Le norme definitive dell'AMLA sull'adeguata verifica: cosa cambia per il KYC assistito dall'IA

Cosa ha finalizzato l'AMLA¶

L’AMLA descrive i tre RTS come norme che definiscono misure chiave che imprese e professionisti devono applicare per ridurre i rischi di riciclaggio e di finanziamento del terrorismo. Ciascuno risponde a un mandato dell’AMLR.

A che punto sono le norme¶

I testi sono progetti definitivi. Secondo l’AMLA, una volta adottati e pubblicati nella Gazzetta ufficiale dell’UE, si propone che si applichino sei mesi dopo la loro entrata in vigore. Per gli agenti sportivi e le società calcistiche professionistiche si applicheranno dal 10 luglio 2029, data da cui l’AMLR si applica a questi soggetti. La scheda informativa sull’adeguata verifica aggiunge un’avvertenza da ripetere a qualsiasi comitato di progetto: gli RTS restano soggetti a revisione e a possibili modifiche da parte della Commissione europea.

L’AMLR invece è definito. L’articolo 90 stabilisce che "si applica a decorrere dal 10 luglio 2027". Progettate fin d’ora il modello di dati KYC sui progetti definitivi di RTS e considerate il regolamento delegato della Commissione come la versione con cui riconciliare quando sarà pubblicato.

Cosa stabilisce la norma sull'adeguata verifica per i dati KYC¶

L’RTS sull’adeguata verifica è dettagliato proprio dove i sistemi KYC tendono a divergere. I punti seguenti provengono dalla scheda informativa dell’AMLA sul progetto definitivo.

• Nomi e luogo di nascita. Per le persone fisiche, tutti i nomi e cognomi che figurano sul documento d’identità o ottenuti tramite mezzi di identificazione elettronica e pertinenti servizi fiduciari qualificati. Il luogo di nascita comprende almeno il paese e la città, il comune, il centro abitato o il villaggio.
• Indirizzi. Paese e città, comune, centro abitato o villaggio sono dati obbligatori, con altri elementi come codice postale e via quando esistono.
• Cittadinanza. Misure ragionevoli per stabilire se una persona ha più di una cittadinanza; se ne sono dichiarate diverse, è sufficiente verificarne una.
• Clienti a rischio più basso. Un insieme ridotto di dati identificativi: nomi, data e luogo di nascita e cittadinanza (oppure status di apolide, rifugiato o beneficiario di protezione sussidiaria). L’indirizzo non è richiesto.
• Informazioni mancanti. Se un documento d’identità non contiene i dati richiesti, questi devono provenire da fonti affidabili e indipendenti, e il soggetto obbligato deve essere in grado di comprendere le informazioni indipendentemente dalla lingua utilizzata.
• Identificazione elettronica. L’allegato I elenca gli attributi minimi che i mezzi di identificazione elettronica e i servizi fiduciari qualificati devono poter fornire ai fini dell’adeguata verifica.
• Verifica a distanza alternativa. Se una persona non può presentare un documento di persona e non può usare l’identificazione elettronica, sono ammesse soluzioni alternative che usino fonti affidabili e indipendenti e includano le garanzie dell’articolo 7 dell’RTS.
• Titolari effettivi. Tra le fonti per una verifica ragionevole figurano registri pubblici, fornitori di dati affidabili e documenti certificati. Il solo registro centrale dei titolari effettivi non basta per la verifica.
• Scopo e natura prevista. Esempi non esaustivi, applicati in base al rischio. Nelle situazioni a basso rischio lo scopo può essere desunto dalle informazioni già in possesso.
• Screening su sanzioni e PEP. Deve essere effettuato mediante strumenti o soluzioni di screening automatizzati, controlli manuali o una combinazione di entrambi, con alias, denominazioni commerciali e indirizzi di portafogli digitali rilevanti per le sanzioni finanziarie mirate quando disponibili.
• Clienti esistenti. Le registrazioni vengono adeguate in base al rischio, entro un anno per i clienti a rischio più elevato ed entro cinque anni per tutti gli altri.

Dove l'AMLR traccia il limite per l'IA¶

L’AMLR affronta direttamente le decisioni automatizzate e di IA. L’articolo 76, paragrafo 5, stabilisce che i soggetti obbligati "possono adottare decisioni risultanti da processi automatizzati, compresa la profilazione … o da processi che coinvolgono sistemi di IA", a tre condizioni:

a) i dati trattati da tali sistemi sono limitati ai dati ottenuti ai sensi del capo dell’AMLR sull’adeguata verifica; b) "qualsiasi decisione di instaurare o rifiutare di instaurare, ovvero di mantenere, un rapporto d’affari con un cliente, o di eseguire o rifiutare di eseguire un’operazione occasionale per un cliente, o di estendere o limitare la portata delle misure di adeguata verifica della clientela applicate a norma dell’articolo 20 del presente regolamento, sia soggetta a un intervento umano significativo per garantire l’accuratezza e l’adeguatezza di tale decisione"; e c) il cliente può ottenere una spiegazione della decisione e contestarla, salvo in relazione a una segnalazione di operazione sospetta ai sensi dell’articolo 69.

L’articolo 18 aggiunge il limite dell’esternalizzazione. Un soggetto obbligato può esternalizzare compiti di adeguata verifica, ne resta "pienamente responsabile" e deve poter dimostrare all’autorità di vigilanza di comprendere la logica delle attività svolte dal fornitore. Alcuni compiti non possono mai essere esternalizzati, tra cui la "decisione sul profilo di rischio da attribuire al cliente", la decisione di avviare un rapporto d’affari, la segnalazione dei sospetti alla UIF e l’approvazione dei criteri per individuare operazioni sospette o insolite.

L’articolo 77 fissa l’orizzonte delle prove: i documenti e le informazioni dell’adeguata verifica, comprese quelle ottenute tramite mezzi di identificazione elettronica, sono conservati per cinque anni dalla fine del rapporto d’affari o dalla data dell’operazione occasionale, e la valutazione alla base di ogni analisi di sospetto è conservata che si presenti o meno una segnalazione.

L’AI Act dell’UE aggiunge un test distinto per una componente del KYC. L’Allegato III classifica ad alto rischio l’identificazione biometrica remota, ma esclude "i sistemi di IA destinati a essere utilizzati per la verifica biometrica la cui unica finalità è confermare che una determinata persona fisica è la persona che dice di essere". La verifica dell’identità all’onboarding rientra di solito in questa esclusione. Un sistema usato per valutare l’affidabilità creditizia resta ad alto rischio ai sensi del punto 5, lettera b), quindi una decisione congiunta di onboarding e di credito richiede una classificazione propria.

Progettare un KYC assistito dall'IA con queste regole¶

Letti insieme, gli RTS e gli articoli 18, 76 e 77 dividono il lavoro KYC in tre tipi. Un agente può preparare: acquisizione, estrazione, screening, raccolta delle fonti e redazione. Una persona deve decidere: onboarding, rifiuto, uscita, profilo di rischio e ogni cambiamento dell’intensità dell’adeguata verifica. Tutto deve lasciare una traccia che un’autorità di vigilanza possa seguire per cinque anni.

Cosa abbiamo imparato costruendo agenti KYC e AML¶

A settembre 2026 abbiamo preparato una prova di concetto per l’onboarding degli esercenti di una società di pagamenti. Il vero carico di lavoro del responsabile KYC era la ridigitazione. Le visure camerali e i dati sui titolari effettivi venivano raccolti a mano e digitati di nuovo nel portale di onboarding del fornitore di pagamenti, dove un fascicolo respinto poteva essere ripresentato solo due volte prima di passare a un analista manuale. Abbiamo progettato l’agente perché assemblasse e precompilasse il fascicolo e si fermasse prima dell’invio per la convalida umana, e lo abbiamo eseguito solo su documenti campione sintetici.

I due casi di test scelti mostrano dove il controllo umano si giustifica. In uno la visura camerale era scaduta e l’azione corretta era richiederne una aggiornata prima di inviare qualsiasi cosa. Nell’altro il documento d’identità era scaduto e la policy ha bloccato direttamente il fascicolo. Nessuno dei due casi è una valutazione che spetta all’agente: uno richiede una richiesta a una persona esterna alla banca, l’altro è un blocco assoluto. Un agente KYC è utile quando rende questi due esiti rapidi ed espliciti.

Una seconda lezione è venuta da una demo AML preparata per il team compliance di una banca. Una policy su uno strumento richiedeva un identificativo di cliente o di alert in ogni chiamata, mentre lo schema di input dello strumento accettava solo filtri per coda e stato. La regola e il contratto si contraddicevano, quindi l’agente non poteva mai chiamare lo strumento. Abbiamo allineato la regola al contratto dello strumento. Le condizioni di policy sugli strumenti KYC vanno verificate rispetto a ciò che lo strumento può effettivamente ricevere prima di essere pubblicate.

Un punto di controllo davanti all'agente KYC¶

L’articolo 76, paragrafo 5, lettera b), è più facile da rispettare quando la decisione umana è integrata nel percorso di esecuzione. Un punto di controllo a runtime valuta ogni azione proposta dall’agente KYC prima che venga eseguita. L’acquisizione dei dati e lo screening possono procedere con una registrazione (allow, oppure warn se uno schema richiede una revisione successiva). Un onboarding, un rifiuto, un’uscita o un cambiamento dell’intensità dell’adeguata verifica proposti restano in attesa di un revisore designato (require_approval). Un’azione fuori dal mandato dell’agente, come inviare un fascicolo con un documento d’identità scaduto, viene fermata (block). KLA Control Plane implementa questi quattro esiti, e ogni registrazione di decisione contiene l’azione proposta, la versione della policy, l’esito, la decisione del revisore e il risultato.

Un intervento umano significativo richiede più di un clic. Il revisore ha bisogno della versione del fascicolo, delle fonti, della proposta dell’agente e della regola che l’ha instradata, e la sua decisione richiede un motivo che possa diventare la spiegazione che l’articolo 76, paragrafo 5, lettera c), riconosce al cliente. Un revisore che vede solo un pulsante di approvazione non può garantire "l’accuratezza e l’adeguatezza" della decisione.

Aggiunto il 7 ottobre 2026: la consultazione sulla banca dati centrale AML/CFT¶

Il 7 ottobre 2026 l’AMLA ha aperto una consultazione sul progetto di RTS che istituisce la banca dati centrale AML/CFT, ai sensi dell’articolo 11, paragrafo 6, del Regolamento (UE) 2024/1620 (AMLAR). L’AMLA descrive la banca dati come punto di accesso unico per le segnalazioni standardizzate e archivio delle informazioni di vigilanza, accessibile alle autorità di vigilanza su base riservata e secondo il principio della necessità di sapere.

La consultazione prevede un’audizione pubblica il 3 novembre 2026 e si chiude alle 16:00 CET dello stesso giorno. L’AMLA precisa che le regole non impongono obblighi diretti alle imprese private e accoglie con favore le risposte dei professionisti. Per le banche l’interesse pratico è a valle: ciò che le autorità di vigilanza raccolgono centralmente determina i dati che chiederanno in seguito ai soggetti obbligati, quindi i team KYC e AML dovrebbero verificare che le proprie registrazioni possano rispondere alle categorie del progetto.

Cosa fare prima del 10 luglio 2027¶

Quattro attività rientrano nei nove mesi. Mappate il vostro modello di dati KYC sui dati previsti dall’RTS, compresi il livello di dettaglio del luogo di nascita, le cittadinanze multiple e l’insieme ridotto per il rischio più basso. Censite ogni fase automatizzata o di IA nell’onboarding e nell’adeguata verifica e indicate quali producono una decisione coperta dall’articolo 76, paragrafo 5, lettera b). Mettete davanti a ciascuna una decisione umana con un motivo registrato e verificate che nessuna delle decisioni non esternalizzabili dell’articolo 18 sia affidata a un fornitore. Dimensionate l’adeguamento dei clienti esistenti rispetto alle scadenze di uno e cinque anni.

Per gli obblighi oltre il KYC, la checklist di preparazione all’AMLR 2027 copre l’intero regolamento e la governance degli agenti AML e di pagamento copre il monitoraggio delle transazioni e la redazione delle SAR.