klant is een persoon, natuurlijk of rechtspersoon, met een naam, een adres en een registratiesysteem waar een bank tegen kan controleren. Dat uitgangspunt hield meer dan 50 jaar stand omdat het robuust genoeg was om een wereldwijde compliance‑industrie te ondersteunen. Nu is het niet langer universeel waar.

De categoriefout

Een AI‑agent die namens iemand handelt, is noch een natuurlijke persoon, noch – in de meeste rechtsgebieden vandaag – een rechtspersoon. Hij heeft geen naam die een register erkent, geen adres waar een bank post naartoe kan sturen, en in sommige gevallen geen registratiedossier dat ouder is dan de transactie die u nu voor zich ziet, behalve een paar minuten. Het doorlopen van die agent met een KYC‑proces dat is ontworpen voor mensen en bedrijven levert geen foutief antwoord op, maar een vraag waarvoor het proces geen veld heeft.

Dat is de fout die compliance‑teams blijven maken wanneer ze agentisch risico beschrijven als KYC, maar dan moeilijker. Het is geen moeilijkere KYC. Het is een geheel andere vraag. KYC vraagt of een persoon is wie hij beweert te zijn. De vraag die een agent oproept, is of de entiteit achter deze handeling nu de bevoegdheid heeft om deze uit te voeren, en of die bevoegdheid op het moment dat het er toe doet kan worden bevestigd in plaats van achteraf te worden gereconstrueerd. Het zijn niet dezelfde vragen op verschillende moeilijkheidsgraden. Het zijn twee verschillende vragen die toevallig onder dezelfde compliance‑afdeling vallen, en de tweede verdient een eigen naam: Know Your Agent, of KYA.

Waarom het koppelen van KYA aan KYC faalt

De drang om dit te behandelen als een uitbreiding van bestaande KYC is begrijpelijk maar onjuist. KYC is fundamenteel een moment‑in‑tijd‑oefening. Het verifieert de identiteit één keer en monitort daarna op materiële veranderingen, een architectuur die ervan uitgaat dat de identiteit en het gedrag van een klant stabiele feiten zijn die bij onboarding worden vastgesteld en die niet dagelijks zullen verschuiven.

De bevoegdheid van een agent om te handelen is geen stabiel feit. Het is een toestemming die kan worden verleend, beperkt of ingetrokken in de tijd die nodig is om een API‑aanroep te doen, en de entiteit die de agent om 15.00 uur daadwerkelijk aanstuurt, is mogelijk niet dezelfde die hem om 09.00 uur heeft gecreëerd. Een compliance‑kader dat is gebouwd rond periodieke herverificatie kan niets regelen dat continu van status verandert. Dat is geen kritiek op KYC. Het is een beschrijving van een hulpmiddel dat buiten het probleem wordt gebruikt waarvoor het is ontworpen.

Wat Know Your Agent eigenlijk moet verifiëren

Een uitleg over hoe KYC en AML functioneren als verwante maar aparte disciplines is hier een nuttig model, omdat het laat zien hoe het scheiden van twee aangrenzende compliance‑functies er in de praktijk uitziet. Elk beantwoordt een andere vraag, met verschillende tools, op een ander tempo, hoewel beide dezelfde risicobeeld voeden.

Know Your Agent heeft diezelfde scheiding van KYC nodig, geen fusie ermee. Terwijl KYC identiteit verifieert, moet KYA herkomst en lopende autoriteit verifiëren, door te traceren wie een agent heeft gebouwd en welke permissies die momenteel bezit, zodat de keten van bewaring tussen menselijke principaal en autonome actie in realtime controleerbaar blijft. Dynamische KYC-orchestratie, ontwikkeld voor VIP‑onboarding, is de meest nabije analogie: risico‑gespecificeerde controles die zich aanpassen aan de specifieke transactie in plaats van één statische poort die iedereen op dezelfde manier passeert. Agentische activiteit heeft diezelfde realtime flexibiliteit nodig, toegepast op een andere vraag.

Het papierwerkprobleem, geautomatiseerd

Dit is geen theoretische kwestie. Een AI‑agent kan niet de wettelijke eigenaar van een bankrekening zijn. Het systeem gaat uit van een mens achter elke rekening, met KYC‑controles, wettelijke identiteit en aansprakelijkheid die aan een genoemde persoon worden gekoppeld. Fintech‑bedrijven testen die grens al. Meow Technologies lanceerde in april een dienst waarmee een agent KYC kan voltooien, een zakelijke rekening kan openen, bedrijfskaarten kan uitgeven en geld kan verplaatsen zonder dat een mens ooit een dashboard hoeft te openen. Het automatiseren van het papierwerk is niet hetzelfde als de rekeninghouder worden. De rekening en de aansprakelijkheid blijven bij een persoon liggen, en geen productontwerp heeft die kloof gedicht.

Het bouwen van die categorie is niet optioneel, en het is geen probleem dat compliance‑afdelingen stilletjes in hun eentje kunnen oplossen. Het vereist dezelfde publieke herwaardering die KYC zelf 50 jaar geleden onderging, een erkenning dat de klant die voor de instelling staat is veranderd en de regels met die verandering moeten meegaan. Know Your Agent is geen functie van Know Your Customer. Het is de volgende discipline die compliance vanaf nul moet opbouwen.