Die finalen Sorgfaltspflicht-Standards der AMLA: Was sich für KI-gestütztes KYC ändert

Was die AMLA fertiggestellt hat¶

Nach der Beschreibung der AMLA legen die drei RTS zentrale Maßnahmen fest, die Unternehmen und Berufsangehörige anwenden müssen, um die Risiken von Geldwäsche und Terrorismusfinanzierung zu verringern. Jeder davon erfüllt einen Auftrag aus der AMLR.

Wo die Standards stehen¶

Die Texte sind finale Entwürfe. Nach Angaben der AMLA sollen sie nach ihrer Annahme und Veröffentlichung im Amtsblatt der EU sechs Monate nach ihrem Inkrafttreten gelten. Für Spielervermittler und Profifußballvereine gelten sie ab dem 10. Juli 2029, dem Datum, ab dem die AMLR für diese Verpflichteten gilt. Das CDD-Factsheet fügt einen Vorbehalt hinzu, den man jedem Projektgremium wiederholen sollte: Die RTS bleiben Gegenstand der Überprüfung und möglicher Änderungen durch die Europäische Kommission.

Die AMLR selbst steht fest. Artikel 90 bestimmt, dass sie „ab dem 10. Juli 2027“ gilt. Planen Sie das KYC-Datenmodell jetzt anhand der finalen RTS-Entwürfe, und behandeln Sie die delegierte Verordnung der Kommission als die Fassung, mit der Sie nach ihrer Veröffentlichung abgleichen.

Was der CDD-Standard für KYC-Daten klärt¶

Der CDD-RTS ist dort detailliert, wo KYC-Systeme häufig voneinander abweichen. Die folgenden Punkte stammen aus dem Factsheet der AMLA zum finalen Entwurf.

• Namen und Geburtsort. Bei natürlichen Personen alle Vor- und Nachnamen, die im Ausweisdokument stehen oder über elektronische Identifizierungsmittel und einschlägige qualifizierte Vertrauensdienste ermittelt werden. Der Geburtsort umfasst mindestens das Land und die Stadt, Gemeinde, Ortschaft oder das Dorf.
• Anschriften. Land und Stadt, Gemeinde, Ortschaft oder Dorf sind Pflichtangaben, dazu weitere Elemente wie Postleitzahl und Straße, soweit vorhanden.
• Staatsangehörigkeit. Angemessene Maßnahmen, um festzustellen, ob eine Person mehr als eine Staatsangehörigkeit besitzt; werden mehrere angegeben, genügt die Überprüfung einer davon.
• Kunden mit geringerem Risiko. Ein reduzierter Satz an Identifizierungsdaten: Namen, Geburtsdatum und -ort sowie Staatsangehörigkeit (oder Status als Staatenloser, Flüchtling oder Person mit subsidiärem Schutz). Die Anschrift ist nicht erforderlich.
• Fehlende Informationen. Fehlen in einem Ausweisdokument erforderliche Angaben, müssen sie aus zuverlässigen und unabhängigen Quellen stammen, und der Verpflichtete muss die Informationen unabhängig von der verwendeten Sprache verstehen können.
• Elektronische Identifizierung. Anhang I listet die Mindestattribute auf, die elektronische Identifizierungsmittel und qualifizierte Vertrauensdienste für die Sorgfaltspflichten bereitstellen können müssen.
• Alternative Überprüfung ohne physische Anwesenheit. Kann eine Person kein Dokument persönlich vorlegen und keine elektronische Identifizierung nutzen, sind alternative Lösungen zulässig, sofern sie zuverlässige und unabhängige Quellen nutzen und die Schutzvorkehrungen nach Artikel 7 des RTS enthalten.
• Wirtschaftliche Eigentümer. Zu den Quellen für eine angemessene Überprüfung gehören öffentliche Register, seriöse Datenanbieter und beglaubigte Dokumente. Das zentrale Register der wirtschaftlichen Eigentümer allein reicht für die Überprüfung nicht aus.
• Zweck und angestrebte Art. Nicht abschließende Beispiele, risikobasiert anzuwenden. In Situationen mit geringem Risiko kann der Zweck aus bereits vorliegenden Informationen abgeleitet werden.
• Sanktions- und PEP-Screening. Es muss mittels automatisierter Screening-Werkzeuge oder -Lösungen, manueller Prüfungen oder einer Kombination aus beidem durchgeführt werden, wobei Aliasnamen, Handelsnamen und Adressen digitaler Wallets, soweit verfügbar, für gezielte finanzielle Sanktionen relevant sind.
• Bestandskunden. Die Datensätze werden risikobasiert angepasst, spätestens innerhalb eines Jahres bei Kunden mit höherem Risiko und innerhalb von fünf Jahren bei allen anderen.

Wo die AMLR die Grenze für KI zieht¶

Die AMLR regelt automatisierte Entscheidungen und KI-Entscheidungen ausdrücklich. Nach Artikel 76 Absatz 5 „können“ Verpflichtete „Entscheidungen treffen, die sich aus automatisierten Verfahren, einschließlich Profiling …, oder aus Verfahren ergeben, bei denen Systeme der KI … zur Anwendung kommen“, sofern drei Bedingungen erfüllt sind:

a) Die von solchen Systemen verarbeiteten Daten sind auf Daten beschränkt, die nach dem Kapitel der AMLR über die Sorgfaltspflichten gegenüber Kunden erlangt wurden; b) „alle Entscheidungen in Bezug auf die Aufnahme einer Geschäftsbeziehung mit einem Kunden, die Verweigerung der Aufnahme derselben oder die Unterhaltung derselben, auf die Ausführung einer gelegentlichen Transaktion für einen Kunden oder die Verweigerung der Ausführung derselben oder auf die Ausweitung oder Einschränkung des Umfangs der gemäß Artikel 20 der vorliegenden Verordnung angewandten Sorgfaltsmaßnahmen gegenüber Kunden einem sinnvollen menschlichen Eingreifen unterliegen, um die Richtigkeit und Angemessenheit dieser Entscheidungen sicherzustellen“; und c) der Kunde kann eine Erläuterung der Entscheidung erhalten und sie anfechten, außer im Zusammenhang mit einer Verdachtsmeldung nach Artikel 69.

Artikel 18 ergänzt die Grenze für die Auslagerung. Ein Verpflichteter darf Aufgaben der Kundensorgfaltspflicht auslagern, „haftet in vollem Umfang“ dafür und muss seiner Aufsichtsbehörde nachweisen können, dass er die Gründe für die Tätigkeiten des Dienstleisters versteht. Manche Aufgaben dürfen nie ausgelagert werden, darunter die „Entscheidung über das dem Kunden zuzuordnende Risikoprofil“, die Entscheidung über die Aufnahme einer Geschäftsbeziehung, die Meldung von Verdachtsfällen an die FIU und die Genehmigung der Kriterien zur Erkennung verdächtiger oder ungewöhnlicher Transaktionen.

Artikel 77 setzt den Zeithorizont für Nachweise: Dokumente und Informationen aus der Kundensorgfaltspflicht, einschließlich der über elektronische Identifizierungsmittel erlangten Informationen, werden fünf Jahre ab dem Ende der Geschäftsbeziehung oder ab dem Datum der gelegentlichen Transaktion aufbewahrt, und die Bewertung hinter jeder Verdachtsanalyse wird aufbewahrt, unabhängig davon, ob eine Meldung erstattet wird.

Die KI-Verordnung der EU fügt für eine KYC-Komponente eine gesonderte Prüfung hinzu. Anhang III führt die biometrische Fernidentifizierung als hochriskant auf, nimmt aber „KI-Systeme, die bestimmungsgemäß für die biometrische Verifizierung, deren einziger Zweck darin besteht, zu bestätigen, dass eine bestimmte natürliche Person die Person ist, für die sie sich ausgibt, verwendet werden sollen“, aus. Die Identitätsprüfung beim Onboarding fällt in der Regel unter diese Ausnahme. Ein System zur Prüfung der Kreditwürdigkeit bleibt nach Nummer 5 Buchstabe b hochriskant; eine kombinierte Onboarding- und Kreditentscheidung braucht daher eine eigene Einstufung.

KI-gestütztes KYC nach diesen Regeln gestalten¶

Zusammen gelesen teilen die RTS und die Artikel 18, 76 und 77 die KYC-Arbeit in drei Arten ein. Ein Agent darf vorbereiten: Erfassung, Extraktion, Screening, Quellensammlung und Entwürfe. Ein Mensch muss entscheiden: Aufnahme, Ablehnung, Beendigung, das Risikoprofil und jede Änderung der Intensität der Sorgfaltspflichten. Alles muss einen Datensatz hinterlassen, dem eine Aufsichtsbehörde fünf Jahre lang folgen kann.

Was wir beim Bau von KYC- und AML-Agenten gelernt haben¶

Im September 2026 haben wir einen Proof of Concept für das Händler-Onboarding eines Zahlungsunternehmens vorbereitet. Die eigentliche Arbeitslast der KYC-Managerin war das erneute Abtippen. Handelsregisterauszüge und Daten zu wirtschaftlichen Eigentümern wurden von Hand gesammelt und erneut in das Onboarding-Portal des Zahlungsdienstleisters eingegeben, wo eine abgelehnte Akte nur zweimal erneut eingereicht werden konnte, bevor sie an einen manuellen Analysten ging. Wir haben den Agenten so entworfen, dass er die Akte zusammenstellt und vorausfüllt und vor der Einreichung zur menschlichen Validierung anhält, und wir haben ihn ausschließlich mit synthetischen Musterdokumenten betrieben.

Die beiden Testfälle, die wir gewählt haben, zeigen, wo sich die menschliche Schranke bewährt. Im einen war der Handelsregisterauszug veraltet, und die richtige Aktion war, einen aktuellen Auszug anzufordern, bevor irgendetwas eingereicht wurde. Im anderen war das Ausweisdokument abgelaufen, und die Policy blockierte die Akte vollständig. Keiner der beiden Fälle ist eine Ermessensfrage für den Agenten: Der eine erfordert eine Anfrage an eine Person außerhalb der Bank, der andere ist ein harter Stopp. Ein KYC-Agent ist nützlich, wenn er diese beiden Ergebnisse schnell und eindeutig macht.

Eine zweite Lehre kam aus einer AML-Demo, die wir für das Compliance-Team einer Bank vorbereitet haben. Eine Werkzeug-Policy verlangte bei jedem Aufruf eine Kunden- oder Alert-Kennung, während das Eingabeschema des Werkzeugs nur Filter für Warteschlange und Status akzeptierte. Regel und Vertrag widersprachen sich, sodass der Agent das Werkzeug nie aufrufen konnte. Wir haben die Regel an den Werkzeugvertrag angepasst. Policy-Bedingungen für KYC-Werkzeuge sollten vor ihrer Veröffentlichung daraufhin geprüft werden, was das Werkzeug tatsächlich empfangen kann.

Einen Checkpoint vor den KYC-Agenten setzen¶

Artikel 76 Absatz 5 Buchstabe b lässt sich am einfachsten erfüllen, wenn die menschliche Entscheidung in den Ausführungspfad eingebaut ist. Ein Laufzeit-Checkpoint bewertet jede Aktion, die der KYC-Agent vorschlägt, bevor sie ausgeführt wird. Datenerfassung und Screening können mit einem Datensatz weiterlaufen (allow, oder warn, wenn ein Muster später geprüft werden muss). Eine vorgeschlagene Aufnahme, Ablehnung, Beendigung oder Änderung der Intensität der Sorgfaltspflichten wird für einen namentlich benannten Reviewer angehalten (require_approval). Eine Aktion außerhalb des Mandats des Agenten, etwa die Einreichung einer Akte mit abgelaufenem Ausweisdokument, wird gestoppt (block). KLA Control Plane setzt diese vier Ergebnisse um, und jeder Entscheidungsdatensatz enthält die vorgeschlagene Aktion, die Policy-Version, das Ergebnis, die Entscheidung des Reviewers und das Resultat.

Ein sinnvolles menschliches Eingreifen braucht mehr als einen Klick. Der Reviewer braucht die Aktenversion, die Quellen, den Vorschlag des Agenten und die Regel, die ihn weitergeleitet hat, und seine Entscheidung braucht eine Begründung, aus der sich die Erläuterung ableiten lässt, die Artikel 76 Absatz 5 Buchstabe c dem Kunden gewährt. Ein Reviewer, der nur eine Schaltfläche zum Genehmigen sieht, kann „die Richtigkeit und Angemessenheit“ der Entscheidung nicht sicherstellen.

Ergänzt am 7. Oktober 2026: die Konsultation zur zentralen AML/CFT-Datenbank¶

Am 7. Oktober 2026 eröffnete die AMLA eine Konsultation zum RTS-Entwurf zur Errichtung der zentralen AML/CFT-Datenbank nach Artikel 11 Absatz 6 der Verordnung (EU) 2024/1620 (AMLAR). Die AMLA beschreibt die Datenbank als zentrale Anlaufstelle für standardisierte Meldungen und als Ablage für Aufsichtsinformationen, die den Aufsichtsbehörden vertraulich und nach dem Need-to-know-Grundsatz zugänglich ist.

Die Konsultation umfasst eine öffentliche Anhörung am 3. November 2026 und endet an diesem Tag um 16:00 Uhr MEZ. Die AMLA weist darauf hin, dass die Regeln privaten Unternehmen keine unmittelbaren Pflichten auferlegen, und begrüßt Beiträge aus der Praxis. Für Banken liegt das praktische Interesse nachgelagert: Was die Aufsicht zentral erhebt, prägt die Daten, die sie später bei den Verpflichteten anfordern wird. KYC- und AML-Teams sollten daher prüfen, ob ihre eigenen Datensätze die Kategorien des Entwurfs beantworten können.

Was vor dem 10. Juli 2027 zu tun ist¶

Vier Aufgaben passen in die neun Monate. Bilden Sie Ihr KYC-Datenmodell auf die Datenpunkte des RTS ab, einschließlich der Granularität des Geburtsorts, mehrerer Staatsangehörigkeiten und des reduzierten Satzes bei geringerem Risiko. Inventarisieren Sie jeden automatisierten oder KI-gestützten Schritt im Onboarding und in der Kundensorgfaltspflicht, und markieren Sie, welche davon eine Entscheidung nach Artikel 76 Absatz 5 Buchstabe b hervorbringen. Setzen Sie vor jede dieser Entscheidungen eine menschliche Entscheidung mit erfasster Begründung, und bestätigen Sie, dass keine der nach Artikel 18 nicht auslagerbaren Entscheidungen bei einem Anbieter liegt. Bemessen Sie die Nachbesserung bei Bestandskunden an den Fristen von einem und fünf Jahren.

Für die Pflichten jenseits von KYC behandelt die AMLR-2027-Checkliste die gesamte Verordnung, und Governance von AML- und Zahlungsagenten behandelt Transaktionsüberwachung und das Entwerfen von Verdachtsmeldungen.