KYC dla wirtualnej asystentki: jak ustawić system weryfikacji tożsamości klienta

Czym jest KYC i kiedy dotyczy wirtualnej asystentki?

KYC (Know Your Customer) to proces weryfikacji tożsamości klienta przed nawiązaniem współpracy lub realizacją określonych usług. W Polsce obowiązek jego stosowania wynika przede wszystkim z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (AML) z 2018 roku, nowelizowanej kolejnymi dyrektywami unijnymi. KYC nie jest więc opcjonalną dobrą praktyką — w określonych przypadkach to wymóg prawny, a jego zignorowanie grozi karą administracyjną.

Wirtualna asystentka wchodzi w zakres obowiązków KYC wtedy, gdy świadczy usługi na rzecz podmiotów zobowiązanych lub sama staje się instytucją obowiązaną. W 2026 roku katalog takich podmiotów jest szerszy niż jeszcze kilka lat temu — obejmuje m.in. biura rachunkowe, agentów nieruchomości, kancelarie prawne, kantory, a także niektóre firmy świadczące usługi dla spółek. Jeśli obsługujesz któregoś z tych klientów i wykonujesz w jego imieniu czynności finansowe lub administracyjne, możesz być objęta obowiązkiem weryfikacji.

Kiedy wirtualna asystentka musi stosować KYC?

Obsługujesz klientów z branż objętych ustawą AML (np. biura rachunkowe, pośrednicy nieruchomości, prawnicy) i wykonujesz w ich imieniu operacje finansowe lub administracyjne.
Prowadzisz usługi dla spółek — zakładanie, rejestracja, zarządzanie dokumentacją korporacyjną — co od 2024 roku wprost wymienia znowelizowana ustawa AML.
Przyjmujesz płatności gotówkowe powyżej 10 000 EUR (równowartość w PLN) w ramach jednej transakcji lub powiązanych transakcji.
Twój klient zleca Ci dostęp do jego rachunków bankowych, systemów płatniczych lub księgowych — działasz wtedy jako pełnomocnik instytucji obowiązanej.
Samodzielnie świadczysz usługi doradztwa podatkowego lub finansowego jako działalność gospodarcza — w takim przypadku możesz sama stać się instytucją obowiązaną.

Typ działalności asystentki	Obowiązek KYC po stronie asystentki	Podstawa prawna
Wsparcie administracyjne (maile, kalendarz)	Brak	—
Obsługa klienta dla biura rachunkowego	Pośredni (przez klienta-instytucję)	Ustawa AML art. 6
Zakładanie spółek w imieniu klienta	Tak — bezpośredni	Ustawa AML art. 2 ust. 1 pkt 16
Dostęp do rachunku bankowego klienta	Tak — jako pełnomocnik	Ustawa AML art. 34
Doradztwo podatkowe jako główna usługa	Tak — instytucja obowiązana	Ustawa AML art. 2 ust. 1 pkt 15

Jeśli nie jesteś pewna, czy Twoja działalność podlega ustawie AML — sprawdź zakres usług, które faktycznie wykonujesz, a nie tylko to, co masz wpisane w PKD. Urząd Skarbowy i GIIF oceniają rzeczywisty charakter czynności, nie kody rejestrowe.

Kluczowa zasada: nawet jeśli Ty sama nie jesteś instytucją obowiązaną, Twój klient może wymagać od Ciebie dostarczenia danych weryfikacyjnych jego kontrahentów lub przestrzegania jego wewnętrznych procedur KYC. Podpisując umowę z takim klientem, przejmujesz część jego obowiązków compliance — i warto to mieć uregulowane na piśmie, zanim zaczniesz pracę.

Podstawy prawne: ustawa AML i dyrektywy UE w 2026 roku

Wirtualna asystentka, która obsługuje klientów prowadzących działalność regulowaną (np. kantory, biura rachunkowe, pośrednicy finansowi, kancelarie), może wchodzić w zakres podmiotów zobowiązanych na mocy ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ustawa AML). W 2026 roku obowiązuje jej tekst uwzględniający implementację VI Dyrektywy AML (AMLD6) oraz rozporządzenia AMLR, które Unia Europejska wdrożyła stopniowo od 2024 roku. Jeśli działasz jako podwykonawca instytucji zobowiązanej lub samodzielnie świadczysz usługi objęte ustawą — KYC nie jest opcją, lecz obowiązkiem.

Co zmieniło się wraz z pakietem AML UE w 2026 roku?

Rozporządzenie AMLR (Anti-Money Laundering Regulation) obowiązuje bezpośrednio we wszystkich państwach UE — bez potrzeby osobnej implementacji krajowej, co ujednolica wymogi KYC w całej Unii.
Powołano AMLA (Authority for Anti-Money Laundering and Countering the Financing of Terrorism) — unijny urząd nadzorujący największe instytucje finansowe; pośrednio wpływa na standardy stosowane przez mniejsze podmioty i ich podwykonawców.
Rozszerzono katalog podmiotów zobowiązanych o część dostawców usług dla przedsiębiorstw (w tym niektóre usługi wirtualnych asystentek świadczone na rzecz klientów z sektora finansowego).
Obniżono próg identyfikacji klienta przy transakcjach gotówkowych do 3 000 EUR (wcześniej 10 000 EUR) dla określonych kategorii podmiotów.
Wzmocniono wymogi dotyczące beneficjenta rzeczywistego — weryfikacja w rejestrze CRBR jest obowiązkowa przed nawiązaniem współpracy, nie tylko przy transakcjach powyżej progu.

Kiedy wirtualna asystentka jest podmiotem zobowiązanym?

Typ usługi VA	Czy objęta ustawą AML?	Podstawa prawna
Obsługa administracyjna klienta z sektora finansowego (jako podwykonawca)	Tak — pośrednio, przez umowę outsourcingową z instytucją zobowiązaną	Art. 6 ustawy AML + AMLR art. 18
Samodzielne prowadzenie rozliczeń / księgowości dla klientów	Tak — jako podmiot świadczący usługi rachunkowe	Art. 2 ust. 1 pkt 15 ustawy AML
Wsparcie w zakładaniu spółek lub zarządzaniu nimi	Tak — dostawca usług dla spółek	Art. 2 ust. 1 pkt 16 ustawy AML
Obsługa korespondencji, social media, content	Nie — poza zakresem ustawy AML	Brak podstawy do objęcia
Wirtualna recepcja / adres rejestrowy dla klientów	Tak — usługi adresu siedziby	Art. 2 ust. 1 pkt 16 ustawy AML

Sprawdź, czy Twoja działalność mieści się w katalogu podmiotów zobowiązanych z art. 2 ustawy AML — lista jest enumeratywna, więc każdy punkt weryfikuj osobno.
Jeśli działasz jako podwykonawca instytucji zobowiązanej, przeczytaj umowę outsourcingową — powinna wskazywać, które obowiązki AML przechodzą na Ciebie, a które pozostają po stronie zleceniodawcy.
Zarejestruj się (jeśli wymagane) w odpowiednim rejestrze — np. dla biur rachunkowych prowadzi go Krajowa Izba Doradców Podatkowych lub właściwy urząd skarbowy.
Opracuj wewnętrzną procedurę AML i wyznacz osobę odpowiedzialną za jej stosowanie — nawet jeśli jesteś jednoosobową działalnością, dokument musi istnieć.
Wdroż procedurę KYC jako element tej polityki: zbieranie dokumentów, weryfikacja tożsamości, ocena ryzyka klienta i monitorowanie transakcji.

Nie wiesz, czy Twoja działalność jest objęta ustawą AML? Zanim zaczniesz obsługiwać klienta z branży finansowej lub oferować usługi adresowe, skonsultuj zakres usług z radcą prawnym specjalizującym się w AML. Koszt jednorazowej konsultacji (zwykle 300–600 zł netto w 2026 roku) jest wielokrotnie niższy niż kara administracyjna za brak procedur — która może sięgnąć równowartości 5 mln EUR lub dwukrotności korzyści z naruszenia.

Jakie dokumenty i dane zbierać od klienta?

Zakres danych, które powinna zebrać wirtualna asystentka w ramach KYC, zależy od tego, czy klient to osoba fizyczna, jednoosobowa działalność gospodarcza czy spółka. Poniżej znajdziesz konkretny podział — bez zbędnych ogólników.

Typ klienta	Dokumenty tożsamości	Dane firmowe / rejestrowe	Dodatkowe
Osoba fizyczna (konsument)	Dowód osobisty lub paszport (skan obu stron)	—	Adres zamieszkania, numer PESEL
JDG / samozatrudniony	Dowód osobisty lub paszport	NIP, REGON, wpis do CEIDG (wydruk lub link)	Adres prowadzenia działalności
Spółka z o.o. / S.A.	Dowód osobisty osoby reprezentującej	KRS (aktualny odpis, nie starszy niż 3 miesiące), NIP, REGON	Lista beneficjentów rzeczywistych z CRBR
Fundacja / stowarzyszenie	Dowód osobisty zarządu	KRS lub inny rejestr, statut organizacji	Cel działalności, źródło finansowania

Kolejność zbierania danych — jak to poukładać procesowo

Przed podpisaniem umowy wyślij klientowi formularz onboardingowy (Google Forms, Tally lub własny PDF) z listą wymaganych dokumentów.
Poproś o skan lub zdjęcie dokumentu tożsamości — obie strony, wyraźne, bez odblasków. Zaznacz, że nie akceptujesz zdjęć ekranu.
Pobierz samodzielnie aktualny odpis z KRS lub wydruk z CEIDG — nie polegaj wyłącznie na tym, co prześle klient, bo dane mogą być nieaktualne.
Sprawdź beneficjenta rzeczywistego w rejestrze CRBR (Centralny Rejestr Beneficjentów Rzeczywistych) — dla spółek to obowiązek wynikający z ustawy AML.
Zapisz datę weryfikacji i wersję dokumentów w swoim systemie (CRM, Notion, arkusz) — będziesz potrzebować tego przy ewentualnej kontroli lub odświeżeniu danych.

Nie przyjmuj skanów dokumentów przesłanych przez WhatsAppa bez szyfrowania — używaj zaszyfrowanych kanałów (np. e-mail z hasłem do archiwum lub dedykowany portal).
Nie pomijaj weryfikacji spółek-córek ani pełnomocników — jeśli umowę podpisuje pełnomocnik, potrzebujesz również jego dokumentu tożsamości i pełnomocnictwa.
Nie przechowuj skanów dłużej niż wymaga tego cel przetwarzania — określ to w swojej polityce retencji danych zgodnie z RODO.
Nie traktuj weryfikacji jako jednorazowej formalności — dane klienta należy odświeżać co 12–24 miesiące lub przy istotnej zmianie zakresu współpracy.

Jeśli klient ma siedzibę lub rezydencję podatkową poza Polską, dołącz do swojej listy kontrolnej weryfikację pod kątem list sankcyjnych (np. lista UE, OFAC). W 2026 roku coraz więcej instytucji finansowych, z którymi współpracują wirtualne asystentki, wymaga potwierdzenia, że taki screening został przeprowadzony.