Art. 5 Abs. 1 Bst. d der KI-Verordnung verbietet KI-Systeme, die das Risiko einer Straftat allein aus dem Profiling einer natürlichen Person oder der Bewertung ihrer persönlichen Merkmale prognostizieren. Der Wortlaut nennt keine Behörde als Adressatin. Die Kommission zieht daraus in ihren Leitlinien zu den verbotenen Praktiken vom 29. Juli 2025 den Schluss, der in der Beratungspraxis untergeht: Eine geldwäschereirechtlich verpflichtete Bank fällt in den Anwendungsbereich des Verbots (Rn. 209). Ihr AML-Scoring kommt nur über die Ausnahme im letzten Halbsatz heraus, und diese Ausnahme trägt die Modelldokumentation, nicht das Modell.

Das ist kein Thema für 2027. Das Verbot gilt seit dem 2. Februar 2025 (Art. 113 Bst. a) und ist seit dem 2. August 2025 bussenbewehrt, mit bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes (Art. 99 Abs. 3). Der Digital Omnibus hat Bst. d nicht angerührt, wie wir am 26. Juli festhielten. Auch die Verschiebung der Hochrisiko-Pflichten auf den 2. Dezember 2027 hilft nicht: Anhang III Ziff. 5 Bst. b erfasst die Kreditwürdigkeitsprüfung und nimmt Systeme zur Aufdeckung von Finanzbetrug ausdrücklich aus, Ziff. 6 Bst. d gilt nur für Strafverfolgungsbehörden. Ein reines Überwachungsmodell steht damit nicht auf der Hochrisiko-Liste und wird allein an Art. 5 gemessen.

Die Leitlinien ziehen die Grenze zweimal, und sie verläuft nicht durch die Technik. Rn. 210 und 211 nehmen die private Profilbildung im gewöhnlichen Geschäftsbetrieb heraus, wenn sie eigene finanzielle Interessen schützt und der Bezug zu einer Straftat nur zufällig und nachgelagert auftritt. Das beschreibt das Betrugsmodell: Kartenmissbrauch, Kontoübernahme, Rücklastschriften. Bei Rn. 209 liegt der Fall anders, weil dort das Gesetz die Bank gerade zur Prognose einer Straftat verpflichtet. Zwei Modelle, die dieselben Transaktionsdaten lesen und oft dieselbe Merkmalsbibliothek teilen, liegen damit auf verschiedenen Seiten eines Verbots — welches wo liegt, entscheidet die dokumentierte Zweckbestimmung.

Die verbreitete Entwarnung stützt sich auf Erwägungsgrund 42. Er nimmt Risikoanalysen aus, die nicht auf dem Profiling von Personen beruhen, und nennt als Beispiel die Bewertung der Wahrscheinlichkeit von Finanzbetrug durch Unternehmen anhand verdächtiger Transaktionen. Das Wort ist «Unternehmen». Rn. 215 bestätigt die Ausnahme für juristische Personen, Rn. 216 holt Einzelunternehmer und selbständige Berufsträger wieder herein. Ein Score über eine Retail-Vertragspartei ist die Prognose über eine natürliche Person, und der Erwägungsgrund deckt ihn nicht.

Was die Ausnahme verlangt, steht in Rn. 202 und Rn. 206. Das KI-System muss die menschliche Bewertung unterstützen, statt sie zu ersetzen, und diese Bewertung muss bereits auf objektiven, überprüfbaren und unmittelbar mit einer kriminellen Aktivität verbundenen Tatsachen beruhen. Die Leitlinien verlangen vorbestehende Tatsachen, «pre-established» im englischen Text: Sie müssen vor dem Score vorliegen. Ein Modell, dessen Alert selbst die einzige Tatsache ist, zieht sich nicht am eigenen Schopf aus dem Verbot. Im Steuerbeispiel derselben Randnummer verwirft die Kommission «opaque variables, especially inferred information that is predictive and therefore non-objective and hard to verify».

Das Future of Privacy Forum liest im Wort «ausschliesslich» ein Schlupfloch. Rn. 202 schliesst es halb wieder, denn die weiteren Elemente müssen «real, substantial and meaningful» sein. Damit trifft die Bestimmung genau jene Merkmale, aus denen Überwachungsmodelle ihre Trennschärfe ziehen: Abweichung von der Vergleichsgruppe, Verhaltenssegment, Netzwerkwert aus Gegenparteibeziehungen. Objektiv und überprüfbar sind der Sanktionslisten-Treffer, die PEP-Eigenschaft aus einem Register, das Sitzland der Gegenpartei, der Betrag, die frühere Verdachtsmeldung. Die Ausnahme beansprucht nur, wer zeigt, dass die zweite Gruppe den Alert trägt und die erste ihn bloss schärft.

Rn. 209 nennt zwei Bedingungen: allein die Daten, die das Geldwäschereirecht der Union bezeichnet, und eine menschliche Überprüfung der Prognose. Die Leitlinien verweisen dafür auf Art. 20 der Verordnung (EU) 2024/1624, die erst am 10. Juli 2027 anwendbar wird. Bis dahin bezeichnet diese Daten das nationale Recht, in das die Geldwäschereirichtlinie umgesetzt wurde; Ihre EU-Tochter wird heute an diesem Massstab gemessen, nicht am künftigen einheitlichen. Art. 20 Abs. 4 der Verordnung verlangt später ohnehin, der Aufsicht die Angemessenheit der getroffenen Massnahmen darzulegen. Dieselbe Dokumentation trägt beide Pflichten.

Wen das trifft, steht in Art. 2 Abs. 1. Eine Schweizer Bank ohne EU-Niederlassung, deren Ausgaben nicht in der Union verwendet werden, ist draussen. Drinnen ist das Gruppenmodell, das in Zürich gebaut und der Frankfurter oder Luxemburger Tochter bereitgestellt wird: Die Tochter ist Betreiberin in der Union, die Muttergesellschaft Anbieterin. Deren Modelldokumentation ist in aller Regel an Art. 6 GwG und die Art. 13, 14 und 20 der GwV-FINMA geschrieben. Das Schweizer Regelwerk ist kein Geldwäschereirecht der Union im Sinne von Rn. 209, und die Zuordnung der Merkmale zum massgebenden EU-Instrument fehlt.

Die zweite Bedingung ist die heiklere. Rn. 205 zieht dafür das Urteil Ligue des droits humains (C-817/19) heran: Die menschliche Prüfung eines Treffers muss auf objektiven Kriterien beruhen und die Nichtdiskriminierung des automatisierten Abgleichs sicherstellen. Ein Vier-Augen-Klick über zweitausend Alerts pro Tag genügt dem nicht. Art. 20 Abs. 3 GwV-FINMA verlangt schon heute, die vom Überwachungssystem ermittelten Transaktionen innert angemessener Frist auszuwerten. Wer diese Auswertung protokolliert, erzeugt genau den Nachweis, den die Ausnahme der KI-VO verlangt.

Der Schritt für Montag ist eine Tabelle mit drei Spalten, eine Zeile je Modell. Erste Spalte: die Zweckbestimmung im Wortlaut, mit dem sie in der Modellfreigabe steht. Zweite Spalte: die Merkmale, getrennt nach vorbestehenden überprüfbaren Tatsachen und abgeleiteten Grössen. Dritte Spalte: der Beleg, dass ein Mensch den Alert bewertet hat, und woraus er besteht. Zeilen, deren erste Spalte auf eine Straftat zeigt und deren zweite Spalte dünn bleibt, gehören auf die Traktandenliste des nächsten Risikoausschusses.

Offen bleibt, wie eng «ausschliesslich» ausgelegt wird; verbindlich entscheidet das der EuGH und nicht die Kommission. Der nähere Termin ist ein anderer. Die AMLA hat am 9. Februar 2026 den Entwurf der technischen Regulierungsstandards nach Art. 28 Abs. 1 AMLR zur Konsultation gestellt, Frist bis zum 8. Mai 2026, und legt sie danach der Kommission zur Annahme vor. Diese Standards bezeichnen die Informationen, die für die Sorgfaltspflichten zu erheben sind. Mit ihrer Annahme steht die Datenliste, auf die Rn. 209 verweist, und damit die Grenze dessen, was ein AML-Modell an Merkmalen führen darf, ohne die Ausnahme zu verlieren.