Oprogramowanie KYC: jak zbudować zgodny z przepisami i szybki proces KYC w 2026 roku?

Szefowa compliance w szybko rosnącej europejskiej firmie płatniczej dostaje w ten sam poniedziałek dwa raporty. Pierwszy przychodzi z działu wzrostu: 40% osób, które zaczynają zakładanie konta, nigdy go nie kończy, a większość odpada na etapie weryfikacji tożsamości. Drugi przychodzi z audytu wewnętrznego: silnik screeningu sankcyjnego wygenerował w ostatnim kwartale tyle alertów, że zespół zamknął część z nich bez rzetelnej analizy. CTO ma trzeci problem: umowa z dostawcą KYC wygasa za pół roku, a zarząd chce wiedzieć, czy nie czas zbudować własny system.

Te trzy problemy są w rzeczywistości jednym. Proces KYC zbyt restrykcyjny traci klientów, zbyt luźny — licencje. Pomiędzy jednym a drugim jest oprogramowanie, a jego architektura decyduje o tym, czy firma może rosnąć bez zatrudniania analityka na każdy kolejny tysiąc klientów.

Lata 2026 i 2027 to szczególnie dobry moment, żeby ten proces przemyśleć od nowa. Unijne rozporządzenie AML stosuje się od 10 lipca 2027 roku, banki muszą akceptować Europejski Portfel Tożsamości Cyfrowej do 24 grudnia 2027 roku, a generatywna AI sprawiła, że podrobione dokumenty i deepfake’owe selfie stały się tanie. Poniżej opisujemy, z czego składa się nowoczesny system KYC, jakie przepisy go kształtują, ile kosztuje jego budowa lub zakup i po jakich wskaźnikach poznać, że działa. Artykuł nie jest poradą prawną — interpretacja obowiązków Twojej instytucji należy do zespołów compliance i prawnego.

Czym jest KYC i czym różni się identyfikacja, CDD i EDD?

KYC (know your customer, „poznaj swojego klienta”) to ogólne określenie wszystkiego, co instytucja finansowa robi, żeby wiedzieć, z kim ma do czynienia i czy relacja jest legalna. W przepisach KYC rozpada się na bardziej precyzyjne obowiązki, a budowane oprogramowanie musi się na nie przekładać.

• Identyfikacja klienta — zebranie danych identyfikacyjnych (imię i nazwisko, data urodzenia, adres, numer dokumentu tożsamości) i ich weryfikacja w wiarygodnych źródłach. W Stanach Zjednoczonych to Customer Identification Program (CIP), wymagany przez sekcję 326 ustawy USA PATRIOT Act.
• Środki należytej staranności (CDD, customer due diligence) — standardowy zestaw działań: identyfikacja i weryfikacja, ustalenie beneficjentów rzeczywistych osób prawnych, ocena celu i charakteru relacji oraz jej bieżące monitorowanie.
• Wzmożone środki należytej staranności (EDD, enhanced due diligence) — surowsze działania wobec klientów wyższego ryzyka: osób zajmujących eksponowane stanowiska polityczne (PEP), klientów powiązanych z państwami trzecimi wysokiego ryzyka, złożonych struktur własnościowych lub nietypowych transakcji. EDD oznacza zwykle dodatkowe dokumenty, weryfikację źródła środków i zgodę kadry kierowniczej wyższego szczebla.
• Uproszczone środki (SDD) — ograniczone działania w sytuacjach wykazanego niskiego ryzyka, dopuszczalne tylko wtedy, gdy uzasadnia je ocena ryzyka.

Dla zespołu tworzącego oprogramowanie najważniejszy wniosek brzmi: KYC to nie jednorazowa kontrola przy zakładaniu konta. To cykl życia: identyfikacja na starcie, klasyfikacja ryzyka, okresowe przeglądy, aktualizacje wywołane zdarzeniami i monitorowanie zachowań. System zaprojektowany wyłącznie pod pierwszy krok staje się wąskim gardłem przy każdym następnym.

KYC to też tylko część szerszego programu przeciwdziałania praniu pieniędzy (AML) i finansowaniu terroryzmu. Monitorowanie transakcji, zgłaszanie podejrzanych działań i zgodność z sankcjami — wszystko to korzysta z danych zebranych w KYC. Jeśli są niekompletne lub niespójne, reszta programu działa na ślepo, co pokażemy na przykładzie jednej z największych kar AML w historii.

Jakie przepisy kształtują systemy KYC w latach 2026–2027?

Otoczenie regulacyjne KYC w Europie zmienia się w tych dwóch latach bardziej niż w poprzedniej dekadzie. Dla projektowania oprogramowania najważniejsze są cztery zestawy przepisów.

Unijny pakiet AML. W 2024 roku UE przyjęła rozporządzenie (UE) 2024/1624 (AMLR) — bezpośrednio stosowany „jednolity zbiór przepisów”, który obowiązuje od 10 lipca 2027 roku. Zastępuje on różniące się implementacje krajowe jednym zestawem wymogów. Towarzysząca mu dyrektywa (UE) 2024/1640 (AMLD6) musi zostać wdrożona do tego samego dnia. Nowy Urząd ds. Przeciwdziałania Praniu Pieniędzy (AMLA) z siedzibą we Frankfurcie rozpoczął działalność 1 lipca 2025 roku, a od 2028 roku będzie bezpośrednio nadzorował ok. 40 dużych instytucji finansowych wysokiego ryzyka w całej UE.

Kilka przepisów AMLR przekłada się wprost na wymagania wobec systemu:

• Cykle przeglądów — dane klienta trzeba aktualizować co najmniej raz w roku w przypadku klientów wysokiego ryzyka i co najmniej raz na pięć lat w przypadku pozostałych. System musi planować przeglądy, a nie czekać, aż klient sam się pojawi.
• Beneficjent rzeczywisty — próg to teraz „25% lub więcej” udziałów lub praw głosu zamiast „więcej niż 25%”. Model danych, który przechowuje własność jako flagę tak/nie, tej zmiany nie przetrwa.
• Limit płatności gotówkowych 10 000 euro w całej UE, przy zachowaniu niższych limitów krajowych tam, gdzie już obowiązują.

Prawo krajowe. W Polsce od 13 lipca 2018 roku obowiązuje ustawa z 1 marca 2018 roku o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Kary administracyjne dla osób prawnych mogą sięgać równowartości 5 mln euro lub 10% obrotu, a jeśli da się ustalić wysokość osiągniętej korzyści — do jej dwukrotności. Do lipca 2027 roku takie ustawy pozostają podstawowym źródłem obowiązków, a później zostaną dostosowane do AMLR.

eIDAS 2.0. Rozporządzenie (UE) 2024/1183 weszło w życie 20 maja 2024 roku. Do 24 grudnia 2026 roku każde państwo członkowskie musi udostępnić co najmniej jeden certyfikowany Europejski Portfel Tożsamości Cyfrowej, a do 24 grudnia 2027 roku regulowane podmioty sektora prywatnego — w tym banki — muszą go akceptować. Dla KYC to zmiana fundamentalna: dane tożsamości mogą trafiać do systemu jako zweryfikowane, podpisane kryptograficznie atrybuty zamiast zdjęcia dokumentu.

Stany Zjednoczone. Reguła FinCEN Customer Due Diligence Rule, wydana 11 maja 2016 roku i obowiązująca od 11 maja 2018 roku, wymaga od objętych nią instytucji identyfikacji i weryfikacji beneficjentów rzeczywistych klientów będących osobami prawnymi — oprócz wymogów CIP. Firmy obsługujące klientów z USA potrzebują modelu danych, który obsłuży oba reżimy.

Piąty akt dotyczy biometrycznej części KYC: unijny AI Act. Załącznik III wymienia zdalną identyfikację biometryczną jako system wysokiego ryzyka, ale wprost wyłącza systemy AI służące weryfikacji biometrycznej, której jedynym celem jest potwierdzenie, że osoba jest tym, za kogo się podaje. Standardowe porównanie selfie ze zdjęciem w dokumencie nie staje się więc automatycznie systemem AI wysokiego ryzyka — ale przetwarzane w nim dane pozostają danymi szczególnej kategorii w rozumieniu RODO.

Jak wygląda architektura nowoczesnego systemu KYC?

Dojrzały system KYC to nie jedna aplikacja, ale zestaw współpracujących komponentów wokół wspólnego profilu klienta. W projektach, które widzimy, najlepiej skaluje się architektura, która oddziela to, co jest sprawdzane, od tego, jak zapada decyzja.

Komponent	Co robi	Typowa realizacja
Front onboardingu	Zbiera dane i dokumenty, prowadzi klienta, obsługuje porzucenia i powroty	Własna aplikacja webowa i mobilna
Orkiestracja i workflow	Decyduje, które kontrole uruchomić, w jakiej kolejności i z jakimi ścieżkami awaryjnymi	Własna usługa lub silnik workflow
Weryfikacja dokumentów	Odczytuje dokument (OCR, strefa MRZ, chip NFC), sprawdza zabezpieczenia	Wyspecjalizowany dostawca
Biometria i detekcja żywotności	Porównuje selfie ze zdjęciem w dokumencie, wykrywa ataki prezentacyjne i injection	Wyspecjalizowany dostawca
Screening sankcji i PEP	Porównuje nazwiska z listami sankcyjnymi, bazami PEP i negatywnych informacji	Dostawca danych plus własne dopasowanie i strojenie
Beneficjenci rzeczywiści	Pobiera dane z rejestrów, buduje graf własności	API rejestrów plus własna logika
Scoring ryzyka	Klasyfikuje klienta (niskie, średnie, wysokie ryzyko) według wyjaśnialnych reguł	Własny silnik reguł
Obsługa spraw	Kolejkuje alerty i ręczne weryfikacje, zapisuje decyzje i uzasadnienia	Własne narzędzie lub dostawcy
Bieżące monitorowanie	Ponownie sprawdza bazę klientów, uruchamia przeglądy po zdarzeniach i terminach	Własny harmonogram plus dane dostawcy
Audyt i magazyn dowodów	Przechowuje niezmienialny zapis każdej kontroli, danych, wersji i decyzji	Własny magazyn typu append-only

Trzy zasady projektowe mają większe znaczenie niż wybór poszczególnych komponentów.

Profil klienta jest jedynym źródłem prawdy. Każda kontrola zapisuje wynik w jednym profilu z czytelną historią. Gdy regulator zapyta, dlaczego trzy lata temu klient został zaklasyfikowany jako niskiego ryzyka, system musi odtworzyć dane, reguły i wersje użyte w tamtym momencie.

Orkiestracja jest konfigurowalna. Różne produkty, kraje i poziomy ryzyka wymagają różnych ścieżek: klient detaliczny niskiego ryzyka może przejść onboarding z weryfikacją dokumentu i żywotności, a spółka o złożonej strukturze potrzebuje sprawdzenia w rejestrze, analizy własności i weryfikacji przez człowieka. Jeśli te ścieżki są zaszyte w kodzie, każda zmiana przepisów staje się projektem programistycznym. Jak pisaliśmy w artykule o BPMN 2.0 w praktyce, jawne zamodelowanie procesu przed jego budową oszczędza tygodnie poprawek.

Dostawców da się wymienić. Weryfikacja dokumentów, biometria i dane do screeningu to usługi, których ceny i jakość się zmieniają. Warstwa abstrakcji między orkiestracją a dostawcami pozwala zmieniać lub łączyć dostawców bez przepisywania procesu — i daje siłę negocjacyjną przy odnawianiu umów.

Jak działa weryfikacja dokumentów, biometria i detekcja żywotności — i gdzie zawodzi?

Weryfikacja tożsamości to etap, na którym większość klientów doświadcza KYC, i ten, na którym dochodzi do większości prób oszustwa. Składa się zwykle z trzech kontroli.

Weryfikacja dokumentu odczytuje dokument tożsamości — przez OCR i strefę odczytu maszynowego (MRZ) albo, coraz częściej, przez chip NFC w paszportach i dowodach osobistych — i sprawdza, czy dokument jest autentyczny: zabezpieczenia, czcionki, układ, spójność danych między polami. Odczyt chipu jest najsilniejszą metodą, bo jego dane są podpisane przez państwo wydające dokument i nie da się ich zmienić bez naruszenia podpisu.

Porównanie twarzy zestawia selfie ze zdjęciem w dokumencie lub w chipie. Detekcja żywotności (liveness) sprawdza, czy selfie pochodzi od żywej osoby przed kamerą, a nie z wydruku, odtworzenia na ekranie, maski czy syntetycznego wideo.

Krajobraz zagrożeń zmienia się tu bardzo szybko. Według raportu Entrust 2025 Identity Fraud Report, opartego na danych z okresu od września 2023 do sierpnia 2024 roku, próba z użyciem deepfake’a następowała co pięć minut, liczba cyfrowych fałszerstw dokumentów wzrosła o 244% rok do roku, a cyfrowe fałszerstwa (57%) po raz pierwszy wyprzedziły fizyczne podróbki. Edycja 2026 pokazuje, że deepfake’i odpowiadają za co piątą próbę oszustwa biometrycznego, liczba deepfake’owych selfie wzrosła w 2025 roku o 58%, a ataki typu injection — o 40% rok do roku.

Ataki injection wymagają szczególnej uwagi już na etapie projektowania. Zamiast trzymać podróbkę przed kamerą, atakujący wstrzykuje zmanipulowany strumień wideo bezpośrednio do aplikacji — przez wirtualną kamerę, emulator lub zmodyfikowaną aplikację. Detekcja żywotności analizująca wyłącznie obraz tego nie wykryje. Obrona wymaga sprawdzania integralności urządzenia i sesji, wykrywania wirtualnych kamer i emulatorów oraz certyfikowanej detekcji ataków prezentacyjnych, testowanej zgodnie z normą ISO/IEC 30107-3.

Praktyczne wnioski dla zespołu:

• Wybieraj chip zamiast zdjęcia wszędzie tam, gdzie dokument i urządzenie pozwalają na odczyt NFC.
• Traktuj detekcję żywotności jako zabezpieczenie, a nie funkcję UX. Proś dostawców o niezależne wyniki testów zarówno dla ataków prezentacyjnych, jak i injection.
• Projektuj ścieżki awaryjne. Część klientów nie przejdzie automatycznych kontroli z uzasadnionych powodów — złe oświetlenie, stary dokument, niepełnosprawność. System potrzebuje ścieżki do ręcznej weryfikacji lub wideoweryfikacji, która nie zmusza ich do zaczynania od nowa.
• Zapisuj wszystko, co potrzebne jako dowód. Przechowuj wynik, poziomy pewności oraz wersje dostawcy i modelu — a surowe dane biometryczne tylko tak długo, jak to niezbędne.

Jak zbudować screening sankcji i PEP, żeby nie utonąć w fałszywych alarmach?

Screening sankcji i PEP porównuje każdego klienta — i jego beneficjentów rzeczywistych — z listami takimi jak skonsolidowana lista sankcyjna UE, amerykańska lista OFAC Specially Designated Nationals, listy ONZ oraz komercyjne bazy osób zajmujących eksponowane stanowiska polityczne i negatywnych informacji medialnych. Wymóg regulacyjny jest prosty. Problem inżynieryjny — nie.

Nazwiska są niejednoznaczne. Ta sama osoba może występować w różnych transliteracjach, z polskimi znakami lub bez nich, z inną kolejnością imion i nazwisk; popularne nazwiska dają trafienia u setek niewinnych ludzi. Silniki screeningu stosują więc dopasowanie przybliżone (fuzzy matching), a ono generuje fałszywe alarmy — alerty, które analitycy muszą przejrzeć i zamknąć. Każdy alert to czas analityka, a ustalenie audytu z naszego wstępu — alerty zamykane bez rzetelnej analizy — to typowy skutek niedostrojonego systemu.

Skuteczne podejście łączy cztery elementy:

1. Lepsze dane wejściowe. Dopasowanie po nazwisku, dacie urodzenia, obywatelstwie i identyfikatorach radykalnie zawęża zbiór kandydatów w porównaniu z dopasowaniem wyłącznie po nazwisku. To decyzja o modelu danych podejmowana przy onboardingu, a nie ustawienie screeningu.
2. Dopasowanie świadome specyfiki nazw. Reguły transliteracji dla cyrylicy, alfabetu arabskiego i pism azjatyckich, obsługa znaków diakrytycznych i kolejności imion, różne progi dla różnych typów list.
3. Strojenie oparte na pomiarze. Progi dopasowania należy zmieniać na podstawie zestawu testowego ze znanymi prawdziwymi i fałszywymi trafieniami, a każdą zmianę dokumentować — regulator zapyta, dlaczego próg jest ustawiony właśnie tak.
4. Uporządkowana obsługa spraw. Analityk potrzebuje obok siebie trafionego rekordu, powodów dopasowania i danych klienta oraz obowiązkowych pól uzasadnienia. Dzięki temu zamknięcie alertu staje się decyzją, którą da się zaudytować.

Screening musi też działać w sposób ciągły, a nie jednorazowo. Listy sankcyjne zmieniają się bez zapowiedzi, a klient, który był czysty przy onboardingu, jutro może zostać objęty sankcjami. System musi ponownie sprawdzać całą bazę klientów po każdej aktualizacji list i kierować nowe trafienia do tego samego procesu obsługi spraw.

Jak scoring ryzyka i bieżące monitorowanie zamieniają KYC w perpetual KYC?

Tradycyjne KYC było okresowe: zidentyfikuj klienta, odłóż dokumenty i wróć do nich za kilka lat. Perpetual KYC (pKYC) zastępuje sztywne cykle ciągłą aktualizacją uruchamianą przez zdarzenia — przy zachowaniu minimalnych terminów przeglądów, których wymagają przepisy.

Rdzeniem tego podejścia jest scoring ryzyka. Każdy klient otrzymuje poziom ryzyka na podstawie czynników takich jak typ klienta, kraj, produkt, kanał dystrybucji, status PEP, struktura własności i deklarowana aktywność. W instytucjach nadzorowanych model scoringowy musi być wyjaśnialny: trzeba umieć pokazać, które czynniki dały dany wynik. Dlatego wiele instytucji stosuje przejrzyste reguły lub karty punktowe, czasem uzupełnione modelami uczenia maszynowego dla wybranych sygnałów, a nie wynik z czarnej skrzynki.

Scoring ryzyka steruje resztą procesu:

• Cyklem przeglądów — zgodnie z AMLR co najmniej raz w roku dla klientów wysokiego ryzyka i co najmniej raz na pięć lat dla pozostałych.
• Przeglądami wywołanymi zdarzeniami — zmiana adresu lub struktury własności, nowe trafienie na liście sankcyjnej, negatywne informacje w mediach, aktywność niezgodna z deklarowanym profilem.
• Poziomem kontroli — tym, które transakcje generują alerty i które produkty są dostępne.

Koszt zaniedbania bieżącego monitorowania stał się widoczny w październiku 2024 roku. TD Bank przyznał się w Stanach Zjednoczonych do naruszenia ustawy Bank Secrecy Act i zmowy w celu prania pieniędzy, zgadzając się zapłacić łącznie ok. 3,09 mld dolarów kar na rzecz Departamentu Sprawiedliwości, Rezerwy Federalnej, OCC i FinCEN. W porozumieniu wskazano, że bank co najmniej od 2014 do 2022 roku nie aktualizował w istotny sposób programu monitorowania transakcji i nie monitorował transakcji o wartości bilionów dolarów. OCC nałożył też limit aktywów. Technologia nie była jedyną przyczyną, ale system monitorowania nieaktualizowany latami był w centrum problemu.

Zbudować czy kupić: kiedy opłaca się własne oprogramowanie KYC?

Decyzja „zbudować czy kupić” w KYC rzadko jest zero-jedynkowa. Weryfikacji dokumentów ani detekcji żywotności prawie nikt nie powinien budować od zera — to wymaga wyspecjalizowanych zespołów uczenia maszynowego, dużych zbiorów danych treningowych i testów certyfikacyjnych. Prawdziwe pytanie brzmi: jak dużą część reszty chcesz mieć na własność — orkiestrację, scoring ryzyka, obsługę spraw, monitorowanie i ślad audytowy.

Żeby kompromis był konkretny, zamodelowaliśmy dwa warianty dla fintechu, który przyjmuje 10 000 nowych klientów miesięcznie (120 000 rocznie), przy bazie aktywnych klientów rosnącej średnio od 60 000 w pierwszym roku do 300 000 w trzecim. Ceny dostawców to założenia przyjęte dla ilustracji — podstaw w ich miejsce ceny z otrzymanych ofert. Stawki zespołu to środki przedziałów z naszego benchmarku stawek body leasingu na 2026 rok (np. 220 zł za godzinę dla seniora backendu), przy 145 fakturowanych godzinach na osobomiesiąc i kursie 4,30 zł za euro.

• Wariant A — zakup platformy KYC. Założenia: 2,50 euro za onboarding (dokument, żywotność, screening), 0,30 euro za klienta rocznie za bieżące monitorowanie i 30 000 euro rocznej opłaty za platformę. Integracja przez dwóch programistów backendu, inżyniera QA i ćwierć etatu architekta przez trzy miesiące; później pół etatu backendu i ćwierć etatu QA do utrzymania.
• Wariant B — budowa rdzenia, zakup komponentów. Założenia: 1,50 euro za weryfikację dokumentu i żywotności, 0,05 euro za screening i 40 000 euro rocznej subskrypcji danych do screeningu. Dziewięć miesięcy budowy przez zespół: trzech programistów backendu, programista frontendu, inżynier QA, inżynier DevOps, analityk compliance, pół etatu architekta i pół etatu data scientista; później zespół utrzymaniowy liczący 2,5 etatu.

Koszt w trzy lata (zł)	Wariant A: zakup platformy	Wariant B: budowa rdzenia
Budowa lub integracja	298 375	2 298 030
Rok 1 łącznie	2 057 345	4 189 790
Rok 2 łącznie	1 913 770	1 917 560
Rok 3 łącznie	2 068 570	1 943 360
Razem w trzy lata	6 039 685	8 050 710
Koszt jednego onboardingu w trzy lata	16,78	22,36

Przy tej skali zakup jest tańszy o ok. 2 mln zł w trzy lata. Już w trzecim roku roczny koszt wariantu B jest jednak niższy, bo opłaty dostawcy w wariancie A rosną razem z bazą klientów. Przy proporcjonalnym skalowaniu obu wariantów zrównują się one przy ok. 20 000 onboardingów miesięcznie. Poniżej tego progu platforma zwykle wygrywa kosztowo, powyżej — posiadanie własnego rdzenia zaczyna się opłacać.

Koszt nie jest jedynym kryterium. Budowa rdzenia ma sens, gdy KYC jest przewagą konkurencyjną (np. szybkość onboardingu na zatłoczonym rynku), gdy działasz w wielu jurysdykcjach o różnych przepisach, gdy potrzebujesz pełnej kontroli nad dowodami audytowymi albo gdy uzależnienie od dostawcy jest ryzykiem strategicznym. Zakup ma sens, gdy kluczowy jest czas wejścia na rynek, zespół nie ma doświadczenia w inżynierii compliance lub wolumeny są niewielkie. Ogólne ramy takiej decyzji opisaliśmy w przewodniku kupić czy zbudować oprogramowanie.

Po jakich wskaźnikach poznać, że proces KYC działa?

Proces KYC ma dwóch klientów: osobę zakładającą konto i regulatora. Wskaźniki muszą obejmować oba, bo inaczej optymalizacja jednej strony po cichu szkodzi drugiej.

Konwersja i doświadczenie klienta:

• Odsetek ukończonych onboardingów — udział rozpoczętych wniosków, które zostały dokończone. Badanie Signicat „Battle to Onboard”, przeprowadzone na 7600 konsumentach w Europie, w tym w Polsce, wykazało, że 68% z nich porzuciło kiedyś wniosek o usługę finansową, wobec 63% w 2020 roku. Główne powody to czas wypełniania, ilość wymaganych danych osobowych i zmiana zdania (po 21%).
• Czas onboardingu — mediana i 90. percentyl, od pierwszego ekranu do aktywnego konta.
• Odsetek obsłużonych automatycznie — udział klientów przyjętych bez ręcznej weryfikacji.
• Porzucenia na poszczególnych krokach — który ekran lub która kontrola traci najwięcej klientów.

Ryzyko i zgodność:

• Odsetek fałszywych alarmów w screeningu — udział alertów zamkniętych jako nieistotne, mierzony dla każdej listy i reguły.
• Czas obsługi alertów i zaległości — jak długo alerty czekają i ile z nich przekracza wewnętrzne terminy.
• Terminowość przeglądów — odsetek klientów z przeterminowanym przeglądem okresowym.
• Wykryte i przeoczone oszustwa — potwierdzone oszustwa wykryte przy onboardingu wobec wykrytych później.
• Ustalenia audytowe — liczba i waga ustaleń dotyczących KYC.

Wartość poprawy konwersji łatwo oszacować. Jeśli 10 000 osób miesięcznie rozpoczyna wniosek, a odsetek ukończonych rośnie z 60% do 65%, to 500 klientów więcej co miesiąc bez dodatkowych wydatków marketingowych — pod warunkiem, że te same zmiany nie zwiększą strat na oszustwach ani zaległości w weryfikacjach.

Jak chronić dane osobowe i spełnić wymogi RODO w systemie KYC?

System KYC przetwarza jedne z najbardziej wrażliwych danych w firmie: dokumenty tożsamości, wzorce biometryczne, adresy, czasem informacje o statusie PEP lub źródle środków. Przepisy AML wymagają, żeby instytucja je zbierała i przechowywała, a RODO — żeby je minimalizowała i chroniła. Architektura musi pogodzić oba wymogi.

Dane biometryczne wykorzystywane do jednoznacznej identyfikacji osoby to dane szczególnej kategorii w rozumieniu art. 9 RODO. Ich przetwarzanie wymaga podstawy prawnej, a ocena skutków dla ochrony danych (DPIA) jest w praktyce nieunikniona w systemie łączącym masową weryfikację tożsamości z biometrią. W praktyce oznacza to:

• Osobne zasady retencji dla różnych typów danych. Przepisy AML wymagają przechowywania dokumentacji przez określony czas po zakończeniu relacji, ale surowe nagrania i zdjęcia selfie wykorzystywane tylko do sprawdzenia żywotności zwykle nie muszą być przechowywane tak długo. Przechowuj wynik i dowód, a surowy materiał usuwaj, gdy cel zostanie osiągnięty.
• Szyfrowanie i segmentację. Dokumenty tożsamości i dane biometryczne powinny trafiać do osobnego, szyfrowanego magazynu z wąskim dostępem i pełnym logowaniem dostępu.
• Kontrolę przepływu danych do dostawców. Sprawdź, gdzie dostawcy przetwarzają dane, czy wykorzystują je do trenowania swoich modeli i co dzieje się z nimi po zakończeniu umowy.
• Obsługę praw osób, których dane dotyczą. System musi umieć pokazać klientowi, jakie dane przechowuje i dlaczego, z zachowaniem ograniczeń AML dotyczących ujawniania podejrzeń.

Bezpieczeństwo samego systemu KYC jest częścią zgodności. Baza danych tożsamości to atrakcyjny cel ataku, więc praktyki opisane w artykule o DevSecOps w 2026 roku — modelowanie zagrożeń, skanowanie zależności, zarządzanie sekretami, testy penetracyjne — mają tu szczególne znaczenie.

Co Europejski Portfel Tożsamości Cyfrowej zmieni w onboardingu od 2027 roku?

Europejski Portfel Tożsamości Cyfrowej może zmienić KYC bardziej niż jakakolwiek technologia od czasu wideoweryfikacji. Zamiast fotografować dokument i udowadniać, że jest żywą osobą, klient będzie mógł udostępnić zweryfikowane atrybuty tożsamości — imię i nazwisko, datę urodzenia, obywatelstwo, adres — wydane przez państwo i podpisane kryptograficznie.

Dla systemów KYC ma to trzy konsekwencje.

Nowy kanał onboardingu, a nie zastępstwo. Od 24 grudnia 2027 roku banki i inne podmioty regulowane muszą akceptować portfel, ale nie każdy klient będzie go miał, a klienci spoza UE nadal będą potrzebowali weryfikacji opartej na dokumentach. System musi obsługiwać obie ścieżki i traktować portfel jako jedną z kilku metod identyfikacji w warstwie orkiestracji.

Wyższy poziom pewności, mniejsze ryzyko fałszerstw. Podpisanych atrybutów nie da się edytować jak zdjęcia dokumentu, co ogranicza ekspozycję na cyfrowe fałszerstwa i deepfake’i na etapie identyfikacji. Ryzyko przesuwa się w inne miejsca: przejęcia kont, socjotechnikę i nadużycia prawdziwych tożsamości.

Prace integracyjne, które trzeba zacząć teraz. Akceptacja portfela wymaga obsługi standardów technicznych określonych w aktach wykonawczych przyjmowanych od listopada 2024 roku, rejestracji jako strona ufająca oraz zmian w przepływach zgód i przetwarzania danych. Instytucje, które zaczną w 2027 roku, będą wdrażać pod presją terminu.

Europejski kontekst jest szerszy niż sam portfel: open banking i regulacje cyfrowych finansów przebudowują cały sektor, o czym piszemy w artykule o transformacji cyfrowej sektora finansowego.

Jakiego zespołu potrzeba do budowy i utrzymania platformy KYC?

Platforma KYC leży na styku inżynierii oprogramowania, bezpieczeństwa, danych i regulacji. Zespoły, które traktują ją jak standardowy projekt webowy, zwykle odkrywają brakujące kompetencje podczas pierwszego audytu.

Typowy zespół budujący rdzeń (wariant B powyżej) obejmuje:

• Programistów backendu z doświadczeniem w systemach workflow, integracjach i spójności danych — orkiestracja i ślad audytowy są tak niezawodne, jak ich projekt.
• Programistę frontendu lub aplikacji mobilnych, skupionego na ścieżce onboardingu, bo to tam wygrywa się lub przegrywa konwersję.
• Analityka compliance, który przekłada przepisy i wewnętrzne polityki na reguły, czynniki ryzyka i przypadki testowe. Tej roli brakuje najczęściej, a jej brak widać w regułach, których nikt nie potrafi wyjaśnić.
• Inżyniera QA z umiejętnością automatyzacji testów, pracującego na realistycznych danych testowych: nietypowych nazwiskach, dokumentach z wielu krajów, strukturach własnościowych.
• Inżyniera DevOps, odpowiedzialnego za środowiska, monitoring, sekrety i możliwość szybkiego i bezpiecznego wdrażania zmian regulacyjnych.
• Architekta — często wystarczy część etatu — odpowiedzialnego za abstrakcję dostawców, model danych i bezpieczeństwo.
• Data scientista — również na część etatu — do kalibracji scoringu ryzyka i progów screeningu oraz pomiaru ich efektu.

Takie profile są trudno dostępne, zwłaszcza osoby łączące inżynierię z doświadczeniem w AML. Dlatego wiele instytucji łączy niewielki wewnętrzny zespół, który jest właścicielem reguł i relacji z regulatorem, ze specjalistami zewnętrznymi angażowanymi na etap budowy i na okresy spiętrzenia zmian regulacyjnych. Jak to działa w bankowości i fintechu, opisujemy w haśle słownika o body leasingu w sektorze finansowym.

Jak zaplanować rozwój systemu KYC przed 2027 rokiem?

AMLR stosuje się od lipca 2027 roku, a portfel trzeba akceptować do grudnia 2027 roku, więc najbliższe 12–18 miesięcy to okno na zmiany planowane, a nie projekty ratunkowe. Poniższy model dojrzałości pomaga ocenić, gdzie jest dziś Twój system KYC i jaki powinien być następny krok:

Obszar	Poziom 1: ręczny	Poziom 2: zautomatyzowany	Poziom 3: orkiestrowany	Poziom 4: ciągły
Weryfikacja tożsamości	Zdjęcia dokumentów sprawdzane przez pracowników	Weryfikacja dokumentu i żywotności u dostawcy	Kilka metod (chip, wideo, portfel) dobieranych według ryzyka	Gotowość na portfel, ochrona przed injection, mierzony poziom oszustw
Screening	Ręczne sprawdzanie list	Automatyczny screening przy onboardingu	Dostrojone dopasowanie, uporządkowana obsługa spraw	Ciągły screening całej bazy, mierzony odsetek fałszywych alarmów
Scoring ryzyka	Indywidualna ocena	Statyczne reguły	Konfigurowalny, wyjaśnialny model z wersjonowaniem	Aktualizacja wyniku po zdarzeniach
Przeglądy	Doraźne	Stałe cykle w arkuszu	Planowane w systemie według poziomu ryzyka	Wywoływane zdarzeniami plus minimalne cykle AMLR
Beneficjenci rzeczywiści	Tylko oświadczenia	Sprawdzenie w rejestrze	Graf własności z logiką „25% lub więcej”	Monitorowanie zmian
Ślad audytowy	Dokumenty w folderach	Logi w poszczególnych narzędziach	Centralny, niezmienialny magazyn dowodów	Odtwarzalne decyzje z wersjami reguł i modeli
Dostawcy	Jeden, zaszyty w kodzie	Jeden, przez API	Warstwa abstrakcji, wymienialny	Kilku łączonych według kosztu i jakości
Wskaźniki	Brak	Wolumen i zaległości	Konwersja, fałszywe alarmy, czas obsługi	Zbalansowany panel konwersji i ryzyka

Najważniejsze wnioski:

1. KYC to cykl życia, a nie kontrola. Projektuj od początku pod przeglądy, zdarzenia i monitorowanie, a nie tylko pod onboarding.
2. AMLR od lipca 2027 roku stawia konkretne wymagania wobec systemów — cykle przeglądów, próg „25% lub więcej” dla beneficjentów i jednolite przepisy w całej UE.
3. Deepfake’i i ataki injection czynią z detekcji żywotności zabezpieczenie. Testuj dostawców pod kątem obu typów ataków i tam, gdzie to możliwe, stosuj odczyt chipu.
4. Kupuj komponenty, zachowaj decyzje. Weryfikacja dokumentów i biometria to usługi standardowe; orkiestracja, reguły ryzyka i ślad audytowy to miejsca, gdzie kontrola ma znaczenie.
5. Wybór między budową a zakupem zależy od skali. W naszym przykładzie platforma jest tańsza przy 10 000 onboardingów miesięcznie, a warianty zrównują się przy ok. 20 000.
6. Mierz obie strony. Odsetek ukończonych onboardingów i ich czas trzeba śledzić razem z fałszywymi alarmami, zaległościami i oszustwami.

W ARDURA Consulting od ponad 10 lat budujemy oprogramowanie i zespoły IT dla klientów w Polsce, Europie, na Bliskim Wschodzie i w USA, w tym dla banków i fintechów. Pomagamy projektować architekturę KYC, dostarczamy specjalistów backendu, QA, DevOps i danych na etap budowy oraz wzmacniamy wewnętrzne zespoły przed terminami regulacyjnymi — w ramach specjalistów IT dla fintechu i software developmentu.

Jeśli planujesz zmiany w systemie KYC przed terminami AMLR i Europejskiego Portfela Tożsamości Cyfrowej, porozmawiaj z naszym zespołem. Ocenimy obecną architekturę względem powyższego modelu dojrzałości i oszacujemy, czego wymaga przejście na kolejny poziom.