KYC ble laget for mennesker – nå trenger vi Know Your Agent

USAs know‑your‑customer‑regime (KYC) fikk sine første reelle tannhjul delvis takket være Bank Secrecy Act fra 1970. Seksjon 326 i USA Patriot Act fra 2001 ga det deretter sin moderne form, og krever at en bank har en rimelig tro på at den kjenner den faktiske identiteten til hver kunde før den åpner en konto.

Alle regler som har blitt fulgt, i nesten alle jurisdiksjoner, arver den samme grunnleggende forutsetningen. En kunde er en person, naturlig eller juridisk, med et navn, en adresse og en registrert enhet banken kan sjekke mot. Denne forutsetningen holdt i mer enn 50 år fordi den var solid nok til å støtte en global compliance‑industri. Nå er den ikke lenger universelt sann.

Kategorifeilen

En AI‑agent som handler på vegne av noen, er verken en naturlig person eller, i de fleste jurisdiksjoner i dag, en juridisk enhet. Den har verken et navn som et register gjenkjenner, en adresse banken kan sende post til, og i noen tilfeller ingen registrert enhet som foregår før transaksjonen foran deg med mer enn noen få minutter. Å kjøre den agenten gjennom en KYC‑prosess designet for mennesker og selskaper gir ikke et feil svar. Den skaper et spørsmål som prosessen ikke har et felt for.

Det er feilen compliance‑teamene fortsetter å gjøre når de beskriver agentisk risiko som KYC, men vanskeligere. Det er ikke en vanskeligere KYC. Det er et helt annet spørsmål. KYC spør om en person er den de påstår å være. Spørsmålet en agent reiser er om enheten bak handlingen har myndighet til å utføre den akkurat nå, og om den myndigheten kan bekreftes i det øyeblikket den er relevant, i stedet for å rekonstrueres i etterkant. Dette er ikke det samme spørsmålet formulert på et annet vanskelighetsnivå. Det er to forskjellige spørsmål som tilfeldigvis deler en compliance‑avdeling, og det andre fortjener sitt eget navn: Know Your Agent, eller KYA.

Hvorfor det mislykkes å sette KYA på KYC

Instinktet om å behandle dette som en utvidelse av eksisterende KYC er forståelig, men feil. KYC er i bunn og grunn en øyeblikkelig prosess. Den verifiserer identitet én gang og overvåker for vesentlige endringer etterpå, en arkitektur som forutsetter at en kundes identitet og atferd er stabile fakta etablert ved onboarding og lite sannsynlig å endre seg fra dag til dag.

En agents myndighet til å handle er ikke et stabilt faktum. Det er en tillatelse som kan gis, avgrenses eller trekkes tilbake i den tid det tar å kalle en API, og enheten som faktisk styrer agenten kl. 15.00, er kanskje ikke den som opprettet den kl. 09.00. Et compliance‑rammeverk bygget rundt periodisk re‑verifisering kan ikke styre noe som kontinuerlig endrer tilstand. Dette er ikke en kritikk av KYC. Det er en beskrivelse av et verktøy som brukes utenfor problemet det ble laget for å løse.

Hva Know Your Agent faktisk må verifisere

En forklaring på hvordan KYC og AML fungerer som relaterte, men separate disipliner er en nyttig modell her, fordi den viser hvordan separasjon av to tilstøtende compliance‑funksjoner ser ut i praksis. Hver svarer på et annet spørsmål, med ulike verktøy, i ulikt tempo, selv om begge bidrar til samme risikobilde.

Know Your Agent trenger samme type separasjon fra KYC, ikke en fusjon med den. Mens KYC verifiserer identitet, må KYA verifisere opprinnelse og gjeldende myndighet, spore hvem som bygde en agent og hvilke tillatelser den har nå, slik at kjeden av ansvar mellom menneskelig principal og autonom handling forblir kontrollerbar i sanntid. Dynamisk KYC-or­kestrering, bygget for VIP‑onboarding, er den nærmeste analogien: risikobaserte kontroller som tilpasses den spesifikke transaksjonen i stedet for én statisk port som alle går gjennom på samme måte. Agentisk aktivitet trenger samme sanntidsfleksibilitet, anvendt på et annet spørsmål.

Papirarbeidsproblemet, automatisert

Dette er ikke teoretisk. En AI‑agent kan ikke være den juridiske eieren av en bankkonto. Systemet forutsetter et menneske bak hver konto, med KYC‑kontroller, juridisk identitet og ansvar som knyttes til en navngitt person. Fintech‑selskaper tester allerede dette området. Meow Technologies lanserte en tjeneste i april som lar en agent fullføre KYC, åpne en bedriftskonto, utstede firmakort og flytte penger uten at et menneske noen gang må åpne et dashbord. Å automatisere papirarbeidet er ikke det samme som å bli kontoeier. Kontoen og ansvaret havner fortsatt på en person, og ingen produktdesign har lukket dette gapet.

Å bygge denne kategorien er ikke valgfritt, og det er ikke et problem compliance‑avdelinger kan løse stille og rolig på egen hånd. Det krever den samme offentlige erkjennelsen KYC selv gikk gjennom for 50 år siden, en anerkjennelse av at kunden foran institusjonen har endret seg og at reglene må endres i takt med dette. Know Your Agent er ikke en funksjon av Know Your Customer. Det er den neste disiplinen som compliance må bygge fra bunnen av.