Farlig å stole på KI i antihvitvaskingsarbeidet

Denne saken er en oppsummering av en kronikk av Øyvind Westby Brekke, administrerende direktør i Stø, som kan leses i sin helhet hos DN her.

Økokrim la i oktober fram trusselvurderingen for 2026. Et viktig trekk i Økokrims trusselvurdering var at de kriminelle i økende grad bruker kunstig intelligens. For to år siden brukte kriminelle KI mest til å skalere metoder de allerede kjente. Nå settes deler av kriminaliteten bort til selvgående systemer. Økokrim skriver at KI gjør det enklere å produsere fiktiv dokumentasjon og å opprette eller misbruke identiteter, slik at én aktør kan styre mange søknader og ordninger uten at koblingen oppdages.

Et av de viktigste forsvarene mot økonomisk kriminalitet og hvitvasking er over 7000 rapporteringspliktige virksomheter i Norge, blant annet banker, fondsforvaltere, forsikringsselskaper, advokater, revisorer, regnskapsførere og eiendomsmeglere.

Skal dette arbeidet gjøres ordentlig, er det både tidkrevende og kostbart. Heldigvis finnes det mange verktøy som hjelper de rapporteringspliktige med å sortere og hente ut informasjon. Med fremveksten av ulike KI-verktøy er arbeidet blitt enda enklere. Det finnes gode verktøy som henter registerdata, tegner eiertrær og foreslår risikoklasse på sekunder. Problemet oppstår når KI-verktøyene får siste ord. En modell ser mønstre den kjenner fra før. Den ser ikke aksjonæravtalen som aldri ble registrert, og den har dårlige forutsetninger for å avsløre dokumentasjon som er laget med den samme teknologien.

Det er også et spørsmål om ansvar. Når en bank rapporterer en kunde til Økokrim, eller avvikler et kundeforhold, må noen kunne forklare hvorfor. «Systemet flagget det» er ingen begrunnelse overfor kunden, politiet eller tilsynet. En modell kan peke på en sammenheng, men den kan ikke dokumentere en vurdering den ikke har gjort, og den kvalitetssikrer ikke seg selv.

Derfor må den siste delen av vurderingen ligge hos et menneske. Maskinen kan gjøre grovarbeidet, men konkrete mennesker må stå for konklusjonen.

Finanstilsynet forventer manuelle prosesser

Også Finanstilsynet er opptatt av hvordan automatikk og menneskelig vurdering henger sammen. Nylig sendte tilsynet et varsel om tilsyn til en mindre bank på Vestlandet. Tilsynet gjelder løpende oppfølging av kunder, transaksjonsovervåking og rapportering til Økokrim. Kunstig intelligens nevnes ikke med ett ord, men spørsmålene viser tydelig hva Finanstilsynet ser etter.

Banken skal levere rutinene for både manuelle og automatiserte kontroller, og beskrive de manuelle tiltakene som supplerer den elektroniske overvåkingen. For hver regel i overvåkingssystemet skal banken vise hvilken risiko den dekker, hvor den er forankret i risikovurderingen og når den sist ble evaluert. Banken skal også oppgi hvor mange kunder som har fått endret risikoklasse manuelt, og hvor mange automatisk.

Forventningen fra Finanstilsynet er altså tydelig. Automatikken skal suppleres av folk som går gjennom detaljene, og banken skal kunne forklare hvordan de to delene henger sammen. Det er i den manuelle gjennomgangen kompleksiteten i en selskapsstruktur blir synlig.