KI im KYC: Wo sie unterstützt und wo Grenzen bleiben

In KYC- und AML-Prozessen müssen regelmäßig Informationen aus unterschiedlichen Quellen zusammengeführt werden. Besonders geeignet für eine KI-Unterstützung sind Aufgaben, bei denen große Mengen an Daten oder Dokumenten gesichtet, verglichen und für die weitere Bearbeitung strukturiert werden.

Mögliche Einsatzfelder sind:

• Dokumente und Daten abgleichen: Je nach technischer Ausgestaltung kann ein System Angaben aus Registerauszügen, Gesellschafterlisten oder Kundenunterlagen extrahieren und Unterschiede bei Namen, Anschriften, Rechtsformen oder Beteiligungsquoten anzeigen. Eine erkannte Abweichung ist zunächst ein Prüfhinweis und noch kein Nachweis für einen Fehler.
• Screening-Ergebnisse aufbereiten: KI kann dabei helfen, Treffer zu gruppieren, Namensvarianten einzubeziehen und potenziell relevante Ergebnisse zu priorisieren. Die Zuordnung zu einer Person oder einem Unternehmen sowie die Bewertung der Quelle und ihrer geldwäscherechtlichen Relevanz müssen weiterhin geprüft werden.
• Prüffälle strukturieren: Informationen aus freigegebenen Quellen können zusammengeführt, Widersprüche gekennzeichnet und offene Punkte aufgelistet werden. Bei AML-Prüfungen kann ein System außerdem Transaktionsbeziehungen oder Geldflüsse aufbereiten und auffällige Muster für die weitere Analyse sichtbar machen.
• Änderungen erkennen: Im laufenden KYC kann ein automatisierter Vergleich auf neue Registerinformationen, geänderte Stammdaten oder zusätzliche Risikosignale hinweisen. Ob daraus eine Aktualisierung oder eine weitere Maßnahme folgt, ist gesondert zu entscheiden.

Agentische KI in KYC- und AML-Prozessen

Agentische KI-Systeme können mehrere Arbeitsschritte koordinieren und innerhalb vorgegebener Grenzen auf Datenquellen oder Werkzeuge zugreifen. Ein solches System könnte beispielsweise Kundendaten abrufen, zugelassene externe Quellen prüfen, Angaben miteinander vergleichen und anschließend eine Fallzusammenfassung mit offenen Fragen erstellen.

Damit unterscheidet sich ein Agent von einem vollständig festgelegten Workflow. Er kann einzelne nächste Schritte anhand der bisherigen Ergebnisse auswählen. Diese Flexibilität erhöht zugleich die Anforderungen an Berechtigungen, Protokollierung und Freigaben. Für einen kontrollierten Einstieg eignen sich daher vor allem lesende Zugriffe und klar begrenzte Aufgaben. Änderungen an Kundendaten, externe Kommunikation oder Entscheidungen über eine Geschäftsbeziehung sollten nicht ohne vorher festgelegte menschliche Freigabe ausgelöst werden.

Gute KI braucht verlässliche Daten

Unvollständige, veraltete oder widersprüchliche Eingangsdaten führen auch bei KI-gestützten Verfahren zu unsicheren Ergebnissen. Deshalb muss erkennbar bleiben, welche Quelle verwendet wurde, wie aktuell sie ist und ob eine Information unmittelbar aus der Quelle stammt oder vom System zusammengefasst beziehungsweise abgeleitet wurde.

Bei generativen Modellen kommt hinzu, dass plausibel formulierte Aussagen sachlich falsch oder nicht belegt sein können. Ein System sollte fehlende Informationen deshalb als solche kennzeichnen und keine Lücken durch Vermutungen schließen. Je stärker ein Ergebnis eine KYC- oder AML-Entscheidung beeinflusst, desto wichtiger sind Quellenbezug, Prüfung und dokumentierte menschliche Kontrolle.

Rechtlicher Rahmen

Die rechtliche Einordnung richtet sich nicht allein danach, dass KI eingesetzt wird. Entscheidend sind der vorgesehene Zweck, die konkret verarbeiteten Daten, die Rolle des jeweiligen Unternehmens und die Bedeutung des Ergebnisses für die betroffene Person.

AI Act

Der AI Act ist seit dem 2. August 2026 weitgehend anwendbar, einzelne Regelungsbereiche folgen später. KYC- und AML-Anwendungen werden in Anhang III nicht pauschal als Hochrisiko-Systeme aufgeführt. Ein System wird daher nicht allein deshalb zur Hochrisiko-KI, weil es in einem regulierten KYC- oder AML-Prozess eingesetzt wird. Maßgeblich ist sein vorgesehener Zweck. Wird dasselbe System zugleich für einen in Anhang III genannten Zweck eingesetzt, etwa zur Bewertung der Kreditwürdigkeit natürlicher Personen, kann die Einordnung anders ausfallen. Unabhängig von der Risikoklasse können bereits heute andere Vorschriften des AI Act relevant sein. Dazu gehören insbesondere Verbote bestimmter KI-Praktiken und, je nach Ausgestaltung, Transparenzpflichten. Wenn Personen unmittelbar mit einem KI-System interagieren, muss ihnen dies grundsätzlich kenntlich gemacht werden, soweit keine gesetzliche Ausnahme greift.

AMLR

Die AMLR ist im Wesentlichen ab dem 10. Juli 2027 anzuwenden. Artikel 76 Absatz 5 enthält Vorgaben für Entscheidungen, die aus automatisierten Prozessen oder Prozessen unter Einsatz von KI-Systemen resultieren. Die dafür verarbeiteten Daten sind auf Informationen zu begrenzen, die nach Kapitel III AMLR im Rahmen der Kundensorgfaltspflichten erhoben wurden.

Entscheidungen über die Aufnahme, Ablehnung oder Fortführung einer Geschäftsbeziehung, über die Durchführung oder Ablehnung einer gelegentlichen Transaktion sowie über eine Erhöhung oder Verringerung des Umfangs der Sorgfaltsmaßnahmen müssen einer wirksamen menschlichen Prüfung unterliegen. Die prüfende Person muss die Richtigkeit und Angemessenheit der Entscheidung beurteilen können. Kunden müssen außerdem grundsätzlich eine Erklärung erhalten und die Entscheidung anfechten können. Diese Rechte bestehen nicht für Entscheidungen im Zusammenhang mit einer Verdachtsmeldung.

DSGVO

Werden personenbezogene Daten verarbeitet, gilt die DSGVO parallel. Besondere Kategorien personenbezogener Daten und Angaben zu strafrechtlichen Verurteilungen oder Straftaten unterliegen zusätzlichen Anforderungen. Artikel 22 DSGVO ist relevant, wenn eine Entscheidung ausschließlich auf einer automatisierten Verarbeitung beruht und gegenüber der betroffenen Person rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.