AMLA i AMLR — koniec krajowych różnic w AML od 2027 r.

Co to AMLA i kogo będzie nadzorować

AMLA (Anti-Money Laundering Authority) to pierwszy unijny urząd wyspecjalizowany w przeciwdziałaniu praniu pieniędzy. Ustanowiło go rozporządzenie (UE) 2024/1620; siedzibą jest Frankfurt nad Menem, a urząd rozpoczął działalność 1 lipca 2025 r. AMLA ma trzy role:

• Bezpośredni nadzór nad wybranymi instytucjami kredytowymi i finansowymi działającymi transgranicznie i obarczonymi najwyższym ryzykiem. Pierwsza selekcja ma się zakończyć w 2027 r., a nadzór bezpośredni zacząć w 2028 r. Dla polskiego biura rachunkowego czy pośrednika nieruchomości oznacza to niewiele — nadzór nad sektorem niefinansowym zostaje w rękach krajowych organów, w Polsce GIIF.
• Nadzór pośredni i koordynacja — AMLA wydaje regulacyjne i wykonawcze standardy techniczne, wytyczne i przeprowadza przeglądy krajowych nadzorców, także tych od sektora niefinansowego. To przez te standardy ujednolicenie dotrze do każdej instytucji obowiązanej: wzory ocen ryzyka, zakres danych w identyfikacji, kryteria wzmożonych środków.
• Wsparcie jednostek analityki finansowej — wspólne analizy, platforma wymiany informacji między FIU (w Polsce GIIF).

AMLA nie zastępuje GIIF ani KNF. Ustala jednak standard, do którego krajowe organy muszą się dostosować — i będzie mogła wskazać państwu, że jego nadzór jest zbyt łagodny.

Co zmienia AMLR

Rozporządzenie (UE) 2024/1624 stosuje się bezpośrednio: nie wymaga polskiej ustawy wdrażającej i ma pierwszeństwo przed nią. Od 10 lipca 2027 r. to ono — a nie art. 2, 33–37 czy 49 polskiej ustawy — będzie źródłem obowiązków instytucji obowiązanej.

• Katalog podmiotów (art. 3 AMLR). Oprócz znanych kategorii (banki, biura rachunkowe, notariusze, pośrednicy nieruchomości, kantory, dostawcy usług kryptoaktywów) pojawiają się: podmioty handlujące metalami i kamieniami szlachetnymi oraz towarami luksusowymi (pojazdy, jachty, samoloty, biżuteria, zegarki powyżej progów z załącznika), dostawcy finansowania społecznościowego, operatorzy programów „obywatelstwo i pobyt za inwestycje”, niefinansowe spółki holdingowe o działalności mieszanej, a od 10 lipca 2029 r. — kluby piłkarskie i agenci piłkarscy w określonych transakcjach.
• Limit gotówki (art. 80 AMLR). Przedsiębiorcy sprzedający towary lub usługi nie mogą przyjmować ani dokonywać płatności gotówkowych powyżej 10 000 euro — to zakaz, a nie, jak dziś w Polsce, próg uruchamiający obowiązki AML. Państwa mogą ustalić niższy limit.
• Beneficjent rzeczywisty (art. 51–53 AMLR). Próg udziałów lub praw głosu to 25% — rozporządzenie mówi „25% lub więcej”, podczas gdy polska ustawa dziś mówi „więcej niż 25%”. Obok udziałów rozporządzenie wprost wymienia „kontrolę w inny sposób”: prawo powoływania zarządu, prawo weta, umowy wspólników, powiązania rodzinne czy nieformalne. Dla struktur wielopoziomowych próg liczy się przez całą strukturę.
• Środki bezpieczeństwa (art. 19–30 AMLR). Ujednolicony zestaw danych do identyfikacji osoby fizycznej i prawnej, obowiązek stosowania środków przy transakcji okazjonalnej od 10 000 euro (dziś w Polsce 15 000 euro), dla dostawców usług kryptoaktywów — od 1 000 euro. Weryfikacja beneficjenta rzeczywistego „w rozsądnym zakresie” zostaje, ale rozporządzenie precyzuje, co to znaczy w zależności od ryzyka.
• Polityki, procedury, osoby odpowiedzialne (art. 9–11 AMLR). Compliance manager na poziomie zarządu i compliance officer — w małych podmiotach ta sama osoba; ocena ryzyka całej instytucji proporcjonalna do jej wielkości. Dokumentacja — 5 lat (art. 77 AMLR), z możliwością przedłużenia o maksymalnie 5 lat w określonych przypadkach.
• Kraje wysokiego ryzyka i sankcje finansowe. Rozporządzenie wprost włącza sprawdzanie ukierunkowanych sankcji finansowych do środków bezpieczeństwa — screening sankcyjny klienta i beneficjenta staje się elementem każdego KYC, nie osobnym obowiązkiem.

Rejestry beneficjentów: dostęp na uzasadniony interes

Po wyroku Trybunału Sprawiedliwości UE z listopada 2022 r. (sprawy połączone C-37/20 i C-601/20) powszechny dostęp do rejestrów beneficjentów uznano za nieproporcjonalny. Dyrektywa AMLD6 (UE) 2024/1640 ustala nowy model: pełny dostęp mają organy i instytucje obowiązane (w ramach środków bezpieczeństwa), a dziennikarze, organizacje pozarządowe, naukowcy i osoby sprawdzające kontrahenta — po wykazaniu uzasadnionego interesu. Przepisy o rejestrach państwa mają wdrożyć do 10 lipca 2026 r., a dyrektywę w całości — do 10 lipca 2027 r.

W Polsce rządowy projekt nowelizacji ustawy AML (druk sejmowy nr 3163 z września 2026 r.) przenosi ten model do CRBR: beneficjent będzie mógł wnioskować o ograniczenie dostępu do swoich danych, osoby z uzasadnionym interesem — o dostęp, a projekt przewiduje też nowy system SIGIIF dla instytucji obowiązanych i okres przejściowy dla decyzji o dostępie od 1 października 2027 r. Do czasu uchwalenia i wejścia w życie nowelizacji CRBR pozostaje jawny. Jak dziś sprawdzić CRBR: rejestr CRBR.

Co polskie firmy powinny zrobić w 2026 r.

Rozporządzenie nie przewiduje okresu przejściowego po 10 lipca 2027 r. — od tego dnia kontrola może oceniać dokumentację według nowych reguł. Lista na 2026 r.:

1. Sprawdź, czy wchodzisz do katalogu z art. 3 AMLR — zwłaszcza handel dobrami luksusowymi, metalami i kamieniami szlachetnymi, crowdfunding. Zobacz też polską listę: instytucje obowiązane.
2. Przejrzyj procedurę i ocenę ryzyka pod kątem nowych progów: 10 000 euro dla transakcji okazjonalnej, 25% „lub więcej” dla beneficjenta, kontrola w inny sposób.
3. Zbuduj zestaw danych identyfikacyjnych zgodny z art. 22 AMLR — imiona i nazwiska, data i miejsce urodzenia, obywatelstwa, adres, numer identyfikacyjny; dla spółek — forma prawna, nazwa, adres siedziby, numer rejestrowy, beneficjenci.
4. Włącz screening sankcyjny do KYC — klient i beneficjenci sprawdzani przy nawiązaniu relacji i okresowo. Instrukcja: sankcje i PEP.
5. Uporządkuj dokumentację z 5 lat — rozporządzenie nie skraca okresu, a kontrola po 2027 r. obejmie relacje nawiązane dziś. Zobacz: dokumentacja 5 lat.
6. Śledź standardy techniczne AMLA — projekty RTS dotyczące środków bezpieczeństwa i oceny ryzyka są publikowane na stronie urzędu i konsultowane publicznie; to one zdecydują o szczegółach.
7. Jeśli korzystasz z narzędzia do weryfikacji — sprawdź, czy raport pokazuje źródło i datę każdej informacji oraz proponowany poziom środków: po 2027 r. „udokumentowane podejście oparte na ryzyku” pozostaje rdzeniem rozporządzenia.

Harmonogram

Polska ustawa AML nie zniknie: pozostaną przepisy o GIIF, kontroli, karach, CRBR i krajowych organach nadzoru, a nowelizacja z druku 3163 dostosowuje je do dyrektywy. Zasady merytoryczne — kogo i jak weryfikować — przejmie rozporządzenie. Przegląd obecnych obowiązków: ustawa AML.

Stan prawny: październik 2026. Materiał informacyjny, nie stanowi porady prawnej.