Wie automatisieren KI-Agenten periodische KYC-Überprüfungen und Source-of-Wealth-Prüfungen?

Warum lassen sich periodische KYC-Überprüfungen und SoW-Prüfungen von Hand kaum skalieren?

Eine periodische Überprüfung ist ein Neuaufbau der Kundenakte. Der Analyst öffnet die Onboarding-Unterlagen erneut, sucht nach Adverse Media und Veränderungen in der Eigentümerstruktur, liest Kontoauszüge und Vermögensdarstellungen noch einmal, gleicht sie mit dem Transaktionsverhalten ab und hält das Ergebnis in der Vorlage der Bank fest. Für Vermögensverwalter und Privatbanken ist die SoW-Geschichte der schwierigste Teil: Es ist eine Erzählung (Erbschaft, Unternehmensverkauf, Gehalt und Ersparnisse, Erlös aus Immobilien), die durch Dokumente belegt und bei Veränderungen der Kundensituation aktuell gehalten werden muss. Der grösste Teil der Zeit fliesst in das Sammeln und Abgleichen von Material aus CRM, Dokumentenablage, KYC-System und Web, nicht in die Beurteilung am Ende. Genau dafür eignet sich ein Agent.

Wie läuft der Agenten-Workflow Schritt für Schritt ab?

Der folgende Ablauf ist das Referenzdesign von S-PRO für Banken und Vermögensverwalter. Es ist ein Designmuster, keine regulatorische Vorlage; die genauen Schritte hängen von Ihrer KYC-Richtlinie, Ihren Systemen und Ihrer Risikobereitschaft ab.

1. Auslöser. Eine Überprüfung wird fällig nach dem Zyklus Ihrer risikobasierten Richtlinie oder früher durch ein Ereignis: Änderung der Risikoeinstufung, Screening- oder Adverse-Media-Treffer, auffälliges Transaktionsmuster, Wechsel einer wirtschaftlich berechtigten Person oder eine vom Kunden veranlasste Änderung. Den Überprüfungszyklus legt nicht der Agent fest; er liest ihn aus Ihrer Richtlinienkonfiguration.
2. Datenbeschaffung. Der Agent holt die aktuelle Kundenakte aus den führenden Systemen (Kernbanksystem, CRM, KYC-Plattform, Dokumentenablage), Screening-Ergebnisse Ihres bestehenden Anbieters und, soweit zulässig, öffentliche und Registerquellen. Er löst Entitäten auf (Kunde, nahestehende Personen, wirtschaftlich Berechtigte) und hält fest, aus welcher Quelle jede Information stammt.
3. SoW/SoF-Belege. Der Agent vergleicht die dokumentierte Vermögensdarstellung mit den neuen Belegen: Was ist durch ein Dokument gestützt, was nur behauptet, was fehlt, was widerspricht der Akte? Das Ergebnis ist eine Lückenliste pro Aussage, kein Urteil. Typische Lücken: ein abgelaufenes oder fehlendes Dokument, eine Vermögenskomponente ohne Beleg, ein Zufluss, der durch die angegebenen Quellen nicht erklärt ist.
4. Input für das Risiko-Scoring. Der Agent schlägt eine Zusammenfassung der Risikofaktoren vor und markiert, ob die Belege eine Überprüfung der aktuellen Einstufung nahelegen. Die Einstufung ändert er nicht. Scoring-Logik, die Ergebnisse beeinflussen kann, muss von der Bank definiert, versioniert und validiert werden.
5. Prüfung durch den Analysten mit menschlicher Freigabe. Der Analyst sieht einen Entwurf, in dem jede Aussage mit ihrer Quelle verlinkt und jede Lücke markiert ist. Er genehmigt, ändert, bittet den Agenten um weitere Arbeit, eskaliert (zum Beispiel an die Geschäftsleitung oder an die bzw. den Geldwäschereibeauftragten) oder lehnt ab. Ohne namentlich benannte Genehmigung kann der Agent keine endgültige Entscheidung in das führende System schreiben.
6. Audit-Trail. Das System erfasst Eingaben, Quellen, Modell- und Prompt-Versionen, den Entwurf, die Änderungen des Analysten und die Genehmigung mit Name und Zeitpunkt, sodass der Fall wiedergegeben werden kann. Was zu protokollieren ist und wie das Protokoll revisionsfest wird, steht in KYC AI audit trail for banks: what to log (EN).

Hinweis zum automatischen Abschliessen: Das automatische Schliessen risikoarmer Überprüfungen ohne Mensch ist eine eigene Designentscheidung. Die Entwurfsleitlinien der EU-Behörde AMLA zur laufenden Überwachung (siehe unten) erlauben das automatische Schliessen von Monitoring-Ergebnissen nur, wenn keine Hinweise auf erhöhtes Risiko vorliegen und eine periodische Validierung per Stichprobe erfolgt. Für periodische Überprüfungen empfehlen wir, bei jeder Überprüfung eine menschliche Freigabe beizubehalten, sofern Ihre Compliance-Funktion keine andere, dokumentierte risikobasierte Richtlinie festgelegt hat.

Was sagen FINMA, die EU-Behörde AMLA und FinCEN tatsächlich?

Keine Aufsichtsbehörde schreibt vor, für die periodische Überprüfung KI einzusetzen, oder veröffentlicht eine Vorlage für einen KI-KYC-Agenten. Die folgenden Anker legen fest, was die Bank tun muss und wofür sie verantwortlich bleibt; wie sie es umsetzt, entscheidet das Institut. Prüfen Sie jede Quelle vor der Verwendung gegen den aktuellen Text; S-PRO erbringt keine Rechtsberatung.

• Schweiz. Das Geldwäschereigesetz (GwG, SR 955.0) verpflichtet Finanzintermediäre, die Vertragspartei zu identifizieren und die wirtschaftlich berechtigte Person festzustellen, zu dokumentieren und den Hintergrund ungewöhnlicher Geschäftsbeziehungen abzuklären (besondere Abklärungspflicht). Auch die Dokumentationspflicht ist im Gesetz geregelt (Identifizierung der Vertragspartei Art. 3, wirtschaftlich berechtigte Person Art. 4, besondere Sorgfaltspflichten Art. 6, Dokumentation Art. 7). Die Geldwäschereiverordnung-FINMA (GwV-FINMA, SR 955.033.0) regelt die Details für von der FINMA beaufsichtigte Institute. Die FINMA-Aufsichtsmitteilung 08/2024 zu Governance und Risikomanagement beim Einsatz von KI (18. Dezember 2024) ist Aufsichtspraxis, kein Gesetz. Ihre Aufsichtserkenntnisse betonen Modellrisiken wie Robustheit, Verzerrung (Bias) und Erklärbarkeit sowie eine Dokumentation, mit der sich Ergebnisse nachvollziehen und reproduzieren lassen.
• EU. Das AML-Paket 2024 (Verordnung (EU) 2024/1624, die AML-Verordnung; die Anti-Geldwäsche-Behörde AMLA nach Verordnung (EU) 2024/1620) gilt überwiegend ab Juli 2027. Nach der AML-Verordnung dürfen die Entscheidung über das Risikoprofil eines Kunden und über die Aufnahme einer Geschäftsbeziehung nicht ausgelagert werden (Art. 18). Das AMLA-Konsultationspapier vom 3. Juni 2026 enthält Entwurfsleitlinien zur laufenden Überwachung nach Art. 26 Abs. 5 AMLR (endgültige Leitlinien für das vierte Quartal 2026 angekündigt; Rückmeldungen bis 3. September 2026). Es sind Entwürfe. Nach dem Entwurf ist der Einsatz von KI weder verpflichtend noch für sich genommen ein Hinweis auf Wirksamkeit; die Ergebnisse analytischer Werkzeuge sollen Entscheidungen unterstützen und Governance, Aufsicht, Hinterfragung und Kontrolle unterliegen; die Verpflichteten bleiben für Überwachungsentscheidungen verantwortlich, gegebenenfalls durch wirksame menschliche Aufsicht; Werkzeuge sollen gegenüber den Behörden erklärbar sein, ohne dass das zugrunde liegende Modell vollständig technisch interpretierbar sein muss; und auf Werkzeuge Dritter soll für Funktionen, die Ergebnisse wesentlich beeinflussen, nicht vertraut werden, wenn das Institut diese Vorkehrungen nicht erfüllen kann (Entwurf Rz. 87 bis 95). Quelle: AMLA-Konsultationspapier, Entwurf der Leitlinien, Abschnitt 2.11 "Use of technology" (EN): https://www.amla.europa.eu/policy/public-consultations/consultation-draft-guidelines-ongoing-monitoring-business-relationship_en
• USA. Die Customer-Due-Diligence-Regel (CDD) von FinCEN (31 CFR 1010.230 zur wirtschaftlich berechtigten Person; die laufende Überwachung ist in den AML-Programmvorschriften geregelt, für Banken in 31 CFR 1020.210) verpflichtet erfasste Institute, Art und Zweck der Kundenbeziehungen zu verstehen, laufend zu überwachen, um verdächtige Transaktionen zu erkennen und zu melden, und risikobasiert Kundeninformationen, einschliesslich Angaben zu wirtschaftlich Berechtigten, aktuell zu halten. Nach den FAQ zur CDD-Regel gibt es keine kategorische Pflicht, Kundeninformationen in festen Intervallen zu aktualisieren; die Aktualisierung ist risikobasiert und ergibt sich aus der normalen Überwachung, und periodische Überprüfungen sind für sich genommen kein Anlass, Angaben zu wirtschaftlich Berechtigten einzuholen oder zu aktualisieren (FinCEN CDD Rule FAQs, fincen.gov). Institute können periodische Überprüfungen dennoch risikobasiert wählen. Zur Modell-Governance: Die überarbeitete Modellrisiko-Richtlinie von Fed, FDIC und OCC, SR 26-2 (17. April 2026, ersetzt SR 11-7), hält in Fussnote 3 fest, dass generative und agentische KI-Modelle "not within the scope of this guidance" sind, und sagt zugleich, dass die Risikomanagement- und Governance-Praktiken einer Bankorganisation die Kontrollen für solche Werkzeuge leiten sollen. In der Praxis brauchen US-Banken für Agenten eine eigene dokumentierte Governance.

Worin unterscheidet sich die Automatisierung einer Überprüfung von der Automatisierung einer Entscheidung?

Zum Vergleichen wischen →

Worauf sollte eine Bank bei einem Partner für KYC-Refresh-Agenten achten?

• Menschliche Freigabe als hartes Tor , in der Architektur durchgesetzt und nicht nur in einem Richtliniendokument.
• Quellenverlinkte Ausgabe : Jede Aussage in einer Überprüfung ist auf ein Dokument, einen Systemeintrag oder eine öffentliche Quelle zurückführbar.
• Läuft auf Ihrem Stack : Der Agent nutzt Ihre bestehende KYC-Plattform, Ihren Screening-Anbieter, Ihr CRM und Ihre Dokumentenablage als Eingabe; ein Ersatz dieser Systeme ist nicht nötig.
• Evaluierung vor der Produktion : Testsets aus Ihren eigenen anonymisierten Fällen, mit Kennzahlen, die Sie definieren und akzeptieren, plus Überwachung auf Drift im Betrieb. Die AMLA-Entwurfsleitlinien weisen in dieselbe Richtung (periodische Validierung; Leistungsverlust und Drift).
• Datenschutz und Datenstandort , pro Projekt vereinbart: Umgang mit Kundendaten, Zugriffskontrolle, Hosting, Unterauftragsverarbeiter, abgestimmt auf revDSG/DSGVO und Ihre Outsourcing-Vorgaben.
• Klare Aufteilung der Verantwortung : Der Partner baut und dokumentiert; die Compliance-Verantwortung bleibt bei Ihnen.
• Ehrliche Abgrenzung dessen, was KI nicht tun sollte : keine automatisierten Meldeentscheide, keine eigenständigen Änderungen der Risikoeinstufung.

Wo steht S-PRO?

S-PRO wurde 2014 gegründet, hat 250+ Ingenieure und sitzt an der Löwenstrasse 45, 8001 Zürich, mit R&D-Zentren in Zürich und Łódź. Wir sind nach ISO 27001 und ISO 27701 zertifiziert. S-PRO ist zertifizierter Partner im Claude Partner Network, und unser Team umfasst Claude-zertifizierte Ingenieure und Architekten. Für einen Agenten zur periodischen Überprüfung oder SoW-Prüfung arbeiten wir in Stufen: Ihren KYC-Prozess und Ihre Systeme kartieren, die Kontrollen mit der Compliance festlegen, einen Pilot mit anonymisierten Fällen, Evaluierungen und einem Schritt zur menschlichen Freigabe bauen und ihn mit Monitoring und Audit-Trail in die Produktion führen. Wir bauen den Agenten um Ihre bestehende KYC-Plattform herum und treten nicht in Konkurrenz zu ihr.

So unterstützt S-PRO Sie dabei

Wenn Sie als Bank, Vermögensverwalter oder Fintech in der Schweiz, in Deutschland oder in den USA periodische KYC- und Source-of-Wealth-Überprüfungen durchführen, können wir Ihren Überprüfungsprozess kartieren, die Schritte bestimmen, die ein Agent sicher vorbereiten kann, und einen Pilot mit menschlicher Freigabe und Audit-Trail eingrenzen. Kostenloses Erstgespräch buchen (45 Min.)

Kontakt: S-PRO, Löwenstrasse 45, 8001 Zürich, +41 41 539 15 83.

S-PRO erbringt keine Rechts- oder Regulierungsberatung. Compliance-Entscheidungen bleiben beim Institut.