AI bij witwasbestrijding en transactiemonitoring

Kort antwoord: AI voor witwasbestrijding (AML) en transactiemonitoring komt niet voor in bijlage III van de AI Act en is daarom in de regel niet hoog-risico. Het zwaartepunt ligt bij het EU-AML-pakket en bij de AVG. Toch is dit geen vrije ruimte: de toezichtsverplichtingen onder AML zijn streng, en bias bij het signaleren van verdachte transacties kan klanten onterecht raken.

Geen bijlage III, wel zwaar gereguleerd

De AI Act lijst geen AML- of transactiemonitoringsystemen op als hoog-risico. Dat betekent niet dat ze ongereguleerd zijn: de wettelijke plicht om witwassen te detecteren en te melden komt uit het AML-recht zelf. AI is hier het middel, niet de grondslag. De algemene AI Act-bepalingen (zoals transparantie en de regels voor algemene-doel-AI) blijven gelden.

Het EU-AML-pakket

Het in 2024 aangenomen EU-AML-pakket bundelt de regels in onder meer een rechtstreeks werkende AML-verordening en richt een Europese toezichthouder op, de AMLA. Kerneisen die AI-monitoring raken:

• Cliëntenonderzoek en doorlopende monitoring: instellingen moeten transacties blijven volgen op ongebruikelijke patronen.
• Melden van verdachte transacties: een signaal van het systeem moet leiden tot menselijke beoordeling en zo nodig een melding bij de FIU.
• Risicogebaseerde aanpak: de inzet van middelen moet proportioneel zijn aan het witwasrisico.

AI helpt bij het schaalbaar signaleren, maar de juridische verantwoordelijkheid voor de melding en de beoordeling blijft bij de instelling.

Overlap met de fraude-uitzondering en de AVG

AML-monitoring grenst aan fraudedetectie. Voor zover een systeem financiële fraude opspoort, valt het onder de uitzondering van AI-fraudedetectie en niet onder de krediet-hoogrisicocategorie. AML-monitoring zelf staat sowieso niet in bijlage III. In beide gevallen is de AVG volledig van toepassing: grondslag, doelbinding en transparantie, met de aantekening dat AML-meldplichten een eigen wettelijke grondslag bieden. Komt een geautomatiseerd signaal neer op een ingrijpend besluit (bijvoorbeeld bevriezing), dan speelt AVG-artikel 22 en is menselijke tussenkomst vereist.

Wat te doen

• Houd de mens in de lus: laat elk AI-signaal door een analist beoordelen vóór een melding of maatregel.
• Beheers false positives en bias: monitor of bepaalde groepen onevenredig vaak worden gevlagd.
• Borg de AVG-route: leg grondslag, bewaartermijnen en betrokkenenrechten vast, met aandacht voor artikel 22.
• Documenteer modelkeuzes: maak detectielogica uitlegbaar voor AMLA en nationale toezichthouders.
• Sluit aan op je AI-governanceraamwerk en bewaak datakwaliteit doorlopend.

AML-AI is geen hoog-risico-AI onder de AI Act, maar staat onder een streng eigen regime. De mens beslist over de melding; het model levert het signaal.