KI bei der Geldwäschebekämpfung und Transaktionsüberwachung

Kurze Antwort: KI zur Geldwäschebekämpfung (AML) und Transaktionsüberwachung kommt in Anhang III der KI-Verordnung nicht vor und ist daher in der Regel kein Hochrisiko. Der Schwerpunkt liegt beim EU-Geldwäschepaket und bei der DSGVO. Dennoch ist dies kein freier Raum: Die Aufsichtspflichten nach dem AML-Recht sind streng, und Bias beim Melden verdächtiger Transaktionen kann Kunden zu Unrecht treffen.

Kein Anhang III, aber stark reguliert

Die KI-Verordnung führt keine AML- oder Transaktionsüberwachungssysteme als Hochrisiko auf. Das bedeutet nicht, dass sie unreguliert sind: Die gesetzliche Pflicht, Geldwäsche aufzudecken und zu melden, ergibt sich aus dem AML-Recht selbst. KI ist hier das Mittel, nicht die Grundlage. Die allgemeinen Bestimmungen der KI-Verordnung (etwa Transparenz und die Vorschriften für KI mit allgemeinem Verwendungszweck) gelten weiter.

Das EU-Geldwäschepaket

Das 2024 verabschiedete EU-Geldwäschepaket bündelt die Vorschriften unter anderem in einer unmittelbar geltenden Geldwäscheverordnung und richtet eine europäische Aufsichtsbehörde ein, die AMLA. Kernanforderungen, die die KI-Überwachung berühren:

• Kundensorgfaltspflichten und fortlaufende Überwachung: Verpflichtete müssen Transaktionen weiterhin auf ungewöhnliche Muster verfolgen.
• Meldung verdächtiger Transaktionen: Ein Signal des Systems muss zu einer menschlichen Bewertung und gegebenenfalls zu einer Meldung an die zentrale Meldestelle (FIU) führen.
• Risikobasierter Ansatz: Der Mitteleinsatz muss im Verhältnis zum Geldwäscherisiko stehen.

KI hilft beim skalierbaren Erkennen, aber die rechtliche Verantwortung für die Meldung und die Bewertung verbleibt bei der Verpflichteten.

Überschneidung mit der Betrugsausnahme und der DSGVO

Die AML-Überwachung grenzt an die Betrugserkennung. Soweit ein System Finanzbetrug aufdeckt, fällt es unter die Ausnahme der KI-Betrugserkennung und nicht unter die Kredit-Hochrisikokategorie. Die AML-Überwachung selbst steht ohnehin nicht in Anhang III. In beiden Fällen ist die DSGVO vollständig anwendbar: Rechtsgrundlage, Zweckbindung und Transparenz, mit der Anmerkung, dass AML-Meldepflichten eine eigene gesetzliche Grundlage bieten. Läuft ein automatisiertes Signal auf eine einschneidende Entscheidung hinaus (etwa eine Sperrung), greift Art. 22 DSGVO und es ist menschliches Eingreifen erforderlich.

Was zu tun ist

• Halten Sie den Menschen in der Schleife: Lassen Sie jedes KI-Signal durch einen Analysten bewerten, bevor eine Meldung oder Maßnahme erfolgt.
• Beherrschen Sie False Positives und Bias: Überwachen Sie, ob bestimmte Gruppen unverhältnismäßig oft markiert werden.
• Sichern Sie den DSGVO-Weg: Halten Sie Rechtsgrundlage, Speicherfristen und Betroffenenrechte fest, mit Blick auf Art. 22.
• Dokumentieren Sie Modellentscheidungen: Machen Sie die Erkennungslogik für die AMLA und die nationalen Aufsichtsbehörden erklärbar.
• Verbinden Sie dies mit Ihrem KI-Governance-Rahmenwerk und überwachen Sie die Datenqualität fortlaufend.

AML-KI ist keine Hochrisiko-KI nach der KI-Verordnung, steht aber unter einem strengen eigenen Regime. Der Mensch entscheidet über die Meldung; das Modell liefert das Signal.