KYC byggdes för människor – nu behöver vi Know Your Agent

USA:s know‑your‑customer‑regim (KYC) fick sina första verkliga tänder delvis tack vare Bank Secrecy Act från 1970. Sektion 326 i USA Patriot Act från 2001 gav den sedan sin moderna form och krävde att en bank hade en rimlig tro på att den kände den verkliga identiteten för varje kund innan ett konto öppnades.

Varje regel som har följts, i nästan alla jurisdiktioner, bygger på samma grundläggande premiss. En kund är en person, fysisk eller juridisk, med ett namn, en adress och ett register som en bank kan kontrollera mot. Den premissen höll i mer än 50 år eftersom den var tillräckligt stark för att stödja en global compliance‑industri. Nu är den inte längre universellt sann.

Kategorifellet

En AI‑agent som handlar på någon annans vägnar är varken en fysisk person eller, i de flesta jurisdiktioner idag, en juridisk person. Den har inget namn som ett register känner igen, ingen adress som en bank kan skicka post till, och i vissa fall inget register som föregår transaktionen framför dig med mer än några minuter. Att köra den agenten genom en KYC‑process som är avsedd för människor och företag ger inte ett felaktigt svar. Det skapar en fråga som processen saknar ett fält för.

Det är det misstag som compliance‑teamen fortsätter göra när de beskriver agentrisk som KYC, men svårare. Det är inte en svårare KYC. Det är en helt annan fråga. KYC frågar om en person är den de påstår sig vara. Frågan som en agent ställer är om den enhet som ligger bakom handlingen har befogenhet att utföra den just nu, och om den befogenheten kan bekräftas i det ögonblick den är relevant snarare än att rekonstrueras i efterhand. Det är inte samma fråga på olika svårighetsnivåer. Det är två olika frågor som av en slump delar en compliance‑avdelning, och den andra förtjänar ett eget namn: Know Your Agent, eller KYA.

Varför det misslyckas att fästa KYA på KYC

Instinkten att behandla detta som en utvidgning av befintlig KYC är förståelig men felaktig. KYC är i grunden en ögonblicksbaserad övning. Den verifierar identitet en gång och övervakar efterföljande materiella förändringar, en arkitektur som förutsätter att en kunds identitet och beteende är stabila fakta som fastställs vid onboarding och som sällan förändras dag för dag.

En agents befogenhet att agera är inte en stabil fakta. Det är ett tillstånd som kan beviljas, begränsas eller återkallas på den tid det tar att anropa ett API, och den enhet som faktiskt styr agenten klockan 15.00 kanske inte är den som provisionerade den klockan 09.00. Ett compliance‑ramverk byggt kring periodisk återverifiering kan inte styra något som ständigt förändras i status. Det är ingen kritik av KYC. Det är en beskrivning av ett verktyg som används utanför det problem det skapades för att lösa.

Vad Know Your Agent faktiskt måste verifiera

En förklaring av hur KYC och AML fungerar som relaterade men distinkta discipliner är en användbar modell här, eftersom den visar hur separationen av två närliggande compliance‑funktioner ser ut i praktiken. Var och en svarar på en annan fråga, med olika verktyg, i olika takt, även om båda bidrar till samma riskbild.

Know Your Agent behöver samma typ av separation från KYC, inte en sammanslagning med den. Medan KYC verifierar identitet måste KYA verifiera ursprung och gällande befogenhet, spåra vem som skapade en agent och vilka tillstånd den för närvarande har, så att kedjan av ansvar mellan mänsklig huvudman och autonom handling förblir kontrollerbar i realtid. Dynamisk KYC‑orkestrering, byggd för VIP‑onboarding, är den närmaste analogin: riskbaserade kontroller som anpassas till den specifika transaktionen snarare än en enda statisk grind som alla passerar på samma sätt. Agentbaserad aktivitet kräver samma realtidsflexibilitet, tillämpad på en annan fråga.

Pappersproblemet, automatiserat

Detta är inte teoretiskt. En AI‑agent kan inte vara den juridiska ägaren av ett bankkonto. Systemet förutsätter en människa bakom varje konto, med KYC‑kontroller, juridisk identitet och ansvar som kopplas till en namngiven person. Fintech‑företag testar redan den kanten. Meow Technologies lanserade i april en tjänst som låter en agent slutföra KYC, öppna ett företagskonto, utfärda företagskort och överföra pengar utan att någon människa någonsin behöver öppna en instrumentpanel. Att automatisera pappersarbetet är inte detsamma som att bli kontohavare. Kontot och ansvaret faller fortfarande på en person, och ingen produktdesign har stängt den klyftan.

Att bygga den kategorin är inte valfritt, och det är inte ett problem som compliance‑avdelningar kan lösa tyst på egen hand. Det kräver samma offentliga omprövning som KYC genomgick för 50 år sedan, en insikt om att kunden framför institutionen har förändrats och att reglerna måste förändras i takt med det. Know Your Agent är inte en funktion i Know Your Customer. Det är den nästa disciplinen som compliance måste bygga från grunden.