Compliance, AML und KYC
EU-AMLR/AMLA-Konformitäts-Self-Assessment
anymize entfernt Kunden-/Mitarbeiter-Identifikatoren aus internen Policies, Verfahren und Beispielsachverhalten, bevor sie an GPT, Claude oder Gemini gehen — und setzt sie nach der KI-Antwort wieder ein. So führen Sie eine strukturierte Pflicht-für-Pflicht-Gap-Analyse gegen EU-AMLR und AMLA-Rahmen durch, ohne § 43 KWG oder § 26 BDSG zu berühren.
Schwierigkeit: Spezialist · Datenklasse: Mandantendaten · Letztes Review:
Zur Orientierung gedacht. Die anwaltliche Würdigung im Einzelfall bleibt selbstverständlich bei Ihnen — KI-Outputs sind vor jeder Verwendung zu prüfen. Mehr dazu am Ende.
Anwendungsbereich
Worum geht es hier?
Die EU-AMLA nimmt 2026 in Frankfurt operativ den Betrieb auf und übernimmt direkt die Aufsicht über etwa 40 besonders risikoreiche Verpflichtete; die EU-AMLR vereinheitlicht material-rechtliche AML-Pflichten EU-weit. Mit anymize gehen interne Policies, Verfahren und Beispielsachverhalte anonymisiert an die Frontier-KI; die KI strukturiert eine Pflicht-für-Pflicht-Gap-Analyse mit Status (erfüllt / teilweise / nicht erfüllt / nicht anwendbar). Die juristische Bewertung und Vorstand-Endabnahme bleiben Mensch-Pflicht.
Für wen passt das?
Zielgruppe und Kontext
- Rolle
- MLRO, Geldwäschebeauftragter, Compliance-Leitung, Interne Revision AML.
- Seniorität
- Senior — strategische AML-Compliance-Verantwortung.
- Kanzleigröße
- Alle Verpflichteten, besonders AMLA-direktbeaufsichtigte Institute und Crypto-CASPs.
- Spezifische Kontexte
- Vorbereitung auf AMLA-Erstinspektion 2027/2028; jährliches Wiederholungs-Assessment.
Die Situation in der Kanzlei
So bringen Sie Tempo und Sorgfalt zusammen
EU-AMLR enthält rund 200 spezifische Pflichten (KYC, EDD, SDD, UBO, Sektor-Spezifika); AMLA fügt Aufsichtsprozesse hinzu. Self-Assessment muss interne Policies, Verfahren, technische Kontrollen, Schulungs-Stand, IT-Systeme strukturiert gegen diese Pflichten abgleichen. Manuell 5–10 Personen-Tage. § 43 KWG, § 25h KWG, DSGVO Art. 28 verbieten unanonymisierten LLM-Upload bestehender Policies, soweit Kundendaten beispielhaft enthalten. anymize löst diesen Konflikt: Beispielsachverhalte werden anonymisiert; die KI strukturiert die Gap-Analyse auf pseudonymisiertem Text.
Was Sie davon haben
Zeit, Wert, Vertraulichkeit
Erstaufwand Gap-Analyse
8–20 h
Größenordnung; KI-Verdichtung der Policy-Texte gegen AMLR-Pflichten-Liste reduziert Lese-Last.
Erst-Inspektion AMLA
Vorbereitung
Self-Assessment-Ergebnis dient als Aufsichts-Output bei AMLA-Erstinspektion 2027/2028.
Schatten-KI-Risiko
reduziert
Gap-Analyse deckt Schatten-KI im KI-Inventar auf (BaFin Orientierungshilfe Dez. 2025).
Vertraulichkeit
strukturell
Beispielsachverhalte mit Kunden-/Mitarbeiterbezug werden anonymisiert; AVV nach Art. 28 DSGVO.
So gehen Sie vor
In 5 Schritten zum Antrag
AMLR-Pflichten-Katalog aus EUR-Lex extrahieren (öffentlich).
Sie
Strukturgrundlage
Interne Policies, Verfahren, Org-Charts, KI-Inventar, Schulungs-Logs sammeln.
Sie
Self-Assessment-Input
anymize anonymisiert: Inputs mit Kunden-/Mitarbeiterdaten (Beispielsachverhalte, MLRO-Namen, Sperrgrenzen-IDs).
anymize
§ 43 KWG · § 26 BDSG · DSGVO Art. 28
Spot-Check; Vier-Augen mit Interner Revision.
Sie
NER-Falsch-Negativ
Frontier-KI strukturiert mit CRAFT-Prompt: Pflicht-für-Pflicht-Gap-Analyse mit Status (erfüllt/teilweise/nicht erfüllt/nicht anwendbar) und Begründung; Lücken-Liste mit Priorität; Maßnahmenvorschlag.
GPT / Claude / Gemini in anymize
Strukturierung
Juristische Plausibilitäts-Prüfung durch MLRO/Rechtsabteilung — AMLR-Auslegung ist jung und EuGH-Stand offen.
Sie
AMLR-Auslegung
Maßnahmenplan + Eskalation an Vorstand. Beschluss durch Geschäftsleitung nach § 25a KWG.
Sie
§ 25a KWG
Dokumentation; jährliche Wiederholung; 5 Jahre Aufbewahrung § 50 GwG.
Sie
§ 50 GwG
Womit Sie arbeiten
So setzen Sie anymize konkret ein
Was anymize tut
- Erkennt Beispielsachverhalts-Identifikatoren (Kundennamen, IBAN, Mitarbeiter-Namen, MLRO-Bezüge) mit über 95 %.
- Bidirektionale Anonymisierung; AVV nach Art. 28 DSGVO.
- Daten in deutschen Rechenzentren (Hetzner); KI-Inventar-tauglich für BaFin Orientierungshilfe Dez. 2025.
- § 26 BDSG-Beschäftigtenschutz bei Mitarbeiterbezug strukturell berücksichtigt.
Was Sie als MLRO/CO tun
- AMLR-Pflichten-Katalog aktuell aus EUR-Lex extrahieren (KI-Wissensstand jung und unsicher).
- Juristische Plausibilitäts-Prüfung der KI-Bewertungen — AMLR-Artikel-Nummern verifikations-bedürftig.
- Vorstand-Beschluss zum Maßnahmenplan — Self-Assessment ist Aufsichts-Output.
- Bei AMLA-Direktbeaufsichtigung dedizierte AMLA-Liaison-Funktion etablieren.
Daten-Input
AMLR-Pflichten-Katalog (EUR-Lex), interne Policies, Verfahren, Org-Charts, KI-Inventar, Schulungs-Logs, Tool-Inventar.
Output-Kontrolle
Re-identifizierte Pflicht-für-Pflicht-Tabelle pro Cluster, Lücken-Liste mit Priorität (hoch/mittel/niedrig), Maßnahmen-Reihenfolge mit Zeitrahmen.
Freigabeprozess
MLRO + Rechtsabteilung; Vorstand-Beschluss. Bei AMLA-Direktbeaufsichtigung AMLA-Liaison.
Die KI-Anweisung
Prompt zum Kopieren
So nutzen Sie diesen Prompt:
1. Policies und Verfahren in anymize einfügen — Beispielsachverhalte werden pseudonymisiert.
2. AMLR-Pflichten-Katalog aus EUR-Lex (öffentlich) als Strukturgrundlage anhängen.
3. Diesen Prompt anhängen; Reasoning „Max“; KI-Aufruf.
4. Juristische Plausibilitäts-Prüfung MLRO/Rechtsabteilung; Vorstand-Beschluss.
# Context (C)
Du unterstützt ein Self-Assessment eines deutschen Kreditinstituts gegen
die EU-AMLR und den AMLA-Aufsichtsrahmen. Rechtsstand: <heutiges Datum>.
Inputs pseudonymisiert.
# Role (R)
AML-Compliance-Beratungs-Assistenz. Du kennst die EU-AMLR-Struktur, das
AMLA-Mandat, die EU-AML-Richtlinie 6 (AMLD6), die deutsche Umsetzung
(GwG-Reform 2026/2027), BaFin-Auslegungs- und Anwendungshinweise GwG
(Update 29.11.2024). Du behauptest nicht, jede AMLR-Artikel-Nummer
auswendig zu kennen; bei Unsicherheit gibst du Hinweise zur Verifikation
gegen EUR-Lex aus.
# Action (A)
1. Pflicht-Cluster: bilde Cluster (KYC-Onboarding, EDD, SDD, UBO,
Transaktionsmonitoring, SAR-Meldung, Schulung, Governance, Outsourcing).
2. Pro Cluster: liste die im Input enthaltenen Policy-Punkte vs. die
typischen AMLR-Anforderungen.
3. Pro Pflicht: Status (erfüllt / teilweise / nicht erfüllt / nicht
anwendbar) mit Begründung in max. 3 Sätzen.
4. Lücken-Liste mit Priorität (hoch/mittel/niedrig) und Maßnahmenvorschlag.
5. `[VERIFY: …]` für alle AMLR-Artikel-Bezüge.
# Format (F)
- Cluster-Block.
- Pflicht-für-Pflicht-Tabelle pro Cluster.
- Lücken-Liste mit Priorität.
- Empfohlene Maßnahmen mit zeitlicher Reihenfolge.
# Target Audience (T)
MLRO, Rechtsabteilung, Vorstand. Präzise; keine erfundenen AMLR-Artikel-
Nummern.So sieht der Sachverhalt aus
Pseudonymisierter Eingabetext
Auszug interner Policy [[Aktenzeichen-9b3d]] (KYC-Onboarding
Privatkunden):
- Identifikation: ausschließlich Video-Ident (IDnow),
keine Vor-Ort-Identifikation
- Risikoklassifizierung: dreistufig (niedrig/mittel/erhöht)
automatisch per Scoring-Tool, manuelle Endprüfung bei „erhöht“
- Periodic Review: niedrig 5 Jahre, mittel 3 Jahre, erhöht 1 Jahr
- EDD bei „erhöht“: Herkunfts-der-Mittel-Nachweis
Schwelle 100.000 EUR
Schulung:
- Pflichtschulung GwG 1x/Jahr Online; Quote 2025: 87 %
Tool-Inventar:
- ACTICO MLDS (TMS), LSEG World-Check (Screening),
IDnow (Video-Ident)
- KI-Inventar: nur ACTICO-Lernmodul gelistet,
anymize-Pseudonymisierung fehlt im Inventar
Letzte SAR-Meldung: [[Datum-7f2a]], Vier-Augen-Freigabe MLRO.So liefert anymize zurück
Der Antrags-Entwurf
## Cluster KYC-Onboarding
| Pflicht (typisch AMLR) | Policy-Status | Bewertung | Maßnahme |
|---|---|---|---|
| Identitätsfeststellung mit anerkannten Verfahren |
nur Video-Ident IDnow | teilweise erfüllt |
Vor-Ort-Identifikation als Ausweich-Verfahren ergänzen
[VERIFY: AMLR-Identitäts-Artikel] |
| Risikoklassifizierung 3+ Stufen |
dreistufig automatisch + Mensch bei „erhöht“ | erfüllt | – |
| Periodic Review risikoorientiert | 1/3/5 Jahre | erfüllt | – |
| EDD-Pflicht bei Hochrisiko inkl. Herkunfts-der-Mittel |
EDD-Schwelle 100.000 EUR | teilweise |
EDD ohne Schwelle bei Hochrisiko-Klasse, Schwelle nur bei mittel
[VERIFY: AMLR-EDD-Artikel] |
## Cluster Schulung
| Pflicht | Policy-Status | Bewertung |
|---|---|---|
| Mitarbeiter-Schulung mindestens jährlich |
1x/Jahr Online; Quote 87 % | teilweise — Quote unter 100 %,
kein Nachholverfahren dokumentiert |
## Cluster Governance / KI-Inventar (BaFin-Orientierungshilfe Dez. 2025)
| Pflicht | Policy-Status | Bewertung |
|---|---|---|
| Vollständiges KI-Inventar |
ACTICO-Lernmodul gelistet, anymize-Pseudonymisierung nicht gelistet |
nicht erfüllt — Schatten-KI |
## Lücken-Liste mit Priorität
1. **Hoch**: Schatten-KI „anymize-Pseudonymisierung“ nicht im KI-Inventar
— sofort eintragen, Risiko-Klassifikation vornehmen.
2. **Hoch**: EDD-Schwellen-Anwendung prüfen — bei Hochrisiko-Klasse
keine Schwelle zulässig.
3. **Mittel**: Schulungsquote 87 % — Nachhol-Verfahren etablieren.
4. **Mittel**: Identifikationsverfahren um Vor-Ort-Option ergänzen.
## Maßnahmen-Reihenfolge
1. Sofort (≤ 30 Tage): KI-Inventar-Update.
2. ≤ 90 Tage: EDD-Policy-Update.
3. ≤ 180 Tage: Schulungs-Nachhol-Verfahren.
4. ≤ 12 Monate: Vor-Ort-Identifikation als Ausweich-Verfahren.Was das Berufsrecht verlangt
Pflichten — und wie anymize sie abdeckt
AMLR-Auslegung jung
KI-Behauptungen zu Artikel-Nummern sind verifikations-bedürftig; EuGH-Stand offen.
Halluzinations-Risiko bei Pflichten-Listen (SRC-0158)
Erfundene AMLR-Artikel sind Compliance-Risiko.
§ 25a KWG Verantwortung Geschäftsleitung
Maßnahmen-Beschluss durch Vorstand; Self-Assessment ist Vorlage.
§ 43 KWG Pseudonymisierung (SRC-0109)
Beispielsachverhalte mit Kunden-/Mitarbeiterbezug anonymisieren.
BaFin-Orientierungshilfe IKT/KI (SRC-0119)
KI-Inventar; Schatten-KI ist Top-Risiko bei AMLA-Inspektion.
Periodische Wiederholung
Self-Assessment ist kein Einmalprozess — jährliche Wiederholung.
Aufbewahrung 5 Jahre § 50 GwG
Self-Assessment-Ergebnis ist Aufsichts-Output.
Datenschutz und Vertraulichkeit
So funktioniert das mit anymize
Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 9 GwG; bei Mitarbeiterdaten § 26 BDSG. Verarbeitung in deutschen Rechenzentren (Hetzner), AVV nach Art. 28 DSGVO. § 43 KWG Bankgeheimnis bleibt bei Beispielsachverhalten strukturell gewahrt. AMLA-Verordnung 2024 (operative Aufnahme 2026 in Frankfurt) und BaFin-Orientierungshilfe IKT/KI vom 18.12.2025 verlangen KI-Inventar und Schatten-KI-Vermeidung — anymize-Pseudonymisierung gehört zwingend ins Inventar.
Was anymize konkret leistet
- Erkennt Beispielsachverhalts-Identifikatoren (Kundennamen, IBAN, MLRO-Bezüge, Mitarbeiterdaten) mit über 95 %.
- Re-identifiziert die KI-Antwort automatisch.
- Verarbeitung in deutschen Rechenzentren (Hetzner). AVV + Auslagerungsanzeige + KI-Inventar.
- Alternativen: Self-Hosted Presidio; S-KIPilot (Sparkassen); atruvia (Genossenschaftsbanken); LBBW blue.gpt; Commerzbank Sherlock.
Sicherheitscheck vor der Einreichung
Was anymize liefert — was Sie souverän entscheiden
Vor dem KI-Aufruf
- AMLR-Pflichten-Katalog aktuell aus EUR-Lex?
- Alle internen Policies und Verfahren bereitgestellt?
- KI-Inventar aktuell?
- Bei Beispielsachverhalten: Anonymisierungs-Vorschau gesichtet?
Nach der KI-Antwort
- Re-Identifikation korrekt?
- Pflicht-für-Pflicht-Tabelle pro Cluster vollständig?
- Alle AMLR-Artikel-Bezüge [VERIFY]-markiert?
- Lücken-Liste mit Priorität nachvollziehbar?
Vor dem Vorstand-Beschluss
- Juristische Plausibilitäts-Prüfung MLRO/Rechtsabteilung?
- Maßnahmen-Reihenfolge konkret mit Zeitrahmen?
- Vorstand-Beschluss eingeholt?
- Aufbewahrung 5 Jahre § 50 GwG?
Typische Fehlermuster — und wie anymize gegensteuert
- →KI behauptet konkrete AMLR-Artikel-Nummern aus dem Wissensstand — [VERIFY] gegen EUR-Lex Pflicht.
- →KI übersieht Schatten-KI im KI-Inventar — der Prompt erzwingt expliziten Governance-Cluster.
- →KI klassifiziert Schulungsquote 87 % als erfüllt — die Schwelle ist 100 % mit Nachhol-Verfahren.
- →KI bewertet EDD-Schwellen als zulässig bei Hochrisiko — bei Hochrisiko keine Schwelle.
Rechtsgrundlagen
Normen, Urteile, Belege
Primärnormen
- AML-Sicherungsmaßnahmen (SRC-0108)
- Verantwortung Geschäftsleitung
- Allgemeine Sorgfaltspflichten (SRC-0112)
- Pflichtfeld-Struktur 01.03.2026 (SRC-0113)
- Operative Aufnahme 2026 Frankfurt (SRC-0139)
- Auftragsverarbeitung (SRC-0142)
Aufsichtspraxis
- KI-Inventar (SRC-0119)
- Auslegungs- und Anwendungshinweise GwG
Sekundärquellen
- EU-Geldwäsche-Verordnung als Primärquelle
- EU-AML-Richtlinie 6 (deutsche Umsetzung GwG-Reform)
Stand: · Nächste Überprüfung:
Hinweis zur Nutzung
Zur Orientierung — nicht als Mandatsersatz
Diese Anleitung beschreibt einen Arbeitsablauf, den Sie mit anymize umsetzen können. Sie ist zur Orientierung gedacht und ersetzt weder die anwaltliche Würdigung im Einzelfall noch eine fachanwaltliche Prüfung. Welche Rechtsprechung einschlägig ist, wie der Sachverhalt rechtlich zu bewerten ist, welche Anträge in Ihrem konkreten Mandat richtig sind — das bleibt selbstverständlich bei Ihnen.
KI-Outputs müssen vor jeder Verwendung anwaltlich geprüft werden. Insbesondere Urteils-Aktenzeichen, Norm-Verweise und Fristen sind gegen Primärquellen zu verifizieren. anymize gewährleistet die Vertraulichkeit der Mandantendaten gegenüber dem KI-Anbieter; die fachliche Richtigkeit des Outputs liegt in Ihrer Verantwortung.
Jetzt starten.
14 Tage kostenlos testen.
Alle Modelle. Alle Features. Keine Kreditkarte.
Wir sind überzeugt von anymize. Und wir wissen: Bei einem KI-Werkzeug, das Mandanten-, Patienten- oder Mitarbeiter-Daten berührt, reicht ein Demo-Video nicht. Deshalb 14 Tage voller Zugang – alle Modelle, alle Features, keine Kreditkarte. Genug Zeit, um sicher zu sein, bevor du uns vertraust.
Dein KI-Arbeitsplatz wartet.