Conceptul KYA: Cum pot infrastructurile eIDAS să asigure securitatea agenților IA autonomi

Introducere și situația actuală: Evoluția proceselor de încredere

În centrul spațiilor de tranzacționare digitale se află, în mod tradițional, verificarea fără echivoc a identităților. Cadrul de reglementare pentru KYC (Know Your Customer) și KYB (Know Your Business) a impus, în ultimii ani, o evoluție inevitabilă a procedurilor de verificare. În timp ce procedura VideoIdent, care necesită resurse considerabile, trebuie considerată un model operațional în curs de eliminare din cauza lipsei de scalabilitate, pe piață apar din ce în ce mai multe soluții AutoIdent de ultimă generație. În același timp, economia europeană așteaptă cu interes impactul portofelelor EUDI în conformitate cu eIDAS 2.

Aceste procese de încredere, care până acum erau liniare, sunt în prezent transformate de integrarea profundă a inteligenței artificiale la nivel structural. Cu ajutorul sistemelor bazate pe modele lingvistice mari (LLM) performante, se pot orchestra acum în mod autonom parcursuri complete ale utilizatorilor. Acest lucru se întinde de la colectarea inițială a datelor până la pregătirea unor fluxuri de lucru extrem de sensibile, precum deschiderea conturilor sau inițierea tranzacțiilor online asincrone. În aceste scenarii, mașina acționează ca un intermediar delegat, care pre-structurează datele tranzacției și le pregătește pentru finalizarea definitivă.

Noțiunea de KYA: o punte între automatizarea bazată pe IA și conformitatea cu eIDAS

Din această dinamică tehnologică se derivă conceptul „KYA” (Know Your Agent). Dintr-o perspectivă lingvistică pur superficială, termenul pare la prima vedere ambivalent: în timp ce KYC formulează cu precizie obligația reglementară de a identifica interlocutorul (clientul), KYA implică, în sensul literal al cuvântului, necesitatea de a valida propriul agent utilizat. În plus, în practică apare riscul de confuzie în spațiul consacrat al identității digitale, unde verificatorii umani – de exemplu, în cazul verificării manuale a rezultatelor AutoIdent – sunt denumiți, de asemenea, în mod tradițional în cadrul sectorului, „agenți”.

Cu toate acestea, dacă KYA este înțeles ca un cadru structural pentru comerțul agentic și serviciile bancare agentice aflate în plină dezvoltare, conceptul își dezvăluie adevărata relevanță orientată spre viitor. Nu este vorba aici de intenția paradoxală de a atribui boturilor software o personalitate juridică autonomă, independentă de om.

Mai mult, KYA descrie arhitectura tehnologică care garantează că, în orice moment al unui lanț de tranzacții automatizat, un „Human in the Loop” verificat poartă responsabilitatea finală. KYA acoperă astfel lacuna critică dintre pregătirea autonomă efectuată de mașini și autorizarea umană conformă cu legislația.

Cum poate funcționa KYA din punct de vedere tehnic: mecanismul delegării criptografice

Teza centrală a arhitecturii este că acțiunile agenților IA trebuie orchestrate în straturi de infrastructură izolate, iar datele de telemetrie precise trebuie transmise către puncte finale dedicate. Înainte ca o acțiune pregătită de bot – cum ar fi declanșarea unei plăți B2B sau transmiterea datelor critice pentru afaceri – să fie executată definitiv, trebuie să intervină mecanisme de securitate criptografice, cu implicarea „creatorului” agentului.

Concret, aceasta înseamnă că acțiunea agentului IA este semnată criptografic, iar această semnătură este legată indisolubil de identitatea securizată a unei persoane fizice prin intermediul unor chei discrete de sesiune. Pentru a integra această componentă de identitate umană în fluxul de lucru într-un mod protejat împotriva manipulării, sistemele moderne se bazează pe o structură duală. Pe lângă viitorul portofel EUDI eIDAS 2.0, procedurile AutoIdent extrem de avansate joacă un rol cheie

Prin combinarea recunoașterii biometrice în timp real a prezenței utilizatorului uman cu o autentificare ulterioară bazată pe token față de agentul de IA, se asigură faptul că mașina nu acționează în vid, ci ca un împuternicit legitim, autorizat criptografic.

Pregătită în mod optim pentru procese KYA simplificate: portofelul EUDI

Datorită arhitecturii unice a portofelului EUDI, această tehnologie va deveni unul dintre cele mai importante puncte de referință în era IA. În contextul KYA, portofelul EUDI va reuși într-un mod deosebit de elegant să stabilească o legătură juridică sigură între un agent care acționează în numele altuia și o persoană fizică. În primul rând, agentul se autentifică la bancă prezentând un mandat specific de reprezentare (Atestare de reprezentare) sau un certificat electronic calificat de atribute (QEAA), prin care banca recunoaște agentul și îi poate valida legătura asigurată criptografic cu persoana fizică prin intermediul acestui certificat. Pentru a finaliza tranzacția în ultima etapă, banca trimite o solicitare de semnătură către portofel, după care persoana fizică confirmă operațiunea printr-o nouă autentificare puternică și o autorizează în mod juridic obligatoriu prin intermediul unei semnături electronice calificate (QES) declanșate local sau de la distanță.

Alocarea riscurilor: responsabilitatea „organismelor de încredere”

Un aspect critic, adesea neglijat în ecosistemul KYA, este responsabilitatea fundamentală a părților care se bazează pe sistem (Relying Parties, cum ar fi băncile, companiile de asigurări sau platformele de comerț electronic) în derularea unei tranzacții. La nivel arhitectural și procedural, este în primul rând responsabilitatea lor să stabilească două verificări esențiale:

a) Verificarea actorilor (distincția între boturi și oameni): Entitatea de încredere trebuie să fie capabilă să stabilească, prin intermediul unor analize avansate de telemetrie și API, dacă o interacțiune a fost inițiată și pregătită inițial de un om sau în mod parțial autonom de un bot sau de o inteligență artificială.

b) Analiza riscurilor bazată pe tranzacții: Instituțiile de credit trebuie să implementeze un model dinamic de risc care să stabilească valoarea contractului sau nivelul de sensibilitate de la care o dovadă riguroasă a conformității cu principiile „Cunoaște clientul” (KYA) reprezintă o condiție obligatorie pentru executarea tranzacției.

În timp ce o tranzacție simplă, cu risc redus, se poate desfășura cu dovezi criptografice minime și o validare asincronă ulterioară, operațiunile extrem de sensibile, precum deschiderea unui cont, încheierea contractelor de credit sau transferurile semnificative de active, necesită în mod obligatoriu măsuri de securitate suplimentare și sincrone. Aici nu trebuie să existe nicio marjă de manevră: la acest prag, dovada KYA trebuie să impună o reautentificare strictă, biometrică sau asistată de hardware, a mandantului uman, pentru a exclude furtul de identitate de către agenți compromiși.

Duelul din Trust Space: IA vs. IA și cursa asimetrică a înarmărilor

Necesitatea absolută a unor astfel de arhitecturi robuste rezultă dintr-un context de amenințări extrem de dinamic, care se manifestă ca o confruntare directă între IA defensivă și cea ofensivă. Studiul intitulat „Riscuri de securitate pentru furnizorii de servicii de încredere generate de amenințările bazate pe IA”, publicat în 2026 de A-SIT Plus la comanda Rundfunk und Telekom Regulierungs-GmbH (RTR), analizează această cursă a înarmărilor la nivel structural.

În acest context, IA acționează ca o sabie cu două tăișuri:

• IA ca accelerator și apărător: din punct de vedere defensiv, IA oferă un potențial semnificativ de eficientizare. Aceasta permite detectarea avansată a anomaliilor, analiza în timp real a modelelor complexe de atac (de exemplu, în cadrul centrelor moderne de operațiuni de securitate), precum și efectuarea verificărilor multimodale biometrice de autenticitate în timp real, în cadrul procedurilor moderne de identificare automată (AutoIdent). Impactul său pozitiv asupra consolidării „Trust Space” este real.
  
• IA ca atacator: În același timp, IA generativă modifică peisajul riscurilor într-o măsură fără precedent. Aceasta reduce drastic barierele tehnologice de intrare pentru infractorii cibernetici, automatizează generarea de coduri maligne și permite scenarii de fraudă la scară largă. Studiul RTR (2026) consideră ca fiind deosebit de critice înșelăciunile bazate pe IA, precum deepfake-urile, identitățile sintetice, precum și atacurile sofisticate de tip „presentation” și „prompt injection”, care vizează manipularea țintită a caracteristicilor vizuale de identificare și a modelelor de învățare automată (de exemplu, prin „data poisoning”).

Soluția sistemică pentru a ieși din această cursă a înarmării algoritmice constă într-o guvernanță clară și în combinarea a două piloni deterministici de protecție. Portofelul eIDAS 2.0 EUDI oferă, prin stocarea cheilor asistată de hardware (Secure Elements), o protecție matematică fără compromisuri împotriva atacurilor de spoofing bazate pe IA.

În completarea acestora, procedurile moderne AutoIdent, susținute de IA, acoperă lacuna rămasă în acest domeniu: ele utilizează tehnici avansate de detectare a prezenței umane (liveness detection) și atestări bazate pe dispozitive pentru a verifica fără niciun dubiu, în câteva secunde, punctul de referință uman din fluxul de lucru. Cele două abordări combinate permit autorităților de încredere să aprobe procesele bazate pe agenți, astfel încât separarea dintre acțiunea botului și legitimarea umană să fie valabilă din punct de vedere normativ și criptografic.

Concluzie: KYA reprezintă o evoluție valoroasă în domeniul identității digitale

În concluzie, se poate afirma că KYA este mult mai mult decât un simplu termen la modă în marketing – este un concept evolutiv valoros, care se bazează direct pe fundamentele consacrate ale KYC. KYC rămâne nucleul de neînlocuit al arhitecturilor de încredere, însă KYA extinde acest nucleu cu dimensiunea delegării automate sigure în era inteligenței artificiale.

Tocmai în acest domeniu, sproof lucrează activ la concepte inovatoare. Obiectivul este de a stabili arhitecturi care să permită conectarea agenților de IA cu persoanele fizice și semnăturile lor electronice calificate (QES) într-un mod care să asigure siguranța juridică, rezistența la manipulare și conformitatea cu normele de reglementare.

Dacă și când vor exista vreodată agenți complet autonomi, capabili să autorizeze în mod legal tranzacții cu nivelul de asigurare (LoA) „High”, se află încă într-un viitor îndepărtat – însă calea către acest obiectiv trece în mod obligatoriu prin interacțiunea inteligentă dintre om și mașină, precum și prin validarea bazată pe risc de către autoritățile de încredere, așa cum o schițează deja astăzi KYA.

Întrebări frecvente pe această temă

Pregătiți-vă infrastructura de identitate pentru era „Agentic Banking”. Aflați de la experții de la sproof cum puteți integra în mod conform cu legislația fluxurile de lucru complexe bazate pe IA, prin analize de risc bazate pe tranzacții, semnături conforme cu eIDAS și proceduri de identificare de ultimă generație. Programează acum o discuție cu un expert →