SEC-commissaris Hester Peirce riep op 23 september op tot een ingrijpende herontwerp van het Amerikaanse klantidentificatieregime, met het argument dat het huidige KYC- en AML-kader steeds meer gegevens verzamelt terwijl het steeds minder criminelen opspoit — en dat zero-knowledge proofs compliance mogelijk kunnen maken zonder massale gegevensverzameling.

Tijdens de SIFMA Digital Assets Conference — een evenement van de Securities Industry and Financial Markets Association, de branchevereniging waarvan de leden uit effectenbedrijven en vermogensbeheerders middenin het klantverificatieregime zitten dat zij beschreef — zette de bekendste crypto-voorvechter van de Commissie haar betoog uiteen in toespraken die op de officiële nieuwsruimte van de SEC zijn gepubliceerd. Peirce, sinds 2018 SEC-commissaris, leidster van de Crypto Task Force van de toezichthouder en in de sector al lang bekend als "Crypto Mom", zei dat toezichthouders een "Data Go Up"-mentaliteit hebben aangenomen — een spiegelbeeld van de "Number Go Up"-fixatie in crypto — waarbij elke extra rapportageverplichting als vooruitgang wordt gerekend, ongeacht deze financiële criminaliteit daadwerkelijk terugdringt.

Een grotere hooiberg, minder naalden

De hooiberg-metafoor van Peirce raakt de kern van de logica van het systeem: toezichthouders blijven een steeds grotere berg burgergegevens opbouwen zodat onderzoekers uiteindelijk enkele criminele naalden kunnen vinden, maar hoe groter de berg wordt, hoe moeilijker het wordt om die naalden te isoleren.

Veel van de architectuur die zij in twijfel trekt heeft diepe wettelijke wortels: de Bank Secrecy Act van 1970 vormde de ruggengraat van de rapportageverplichtingen, en de verplichting tot klantidentificatie zelf kwam via Sectie 326 van de USA PATRIOT Act, aangenomen in de weken na de aanslagen van 11 september, met definitieve regels in 2003.

Onder de Customer Identification Program-regels die banken en andere gereguleerde tussenpersonen binden — van geldverstrekkers tot kaartnetwerken zoals Visa — moet elk bedrijf zelfstandig de naam, geboortedatum, het adres en het identificatienummer van een klant verzamelen, vervolgens transacties voortdurend monitoren en Currency Transaction Reports en Suspicious Activity Reports indienen.

Peirce vroeg zich af of de kosten van het in stand houden van deze surveillancearchitectuur inmiddels niet hoger zijn dan de waarde ervan voor criminaliteitspreventie. De dossiers van gewone mensen liggen in databases die blootstaan aan ongelukken, hacks en opzettelijk misbruik, vaak zonder dat de betrokkene er ooit hoort dat de gegevens zijn verzameld, merkte zij op. Elke dubbele kopie, waarschuwde zij, voegt een nieuw breekbaar knooppunt toe, en toezichthouders herzien zelden of de oorspronkelijke rechtvaardiging voor een gegevenspunt nog standhoudt.

Zij schetste de keuze als een tweesprong: doorgaan met het uitbreiden van gegevensverzameling tot de financiële infrastructuur een panopticon wordt, of cryptografische hulpmiddelen adopteren die de gegevensvoetafdruk verkleinen en tegelijk de detectie van illegale financiering verbeteren.

Zero-knowledge proofs als complianceroute

Het alternatief dat Peirce schetste, rust op cryptografie in plaats van papierwerk. Via attribuutgebaseerde credentials en zero-knowledge proof-systemen — de technologieën die hun oorsprong vinden bij privacygerichte chains zoals Zcash — zou een klant aan een financiële instelling kunnen aantonen dat hij of zij meerderjarig is, de nationaliteit van een bepaald land bezit, een geaccrediteerd belegger is of niet op sanctielijsten staat, zonder de naam, het inkomen of het adres achter die conclusies prijs te geven.

In haar redenering, als het enige feit dat een firma werkelijk nodig heeft is of iemand de drempel van geaccrediteerd belegger passeert — de norm die geldt voor private crypto-financieringen onder een Simple Agreement for Future Tokens — is het technisch niet langer noodzakelijk om volledige identiteitsdocumenten te verzamelen om dat antwoord te verkrijgen.

Zij viel ook de dubbele onboarding aan. Buiten beperkte uitzonderingen dwingen Amerikaanse regels elke gereguleerde firma om klanten die elders al zijn gecontroleerd opnieuw te verifiëren, waardoor het gevoelige dossier van één persoon bij tientallen instellingen kan liggen. Firma's laten vertrouwen op een bestaande verificatie door een vertrouwde, geregerde tegenpartij zou tegelijk de privacy verbeteren en de compliancebudgetten verlagen, betoogde zij.

Peirce verwierp bovendien de aanname dat permissionless-systemen zich aan toezicht onttrekken. Een echt permissionless netwerk, zoals zij het definieerde, draait op geautomatiseerde, onveranderlijke code zonder intermediair die gebruikersactiva bewaart, en de openbare smart-contractlaag laat permanente, controleerbare registraties na die steeds krachtigere on-chain forensische instrumenten kunnen analyseren — dus de afwezigheid van een traditionele intermediair betekent niet de afwezigheid van toezichtinformatie.

Toespraken, geen regels — voorlopig

Peirce sloot af door het thema te koppelen aan de innovation exemption van de SEC, minder dan een week eerder gelanceerd, en zei dat getokeniseerde effecten moeten kunnen handelen op crypto-netwerken en geautomatiseerde market makers terwijl duurzame regels worden opgebouwd — en dat tokenisatie eraan komt, een verschuiving die zij bij voorkeur onshore wil laten plaatsvinden in plaats van eerst via overzeese markten.

Gelezen tegen de primaire tekst op de nieuwsruimte van de SEC in plaats van tweedehandse samenvattingen, is de toespraak een betoog van een commissaris, geen regelgeving: zij bindt geen enkele entiteit en kent geen ingangsdatum, maar schetst de compliance-architectuur die toezichthouders zouden kunnen vastleggen. Het omzetten van die schets in bindende regels zou via formele notice-and-comment-procedures lopen, waarbij banken, fintech-bedrijven privacyvoorvechters een duidelijk venster krijgen om te beargumenteren of ZKP-credentials kunnen voldoen aan CIP-normen. Voor Bitcoin (BTC) en de bredere markt loopt de lijn van een op handhaving gerichte houding naar crypto-native compliance, waarbij cryptografie zelf aan de toezichtsdoelen voldoet.

De slotclaim van Peirce — dat Amerikanen zowel veiligheid als privacy kunnen hebben — herkadert KYC als een technische ontwerpkeuze in plaats van een onvermijdelijkheid. De markeringen die zouden aantonen dat het betoog zich van toespraak naar regeltekst beweegt, zijn procedureel van aard in plaats van marktgericht: een formeel verzoek om commentaar of een rondetafelgesprek van de task force over digitale identiteit. De beoordeling van COINOTAG is dat de druk voor een ZKP-bewust kader zich nu van toespraken zal verplaatsen naar het formele regelgevingstraject dat de exemption moet bezaaien.

Bron: Coinotag