KYA, KYC, KYB: Warum Agenten eine eigene Prüfung brauchen

Das Wichtigste in Kürze

KYC prüft Personen, KYB Unternehmen, KYA die einzelne Handlung eines KI-Agenten.
Der entscheidende Unterschied ist der Zeitpunkt: KYA prüft bei jeder Handlung, nicht nur beim Onboarding.
Die Prüfungen bauen aufeinander auf: Identität einmal, Befugnis bei jeder Handlung.
Staatliche Identitäten wie die E-ID stärken die Identität, ersetzen aber keine Prüfung der Befugnis.

Drei Prüfungen, drei Gegenstände

KYC identifiziert eine natürliche Person, KYB ein Unternehmen und die Personen dahinter. Beide Prüfungen haben ein Ergebnis, das eine Weile hält: Eine identifizierte Person bleibt identifiziert, bis sich etwas Wesentliches ändert.

Ein KI-Agent ist weder Person noch Unternehmen. Er ist Software, die im Auftrag handelt, und er handelt oft hundertfach am Tag. Für ihn ist nicht die Identität die schwierige Frage, sondern die Befugnis im Einzelfall.

Der Zeitpunkt ist der Unterschied

Ein Agent, der gestern korrekt eingerichtet wurde, kann heute eine Zahlung auslösen, die sein Mandat überschreitet, deren Gegenpartei nicht vorgesehen war oder deren Mandat inzwischen widerrufen ist. Eine einmalige Prüfung erkennt nichts davon. KYA findet deshalb bei jeder Handlung statt und beurteilt die Gültigkeit zum Moment der Ausführung.

Wie die drei zusammenspielen

KYC oder KYB identifiziert den Auftraggeber.
Das Mandat verbindet den Auftraggeber mit einem bestimmten Agenten und legt den Umfang fest.
KYA prüft bei jeder Handlung, ob sie im Mandat liegt, und erzeugt einen Beleg.

Fehlt der erste Schritt, ist unklar, wem eine Handlung zuzurechnen ist. Fehlt der zweite, gibt es nichts zu prüfen. Fehlt der dritte, bleibt jede Handlung eine Behauptung.

Was ein KYA-Ergebnis aussagt

Das Ergebnis ist kein «bekannt» oder «unbekannt», sondern eines von drei Urteilen: gültig, unbestimmt oder ungültig. Dazu kommt eine Stufe von A0 bis A4, die zeigt, wie weit der Nachweis trägt. Ein Agent kann einwandfrei identifiziert sein und trotzdem eine ungültige Handlung ausführen – genau diesen Fall soll KYA sichtbar machen.

Was das für Betreiber heisst

Wer Agenten einsetzt, braucht zwei Dinge: einen Prüfpunkt vor der Ausführung, der fail-closed entscheidet, und Belege, die sich ohne Zugang zu den eigenen Systemen prüfen lassen. Den ersten Teil liefert eine Implementierung wie Mandact, den zweiten jeder offene Prüfpunkt. Einen Nachweis prüfen

Was KYA mit KYC gemeinsam hat

Trotz der Unterschiede teilen die Prüfungen ein Prinzip: Vertrauen entsteht nicht durch Behauptung, sondern durch Nachweis. Bei KYC ist das ein Ausweisdokument oder eine elektronische Identität, bei KYB ein Handelsregisterauszug, bei KYA ein signiertes Mandat mit Entscheid und Beleg.

Gemeinsam ist auch die Rolle der Prüfstelle. Sie legt fest, welchen Ausstellern sie vertraut, wie aktuell Informationen sein müssen und welches Ergebnis für welche Handlung genügt. KYA übernimmt dieses Denken und überträgt es auf die einzelne Handlung eines Agenten.

Wie die drei Prüfungen zusammenspielen

In der Praxis bauen die Prüfungen aufeinander auf. KYC oder KYB stellt fest, wer der Auftraggeber ist. Das Mandat bindet einen Agenten an diesen Auftraggeber und legt den Rahmen fest. KYA prüft bei jeder Handlung, ob sie in diesem Rahmen lag.

Eine Bank kann so etwa ihre bestehende Kundenidentifikation weiter nutzen und zusätzlich verlangen, dass Zahlungen von Agenten mit einem Mandat und einem Entscheid belegt sind. Die Identität wird einmal geprüft, die Befugnis bei jeder Zahlung.

Die Rolle staatlicher Identitäten

Mit der Schweizer E-ID und der europäischen EUDI-Wallet entstehen staatlich herausgegebene digitale Identitäten mit selektiver Offenlegung. Sie verbessern die Seite der Identität: Wer ein Mandat ausstellt, kann sich mit einem starken Nachweis ausweisen, ohne mehr Angaben als nötig preiszugeben.

An der Frage der Befugnis ändern sie nichts. Auch eine perfekt identifizierte Person kann ihrem Agenten einen zu weiten Rahmen geben, und auch ein korrekt identifizierter Agent kann ausserhalb seines Rahmens handeln. Darum braucht es KYA zusätzlich zu KYC.

Ein Beispiel aus dem Zahlungsverkehr

Eine Kundin eröffnet ein Konto und durchläuft die übliche Identifikation. Monate später beauftragt sie einen Agenten, wiederkehrende Rechnungen bis 300 Franken an bekannte Empfänger zu bezahlen. Die Bank kennt die Kundin bereits; KYC muss nicht wiederholt werden. Neu ist die Frage bei jeder Zahlung: Liegt sie im Mandat? KYA beantwortet genau diese Frage, Zahlung für Zahlung, mit einem Nachweis, den Bank und Kundin gleichermassen prüfen können.

Häufige Fragen

Ersetzt KYA die Kundenidentifikation nach KYC?

Nein. KYC stellt fest, wer der Auftraggeber ist. KYA baut darauf auf und prüft bei jeder Handlung des Agenten, ob sie im erteilten Rahmen lag.

Was ist der wichtigste Unterschied zwischen KYC und KYA?

Der Zeitpunkt. KYC findet beim Onboarding statt und gilt eine Weile. KYA findet bei jeder einzelnen Handlung statt, weil sich die Befugnis von Handlung zu Handlung unterscheiden kann.

Braucht jeder Agent ein eigenes KYC?

Ein Agent ist keine Person und braucht kein KYC im klassischen Sinn. Identifiziert werden der Auftraggeber und der Betreiber; der Agent selbst wird über Schlüssel und Mandat gebunden.

Was ist Know Your Business?

Know Your Business (KYB) ist die Prüfung eines Unternehmens und der Personen dahinter, etwa über Handelsregister und wirtschaftlich Berechtigte. Für Agenten von Unternehmen ist KYB die Grundlage, auf der Mandate ausgestellt werden.

Quellen

E-ID: offizielle Informationen des Bundes: https://www.eid.admin.ch/de
SD-JWT VC (IETF): https://datatracker.ietf.org/doc/draft-ietf-oauth-sd-jwt-vc/