Bankowy schemat ID w UK: testy zdalnego KYC w aplikacji bankowej bez rozstrzygnięć o odpowiedzialności i cenie

25 czerwca 2026 r. UK Finance potwierdziło, że duże banki w Wielkiej Brytanii zakończyły testy proof-of-concept dla dobrowolnej usługi, która pozwala klientom potwierdzić imię, wiek lub adres bezpośrednio w aplikacji bankowej.

To rozwiązanie wpisuje się w realny przełom i opiera się na modelu, który sprawdził się w innych regionach: tożsamość cyfrowa prowadzona przez banki dociera do ok. 99% dorosłych w wieku produkcyjnym w Szwecji i 97% w Norwegii.

Inicjatywa pojawia się w szczególnie trudnym momencie. Dokumentowe i oparte na selfie zdalne kontrole tożsamości zaczynają przegrywać z atakami typu deepfake generowanymi z użyciem AI oraz atakami polegającymi na wstrzyknięciu danych (injection). Jeśli model się skaluje, może to oznaczać istotny krok naprzód dla Wielkiej Brytanii i ponowne zbudowanie jej pozycji lidera w cyfrowym handlu. Pozostają jednak trzy wyraźnie otwarte pytania: kto ponosi odpowiedzialność, kto płaci, skoro dane w open bankingu są już dostępne bez opłat, oraz kto doprowadzi to rozwiązanie do wdrożeń na rynku.

Usługa oparta na banku: działa na sprawdzonym modelu

Usługa oparta na zgodzie pozwala klientowi potwierdzić imię, wiek lub adres bezpośrednio z aplikacji bankowej, bez konieczności okazywania paszportu ani rachunku za media. Wykorzystuje dane, które są zarówno wysoko cenione przez konsumentów, jak i przez podmioty instytucjonalne, oraz są dostępne prawie powszechnie. UK Finance informuje o zakończeniu proof of concept, a na kolejne miesiące zaplanowany jest pilotaż w środowisku produkcyjnym.

To konkretne postępy w obszarze, w którym nie brakuje inicjatyw politycznych i komercyjnych — często kończących się niepowodzeniem.

Inne rynki osiągały duży sukces dzięki podobnym inicjatywom bankowym: szwedzki BankID jest wykorzystywany przez 99% dorosłych, norweski odpowiednik ma zasięg na poziomie ok. 97% dorosłych, a belgijski bankowy system itme („itsme”) osiągnął ok. 80%. Każdy z tych rozwiązań stał się standardem krajowym nie dlatego, że wymusiło to państwo, lecz dzięki wbudowaniu tożsamości w warstwę usług finansowych — tam, gdzie istnieje zaufanie oraz wysoka częstotliwość korzystania. Jednocześnie wdrażanie takich schematów nie zawsze przebiegało szybko: Norwegii zajęło mniej więcej dekadę, by dojść do niemal powszechnego wykorzystania.

Teraz jest właściwy moment: zdalne kontrole tożsamości są pod presją

Po stronie podaży sygnały są zachęcające, ale popyt staje się coraz pilniejszym problemem. Model sprzed dekady oparty na skanie dokumentu i selfie przestaje działać w mierzalny sposób. Jest wiele dowodów na to, że ataki typu „digital injection” na kontrole twarzy rosną o kilkaset procent każdego roku, a narzędzia do podmiany obrazu twarzy w czasie rzeczywistym oraz wstrzykiwania obrazu z kamery są sprzedawane jako usługa za stosunkowo niewielkie kwoty.

W grudniu 2025 r. Financial Action Task Force wskazała wprost, że deepfake może służyć do obchodzenia procedur należytej staranności klienta oraz cyfrowej weryfikacji tożsamości przy onboardingu. W niedawnym badaniu wśród specjalistów ds. zwalczania oszustw jedynie 7% respondentów uznało, że są przygotowani na ten problem co najmniej umiarkowanie.

Na tym tle poświadczenie (credential) powiązane z kontem, które przeszło regulowany proces weryfikacji, a dostęp do niego jest realizowany poprzez własną, uwierzytelnioną aplikację bankową klienta, jest zasadniczo lepszą opcją niż tradycyjne podejścia do zdalnego onboardingu. Usługi tożsamości oparte na banku — z których branża płatnicza i klienci korzystają prawie codziennie — mają mocną podstawę w przepisach, dzięki Strong Customer Authentication (silnej weryfikacji klienta) w ramach PSD2.

Pytanie bez odpowiedzi: kto odpowiada, gdy coś pójdzie nie tak

Tu zaczynają się kluczowe niewiadome — i pierwsza jest jedną z największych. Gdy podmiot korzystający (relying party) przyjmuje atrybut zweryfikowany przez bank, a potem okazuje się, że był on błędny, podrobiony lub nieaktualny, kto ponosi ryzyko?

Raport z postępów jest jasny: model komercyjny i zarządczy wciąż jest projektowany w ramach pilotażu. Odpowiedź UK Finance na konsultacje rządowe w sprawie cyfrowej tożsamości wskazała poziomy zapewnienia (assurance), poleganie na dostawcy (reliance) oraz odpowiedzialność jako wybory projektowe, które trzeba rozstrzygnąć na wczesnym etapie. Oficjalne wytyczne dotyczące przepisów przeciwdziałania praniu pieniędzy są w tej kwestii jeszcze bardziej bezpośrednie: regulowany podmiot pozostaje ostatecznie odpowiedzialny za swoją procedurę należytej staranności wobec klienta, nawet gdy korzysta z usług dostawcy trzeciego.

Ma to znaczenie, ponieważ poleganie bez jasno określonego modelu odpowiedzialności oznacza słabą obietnicę. Poświadczenie, że klient ma ukończone 18 lat, jest użyteczne do weryfikacji wieku. Natomiast poświadczenie tożsamości w celu otwarcia regulowanego rachunku, gdzie podmiot korzystający nadal ma własne obowiązki regulacyjne, jest zupełnie inną sytuacją.

Wartość poświadczenia dla podmiotu korzystającego zależy od tego, ile faktycznego „komfortu regulacyjnego” przenosi na odbiorcę — i to właśnie zmienna nie została jeszcze ostatecznie ustalona w ramach schematu. Dopóki alokacja odpowiedzialności nie będzie jednoznaczna, najbardziej wymagające i najbardziej wartościowe przypadki użycia będą wdrażane ostrożnie.

Koszt i kłopotliwe porównanie z darmowym open bankingiem

Drugie pytanie dotyczy ceny i nie da się go oddzielić od tego, co w Wielkiej Brytanii już wdrożono na dużą skalę. Kłopot polega na tym, że Wielka Brytania ma już darmowy dostęp do danych przechowywanych w bankach.

Account Information Services (AIS) — czyli ta część open bankingu, która zapewnia odczyt — są dostarczane przez interfejsy, do których największe banki są zobowiązane udostępniać dostęp bez opłat regulowanym, autoryzowanym dostawcom oraz dostawcom tożsamości. Dostawcy tożsamości już dziś korzystają z tego dostępu, aby potwierdzać imię, wiek oraz własność rachunku.

Jednocześnie AIS nie zapewniają w pojedynkę pełnej weryfikacji tożsamości na poziomie wymagań know-your-customer (KYC) w odniesieniu do odpowiedniego stopnia pewności. Pozwalają potwierdzić, że dana osoba kontroluje rachunek i mogą ujawnić imię oraz historię transakcji, ale nie były projektowane tak, by dostarczać zakładaną, „atrybutową” tożsamość o odpowiednim poziomie zapewnienia, której wymagają regulowane procesy onboardingu. Tę lukę ma wypełnić nowy schemat i to ona wyznacza sedno napięcia handlowego. Schemat musi wycenić usługę tożsamości o wyższym poziomie zapewnienia w porównaniu z tańszym sygnałem — a czasem wręcz darmowym — o niższym poziomie pewności, który może być wystarczający dla istotnej części przypadków użycia. To, gdzie przebiega granica między tymi zastosowaniami, zdeterminuje, jak duża część rynku faktycznie przełoży się na płatne wdrożenia.

Kto doprowadzi do wdrożeń i kto jeszcze będzie mógł grać?

Trzecie pytanie dotyczy dystrybucji. Po stronie bankowej poświadczenie musi budować zasięg zarówno u dostawców, jak i u podmiotów zgłaszających popyt. Doświadczenia z rynków nordyckich pokazują, że popyt korporacyjny, a nie rekrutacja klientów, jest trudniejszy do skalowania ze względu na liczbę użytkowników po stronie firm wdrażających rozwiązanie.

UK Finance wezwało do składania wyrazów zainteresowania przez sprzedawców detalicznych, platformy oraz inne przedsiębiorstwa — to właściwy kierunek, ale wciąż trzeba zbudować silnik wejścia na rynek oraz bodźce, które skłonią podmioty korzystające do przejścia na nowy schemat. Jednym z powodów, dla których open banking pojawił się tak późno, było to, że Third Party Processors (TPP) — czyli podmioty działające jako pośrednicy — musiały stworzyć pojedyncze, solidne punkty dostępu do banków, aby ograniczyć złożoność techniczną.

To rodzi otwarte pytanie strategiczne dla całego ekosystemu. Czy nowy schemat prowadzony przez banki wypchnie TPP, które zbudowały swoje propozycje tożsamości w oparciu o darmowy, dostępny dla wszystkich dostęp do linii AIS, czy też stworzy większy rynek, na którym ci sami gracze również znajdą miejsce?

Naturalne wydaje się, że TPP, takie jak Truelayer czy Yapily, skorzystają na szansie zostania warstwą dystrybucji dla poświadczeń bankowych o wyższym poziomie zapewnienia i rozszerzą ofertę, zamiast zostać wyparte. Mniej wiarygodna jest interpretacja, w której konsorcjum największych banków dociera do przedsiębiorstw bezpośrednio i zawęża przestrzeń dla tych dostawców.

Ironia polega na tym, że im bardziej skomplikowana technicznie będzie oferta banków, tym większą wartość będą w stanie dodać TPP — i tym samym rośnie ich rola w łańcuchu wartości. Jednak to, która z tych ścieżek okaże się trafna, ukształtuje konkurencyjną strukturę brytyjskiej cyfrowej tożsamości na dekadę.

W naszej ocenie Wielka Brytania zrobiła realny i mile widziany krok — w oparciu o ten jeden model, który w innej części świata działał w skali krajowej, i w momencie, gdy rynek najbardziej tego potrzebuje. To osiągnięcie jest prawdziwe. Pytania o odpowiedzialność, koszt w porównaniu z darmową alternatywą oraz drogę do wdrożeń nie są powodem do sceptycyzmu, lecz planem działania dla pilotażu. To, czy ta wersja stanie się krajową infrastrukturą, zdecyduje nie sama technologia (która jest sprawdzona), tylko to, jak przekonująco zostaną rozwiązane te trzy kwestie. Odpowiedź pokaże czas.