KYC zostało stworzone dla ludzi — teraz potrzebujemy Know Your Agent

Amerykański system „poznaj swojego klienta” (KYC) zyskał pierwsze realne narzędzia częściowo dzięki ustawie Bank Secrecy Act z 1970 roku. Artykuł 326 ustawy USA Patriot Act z 2001 roku nadał mu współczesną formę, wymagając od banku uzyskania uzasadnionej pewności, że zna prawdziwą tożsamość każdego klienta przed otwarciem konta.

Każda zasada, która była stosowana, prawie we wszystkich jurysdykcjach, opiera się na tym samym założeniu początkowym. Klient to osoba, fizyczna lub prawna, posiadająca imię i nazwisko, adres oraz zestaw danych, które bank może zweryfikować. To założenie utrzymywało się ponad 50 lat, ponieważ było wystarczająco solidne, by podtrzymać globalny przemysł zgodności. Obecnie nie jest już powszechnie prawdziwe.

The Category Error

Agent AI działający w czyimś imieniu nie jest ani osobą fizyczną, ani, w większości jurysdykcji dzisiaj, osobą prawną. Nie posiada nazwy rozpoznawanej w rejestrze, nie ma adresu, na który bank mógłby wysłać korespondencję, a w niektórych przypadkach nie ma również zestawu danych, który poprzedzałby transakcję o więcej niż kilka minut. Przeprowadzenie takiego agenta przez proces KYC zaprojektowany dla ludzi i firm nie daje niepoprawnej odpowiedzi. Generuje pytanie, na które proces nie ma pola.

To błąd, który zespoły ds. zgodności popełniają, opisując ryzyko agentowe jako KYC, ale trudniejsze. To nie jest trudniejsze KYC. To zupełnie inne pytanie. KYC pyta, czy dana osoba jest tym, za kogo się podaje. Pytanie, które podnosi agent, brzmi, czy podmiot stojący za tą akcją ma uprawnienie do jej podjęcia w danej chwili oraz czy to uprawnienie może być potwierdzone w momencie, gdy ma to znaczenie, a nie odtworzone później. To nie są te same pytania sformułowane na różnych poziomach trudności. To dwa odrębne pytania, które przypadkowo znajdują się w tym samym dziale zgodności, a drugie zasługuje na własną nazwę: Know Your Agent, czyli KYA.

Why Bolting KYA Onto KYC Fails

Instynkt traktowania tego jako rozszerzenia istniejącego KYC jest zrozumiały, ale błędny. KYC jest zasadniczo działaniem jednorazowym w czasie. Weryfikuje tożsamość raz i monitoruje istotne zmiany później, co zakłada, że tożsamość i zachowanie klienta są stabilnymi faktami ustalonymi przy wprowadzaniu i mało prawdopodobne, by zmieniały się codziennie.

Uprawnienie agenta do działania nie jest stałym faktem. To zezwolenie, które może być przyznane, ograniczone lub cofnięte w czasie trwania wywołania API, a podmiot faktycznie kierujący agentem o 15:00 może nie być tym, który go udostępnił o 9:00. Ramy zgodności oparte na okresowej ponownej weryfikacji nie mogą zarządzać czymś, co nieustannie zmienia swój stan. To nie jest krytyka KYC. To opis narzędzia używanego poza problemem, do którego zostało stworzone.

What Know Your Agent Actually Has to Verify

Jedno wyjaśnienie, jak KYC i AML funkcjonują jako powiązane, ale odrębne dyscypliny, jest tutaj przydatnym modelem, ponieważ pokazuje, jak w praktyce wygląda rozdzielenie dwóch sąsiadujących funkcji zgodności. Każda z nich odpowiada na inne pytanie, używając innych narzędzi, w innym rytmie, mimo że obie dostarczają tego samego obrazu ryzyka.

Know Your Agent potrzebuje takiego samego rozdzielenia od KYC, a nie ich połączenia. Podczas gdy KYC weryfikuje tożsamość, KYA musi weryfikować pochodzenie i aktualne uprawnienia, śledząc, kto stworzył agenta i jakie uprawnienia posiada w danej chwili, tak aby łańcuch odpowiedzialności między ludzkim podmiotem a autonomiczną akcją pozostawał weryfikowalny w czasie rzeczywistym. Dynamiczna orkiestracja KYC, stworzona dla VIP‑onboardingu, jest bliższym odpowiednikiem: kontrola ryzyka dopasowana do konkretnej transakcji, a nie jednorazowa statyczna bariera, którą wszyscy przechodzą w ten sam sposób. Działania agentowe potrzebują takiej samej elastyczności w czasie rzeczywistym, zastosowanej do innego pytania.

The Paperwork Problem, Automated

To nie jest teoria. Agent AI nie może być prawnym właścicielem konta bankowego. System zakłada, że za każdym kontem stoi człowiek, z kontrolą KYC, prawnie określoną tożsamością i odpowiedzialnością przypisaną do nazwanej osoby. Fintechy już testują ten graniczny przypadek. Meow Technologies uruchomiło usługę w kwietniu, która pozwala agentowi zakończyć KYC, otworzyć konto firmowe, wydać karty korporacyjne i przelać pieniądze bez konieczności otwierania pulpitu przez człowieka. Automatyzacja dokumentacji nie jest tym samym, co zostanie posiadaczem konta. Konto i odpowiedzialność nadal przypadają na osobę, a żaden projekt produktu nie zamknął tej luki.

Tworzenie tej kategorii nie jest opcjonalne i nie jest to problem, który działy zgodności mogą rozwiązać cicho samodzielnie. Wymaga to takiego samego publicznego rozliczenia, jakie KYC przeszedł 50 lat temu, uznania, że klient stojący przed instytucją się zmienił i zasady muszą się z tym dostosować. Know Your Agent nie jest funkcją Know Your Customer. To kolejna dyscyplina, którą zgodność musi zbudować od podstaw.