{post_titel}

Inledning och nuläge: Utvecklingen av förtroendeprocesserna

I centrum för digitala transaktionsmiljöer står traditionellt sett en entydig identitetsverifiering. De regulatoriska ramarna för KYC (Know Your Customer) och KYB (Know Your Business) har under de senaste åren tvingat fram en nödvändig utveckling av verifieringsförfarandena. Medan den resurskrävande VideoIdent-metoden måste betraktas som en utfasad lösning på grund av bristande skalbarhet, lanseras allt fler toppmoderna AutoIdent-lösningar på marknaden. Samtidigt väntar den europeiska ekonomin med spänning på effekterna av EUDI-plånböckerna enligt eIDAS 2.

Dessa hittills linjära förtroendeprocesser förändras för närvarande genom en djupgående integration av artificiell intelligens på strukturell nivå. Med system baserade på kraftfulla LLM:er går det numera att autonomt samordna hela användarresor. Detta sträcker sig från den inledande datainsamlingen till förberedelsen av mycket känsliga arbetsflöden, såsom kontoöppningar eller initiering av asynkrona onlinetransaktioner. I dessa scenarier fungerar maskinen som en ställföreträdande mellanhand som förstrukturerar transaktionsdata och förbereder dem för det slutgiltiga genomförandet.

Begreppet KYA: En bro mellan AI-automatisering och eIDAS-överensstämmelse

Ur denna tekniska utveckling härstammar begreppet ”KYA” (Know Your Agent). Vid en rent ytlig språklig betraktelse verkar begreppet till en början tvetydigt: Medan KYC precist formulerar den lagstadgade skyldigheten att identifiera motparten (kunden), innebär KYA i bokstavlig mening nödvändigheten att validera den egen agent som används. Dessutom uppstår i praktiken en risk för förväxling inom det etablerade området för digital identitet, där mänskliga granskare – till exempel vid manuell efterkontroll av AutoIdent-resultat – inom branschen traditionellt också kallas ”agenter”.

Om man däremot betraktar KYA som ett strukturellt ramverk för den framväxande agentiska handeln och den agentiska bankverksamheten, visar konceptet sin verkliga, framtidsinriktade relevans. Det handlar här inte om det paradoxala försöket att tilldela programvarubotar en självständig rättskapacitet, fristående från människan.

KYA beskriver snarare den tekniska arkitekturen som säkerställer att en verifierad ”Human in the Loop” bär det slutgiltiga ansvaret vid varje steg i en automatiserad transaktionskedja. KYA överbryggar därmed den kritiska klyftan mellan autonom maskinell förberedelse och juridiskt säker mänsklig godkännande.

Hur kan KYA fungera rent tekniskt: Mekanismen bakom kryptografisk delegering

Arkitekturens centrala tes är att AI-agenters åtgärder måste samordnas i isolerade infrastrukturlager och att precisa telemetridata måste matas in i dedikerade slutpunkter. Innan en åtgärd som förberetts av boten – såsom att initiera en B2B-betalning eller överföra affärskritiska data – slutgiltigt utförs måste kryptografiskt säkrade säkerhetsmekanismer träda i kraft, med deltagande av agentens ”skapare”.

Konkret innebär detta att AI-agentens åtgärd signeras kryptografiskt och att denna signatur, via diskreta sessionsnycklar, kopplas oskiljaktigt till en fysisk persons verifierade identitet. För att integrera denna mänskliga identitetskomponent i arbetsflödet på ett manipuleringssäkert sätt bygger moderna system på en dubbel grund. Förutom den kommande eIDAS 2.0 EUDI-plånboken spelar avancerade AutoIdent-metoder en nyckelroll

Genom kombinationen av biometrisk realtidsidentifiering av den mänskliga användaren och en efterföljande tokenbaserad koppling till AI-agenten säkerställs att maskinen inte agerar i ett vakuum, utan som en legitim, kryptografiskt auktoriserad ombud.

Perfekt förberedd för smidiga KYA-processer: EUDI-plånboken

Tack vare EUDI-plånbokens unika arkitektur kommer denna teknik att bli en av de viktigaste förtroendepelarna i AI-eran. I KYA-sammanhang kommer EUDI-plånboken på ett särskilt elegant sätt att kunna skapa en rättssäker koppling mellan en agerande agent och en fysisk person. Först autentiserar sig agenten hos banken genom att uppvisa ett specifikt fullmaktsintyg (Representation Attestation) eller ett kvalificerat elektroniskt attributintyg (QEAA), vilket gör att banken kan identifiera agenten och via detta certifikat validera dennes kryptografiskt garanterade koppling till den fysiska personen. För att slutföra transaktionen i det sista steget skickar banken en signaturförfrågan till plånboken, varefter den fysiska personen bekräftar transaktionen genom en ny stark autentisering och godkänner den på ett rättsligt bindande sätt med hjälp av en kvalificerad elektronisk signatur (QES) som utlöses lokalt eller på distans.

Riskfördelning: De ”betrodda instansernas” ansvar

En kritisk, ofta förbisedd aspekt i KYA-ekosystemet är det grundläggande ansvaret som de förlitande parterna (Relying Parties, såsom banker, försäkringsbolag eller e-handelsplattformar) har vid genomförandet av en transaktion. På arkitektonisk och processmässig nivå är det främst deras ansvar att införa två centrala kontroller:

a) Verifiering av aktörer (skillnad mellan botar och människor): Den förtroendeinstansen måste kunna fastställa, med hjälp av avancerad telemetri- och API-analys, om en interaktion ursprungligen initierades och förbereddes av en människa eller delvis autonomt av en bot eller en AI.

b) Transaktionsbaserad riskanalys: Förtroendeinstanser måste införa en dynamisk riskmodell som styr från vilket avtalsvärde eller vilken känslighetsnivå en strikt KYA-redovisning är ett obligatoriskt villkor för att transaktionen ska kunna genomföras.

Medan en enkel, lågrisktransaktion kan klara sig med minimala kryptografiska bevis och en efterföljande asynkron godkännandeprocess, kräver mycket känsliga transaktioner – såsom kontoöppning, ingående av kreditavtal eller betydande tillgångsöverföringar – absolut ytterligare, synkrona säkerhetsåtgärder. Här får det inte finnas något utrymme för tolkning: KYA-verifieringen måste vid denna tröskel kräva en strikt, biometrisk eller hårdvarubaserad omautentisering av den mänskliga huvudmannen för att utesluta identitetsstöld genom komprometterade agenter.

Duellen i Trust Space: AI mot AI och den asymmetriska kapprustningen

Det absoluta behovet av sådana robusta arkitekturer beror på en mycket dynamisk hotbild, som tar sig uttryck i en direkt kraftmätning mellan defensiv och offensiv AI. Studien ”Säkerhetsrisker för leverantörer av betrodda tjänster till följd av AI-baserade hot”, som publicerades år 2026 av A-SIT Plus på uppdrag av Rundfunk und Telekom Regulierungs-GmbH (RTR), analyserar denna kapprustning på strukturell nivå.

I detta sammanhang fungerar AI som ett tveeggat svärd:

• AI som pådrivare och skydd: På säkerhetssidan erbjuder AI betydande effektivitetsvinster. Den möjliggör avancerad avvikelsedetektering, analys av komplexa attackmönster i realtid (t.ex. inom moderna säkerhetsoperationscenter) samt genomförande av multimodala biometriska realtids-liveness-kontroller inom ramen för moderna AutoIdent-metoder. Dess positiva inverkan på förstärkningen av förtroendeutrymmet är påtaglig.
  
• AI som angripare: Samtidigt förändrar generativ AI riskbilden i en hittills okänd omfattning. Den sänker de tekniska inträdesbarriärerna för cyberbrottslingar drastiskt, automatiserar genereringen av skadlig kod och möjliggör bedrägeriscenarier i stor skala. RTR-studien (2026) betraktar följande som särskilt kritiska AI-stödda bedrägerier som deepfakes, syntetiska identiteter samt avancerade presentations- och prompt-injection-attacker, som syftar till att målmedvetet manipulera visuella identifieringskännetecken och maskininlärningsmodeller (t.ex. genom dataförgiftning).

Den systemiska vägen ut ur denna algoritmiska kapprustning ligger i en tydlig styrning och en kombination av två deterministiska skyddspelare. eIDAS 2.0 EUDI Wallet erbjuder genom hårdvarubaserad nyckellagring (Secure Elements) ett kompromisslöst, matematiskt skydd mot AI-baserade spoofing-attacker.

Som ett komplement till detta fyller moderna, AI-baserade AutoIdent-metoder den återstående luckan inom området: De använder avancerad livsteckendetektering och enhetsbaserade intyg för att på några sekunder utan tvivel verifiera den mänskliga förankringspunkten i arbetsflödet. Tillsammans gör dessa båda metoder det möjligt för förtroendeinstanser att godkänna agentbaserade processer på ett sätt som säkerställer att skiljelinjen mellan bot-åtgärder och mänsklig legitimering håller både ur regleringsmässig och kryptografisk synvinkel.

Slutsats: KYA som en värdefull vidareutveckling inom området för digital identitet

Sammanfattningsvis kan man konstatera att KYA är långt mer än bara ett flyktigt marknadsföringsuttryck – det är ett värdefullt, evolutionärt koncept som bygger direkt på de beprövade grunderna i KYC. KYC förblir den oersättliga kärnan i förtroendearkitekturer, men KYA utvidgar denna kärna med dimensionen av säker automatiserad delegering i AI-eran.

Det är just på detta område som sproof aktivt arbetar med innovativa koncept. Målet är att etablera arkitekturer som gör det möjligt att koppla samman AI-agenter med fysiska personer och deras kvalificerade elektroniska signaturer (QES) på ett rättssäkert, manipuleringssäkert och regelverksenligt sätt.

Om och när det någonsin kommer att finnas helt autonoma aktörer som, utan någon som helst inblandning från en mänsklig huvudman, kan giltigt godkänna transaktioner med säkerhetsnivån (LoA) ”High” – ligger fortfarande långt fram i tiden. Men vägen dit går oundvikligen via en intelligent koppling mellan människa och maskin samt riskbaserad validering av de förtroendeinstanser som KYA redan idag skisserar.

Vanliga frågor om ämnet

Förbered er identitetsinfrastruktur för den nya eran av agentbaserad bankverksamhet. Lär dig av experterna på sproof hur du på ett rättssäkert sätt kan integrera komplexa AI-arbetsflöden med hjälp av transaktionsbaserade riskanalyser, eIDAS-kompatibla signaturer och de senaste identifieringsmetoderna. Boka ett samtal med en expert nu →